Dengan membangun baseline untuk pola login normal seperti waktu, lokasi, dan perangkat, Log360 dapat mendeteksi perilaku akses yang tidak biasa, misalnya aktivitas di luar jam kerja, impossible travel, atau login gagal berulang. Perbandingan peer group dan risk scoring membantu tim membedakan perjalanan yang sah dari upaya brute-force. Log360 juga menandai perubahan password yang mencurigakan di Windows, workstation, dan Microsoft SQL Server, termasuk reset pada akun sensitif seperti admin Directory Services Restore Mode. Selain itu, Log360 menyoroti kegagalan login yang berlebihan, account lockout, dan jeda panjang tanpa password reset di Microsoft 365.
Deteksi anomali data di Log360
Deteksi aktivitas tidak biasa di seluruh pengguna, sistem, dan application secara real-time. Log360 menggabungkan machine learning (ML), behavioral analytics, dan entity risk scoring untuk mengungkap penyimpangan, mengurangi false positive, dan membantu tim keamanan merespons ancaman yang muncul dengan cepat.
Cara Log360 mendeteksi anomali
Anomaly detection di Log360 didukung oleh beberapa pendekatan yang bekerja bersama untuk mengungkap penyimpangan yang benar-benar relevan:
Cloud-delivered rules: Aturan deteksi dipelihara dan terus diperbarui untuk mengidentifikasi anomali yang sudah terdokumentasi dengan baik. Aturan ini mencakup suspicious process launch, penyalahgunaan privilege, aktivitas yang dipicu oleh insider, dan lainnya.
Behavioral baselines: Setiap pengguna, perangkat, dan application dipantau secara berkelanjutan untuk membentuk gambaran perilaku normal. Ketika ada aktivitas yang menyimpang, misalnya pengguna mengunduh data jauh lebih banyak dari biasanya, aktivitas tersebut akan ditandai sebagai anomali.
Entity risk scoring: Setiap penyimpangan dievaluasi berdasarkan konteks entitas terkait. Eksekusi proses yang tidak biasa pada domain controller memiliki bobot risiko lebih tinggi dibandingkan event yang sama pada mesin pengujian.
Pattern-based analysis: Selain outlier pada satu event, Log360 juga memodelkan penyimpangan berbasis waktu dan urutan untuk mendeteksi serangan multi-tahap yang berkembang dalam hitungan hari atau minggu.
- Visibilitas anomali terpusat
- Penyesuaian presisi untuk mengurangi false positive
- Investigasi dan respons secara real-time
Visibilitas anomali terpusat
Anomali dari seluruh infrastruktur IT dikumpulkan ke dalam satu dashboard terpadu. Dari sini, analis dapat:
- Melihat anomali yang dikelompokkan berdasarkan entitas, jenis anomali, atau risk score.
- Mengorelasikan penyimpangan baru dengan aktivitas historis untuk melihat apakah perilaku tersebut merupakan bagian dari pola yang lebih luas.
- Memetakan anomali ke taktik dan teknik MITRE ATT&CK® guna membantu proses investigasi.
- Menelusuri raw log data di balik setiap anomali untuk kebutuhan forensik yang lebih jelas.
Penyesuaian presisi untuk mengurangi false positive
False positive dapat menghabiskan banyak waktu analis. Karena itu, Log360 menyediakan beberapa mekanisme tuning agar alert anomali yang muncul benar-benar relevan:
- Object-level filtering: Proses rutin atau scheduled task dapat dikecualikan dari deteksi sehingga tidak memicu alert yang tidak perlu.
- Adaptive thresholds: Threshold berbasis ML menyesuaikan secara otomatis seiring perubahan pola penggunaan, sehingga alert tetap akurat tanpa perlu penyesuaian manual terus-menerus.
- Peer group analysis: Entitas dibandingkan dengan kelompok sejenisnya. Lonjakan login dari global admin akan diperlakukan berbeda dibandingkan aktivitas serupa dari kontraktor sementara.
- Panduan optimasi aturan: Log360 menyoroti aturan yang sering memicu alert anomali nonkritis dan memberikan saran penyempurnaan.
