异常检测
识别可能表明安全事件的异常活动。
异常检测由以下 NIST CSF 2.0 成果定义：DE.AE-02 (Potentially adverse events are analyzed to better understand associated activities); DE.AE-04 (The estimated impact and scope of adverse events are understood); DE.CM-09 (Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events)。 对照映射 通过 ISO 27001, CIS v8.1, CMMC, 800-53 和 NIS2 中已发布的对照表完成映射。 编辑说明 在 SOC 2, PCI DSS, Essential Eight 和 DORA 中经编辑映射。 在 HIPAA 中仅弱相关。 本站数据中无映射 本站数据中 GDPR, CPS 234 和 Cyber Essentials 无映射。
| 框架 | 要求 | 标题 | 链接 | 来源 / 原因 |
|---|---|---|---|---|
| NIST CSF 2.0 | DE.AE-02DE.AE-04DE.CM-09 | Potentially adverse events are analyzed to better understand associated activities; The estimated impact and scope of adverse events are understood; Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 主题定义 | DE.AE-02 DE.AE-04 DE.CM-09 |
| ISO 27001 | A.8.16 | Monitoring activities | 对照映射 | A.8.16: via DE.CM-09; NIST 800-53 map: SI-4 |
| CIS v8.1 | CIS 8.11 | Conduct Audit Log Reviews | 对照映射 | CIS 8.11: via DE.AE-02 |
| SOC 2 | CC7.2 | Monitoring system components for anomalies | 编辑说明 | CC7.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 10.4.1.1 | Automated mechanisms for log review | 编辑说明 | 10.4.1.1: Automated mechanisms for audit log review; omitted from NIST's PCI references. |
| CMMC | SI.L2-3.14.7 | Identify Unauthorized Use | 对照映射 | SI.L2-3.14.7: via 800-171r3 03.14.06 ↔ DE.AE-02, DE.CM-09 → SI-4; 800-171r2 Appendix D → SI-4 |
| 800-53 | AU-6SI-4 | Audit Record Review, Analysis, and Reporting; System Monitoring | 对照映射 | AU-6: via DE.AE-02 SI-4: via DE.AE-02; DE.CM-09 |
| HIPAA | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(C)§164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(8)§164.312(b) | 未映射到此主题 | 这些要求仅通过已发布的交叉映射与本主题的 CSF 成果（DE.AE-02, DE.AE-04, DE.CM-09）存在关联：值得核查，但不构成映射。 | |
| GDPR | — | 无要求 | 本站数据中无映射 | 本站数据中没有 GDPR 要求映射到此主题。 |
| NIS2 | 3.4 | Event assessment and classification | 对照映射 | 3.4: via DE.AE-04 |
| Essential Eight | ISM-1228 | Cyber security events are analysed in a timely manner to identify cyber security incidents | 编辑说明 | ISM-1228: ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.10(1) | Detection | 编辑说明 | Art.10(1): Promptly detect anomalous activities, including ICT network performance issues. |
| CPS 234 | — | 无要求 | 本站数据中无映射 | 本站数据中没有 CPS 234 要求映射到此主题。 |
| Cyber Essentials | — | 无要求 | 本站数据中无映射 | 本站数据中没有 Cyber Essentials 要求映射到此主题。 |
主题定义 定义本主题的 CSF 2.0 结果 · 对照映射 至少一项选择有已发布对照表作为依据 · 编辑说明 ControlMapping 的判断及理由 · 未映射，仅与该主题的 CSF 成果相同 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 方法说明.
要求编号和标题均按各框架官方发布的英文原文显示。
映射有误或缺失？ 报告
关于异常检测
异常检测利用基线行为画像和机器学习算法，识别用户活动、网络流量和系统运行中偏离正常模式的情况，这些偏差可能表明系统已被入侵或存在内部威胁。与基于特征码的检测不同，异常检测能够通过标记异常数据传输、异常登录时间、非典型访问模式或意外的进程执行，识别新型攻击和零日漏洞利用。有效实施需要建立准确的基线，调整敏感度阈值以平衡检出率与误报数量，并将检测结果整合到事件分诊工作流程中。