一、什么是用户行为分析（UBA）

用户行为分析（UBA）是一种用于检测用户行为模式异常以发现网络内威胁的技术。它借助数据分析和机器学习（ML）算法，为每个用户构建独一无二的基线行为模型。它们可以检测与此基线的偏差，从而有助于在早期阶段检测潜在的安全威胁。

二、UBA提供什么？

高效响应：提高检测速度，帮助分析安全事件的影响并快速响应。

精准检测：它突破了简单规则的限制，运用基于机器学习的先进技术，能够在早期精准识别那些缓慢进行且具有针对性的攻击。

减少误报干扰：误报警报常常干扰违规检测的及时性，而 UBA 针对组织中每个用户的活动级别，计算出专属的警报阈值，摒弃了 “一刀切” 的阈值设定方式。

强化威胁检测能力：传统安全方案难以对用户行为进行有效分析，无法察觉其中的异常情况。比如，当员工接触敏感数据时，很难判断其行为是否恶意。UBA 解决方案则依靠用户的基线活动，能够精准识别出指向潜在攻击的异常用户行为。

三、用户行为分析（UBA）在工作中的应用

虽然现有的安全解决方案使用静态阈值来区分正常和不正常，但 UBA 解决方案使用分析方法（数据分析和机器学习的组合）根据实际用户行为实现动态阈值。

UBA 工作方式的各个阶段：

1.长期收集用户信息：全面收集用户在较长时间跨度内的行为数据。

2.构建用户基线模型：针对每个用户，构建特定的正常活动基线。

3.定义动态阈值：依据实际用户行为，为每个用户设定唯一的阈值。

4.识别行为偏差：精准找出与用户常态行为的偏差。

5.及时通知安保人员：一旦发现异常，迅速通知相关安保人员。

6.持续更新阈值：根据最新数据，不断更新阈值，确保检测的准确性和时效性。

四、实现 UBA 身份保护的得力工具 ——AD360

ManageEngine卓豪AD360 是一款强大的实时 Active Directory 更改监控软件，它不仅仅满足于对域控制器的审核，更整合了 UBA 技术，极大地提升了检测内部威胁的效能。其内置的 UBA 引擎为管理员提供了诸多实用功能：

监控可疑用户

让我们来看一个用例：假设一个心怀不满的员工离开了组织，想要窃取关键的财务信息。员工复印了 200 份包含公司财务数据的文件，由于用户通常每天访问大约 10 个文档，因此此行为是异常的。UBA 解决方案会识别此异常行为，并向管理员触发告警。

防范被盗用的账户

若有恶意员工试图使用同事的凭据窃取重要信息，在同事下班后，攻击者尝试从同事的计算机登录。攻击者在多次输错密码后终于成功登录。UBA 解决方案通过计算该同事过去几个月的典型登录时间，能够敏锐检测到此次异常的登录时间，并即刻向管理员发出告警。

检测成员服务器异常进程

当员工在浏览互联网时不慎安装了恶意应用程序，随后在连接到具有管理员权限的服务器执行管理任务时，UBA 解决方案能够迅速检测到服务器上的这一异常操作，并触发告警，帮助管理员快速采取措施，减轻攻击影响。

发现权限滥用

AD360 的 UBA 模块能够有效检测特权用户的异常行为，保护敏感数据。例如，当特权用户试图访问关键文件或文件夹，并执行大量异常的文件修改操作时，AD360 会立即标记此事件，并发送可能存在威胁的警报。

识别用户错误引发的安全威胁

如果用户因疏忽打开了安全漏洞或错误损坏了数据，AD360 的 UBA 引擎能够迅速察觉这种异常情况。比如，当某个用户意外授予组织中所有人访问敏感文件的权限时，UBA 会检测到异常数量的文件活动并触发告警，便于管理员及时发现并处理可能的数据泄露。

执行风险评估

管理员可以通过过滤连接到最多资产的用户以及过度活跃的账户来识别网络中的薄弱环节。AD360提供风险评估报表，用于监控这些易受攻击的账户。例如，通过在风险评估报表中运行查询，管理员可以找出哪些账户的活动计数（如文件活动）最高。

ManageEngine卓豪AD360 还是一款出色的身份和访问管理（IAM）解决方案，可用于管理用户身份、管控对资源的访问、强化安全性并确保合规性。它在保证用户能够快速访问所需资源的同时，建立了严格的访问控制，通过集中式控制台保障本地 Active Directory、Exchange Server 和云应用程序的安全，有效简化了 IT 环境中的 IAM 工作。

卓豪官方网站可免费下载软件试用：https://www.manageengine.cn