Detecting Insider Threat With Ueba

使用 Elasticsearch/OpenSearch 实施用户和实体行为分析(UEBA),构建行为基线、计算异常分数、执行对等组分析,并检测内部威胁指标,如数据外泄、权限滥用和未授权访问模式。

killvxk Updated

File contents

使用 UEBA 检测内部威胁

概述

用户和实体行为分析(UEBA)超越了基于静态规则的检测,转而为用户、主机和应用程序建立正常行为模型,然后标记可能表示内部威胁的统计显著偏差。使用 Elasticsearch 作为分析后端,本技能涵盖从认证日志、文件访问事件和网络活动构建行为基线,使用统计偏差和对等组比较计算风险分数,以及将多个低置信度指标关联为高置信度内部威胁告警。

前置条件

  • Elasticsearch 8.x 或 OpenSearch 2.x 集群,含安全审计数据
  • 日志来源:Active Directory 认证、VPN、DLP、文件服务器访问、邮件
  • Python 3.9+ 及 elasticsearch 客户端库
  • 30 天以上正常用户活动数据的基线期
  • 基于部门、角色或职能定义的对等组

步骤

步骤一:摄入和规范化活动日志

配置日志管道,将认证、文件访问、邮件和网络日志摄入 Elasticsearch,使用统一的用户身份字段。

步骤二:构建行为基线

使用 Elasticsearch 聚合,在滚动 30 天窗口内计算每用户的登录时间、数据量、应用程序使用情况和访问模式基线。

步骤三:计算异常分数

使用 z-score 偏差和对等组比较将当前活动与基线进行比对,生成每用户风险分数。

步骤四:关联和告警

将多个异常指标(异常时段 + 大量下载 + 访问新系统)合并为触发 SOC 调查工作流的综合风险分数。

预期输出

JSON 报告,包含每用户风险分数、异常活动详情、对等组偏差和推荐的调查操作。

killvxk/cybersecurity-skills-zh/tree/main/skills/detecting-insider-threat-with-ueba commit 1d58cb71a0

Frequently asked questions

npx skillmds@latest add killvxk/detecting-insider-threat-with-ueba