UEBA
UEBA（User and Entity Behavior Analytics，用户和实体行为分析）是一类通过分析用户及其他实体的活动，发现异常行为和潜在安全风险的安全分析能力。这里的“实体”可以是主机、IP 地址、应用、服务账号等。
它关注的不只是某个事件是否命中固定规则，还关注：这个行为对当前用户或实体来说是否异常，结合上下文后是否值得调查。 UEBA 可以作为独立产品，也常作为 SIEM、身份安全或其他安全平台的一项能力。
为什么需要 UEBA
攻击者盗用合法账号后，可能使用正常的登录方式和已有权限访问资源。单看一次成功登录或一次文件下载，这些操作未必违反规则；但如果它们发生在陌生设备上，并伴随异常的大量下载，就可能值得关注。
UEBA 利用历史行为和上下文，为这类看似合法但偏离常态的活动提供线索，也可用于发现内部人员风险。不过，异常不等于恶意：出差、岗位变动、系统迁移和批量运维都可能产生异常行为，需要进一步核实。
工作方式
- 采集数据：接入身份认证、目录服务、终端、网络、云平台、应用和数据访问等日志。具体能分析什么，取决于实际接入的数据。
- 关联实体：将不同数据源中的账号、设备和操作关联起来，补充部门、角色、资产重要性等上下文。共享账号和身份映射不准确会影响分析结果。
- 建立行为基线：根据历史数据描述常见活动，例如登录时间、常用设备、访问资源和操作量；也可以与同岗位或同部门的用户进行比较。基线会随数据和环境变化调整，观察窗口因产品及检测项而异。
- 发现异常并评估风险：使用统计、规则、机器学习等方法识别偏离基线的活动，结合资源敏感度、账号权限、威胁情报和其他事件确定调查优先级。并非所有 UEBA 功能都必须依赖机器学习。
- 调查与响应：分析人员查看关联事件、时间线和证据，确认是否存在风险；也可以与其他系统联动，要求重新认证、限制访问或隔离设备，具体取决于产品和配置。
典型场景
- 账号被盗用：账号从不常用的地点或设备登录，随后访问过去很少使用的敏感系统。
- 内部人员风险：员工短时间内下载大量敏感文件，并尝试通过外部渠道传输。业务交接等正常情况也可能产生类似行为。
- 特权账号滥用：管理员账号在非常规时间批量修改权限、创建账号或访问大量不常接触的服务器。
- 横向移动：一个账号或设备在短时间内尝试访问大量此前未访问过的主机，可能需要结合认证失败、进程和网络日志调查。
- 服务账号异常：自动化账号突然从陌生主机登录，或执行与其日常用途不符的操作。
例如，某研发人员通常在工作时间从公司设备访问少量项目文件。某天该账号从陌生设备登录，随后下载大量源码并尝试向外部网盘上传。UEBA 可以把这些活动与历史基线和资源敏感度关联，生成较高优先级的调查线索；分析人员仍需核实是否为本人、是否有授权及数据是否实际外传。
与其他安全产品的关系
| 产品或能力 | 主要关注点 | 与 UEBA 的关系 |
|---|---|---|
| SIEM | 汇集日志、关联安全事件、告警与调查 | 可以为 UEBA 提供数据，并结合行为分析结果开展调查；UEBA 也可能内置于 SIEM。 |
| EDR | 终端上的进程、文件、网络连接等活动及响应 | 可提供终端行为和处置能力，帮助核实异常账号背后的设备活动。 |
| DLP | 识别和保护敏感数据，监控或控制数据流转 | 可提供敏感数据访问和外传线索，并根据策略限制数据流转。 |
| IAM / 身份安全 | 账号、身份认证、权限和访问控制 | 可提供身份与登录上下文，并在风险确认或策略触发后执行身份相关控制。 |
这些能力的实际边界因产品而异，通常需要结合使用。
落地时的注意事项
- 数据覆盖与质量：优先接入关键身份、终端和敏感资源日志，检查字段、时间同步和账号关联；缺失的数据会造成检测盲区。
- 基线与误报：新账号、业务变化和缺少历史数据都会影响判断。结合岗位、业务周期与反馈持续调整，不要把所有偏离常态的行为都当作攻击。
- 风险可解释性：调查时应能看到触发原因、相关事件和上下文，避免仅凭风险分数作出处置决定。
- 隐私与权限：行为数据可能涉及个人信息，应明确用途、访问权限、保留期限和审计要求，并遵守适用的组织政策与法律要求。
- 响应边界：UEBA 主要提供分析和调查线索；是否自动阻断、如何恢复业务，应根据联动能力、风险和组织流程决定。