Présentation

La nouvelle méthode de détection de valeur émet une alerte lorsque des valeurs d’attribut jamais vues auparavant, telles qu’un nouvel utilisateur, un compte, une clé d’API ou un ID d’objet, apparaissent dans vos logs.

Consultez Créer une règle pour obtenir des instructions sur la configuration d’une règle de nouvelle valeur.

Comment fonctionne la nouvelle méthode de détection de valeur

Une règle de détection de nouvelle valeur :

• Apprend les valeurs des champs que vous avez sélectionnés, tels que @userIdentity.arn.
• Apprend en enregistrant les valeurs sur une période d’apprentissage ou utilise une méthode de seuil qui ne nécessite pas de période d’apprentissage. Consultez Durée d’apprentissage pour plus d’informations.
• Déclenche un signal lorsqu’une valeur apparaît qui n’a pas été observée dans le périmètre actuel.
• Oublie une valeur apprise si celle-ci n’a pas été observée pendant le nombre de jours défini dans l’option Oublier la valeur. Si la valeur a été oubliée, la règle émet une alerte lorsque la valeur réapparaît.

Options de configuration

Détecter les nouvelles valeurs

Le champ Detect new value définit les attributs contenant les valeurs à apprendre. Vous pouvez ajouter jusqu’à cinq attributs.

Champs de regroupement

Le champ group by définit le périmètre dans lequel les nouvelles valeurs sont évaluées, par exemple par compte.

Durée d’apprentissage

La durée d’apprentissage propose les options suivantes :

• for all new values : La règle se déclenche sur toute nouvelle valeur.
• after the first seen value : La règle se déclenche sur toute nouvelle valeur après que celle-ci a été observée une fois.
• after : Définissez la durée pendant laquelle la règle apprend les valeurs pour les champs sélectionnés. Par exemple, si vous sélectionnez after 7 days, la règle apprend les valeurs pendant les sept premiers jours, puis se déclenche sur toute nouvelle valeur après ces sept jours. La durée d’apprentissage maximale est de 30 jours.

Oublier la valeur

L’option Forget value détermine pendant combien de temps la règle garde une valeur connue. Une fois cette période écoulée, la valeur est oubliée et la règle alerte à nouveau sur cette valeur. Le nombre maximal de jours pour Forget value est de 30 jours.