Investigasi dan respons secara real-time
Mendeteksi anomali hanya akan bermanfaat jika tim dapat segera menindaklanjutinya. Log360 menyederhanakan proses dari threat detection hingga respons:
- Context-rich alerts: Setiap alert anomali dilengkapi dengan risk score, entitas terkait, aktivitas sebelumnya, dan raw log data untuk verifikasi. Analis tidak perlu berpindah-pindah tool untuk menyusun konteks insiden.
- Anomaly timelines: Log360 menyusun tampilan kronologis dari event-event terkait, sehingga analis dapat melihat apakah sebuah anomali berdiri sendiri atau merupakan bagian dari rantai serangan yang lebih besar.
- Automated response actions: Workflow yang telah ditentukan sebelumnya memungkinkan tim segera menonaktifkan akun mencurigakan, menghentikan proses berbahaya, atau memblokir alamat IP ketika anomali mencapai tingkat risiko tertentu.
- Escalation dan integrasi: Alert anomali dapat dikirim ke tool ITSM seperti ServiceNow dan Jira atau dieskalasikan ke workflow SOC untuk penanganan insiden yang lebih mendalam.
- Bantuan investigasi: Rekomendasi berbasis AI serta pemetaan taktik dan teknik MITRE ATT&CK membantu analis menentukan langkah berikutnya, mengurangi perkiraan manual, dan mempercepat penyelesaian.
Use case utama untuk anomaly detection
Eskalasi privilege yang tidak biasa atau penggunaan abnormal akun dengan hak istimewa akan segera ditandai. Jika seorang pengguna tiba-tiba memperoleh hak admin atau mengakses sistem di luar perannya, Log360 akan menyoroti penyimpangan tersebut dan memprioritaskannya dengan entity risk scoring. Ini mencakup penghapusan grup atau GPO tanpa otorisasi, perubahan GPO di luar jam kerja, serta akses registry yang mencurigakan di Windows. Log360 juga mencakup perubahan kebijakan conditional access di Microsoft 365 dan perubahan aturan tanpa persetujuan pada firewall serta platform SaaS dari penyedia seperti Sophos, Fortinet, dan SonicWall.
Penyerang sering menyalahgunakan tool sistem bawaan. Aturan di Log360 dapat mendeteksi penggunaan command yang jarang dipakai atau diobfuscate, serta aktivitas child process yang mencurigakan, seperti PowerShell yang memunculkan proses tidak biasa atau Regsvr32 yang dijalankan dengan flag yang jarang digunakan. Log360 juga memantau eksekusi command dengan privilege di Unix, IIS FTP, Microsoft SQL Server, dan perangkat Check Point. Upaya yang gagal atau scheduled task yang dibuat di luar jam kerja diperlakukan sebagai indikasi persistence atau reconnaissance.
Pelajari selengkapnyaLonjakan download, transfer file, atau upload ke cloud app yang tidak disetujui dapat dideteksi dengan membandingkannya terhadap baseline yang sudah dibangun. Analis menerima alert dengan risk scoring untuk menilai apakah perilaku tersebut masih rutin atau berpotensi menjadi pelanggaran keamanan. Sinyal lain yang juga dipantau meliputi perubahan atau penghapusan file secara berlebihan di Windows, lonjakan tidak normal dalam penghapusan file di Microsoft 365, transfer data massal di Salesforce, serta aktivitas email yang tidak biasa seperti pengiriman email dalam jumlah besar ke satu penerima.
Pelajari selengkapnyaAncaman yang bergerak secara perlahan dapat diungkap dengan menghubungkan anomali dari waktu ke waktu, misalnya pola login yang tidak biasa yang disertai eksekusi proses langka dan akses file yang abnormal. Korelasi ini membantu mengungkap kampanye serangan yang mungkin terlewat jika hanya melihat alert individual. Contohnya termasuk perubahan pengaturan pengguna di Salesforce, integrasi app di luar jam kerja, modifikasi firewall atau kebijakan tanpa otorisasi, dan akses mailbox yang tidak biasa di Microsoft 365—semuanya dapat mengindikasikan penyalahgunaan internal atau aktivitas serangan persisten.
