- Des tentatives de connexion répétées sur un compte, par exemple des codes de double authentification faux en série depuis un appareil ou un pays inconnus de la personne : Guardian ferme la connexion à ce compte pendant trente minutes. Si c'était bien elle, rouvrez-la depuis la page. Depuis son appareil habituel - un téléphone dont l'heure est décalée, une erreur de saisie - Guardian prévient sans bloquer.
- Une même adresse qui essaie de nombreux comptes : Guardian la bloque une heure. Jamais une adresse d'où quelqu'un s'est connecté avec succès dans la journée : un bureau entier partage souvent la même.
- Une connexion depuis un nouveau pays, ou depuis deux pays en peu de temps.
- Une lecture ou des téléchargements inhabituels : beaucoup plus de documents ouverts en une heure qu'à l'habitude de la personne, surtout à une heure où elle ne travaille presque jamais ou depuis un appareil jamais vu ; beaucoup de documents téléchargés ou copiés en une heure, jugés à part ; ou une journée entière de lecture hors norme, même lente. Sans aucun réglage, dans tous les cabinets : l'onglet Réglages de la page Guardian indique à partir de combien, à votre niveau de protection.
- Des accès refusés en série : quelqu'un qui tente d'ouvrir des documents hors de ses accès.
- Une session reprise par un autre navigateur : la copie d'une session. Guardian la ferme ; la personne se reconnecte, avec son second facteur.
- Une session qui cherche des failles, ou des fichiers piégés à l'import (des fichiers qui ne sont pas ce qu'ils prétendent être).
- En dernier recours, aucun contenu ne sort vers un autre cabinet : si un contrôle d'accès laissait passer un document, une note ou un workspace d'un autre cabinet, l'application le refuse au dernier moment, ferme les sessions de la personne et prévient l'équipe thesr
- Un réglage de sécurité modifié : double authentification rendue facultative, droits d'administrateur donnés, compte supprimé.
- Les accès donnés aux programmes : une adresse d'agenda lue depuis de nombreux endroits, un assistant IA anormalement actif, un jeton Sync révoqué présenté depuis un endroit inconnu - Guardian révoque alors tous les accès que la personne avait donnés à des programmes (Sync, assistants IA, agenda) ; ses sessions restent ouvertes.
Guardian n'agit seul que sur les attaques évidentes. Désactiver un compte ou fermer les sessions d'une personne reste votre décision.