detecting-insider-threat-with-ueba

使用 UEBA 检测内部威胁

概述

用户与实体行为分析（UEBA）超越了基于静态规则的检测，转而为用户、主机和应用程序建模正常行为，然后标记可能表明内部威胁的统计显著偏差。本技能以 Elasticsearch 作为分析后端，涵盖从认证日志、文件访问事件和网络活动构建行为基线，使用统计偏差和同类群组比较计算风险评分，并将多个低置信度指标关联为高置信度的内部威胁告警。

何时使用

• 在调查需要检测内部威胁且使用 UEBA 的安全事件时
• 在为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖范围时

先决条件

• 带有安全审计数据的 Elasticsearch 8.x 或 OpenSearch 2.x 集群
• 日志来源：Active Directory 认证、VPN、DLP、文件服务器访问、电子邮件
• Python 3.9+ 及 elasticsearch 客户端库
• 30 天以上的正常用户活动数据基线期
• 基于部门、角色或职能定义的同类群组

步骤

步骤 1：摄取并归一化活动日志

配置日志管道，将认证、文件访问、电子邮件和网络日志摄取到 Elasticsearch，并使用统一的用户身份字段。

步骤 2：构建行为基线

使用 Elasticsearch 聚合，在滚动的 30 天窗口内计算每个用户的登录时间、数据量、应用程序使用情况和访问模式基线。

步骤 3：计算异常分数

使用 z-score 偏差和同类群组比较，将当前活动与基线进行比较，以生成每个用户的风险评分。

步骤 4：关联并告警

将多个异常指标（异常时段 + 大量下载 + 新系统访问）组合成复合风险评分，以触发 SOC 调查工作流。

预期输出

包含每个用户风险评分、异常活动详情、同类群组偏差和建议调查操作的 JSON 报告。