مراقبة الاحتيال
مراقبة الاحتيال Iroha التنفيذ هو التحكم التشغيلي المبني حول أحداث الكتيب، والسؤالات، والإذن، والسياق التطبيقي. Iroha يقوم نظام المراقبة بتحديد الأنماط التي تشك فيها العملية التجارية الخاصة بك وتوجيه تلك الحالات إلى المراجع أو التحكم في الاستجابة الآلية.
تعامل مراقبة الاحتيال باعتبارها خدمة منفصلة بدلاً من المنطق المضمن في مؤكدة. يجب على الخدمة الاشتراك بنشاط دفتر التسجيل، وتخصيبه بمحيط المخاطر خارج السلسلة، والثبات المستمر، وتقديم المعاملات الاستجابة فقط من خلال الحسابات التي لديها إذن صريحة.
نموذج المراقبة
توجد خطة مراقبة مفيدة تحتوي على أربع مراحل:
- جمع إشارات الكتيب العام والعميل من Torii تدفقات الأحداث ، والاستفسارات ، والمقاييس.
- إثراء الأحداث مع سياق خارج السلسلة مثل حالة العملاء وقوائم الجهات المعارضة وتعريفات جلسة التطبيق والحدود المتوقعة والحالة IDs.
- اكتشاف السلوك المشتبه به باستخدام قواعد تحديدية أو صفوف المراجعين أو تسجيل المخاطر.
- الاستجابة عن طريق تنبيه المشغلين، وإيقاف تدفقات العمل في جانب التطبيقات، وإلغاء الإذنات غير الضرورية، أو تقديم المعاملات التعويضية عندما يسمح عملية الحكم الخاصة بك بذلك.
الحفاظ على القرارات السياسية خارج الإجماع ما لم يكن كل مؤكّد يجب أن يعيد تشغيل نفس القرار. يجب أن يفرض تأكيد الوقت التشغيلي السماوات وصلاحية المعاملات. يجب أن يشرح مراقبة الاحتيال المخاطر، ويحفظ الأدلة، ويساعد المشغلين على التحرك بسرعة.
الإشارات التي يجب جمعها
البدء مع الاشتراكات الضيقة وإضافة سلسلة أوسع فقط للتحقيق:
| الإشارة | المصدر | استخدام |
|---|---|---|
| حالة المعاملة | أحداث خط الأنابيب | اكتشاف الرفض المتكرر ومحاولات الموافقة الفاشلة، وأنماط تقديم غير عادية |
| دورة حياة الحساب و البيانات الوصفية | أحداث البيانات و استفسارات الحساب | اكتشاف الحسابات الجديدة وتغييرات الاسم الأليف، تحديثات الهوية، وتحرير البيانات المعدلة غير المتوقع |
| رصيد الأصول والتحويلات | أحداث بيانات الأصول و استفسارات الأصول | اكتشاف حركة عالية القيمة، وتسريح سريع، استنزاف التوازن، والجهات الأخرى غير العادية |
| الأدوار والإذنات | استفسارات الدور والإذن، أحداث بيانات الدور | اكتشاف تصاعد الامتيازات، منح الطوارئ، والوصول القديم عالية المخاطر |
| تغييرات المحفز والعقد | حوادث التشغيل والعقد والمؤدي | اكتشاف الآليات الجديدة، تغيير مسارات التنفيذ، و نشاط الترقية المشبوهة |
| تغييرات التكوين والقران | الإعدادات والأحداث الزمنية | الكشف عن تغييرات الحوكمة التي تؤثر على التحقق من المصادقة أو الشبكة أو مرئية المشغل |
| صحة المشغل | طرق حالة /metrics و Sumeragi | فصل سلوك المستخدم المشتبه به من زيادة عبء العقد أو ضغط الصف ، أو أخطاء الشبكة |
استخدم مرشحات الأحداث لتجنب معالجة سلسلة الأحداث بأكملها عندما تحتاج قاعدة فقط إلى حسابات أو أصول أو أدوار أو تغييرات التكوين. للتصالح الدوري، قم بتجميع التدفق مع استفسارات صفحة بحيث يمكن للمراقب التعافي بعد توقف العمل.
