새 값

개요

새 값 탐지 방법은 새 사용자, 계정, API 키 또는 객체 ID와 같이 이전에 목격되지 않은 특성 값이 로그에 나타날 때 경고합니다.

새 값 규칙을 구성하는 방법에 대한 지침은 규칙 생성을 참조하세요.

새 값 탐지 규칙은 다음과 같습니다.

@userIdentity.arn 등 사용자가 선택한 필드의 값을 학습합니다.
학습 기간 동안 값을 기록하여 학습하거나 학습 기간이 필요 없는 임계값 방법을 사용합니다. 자세한 내용은 학습 기간을 참조하세요.
현재 범위 내에서 관찰되지 않은 값이 나타나면 신호를 트리거합니다.
Forget value 옵션에 설정된 일수 동안 값이 관찰되지 않으면 학습된 값을 잊습니다. 값을 잊은 경우, 해당 값이 다시 나타나면 규칙이 경고합니다.

Detect new value 필드는 학습할 값을 포함하는 특성을 정의합니다. 최대 5개의 특성을 추가할 수 있습니다.

group by 필드는 새 값이 평가되는 범위(예: 계정별)를 정의합니다.

학습 기간에는 다음과 같은 옵션이 있습니다.

for all new values: 규칙이 모든 새 값에서 트리거됩니다.
after the first seen value: 규칙이 값이 한 번 관찰된 후의 모든 새 값에서 트리거됩니다.
after: 선택된 필드에 대해 규칙이 값을 학습하는 기간을 정의합니다. 예를 들어, after 7 days를 선택하면 규칙이 처음 7일 동안 값을 학습한 다음 7일 이후의 모든 새 값에서 트리거됩니다. 최대 학습 기간은 30일입니다.

Forget Value 옵션은 규칙이 값을 알려진 상태로 유지하는 기간을 결정합니다. 이 기간이 지나면 값을 잊고 해당 값이 다시 나타나면 규칙이 경고합니다. Forget value의 최대 일수는 30일입니다.