🧠 Поведенческие аномалии
Не «сработала приманка», а «поведение выбивается из нормы». Система сама находит невозможные перемещения, распространение утёкших приманок, всплески, ночную активность и новые страны — то, что не видно в обычном списке событий.
| Угроза | Тип | Что произошло | Источник | Когда |
|---|---|---|---|---|
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: MW Раньше срабатываний из «Malawi» не было. Первое появление нового географического источника. |
🇲🇼 41.77.8.163 | 2026-09-29 23:24 |
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: VU Раньше срабатываний из «Vanuatu» не было. Первое появление нового географического источника. |
🇻🇺 147.45.112.168 | 2026-09-29 11:36 |
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: JE Раньше срабатываний из «Jersey» не было. Первое появление нового географического источника. |
🇯🇪 185.174.108.2 | 2026-09-29 09:22 |
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: LY Раньше срабатываний из «Libya» не было. Первое появление нового географического источника. |
🇱🇾 165.16.80.213 | 2026-09-29 04:46 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 34.79.119.241: 5 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 34.79.119.241 | 2026-09-29 04:17 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 35.205.57.67: 5 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 35.205.57.67 | 2026-09-29 03:36 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 104.199.49.208: 5 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 104.199.49.208 | 2026-09-29 02:43 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 34.78.51.14: 5 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 34.78.51.14 | 2026-09-29 02:19 |
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: NO Раньше срабатываний из «Norway» не было. Первое появление нового географического источника. |
🇳🇴 158.173.166.48 | 2026-09-28 21:32 |
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: IM Раньше срабатываний из «Isle of Man» не было. Первое появление нового географического источника. |
🇮🇲 194.33.44.45 | 2026-09-28 05:03 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 42.51.37.71: 14 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇨🇳 42.51.37.71 | 2026-09-28 04:06 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 35.233.114.202: 5 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 35.233.114.202 | 2026-09-28 02:57 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 35.205.166.228: 5 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 35.205.166.228 | 2026-09-28 02:33 |
| 🟡 Средняя | 🌙 Активность вне рабочего времени | 34.77.26.252: 6 событий вне рабочего времени Активность ночью/в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи». |
🇧🇪 34.77.26.252 | 2026-09-28 02:20 |
| 🟡 Средняя | 📍 Новая география | Новая страна-источник: BA Раньше срабатываний из «Bosnia and Herzegovina» не было. Первое появление нового географического источника. |
🇧🇦 200.162.155.107 | 2026-09-27 19:12 |
📖 Что это за аномалии и что делать
Каждая аномалия отнесена к одному из типов. Ниже — что он означает и как реагировать.
Одна приманка открыта из двух далёких точек за время, за которое туда физически не долететь. Значит, файл/ссылка утекли и открываются в разных местах одновременно.
🛡 Что делать: Считайте приманку скомпрометированной: найдите канал утечки, отзовите доступ, проверьте, какие ещё данные лежали рядом.
Одну приманку тронуло много разных IP из разных стран — она разошлась (репозиторий, дамп, пересланный файл), а не просто открыта один раз.
🛡 Что делать: Ротация связанных секретов, поиск источника утечки, оценка масштаба по числу адресов.
Резкий скачок числа срабатываний за час против обычного фона — массовый скан или начало атаки.
🛡 Что делать: Проверьте, один это источник или множество; при массовости — временный автоблок/rate-limit.
Источник активен ночью и в выходные по МСК (норма — будни 08:00–20:00). Типично для ботов и действий «под покровом ночи».
🛡 Что делать: Усильте контроль ночных обращений к чувствительным сервисам, сверьте с графиком команды.
Впервые появился источник из страны, откуда раньше срабатываний не было — новый географический вектор.
🛡 Что делать: Оцените, ожидаемы ли обращения оттуда; при необходимости ограничьте доступ по гео.