服务

用户行为分析

大多数安全工具的设计目的，是捕捉已知的恶意特征和模式。用户行为分析要捕捉的则更难：一个合法的、已通过认证的账号，做出了它通常不会做的事。这正是内部威胁的特征，也是已经窃取了有效凭证的攻击者的特征，他们现在在系统中行动，对所有只检查授权的环节来说都完全“合规”。登录本身并不可疑。可疑的是一个从未访问过财务服务器的账号，在凌晨 3 点用一台新设备登录，紧接着进行大量数据导出，而这正是 UBA 要揭示的那类模式。

其思路是为人员和系统的正常运作方式建立行为基线，然后标记出与之相比有意义的偏差。做得好的话，它能发现基于特征的工具在结构上无法发现的东西，因为没有可匹配的恶意软件特征，只有一个人或一个进程做出了反常的举动。

问题出在哪里

UBA 的失败模式几乎总是噪音，而不是盲区。调校不当的行为分析会产生大量误报，导致告警被忽视，这完全违背了初衷，也会让负责盯守的人疲惫不堪。把基线建对，并调校出什么算有意义的偏差、什么只是某人某个星期二在咖啡馆办公，是实际工作中的大部分内容。

我会怎么做

我会先了解您的环境中“正常”究竟是什么样子，再设定阈值，因为通用的开箱即用基线很少契合真实组织的实际工作模式。然后审慎调校触发告警的条件，优先关注真正与内部风险或账号被盗用相关的行为，而不是统计上所有的异常；并与您现有的安全体系集成，让 UBA 的发现汇入响应流程，而不是躺在一个没人查看的独立仪表板里。我还会在其背后搭建真正的调查工作流程，因为一条没有人有时间或流程去处理的告警，比没有告警更糟。

如果内部风险或凭证被盗用是您真正关切的问题，而且您希望检测能发现基于特征的工具所遗漏的内容，欢迎联系我。