本文通过GoDaddy的数据泄露事件引出UEBA（User and Entity Behavior Analytics）在防止数据泄露中的作用。利用UEBA产品AiThink，通过特征如网络访问日志量、数据系统访问者日志量等，建立多个模型来检测数据系统访问异常。通过对异常点的分析，发现了一起通过应用扫描窃取员工信息的安全事件。UEBA的八大功能包括离职风险监控、USB接口监控等，能有效提升对敏感信息泄露的检测能力。
UEBA案例分析系列之数据泄露检测
近日全球最大的域名注册商GoDaddy被披露出一起数据泄露事件。GoDaddy拥有超过1900万的用户，管理7700万域名，托管数百万个网站，因此，此次事件可能引起巨大影响。据悉，该事件发生在2019年10月19日，但直到2020年4月23号GoDaddy才在一些服务器上发现可疑活动。在一封由GoDaddy CISO和工程副总裁Demetrius Comes发送给客户的电子邮件中确认，此次事件是未经授权的个人访问托管用户用来连接SSH的登录信息。
在国内也不乏此类数据泄露事件，2017年4月20日，沈某在担任建设银行余姚城建支行行长期间，将该行受理的贷款客户财产信息共计127条外泄给他人以用于招揽业务。近日，该案件审理终结，沈某因侵犯公民个人信息罪，判处有期徒刑三年，缓刑三年，并处罚金人民币六千元。
针对此类数据泄露事件，下面我们探讨利用安恒UEBA产品AiThink怎么进行检测。
首先确定针对此类问题，需要哪些特征及模型。
监测特征
- 特征1：网络访问日志量
- 特征2：数据系统访问者日志量
- 特征3：数据系统不同来源用户数量
算法模型
-
模型A：使用特征1检测数据系统访问量的突变异常
-
模型B：使用特征1检测数据系统访问量的周期性异常
-
模型C：使用特征2检测新出现的访问IP
-
模型D：使用特征2检测潜伏的访问IP
-
模型E：使用特征3检测数据系统不同用户名称数量的异常
创建上述特征和模型，在AiThink上建立一个数据系统访问的监测工作流。
</
最低0.47元/天 解锁文章
扫一扫
6173
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