Pelajari selengkapnyaTemukan lebih banyak kapabilitas di Log360
Threat investigation
Manfaatkan Incident Workbench di Log360 untuk menganalisis security alert, mengorelasikan event, dan menelusuri jalur serangan. Konsol analitik ini menghadirkan tampilan terpadu atas entitas utama seperti pengguna, proses, dan sumber ancaman, sehingga identifikasi akar masalah insiden dapat dilakukan lebih cepat.
Pelajari selengkapnyaCompliance reporting
Buat laporan yang siap audit untuk standar seperti ISO/IEC 27001, GDPR, PCI DSS, dan HIPAA. Template laporan kustom membantu mempercepat dan meningkatkan keandalan pengumpulan evidence.
Pelajari selengkapnya-
Kami ingin memastikan dua hal: pertama, kami dapat memenuhi berbagai kebutuhan fitur keamanan yang diharapkan klien dari kami; kedua, kami dapat meningkatkan keamanan agar postur keamanan organisasi menjadi lebih kuat.
Carter Ledyard
-
Opsi drill-down dan dashboard visual membuat threat investigation jauh lebih cepat dan mudah. Solusi ini benar-benar ramah pengguna.
Sundaram Business Services
-
Log360 membantu mendeteksi insider threat, pola login yang tidak biasa, eskalasi privilege, dan potensi upaya data exfiltration secara real-time.
CIO, Northtown Automotive Companies
-
Sebelum menggunakan Log360, kami tidak memiliki visibilitas terpusat atas seluruh infrastruktur. Sekarang, kami dapat dengan cepat mendeteksi potensi ancaman dan merespons sebelum situasinya memburuk. Log360 sangat membantu dalam meningkatkan incident response kami dan memastikan compliance terhadap standar audit. Solusi ini memberikan nilai yang besar bagi tim kami.
ECSO 911
Isi formulir ini untuk menjadwalkan
web demo yang dipersonalisasi
Permintaan demo Anda telah berhasil dikirim. Tim support kami akan segera menghubungi Anda.
Pertanyaan yang Sering Diajukan
Data anomaly detection adalah proses untuk mengidentifikasi pola aktivitas yang tidak biasa, seperti login, proses, atau pergerakan data, yang menyimpang dari baseline yang telah ditetapkan dan dapat mengindikasikan perilaku berbahaya.
Log360 menggunakan beberapa teknik deteksi untuk mengidentifikasi ancaman keamanan secara akurat. Deteksi statis berbasis aturan mencari pola serangan yang telah ditentukan sebelumnya, seperti login gagal berulang atau perubahan privilege. Deteksi berbasis korelasi menghubungkan event lintas sistem untuk mengungkap serangan multi-tahap yang mungkin terlewat jika hanya mengandalkan satu alert. Anomaly detection melangkah lebih jauh dengan mempelajari perilaku normal setiap pengguna, perangkat, dan application, lalu menandai aktivitas yang menyimpang dari baseline tersebut. Kombinasi metode ini membantu tim mendeteksi ancaman yang sudah dikenal maupun yang belum dikenal secara real-time.
Solusi ini mengumpulkan log dari server, application, dan perangkat jaringan. Cakupan yang luas ini membantu Log360 mengorelasikan aktivitas pengguna dengan perilaku entitas untuk deteksi anomali yang lebih akurat.
Ya. Insider threat sulit dideteksi karena sering melibatkan akun pengguna yang sah namun digunakan untuk melakukan tindakan berbahaya. Engine anomaly detection di Log360 mengidentifikasi penyimpangan perilaku yang halus, seperti transfer data yang tidak biasa, eskalasi privilege, atau aktivitas login di luar jam kerja normal, yang mungkin terlewat oleh alert statis. Dengan membangun baseline untuk setiap pengguna dan membandingkan aktivitas real-time terhadap baseline tersebut, Log360 membantu tim mendeteksi penyalahgunaan lebih awal dan meminimalkan dampaknya.
Kenali aktivitas normal, dan yang tidak
Tetapkan baseline untuk aktivitas user dan sistem, deteksi anomali secara real time, dan lindungi environment Anda.