قواعد الكشف
تشمل أسرة القواعد المشتركة:
| العائلة القائمة | حالة مثالية | الاستجابة النموذجية |
|---|---|---|
| السرعة | يحول حساب أكثر من المبلغ المتوقع أو العدد خلال فترة قصيرة | إشعار المراجعين وإيقاف عمليات السحب من جانب الطلب لهذا الحساب |
| التنشر | النفقات تنتقل من حساب واحد إلى العديد من الحسابات التي تظهر حديثا | تحتاج إلى موافقة يدوية قبل السماح بنقلات إضافية |
| إستنزاف التوازن | جزء كبير من رصيد الحساب يغادر بعد فترة وجيزة من تغيير المفتاح أو الاسم الأزياء أو البيانات الوصفية | تكثيف إمكانية استحواذ الحسابات |
| تصاعد الامتيازات | يتم منح إذن أو دور عالي المخاطر خارج نافذة تغيير | تحذير المشغلين ومراجعة معاملة المنح |
| انفجار الرفض | يقوم أحد الموقعين أو العملاء بإجراء المعاملات المتكررة التي ترفضها | التحقق من سوء استخدام الوثائق أو أخطاء الاندماج أو التحقيق |
| تغيير الآليات | تغير كائن محفز أو عقد أو عامل تنفيذية غير متوقع | إيقاف عمليات العمل المتعلقة حتى يتم مراجعة التغيير |
| تغييرات حساسة للحكم | تحدث تغييرات في الزملاء أو التكوين أو حالة وقت التشغيل دون الحصول على تذكرة معتمدة | مقارنة بين سجل الحوكمة وعملية الحوادث |
وينبغي أن تكون القواعد صريحة حول الأدلة التي يحتاجون إليها، والفترة الزمنية التي يقومون بها بتقييمها، والإجراءات التي يتخذونها، والشخص أو النظام الذي يمكن إغلاق القضية. الحدود التي تعتمد على مخاطر العملاء أو نوع الأصول، أو الولاية القضائية تنتمي إلى تكوين خدمة المراقبة الخاصة بك، وليس في النصوص المخصصة.
التحكم في الاستجابة
تصميم إجراءات الاستجابة قبل تمكين الإشعارات. يجب أن يكون في حالة احتيال شديدة الحادة مسار وثيق من الكشف إلى الاحتواء:
- إخطار أصحاب الأمن والعمليات وأصحاب الأعمال المسؤولين عن النطاق المتضرر أو تعريف الأصول.
- الحفاظ على مؤشر الأحداث، حش الكتل، حش المعاملات، السلطة، الحملة المفيدة، والمسألة اللقطة المستخدمة من قبل قاعدة الكشف
- توقف الإجراءات الجانبية للتطبيقات التي هي خارج دفتر التسجيل ، مثل عمليات التحقق أو السحب أو التوقيع أو الجسر أو التسوية
- إلغاء الأدوار أو الإذنات التي لم تعد مبررة من خلال خطة الاستجابة للحوادث
- تقديم المعاملات المتابعة في دفتر التسجيل فقط عندما يسمح سياسة الحوكمة النشطة ونموذج الإذن بها
- تدوير المفاتيح عندما تشير الأدلة إلى التسوية الموقعة
تجنب منح خدمة المراقبة إمكانية كتابة واسعة. استخدم حسابًا فنيًا مخصصًا يحتوي على أصغر مجموعة من الإذنات المطلوبة لإجراءات الاستجابة التي يسمح لها بإجراؤها. يجب أن تظل الموافقة البشرية جزءًا من أي تدفق عمل يمكنه نقل الأصول أو تغيير الإذنات أو تغيير التكوين الموجه إلى المؤكد .
الأدلة والاحتفاظ بها
تخزين أدلة مراقبة في نظام مرفق فقط منفصل عن دليل بيانات المحقق. يجب أن تشمل كل إشعار:
- اسم سلسلة الأحداث والمركز
- ارتفاع الكتلة أو هاشة الكتلة عندما تكون متاحة
- هاشة المعاملات والسلطة
- الحساب أو النطاق أو الأصول أو الدور أو الزناد أو التكوين المتضرر ID
- الحدث الخام المفيد أو مجموعة من هذا الحدث
- اللقطات الفورية للمسألة المستخدمة لتعزيز الإنذار.
- اسم القاعدة، النسخة، العدالة، النتيجة، وقرار المراجعة
لا تخزين ملاحظات التحقيق الحساسة كميتاء البيانات العامة إلا إذا سمحت سياسة حكم البيانات للشبكة صراحة بذلك. إذا كنت بحاجة إلى ربط حالة خارج السلسلة بالحالة داخل السلسلات، فاعتمد على معرف الحالة أو شهادة موقعة أو التزام الهاش الذي لا يكشف عن تفاصيل خاصة.
قائمة التحقق من تنفيذها
- تمكين الملف التلفزيوني اللازم لـ
/metricsوطرق المشغل. - اشترك في سلسلة الأحداث Torii مع مرشحات ضيقة للأشياء التي تراقبها.
- إثبات مؤشر الأحداث حتى يتمكن الشاشة من استئناف دون ثغرات.
- استوعب التدفقات مع الأسئلة المصفوفة على جدول زمني منتظم.
- الحفاظ على حدود المخاطر والسماح بالقوائم في التكوينات التي يتم التحكم فيها الإصدار.
- قواعد التحذير الاختبارية ضد الكتل التاريخية قبل تمكين الإجراءات الآلية.
- استخدام الحسابات التقنية المخصصة لعمليات الاستجابة.
- دور المراجعة وممنح الإذن في جدول زمني متكرر.
- إدراج تحذيرات مراقبة الاحتيال في عملية الاستجابة للحوادث.