你知道吗？存在一种技术，它能通过行为分析来识别出传统杀毒软件无法发现的网络威胁。这种技术叫做用户实体行为分析，简称UEBA。接下来，我们将深入探讨这一技术。
UEBA 是什么
UEBA技术通过分析庞大的数据集，对网络中人类和机器的常规及非常规行为进行建模。通过建立这些行为的标准，我们可以发现传统防病毒软件难以察觉的异常行为、潜在风险和攻击。打个比方，它就像是一双警觉的眼睛，持续关注网络活动的异常情况。
它能识别多种行为特征，因此能够识别非恶意软件发起的攻击。在当前网络环境复杂多变的情况下，这种能力显得尤为重要。即便没有病毒软件的侵入，它也能捕捉到那些不寻常的行为。
检测及威胁评估
UEBA系统不仅可以识别出不寻常的行为，而且能借助已构建的模型对潜在威胁进行分级，并生成风险指数。借助这一指数，我们可以更好地指导应对策略。例如，依据指数的高低，我们可能选择发出轻微的警告，或者实施严格的防护措施。
它越来越频繁地使用机器学习技术来辨别常规活动，一旦察觉到可能存在内部威胁、横向渗透、账户损坏或攻击的迹象，便会立即触发警报。这就像一位智能的安保人员，全天候守护着网络的安全。
Gartner 定义
Gartner 对 UEBA 的解释是：它提供用户画像，并运用多种分析方法进行异常检测。这些方法涵盖了基础层面，如依据签名规则、模式匹配等，也包括了高级的监督学习与无监督学习等机器学习技术。通过综合分析，对用户及其他实体进行评估。
检测范围涵盖内部人员或第三方对系统进行的异常操作，以及外部攻击者规避安全措施的非法侵入。换句话说，无论是内部人员做坏事，还是外部人员非法入侵，系统都能进行检测。
“实体”含义
在UEBA中，“实体”这个概念涵盖了IT系统、重要基础设施、业务流程以及组织等方面。分析这些实体和个人的行为是必要的，个人正是通过这些实体来执行任务。以员工为例，他们利用公司的IT系统进行工作，而UEBA则会同步对员工及系统的行为进行评估。
这种对多样实体的分析，拓宽了检测范围，为网络安全提供了更全面的保障。无论是业务流程中的异常情况，还是组织层面的异常行为，它都能及时发现。
应用场景
UEBA主要应用于账号安全、内部威胁、数据泄露以及主机被攻陷等场景。在账号安全上，黑客可能会盗取员工的登录密码，但一旦登录，他们的行为与普通员工肯定存在差异，这时UEBA便能识别出这种异常情况。
公司内部可能遭遇员工因种种因素而威胁网络安全的行为，UEBA系统可以有效识别。无论是数据泄露还是主机失控等问题，它都能有效应对。例如，数据异常流出、主机被非法操控等情形，都难逃其监测。
市场预测
Gartner预计，未来UEBA市场将不再独立存在。2022年时，将有高达95%的UEBA部署融入更全面的安全平台。这主要由于企业并购增多、市场定位调整或新增功能，使得UEBA逐渐演变为现代SIEM的一部分。
Gartner 并未计划对2020年之后的UEBA收入进行追踪。这暗示着UEBA未来可能与其他安全功能紧密结合，而非独立销售。你认为UEBA未来会有哪些新的动向？欢迎在评论区交流看法，别忘了点赞和转发这篇文章。