分析
请求一个电话
/ 解决方案 / 分析 / 什么是用户行为分析?

什么是用户行为分析?

用户行为分析(也称为UBA或实体行为分析)是一种网络安全技术，它使用监控工具收集和评估用户活动的数据，以便在导致数据泄露之前主动发现和标记可疑行为。通过机器学习来了解用户通常如何与组织的技术、应用程序和网站进行交互，用户行为分析可以立即识别异常行为，阻止不良行为者访问敏感信息。这样就可以在不增加最终用户体验的情况下进行持续的风险评估和威胁检测。

1:48
什么是用户行为分析?

与SIEM(安全信息和事件管理)类似，UBA是一种信息安全方法，依靠对大数据的自动分析来实时检测和阻止潜在的网络攻击。SIEM主要分析防火墙后发生的事件，而UBA主要关注由用户行为生成的数据。UBA分析的数据包括(但不限于)网络流量、登录时间和地理位置、会话持续时间、文件下载和身份验证日志。这使UBA解决方案能够识别典型的用户活动模式，然后在用户以表明恶意行为的方式偏离这些模式时采取行动。

为什么用户行为分析很重要？

数据泄露的全球平均成本接近400万美元，数据保护至关重要，34%的数据泄露涉及内部参与者。这就使得在这些不良行为者能够窃取健康记录或知识产权等敏感数据之前，能够识别内部威胁非常重要。然而，防火墙或加密等面向外围的企业安全技术无法阻止恶意内部人员通过网络钓鱼、恶意软件或凭证盗窃获得对组织数据的访问权。

此外，SaaS、云计算和移动应用程序的广泛采用使得风险管理更加困难。对于It团队来说，识别和解决跨混合体系结构的潜在威胁尤其具有挑战性。其中许多应用程序和服务甚至可能没有得到IT部门的正式批准，这使得检测使用它们的不良行为变得更加困难。这就需要在应用程序、用户、网络、云服务和设备之间保持持续可见性，以消除安全盲点，并帮助IT主动识别、分析和响应安全事件。

用户行为分析通过持续监控每个用户的活动来应对这一挑战，然后使用异常检测来发现并标记异常行为，以免导致违规。这使企业能够保护其系统内的敏感数据，而不仅仅是保护其周边环境。Citrix Analytics for Security是一种用户行为分析工具，有助于主动保护整个Citrix工作区—一个具有Gartner认可的业界领先功能的完整数字工作区。它是一种云交付的附加服务，使用基于云的数据和本地数据，以便在某些事件发生时自动采取行动，了解哪些用户对组织构成最大风险，并最终提高安全性。

Citrix Analytics for Security保护敏感数据
Citrix Analytics安全使用机器学习主动识别可疑
活动并实时阻止违规。
现在学习

用户行为分析是如何工作的？

在高层次上，用户行为分析通过为正常用户行为建立基准或规则并在用户偏离这些基准时向其发出警报来工作。这一规则的一个例子是将正常工作时间定义为上午7点至晚上8点；这意味着，如果用户试图在凌晨3点登录并访问敏感文件，UBA会将该行为标记为异常，并立即停止访问或通知IT管理员。如果该用户的凭据被黑客窃取和使用，这将防止严重的违规行为。

更复杂的UBA解决方案能够更动态地制定规则，为每个用户创建特定的风险配置文件。这些配置文件是通过监控组织中的每个用户的工作方式来创建的:他们使用什么应用程序，他们喜欢的设备和网络，以及他们如何访问和共享项目中的文件。如果用户表现出异常行为，例如不正常使用应用程序或过度的文件共享活动，UBA解决方案可以自主采取行动，在数据被泄露之前阻止用户的设备或访问。通过机器学习，用户行为分析中的这种高级规则制定能力是可能的。

机器学习如何与用户行为分析相结合?

机器学习与人工智能类似，它通过分析和学习相关数据，使软件能够在特定任务中自我提高性能。近70%的IT领导者认为人工智能和机器学习正在改变他们的业务，用户行为分析也不例外。支持ML的用户行为分析可以创建前面提到的用户特定规则，方法是适应大数据，并使用大数据动态转换其功能以提供更好的结果。以下是机器学习如何在用户行为分析中发挥作用的高级视图：

  1. 该组织为机器学习引擎提供了对从IT事件、应用程序使用、登录和网络活动以及其他工作数据中提取的大量用户数据的访问。通过将安全分析与包含上述所有数据源的统一工作区集成，组织可以用相关数据填充其大数据湖，并改进机器学习过程。
  2. 当一个组织的行为分析平台填满了它的数据湖后，它会将这些大数据与组织内部不同的用户关联起来。这是机器学习引擎将开发的风险概况和相关行为模式的基础。
  3. 一旦这些数据与组织内部的个人关联起来，机器学习引擎就开始了解这些用户在工作中是如何工作和行为的。这使得机器学习引擎能够获得对每个用户的日常行为和工作风格的可操作的见解，否则组织将无法获得这些见解。
  4. 在开发这些可操作的见解之后，机器学习引擎为组织内的每个用户创建动态的风险概况。这使得用户行为分析平台能够持续地对单个用户的会话进行评分，从而动态地确定他们的风险。如果用户的行为开始与他们的正常工作活动不匹配，安全分析平台会立即使用ML引擎开发的风险指标识别这种异常行为。IT将收到通知，采取行动，用户将自动收到一条消息，以验证他们的身份，并阻止在其轨道上的入侵。

如何选择用户行为分析解决方案

所有UBA技术都旨在防止内部威胁导致的数据泄露，但选择适合组织基础设施、用户和安全运营的安全分析工具非常重要。选择UBA解决方案时要考虑的关键因素包括：

  • 动态制定规则
    您需要一个使用机器学习来分析用户之间的活动并为普通用户行为创建动态规则的UBA解决方案，而不是依赖广泛的预定义基准。因为您的所有用户都是独一无二的，并且都有自己的个人活动模式，所以采用能够不断从您的用户那里学习的UBA解决方案将使黑客更难以模仿他们的行为。
  • 与所有基础设施的集成
    大公司平均使用129个应用程序，小公司使用73个应用程序。您需要选择一个UBA解决方案，该解决方案能够跨所有应用程序、云服务（如Microsoft Azure或AWS）以及您的员工访问的设备学习和分析用户行为。如果UBA解决方案无法与您已有的任何技术集成，那么您将面临一个IT盲点，一个糟糕的参与者可以利用它。这就是为什么许多组织更喜欢在内部工作的行为分析安全工作区包含所有工作数据和应用程序。
  • 用户体验
    保护你的敏感数据很重要，但为所有员工提供高质量的工作体验也很重要。如果您的UBA解决方案过于激进地将用户行为标记为可疑，那么您的员工可能会在轻微偏离正常活动时失去访问必要应用程序和数据的权限。这使得您的UBA解决方案为每个员工提供复杂的风险概况和风险评分，以防止对他们的工作经验造成不必要的干扰，从而影响生产率，这一点非常重要。

如何开始用户行为分析

要开始在您的组织中实现用户行为分析，您需要您的安全团队了解UBA如何从用户行为中学习，以确定风险配置文件，并识别扩展的网络环境中的潜在威胁。与这本电子书，您可以更仔细地了解如何定义用户和实体行为规则，如何检测恶意活动，以及事件响应如何在攻击转变为入侵之前隔离攻击。

额外资源