揭开用户实体行为分析（UEBA）的神秘面纱

张家口  坝上草原。2018年7月15日

作为一种高级网络安全威胁检测手段，用户实体行为分析（UEBA）这个网络安全市场的新成员，这两年一直备受关注。

我们来看一下市场分析定位，就能感受到用户实体行为分析（UEBA）的发展速度了。

• 2014年，Gartner发布了用户行为分析（UBA）市场界定；

• 2015年，Gartner将用户行为分析（UBA）更名为用户实体行为分析(UEBA)；

• 2016年，用户实体行为分析（UEBA）入选Gartner十大信息安全技术；

• 2017年，用户实体行为分析（UEBA）厂商强势进入2017年度的Gartner SIEM魔力象限；

• 2018年，用户实体行为分析（UEBA）入选Gartner为安全团队建议的十大新项目。

能够高准确率命中异常事件，使真正的安全威胁浮出水面，这正是用户实体行为分析（UEBA）备受关注的主要原因。

用户行为分析（UBA）最早用在网站访问和精准营销方面，通过对相关数据进行统计、分析，实现用户标签画像，预测用户消费习惯，最终对用户感兴趣商品进行推送，达到精准营销的目的。

很快，用户行为分析（UBA）就被移植到网络安全领域。2014年，Gartner发布了用户行为分析(UBA)市场界定，用户行为分析(UBA)技术目标市场聚焦在安全（窃取数据）和诈骗（利用窃取来的信息）上，帮助企业检测内部威胁、有针对性的攻击和金融诈骗。

为使这部分市场快速发展和成熟，Gartner认为有必要把这部分从诈骗检测技术中剥离出来。于是在2015年正式将用户行为分析（UBA）更名为用户实体行为分析(UEBA)。至于加入了实体行为分析，Gartner的解释是实体行为从某种程度上关联了用户行为，关注实体行为分析可以更准确地识别威胁。

准确地说，用户行为分析（UBA）关联了用户活动和相关实体（用户相关的应用和终端等）信息构建人物角色与群组，进一步定义这些个体与群组的合法和正常行为，把这些人物角色在群体与群体、群体与个体、个体与个体（那些远离合法和正常行为的群体与个体）维度上相互比对分析，将异常用户（失陷账号）和用户异常（非法行为）检测出来，从而达到检测业务欺诈、敏感数据泄露、内部恶意用户、有针对性攻击等高级威胁的目的。

原文始发于微信公众号（微言晓意）：揭开用户实体行为分析（UEBA）的神秘面纱