利用各種技術(shù)手段來檢測安全威脅是安全防護(hù)體系建設(shè)中重要的一部分,尤其是在大數(shù)據(jù)、人工智能等新技術(shù)不斷發(fā)展和成熟的當(dāng)下,各行業(yè)所面臨的安全威脅復(fù)雜多樣,安全形勢嚴(yán)峻。如何高效的檢測到異常和威脅并實時對安全人員發(fā)出預(yù)警,是安全技術(shù)發(fā)展的趨勢和方向。
在信息安全技術(shù)手段不斷革新的當(dāng)下,行為判斷/鑒別是重要的發(fā)展方向之一。
什么是行為判斷/鑒別
行為判斷/鑒別是指結(jié)合產(chǎn)品UBA模型、緩慢泄漏、關(guān)聯(lián)分析的數(shù)據(jù)輸出,結(jié)合溯源取證能力,綜合鑒別用戶的異常行為,并進(jìn)行歸類。
行為判斷/鑒別的特點與價值
用戶實體行為分析(UEBA)關(guān)聯(lián)了用戶活動和用戶相關(guān)的應(yīng)用和終端等相關(guān)實體信息,通過構(gòu)建起人物角色與群組關(guān)系進(jìn)一步定義個體與群組的合法和正常行為。
在檢測過程中,利用人物角色在群體與群體、群體與個體、個體與個體的維度上相互比對分析出遠(yuǎn)離合法和正常行為的群體與個體,將異常用戶(失陷賬號)和用戶異常(非法行為)檢測出來,從而達(dá)到檢測業(yè)務(wù)欺詐、敏感數(shù)據(jù)泄露、內(nèi)部惡意用戶、有針對性攻擊等高級威脅的目的事件,同時結(jié)合溯源取證能力,綜合鑒別用戶的異常行為,并進(jìn)行歸類。
行為判斷/鑒別模型應(yīng)用場景
某銀行由于內(nèi)部人員離職帶走敏感文件,對銀行造成極大損失。
行為判斷/鑒別通過分析成功地幫助銀行檢測到該員工異常活動,登錄到環(huán)境并橫向移動以獲取更高級別的訪問權(quán)限。所有活動都有一個重點:訪問私有數(shù)據(jù)或高價值資產(chǎn),進(jìn)行大量的拷貝行為。
應(yīng)用示例
行為判斷/鑒別
提供支持行為判斷/鑒別的分析解決方案幫助客戶實現(xiàn)對異常行為和安全威脅的檢測。實施部署后,可通過對比員工的實時行為和系統(tǒng)設(shè)定的基線,判斷是否存在偏差,定為異常行為和安全威脅。
行為判斷/鑒別范圍覆蓋:
員工外發(fā)郵件的非公司郵箱的個數(shù)和郵件的數(shù)量,多次超過該用戶歷史外發(fā)郵件的范圍,范圍偏離基線;
員工發(fā)送郵件時,多次超過該用戶歷史郵件敏感級別,級別偏離基線;
員工使用U盤等外設(shè)拷貝文件時,多次采用非授權(quán)外連操作,外連操作次數(shù)偏離基線;
員工多次發(fā)送郵件的接收人不是部門常用聯(lián)系人賬戶,接收人數(shù)量偏離基線;
員工外設(shè)拷貝文件的次數(shù)多次超過其歷史次數(shù),拷貝次數(shù)偏離基線;
員工打印文件的次數(shù)多次超過其歷史打印次數(shù)及范圍,打印次數(shù)偏離基線;
通過該員工行為預(yù)判趨勢,我們可以清楚地了解員工的異常行為。并通過深入研究用戶詳細(xì)信息,快速看到有關(guān)該用戶的所有行為操作以及對該用戶預(yù)判曲線,通過關(guān)聯(lián)分析還可以對行為軌跡進(jìn)行溯源,了解到更多發(fā)生的情況。
通過對行為判斷與鑒別方法建模,企業(yè)能夠從行為驅(qū)動方面完全觸發(fā)“高危用戶和資產(chǎn)”告警,同時還可以清楚地將事件組合在一起,以充分了解異常發(fā)生的前因后果。