网络安全先进技术与应用发展系列报告用户实体行为分析技术【来源：中国信息通信研究院安全研究所、杭州安恒信息技术股份有限公司】.pdfVIP

支恒信息 CAICT中国信通院 DASs60urly安年四业 网络安全先进技术与应用发展系列报告 网络安全先进技术与应用发展系列报告 用户实体行为分析技术（UEBA） (2020年) （2020 年） 中国信息通信研究院安全研究所 中国信息通信研究院安全研究所 杭州安恒信息技术股份有限公司 杭州安恒信息技术股份有限公司 2020 年6 月 2020年6月 版权声明 版权声明 本报告版权属于中国信息通信研究院安全研究所、杭 本报告版权属于中国信息通信研究院安全研究所、杭 州安恒信息技术股份有限公司，并受法律保护。转载、摘 州安恒信息技术股份有限公司，并受法律保护。转载、摘 编或利用其它方式使用本报告文字或者观点的，应注明“来 编或利用其它方式使用本报告文字或者观点的，应注明“来 源：中国信息通信研究院安全研究所、杭州安恒信息技术 源：中国信息通信研究院安全研究所、杭州安恒信息技术 股份有限公司”。违反上述声明者，本院将追究其相关法律 股份有限公司”。违反上述声明者，本院将追究其相关法律 责任。 责任。 目 录 目录 一、安全新范式1 （一）数字化面临的安全挑战2 （二）新范式破局之道7 （三）UEBA 的定义与演进10 （四）UEBA 的价值13 二、架构与技术17 （一）基线及群组分析17 （二）异常检测18 （三）集成学习风险评分19 （四）安全知识图谱19 （五）强化学习20 （六）其他技术21 三、部署实施23 （一）聚焦目标23 （二）识别数据源与接入数据23 （三）确定部署模式24 （四）分析微调与定制24 （五）迭代优化25 四、最佳实践27 （一）专职团队27 （二）专注于用例开发27 （三）法律合规性27 五、典型应用案例29 （一）恶意内部人员29 （二）失陷账号30 （三）失陷主机32 （四）数据泄露33 （五）风险定级排序35 （六）业务API 安全36 （七）远程办公安全37 六、行业应用案例38 （一）医疗行业38 （二）金融行业38 （三）能源行业39 （四）政务行业40 七、总结42 关于48 图目录 图 目 录 图1 谁是数据泄漏的受害者？3 图2 安全转向数据科学驱动的新范式8 图3 SIEM、UEBA、SOAR 的融合趋势11 图4 UEBA 的发展现状12 图5 典型的UEBA 系统架构17 图6 基线分析与群组分析18 图7 孤立森林发现异常点19 图8 多种算法进行集成学习20 图9 安全知识图谱20 图10 UEBA 中的强化学习21 图11 UEBA 分析改进与迭代调优循环流程26 图12 内部人员导致的安全威胁29 图13 内部员工窃取敏感数据场景分析流程图30 图14 账号失陷是攻击链模型中的转折点31 图15 主机失陷是病毒爆发、勒索软件的前奏33 图16 数据泄漏中的攻击移动和数据流34 表目录 表 目 录 表 1 海外市场上的主流UEBA 厂商分类13 表2 各种安全技术和范式对比14 用户实体行为分析技术（UEBA ）（2020 年） 用户实体行为分析技术(UEBA)(2