隨著企業(yè)數(shù)字化轉(zhuǎn)型的深入推進(jìn)，信息泄漏事件時有發(fā)生，企業(yè)數(shù)據(jù)資產(chǎn)的保密性、可用性、完整性備受威脅，現(xiàn)已成為各企業(yè)在安全管理中的主要威脅。
明朝萬達(dá)數(shù)據(jù)安全專家認(rèn)為，針對企業(yè)敏感數(shù)據(jù)的網(wǎng)絡(luò)攻擊技術(shù)近年來不斷升級，按照攻擊來源可分為外部攻擊行為和內(nèi)部威脅行為兩種。
其中，外部攻擊行為通過隱藏在合法進(jìn)程中，能夠躲避安全防護(hù)系統(tǒng)的監(jiān)測和查殺，從而快速入侵目標(biāo)系統(tǒng)；內(nèi)部威脅行為則會偽裝成合法用戶，進(jìn)而突破網(wǎng)絡(luò)邊界、竊取網(wǎng)絡(luò)憑證，引發(fā)內(nèi)部信息安全威脅。
-----
傳統(tǒng)信息安全技術(shù)是基于規(guī)則和專家經(jīng)驗，通過人為設(shè)定閾值來進(jìn)行防護(hù)檢測，面對合法進(jìn)程中的惡意攻擊存在安全可見性盲區(qū)，因無法檢測到未知攻擊被逃逸繞過或造成誤報。
根據(jù)思科統(tǒng)計調(diào)查發(fā)現(xiàn)：企業(yè)遭受攻擊，超過70%的攻擊行為難以給出安全警報，給出的安全警報中真實攻擊占比不到40%，而其中又只有不到10%能夠被有效處置。
當(dāng)前，企業(yè)面臨嚴(yán)峻的網(wǎng)絡(luò)安全戰(zhàn)挑。
-----
近幾年，在AI技術(shù)的驅(qū)動下信息安全問題正在轉(zhuǎn)變成大數(shù)據(jù)分析問題。如何利用大數(shù)據(jù)和機器學(xué)習(xí)提高內(nèi)部威脅和外部攻擊的可見性，成為安全從業(yè)者當(dāng)下重要的發(fā)展趨勢，也成為了企業(yè)關(guān)注的重點。
UEBA：用戶實體行為分析（user and entity behavior analytics），是新型信息安全技術(shù)的代表，該技術(shù)以用戶為視角，從傳統(tǒng)規(guī)則分析轉(zhuǎn)變?yōu)殛P(guān)聯(lián)分析、行為建模、異常分析。
基于大數(shù)據(jù)驅(qū)動、安全分析和機器學(xué)習(xí)，通過刻畫用戶行為，將內(nèi)部違規(guī)操作、竊取數(shù)據(jù)、非法刪除等異常行為與正常行為進(jìn)行關(guān)聯(lián)分析，通過行為建模，準(zhǔn)確地描述出行為細(xì)節(jié)，從而提高了命中異常事件的準(zhǔn)確率，彌補了傳統(tǒng)安全防控?zé)o法有效監(jiān)測內(nèi)部威脅的不足。
那么，UEBA技術(shù)是如何發(fā)展成型的？它在數(shù)據(jù)安全領(lǐng)域應(yīng)用實現(xiàn)了哪些價值？UEBA尚有哪些不足需要補足，未來前景如何？今天，就隨著明朝萬達(dá)數(shù)據(jù)安全專家來一一了解吧。
-----
UEBA發(fā)展演進(jìn)
UEBA是由UBA（用戶行為分析）概念演進(jìn)而來。
作為現(xiàn)代化SIEM的發(fā)展方向，為應(yīng)對日益增長的內(nèi)部人員威脅，2014年 UBA概念首次被提出。
之后隨著設(shè)備資產(chǎn)的不斷增長，實體（Entity）概念逐漸被引入，通過監(jiān)控用戶和機器的行為活動，不僅可以發(fā)現(xiàn)內(nèi)部失陷主機，還能對外部網(wǎng)絡(luò)攻擊以及滲透成功后的內(nèi)部橫向移動有更強的洞察力。
UBA演進(jìn)成為UEBA，其核心要素是數(shù)據(jù)分析、應(yīng)用場景和分析方法。
△ UEBA核心要素
? 數(shù)據(jù)分析包括用戶行為日志、網(wǎng)絡(luò)監(jiān)控流量、企業(yè)的基礎(chǔ)信息等，數(shù)據(jù)質(zhì)量直接影響分析結(jié)果的準(zhǔn)確性，刻畫用戶畫像需要高質(zhì)量、多維度的數(shù)據(jù)，能夠精準(zhǔn)地表征期望場景下的特定行為。
? 應(yīng)用場景主要側(cè)重于企業(yè)內(nèi)部安全領(lǐng)域，如用戶異常登陸行為、違規(guī)刪除/瀏覽敏感文件、大流量文件傳輸、惡意泄漏數(shù)據(jù)等。
? 分析方法采用機器學(xué)習(xí)方法建立模型，結(jié)合專家知識，利用無監(jiān)督和半監(jiān)督學(xué)習(xí)進(jìn)行自我演化，長時間、持續(xù)性地對用戶行為進(jìn)行跟蹤分析，構(gòu)建用戶實體的行為活動鏈，從而有效識別異常行為。
-----
UEBA在敏感數(shù)據(jù)防泄漏中的應(yīng)用
