中国信通院：网络安全先进技术与应用发展系列报告-用户实体行为分析技术（附报告）

中国信通院：网络安全先进技术与应用发展系列报告用户实体行为分析技术

报告目录：

一、安全新范式 1

(一)数字化面临的安全挑战 2
(二)新范式破局之道 7
(三)UEBA 的定义与演进.10
(四)UEBA 的价值.13

二、架构与技术 .17

(一)基线及群组分析 .17
(二)异常检测 .18
(三)集成学习风险评分 .19
(四)安全知识图谱 .19
(五)强化学习 .20
(六)其他技术 .21

三、部署实施 .23

(一)聚焦目标 .23
(二)识别数据源与接入数据 .23
(三)确定部署模式 .24
(四)分析微调与定制 .24
(五)迭代优化 .25

四、最佳实践 .27

(一)专职团队 .27
(二)专注于用例开发 .27
(三)法律合规性 .27

五、典型应用案例 .29

(一)恶意内部人员 .29
(二)失陷账号 .30
(三)失陷主机 .32
(四)数据泄露 .33
(五)风险定级排序 .35
(六)业务 API 安全 .36
(七)远程办公安全 .37

六、行业应用案例 .38

(一)医疗行业 .38
(二)金融行业 .38
(三)能源行业 .39
(四)政务行业 .40

七、总结 .42

报告要点：

全球数字化浪潮下，各类信息化成果持续融入亿万大众的生活，也深刻改变着信息技术环境。一方面，以云计算、大数据、物联网、移动互联网等为代表的新技术得到快速应用;另一方面，传统能源、电力、交通等行业平台联入网络，成为关键信息基础设施的有机组成;与此同时，5G 通信、人工智能、区块链等更多颠覆式创新科技已经来到。

以云计算为例，当前，云计算正处于快速发展阶段，技术产业创新不断涌现。其中，产业方面，企业上云成为趋势，云管理服务、智能云、边缘云等市场开始兴起;自 2017 年起，中国公有云市场持续保持高速增长，零售、制造和金融等行业用户对于公有云的接受程度越来越高，公有云在传统行业的渗透率持续提升1，云服务在当 2 年的采用率已经达到 70% 。

而随着万物互联的到来，边缘计算和物联网(IoT)也蓬勃发展。到 2021 年，边缘托管容器数量将达到 7 亿，企业数据中心之外的工作负载占比 50%，到 2022 年，物联网(IoT)设备数量将达到 146 亿，增强现实(AR)和虚拟现实(VR)的使用量将增长 12 倍，2017 至 2022 年，业务移动流量将每年增加 42%，53%网络安全攻击导致的损失将超过 50 万美元。

普华永道和微软中国在 2019 年四季度，联合进行了一次现代化云办公解决方案调研。调研结果发现 81%企业员工在工作中需要在移动设备上使用办公软件，100%企业高管需要使用移动设备进行办公， 24%调研对象反映他们每日工作中有超过 30%的任务需使用移动设备在非办公场所完成(比如家中、咖啡厅、机场、火车上、酒店等场所)。预计到 2020 年将有 100 亿台移动设备投入使用，而移动技术的普及正在从根本上改变人们的思考、工作、行动和互动方式。公司已广泛接受自带设备(BYOD)策略，允许或鼓励员工使用其个人移动设备(如手机、平板电脑和笔记本电脑)访问企业数据和系统。

2020 年春季一场突如其来的新冠病毒全球大流行，更是让远程办公、移动办公进入了公众视线。如前所述，数字新时代正在加速全面到来，网络环境变得更加多元、人员变得更复杂、接入方式多种多样，网络边界逐渐模糊甚至消失，同时伴随着企业数据的激增。发展与安全，已成为深度融合、不可分离的一体之两面。在数字化浪潮的背景下，网络信息安全必须应需而变、应时而变、应势而变。

Gartner 对 UEBA 的定义是“UEBA 提供画像及基于各种分析方法的异常检测，通常是基本分析方法(利用签名的规则、模式匹配、简单统计、阈值等)和高级分析方法(监督和无监督的机器学习等)，用打包分析来评估用户和其他实体(主机、应用程序、网络、数据库等)，发现与用户或实体标准画像或行为相异常的活动所相关的潜在事件。这些活动包括受信内部或第三方人员对系统的异常访问(用户异常)，或外部攻击者绕过安全控制措施的入侵(异常用户)” 。

Gartner 认为 UEBA 是可以改变游戏规则的一种预测性工具，其特点是将注意力集中在最高风险的领域，从而让安全团队可以主动管理网络信息安全。UEBA 可以识别历来无法基于日志或网络的解决方案识别的异常，是对安全信息与事件管理(SIEM)的有效补充。虽然经过多年的验证，SIEM 已成为行业中一种有价值的必要技术，但是 SIEM 尚未具备帐户级可见性，因此安全团队无法根据需要快速检测、响应和控制。作为现代化 SIEM 演进的方向，如图 3 所示，SIEM、UEBA、安全编排自动化响应(SOAR)将会走向融合。

内容精选：

凡有收益，必有代价。数字资产的巨大价值同样被网络犯罪组织所垂涎。2018 年流行的挖矿病毒、勒索软件等安全威胁均以可直接给网络犯罪分子带来经济收益为典型特征，垃圾邮件攻击、移动安全威胁也处于不断上升趋势。数字化转型促进组织的业务发展的同时，也带来了重大的网络安全挑战。越来越多的敏感数字信息遭受网络攻击被窃取，网络和系统平台被暴露或被操纵，数字资产的保密性、可用性、完整性遭受挑战。网络威胁的影响遍及医疗保健、金融、零售等各行各业，未能采取适当的安全保护举措可能给组织带来巨大的财务和声誉损失。

中国信通院：网络安全先进技术与应用发展系列报告-用户实体行为分析技术（附报告）
图 1 谁是数据泄漏的受害者?

artner 认为 UEBA 是可以改变游戏规则的一种预测性工具，其特点是将注意力集中在最高风险的领域，从而让安全团队可以主动管理网络信息安全。UEBA 可以识别历来无法基于日志或网络的解决方案识别的异常，是对安全信息与事件管理(SIEM)的有效补充。虽然经过多年的验证，SIEM 已成为行业中一种有价值的必要技术，但是 SIEM 尚未具备帐户级可见性，因此安全团队无法根据需要快速检测、响应和控制。
作为现代化 SIEM 演进的方向，如图 3 所示，SIEM、UEBA、安全编排自动化响应(SOAR)将会走向融合。

中国信通院：网络安全先进技术与应用发展系列报告-用户实体行为分析技术（附报告）
图 3 SIEM、UEBA、SOAR 的融合趋势