Czym są
Platforma na bieżąco ustala, co jest typowe dla hosta i organizacji (tzw. linia bazowa): jakie pliki wykonywalne są uruchamiane, jakie pary procesów nadrzędnych i potomnych występują, z jakimi adresami nawiązywane są połączenia i kto gdzie się loguje. Gdy zdarzenie odbiega od normy, strona alertu pokazuje panel baseline z tą informacją i liczbami, na których się opiera.
Jak z nich korzystać
Sygnały bazowe dają analitykowi dodatkowy kontekst podczas triage. Analizuj je razem z regułą, która zadziałała: nietypowa para procesów albo adres docelowy widziany pierwszy raz często przesądza, czy dopasowanie wymaga dokładniejszej analizy. Przy każdym sygnale widać liczby, więc łatwo ocenić jego znaczenie.
Zakres czasu
Linia bazowa obejmuje ostatnie kilka tygodni i jest stale aktualizowana. Dla nowego hosta powstaje stopniowo, a panel pokazuje, że proces uczenia jeszcze trwa.