敏感數(shù)據(jù)防泄漏一直是企業(yè)關(guān)注的重點，其中內(nèi)部員工竊取敏感數(shù)據(jù)是典型的數(shù)據(jù)泄漏發(fā)生場景。但是由于內(nèi)部員工本身就具備對企業(yè)數(shù)據(jù)資產(chǎn)的合法訪問權(quán)限，因此傳統(tǒng)的規(guī)則監(jiān)測方法難以有效識別該類行為。
UEBA技術(shù)的應(yīng)用，為企業(yè)敏感數(shù)據(jù)防泄漏提供了最佳的安全視角。
丨整體技術(shù)架構(gòu)
丨具體實現(xiàn)步驟
1. 特征抽取
UEBA以大數(shù)據(jù)作為驅(qū)動，基于流量、文件操作、web訪問和郵件收發(fā)等多源日志，結(jié)合5W1H模型（何人（Who）、 何事（What）、 何時（When）、 何地（Where）、何解（Why） 及如何（How））標(biāo)準(zhǔn)，從行為日志中抽取特征向量，構(gòu)建正常用戶、實體行為基線和用戶畫像，并基于機器學(xué)習(xí)、深度神經(jīng)網(wǎng)絡(luò)等算法實現(xiàn)異常行為檢測，最后對異常行為進(jìn)行研判，并對風(fēng)險進(jìn)行評估。2. 構(gòu)建基線
多維安全基線由個體行為基線、部門行為基線和場景行為基線等構(gòu)成，其中，個體基線反應(yīng)用戶個體的行為特征，部門基線反應(yīng)用戶所屬部門群體特征，場景基線反應(yīng)用戶與實體操作行為特征。基于隨機森林、SVM等學(xué)習(xí)算法生成敏感數(shù)據(jù)實時訪問行為的動態(tài)基線，并通過群組基線分析，構(gòu)建全時空的上下文環(huán)境，避免單一行為的局限性，并采用分布實時數(shù)據(jù)計算，實時更新安全基線，實現(xiàn)完整的動態(tài)行為基線。
△ 本圖展示了3個用戶的個體行為基線，包括郵件收發(fā)、文件操作和web訪問三個業(yè)務(wù)操作場景。將用戶行為進(jìn)行縱向分析計算，可得到部門行為基線。
3. 異常行為檢測
異常行為檢測主要針對統(tǒng)計指標(biāo)、模式序列、時間序列和行為邏輯序列，通過CNN、RNN等深度學(xué)習(xí)算法，從賬戶登錄登出次數(shù)、IP調(diào)用次數(shù)、訪問時間間隔等多維角度進(jìn)行異常行為檢測。最后，基于迭代評估機制，將各種行為告警、檢測異常，以及群組對比分析等加權(quán)組合，不斷優(yōu)化迭代，得到異常行為評分，并根據(jù)實際業(yè)務(wù)場景，將評估行為反映到實際場景中。
-----
UEBA的不足與展望
目前，根據(jù)UEBA在企業(yè)的使用案例說明其技術(shù)已較為成熟，但同時業(yè)界也清楚明確在提升企業(yè)安全能力方面，現(xiàn)有的UEBA技術(shù)并不足以解決所有安全問題。畢竟數(shù)字信息時代企業(yè)面臨的安全威脅復(fù)雜多變，各類網(wǎng)絡(luò)攻擊手段也在不斷發(fā)展變化著，因此，安全技術(shù)和戰(zhàn)略也需要持續(xù)發(fā)展演進(jìn)。
UEBA的實際應(yīng)用，應(yīng)該是一個不斷迭代、優(yōu)化、持續(xù)改進(jìn)的過程，需要不斷進(jìn)行數(shù)據(jù)源的分析、特征挖掘和抽取、算法優(yōu)化和改進(jìn)、新型異常行為場景的識別，以便能夠更好地提升異常行為檢測性能，提高潛在威脅響應(yīng)的能力和效率。
UEBA將從行為、事件、告警、異常中抽取實體及實體間的關(guān)系，構(gòu)建安全網(wǎng)絡(luò)知識圖譜，所有的行為、事件等都集成到該圖譜中，將用戶和實體間的多層關(guān)系清晰地呈現(xiàn)出來，挖掘出更加隱蔽的聯(lián)系，并將威脅行為的全貌完整地復(fù)現(xiàn)，從而實現(xiàn)及時應(yīng)急響應(yīng)和處置。
-----
作為中國新一代信息安全技術(shù)企業(yè)的代表廠商，明朝萬達(dá)專注于數(shù)據(jù)安全、公共安全、云安全、大數(shù)據(jù)安全等服務(wù)，歷經(jīng)十余年的發(fā)展，客戶群覆蓋金融、政府、公安、電信運營商等諸多領(lǐng)域，其中在金融領(lǐng)域數(shù)據(jù)安全的市場占有率超80%。明朝萬達(dá)始終以守護(hù)用戶數(shù)據(jù)價值為己任，致力于讓安全真正服務(wù)于業(yè)務(wù)發(fā)展。公司擁有大量自主創(chuàng)新的數(shù)據(jù)安全和新技術(shù)、數(shù)據(jù)安全核心產(chǎn)品和解決方案，在科技創(chuàng)新的同時，注重技術(shù)與業(yè)務(wù)的深度融合，為客戶提供量身定制的數(shù)據(jù)安全解決方案。
