UEBA相关资料文章汇集

一些资料汇集（更新中）
【机器学习】深度学习赋能：基于 LSTM 的智能日志异常检测https://blog.youkuaiyun.com/benshu_001/article/details/139727984
深度模型的日志异常检测，还有谁不会？https://segmentfault.com/a/1190000039060586
深度学习下运维日志分析的趋势解读与应用实践https://juejin.cn/post/7076262309756141575
提高IT运维效率，深度解读京东云基于自然语言处理的运维日志异常检测AIOps落地实践https://developer.jdcloud.com/article/2718
基于机器学习的用户与实体行为分析技术综述https://www.ecice06.com/article/2022/1000-3428/22210.htm
Computer Vision User Entity Behavior Analyticshttps://arxiv.org/pdf/2111.13176v1
网络安全先进技术与应用发展系列蓝皮报告用户实体行为分析技术（UEBA）https://www.dbappsecurity.com.cn/uploadfile/2020/06/20/20200620182014cyQw82.pdf

UEBA概述

Gartner 对 UEBA 的定义是“UEBA 提供画像及基于各种分析方法的异常检测，通常是基本分析方法（利用签名的规则、模式匹配、简单统计、阈值等）和高级分析方法（监督和无监督的机器学习等），用打包分析来评估用户和其他实体（主机、应用程序、网络、数据库等），发现与用户或实体标准画像或行为相异常的活动所相关的潜在事件。这些活动包括受信内部或第三方人员对系统的异常访问（用户异常），或外部攻击者绕过安全控制措施的入侵（异常用户）”。

• 它是一种基于大数据和机器学习的安全分析技术，通过分析用户和实体行为来检测异常和威胁
• 可以弥补传统安全技术的不足，发现未知威胁，提高安全可见性
• 主要价值包括：发现未知威胁、增强安全可见性、提升安全运营效率、降低安全成本

UEBA核心技术

• 基线及群组分析：建立用户和实体的正常行为基线，进行对比分析
• 异常检测：使用机器学习算法发现统计异常、时序异常等
• 集成学习风险评分：综合多种模型进行风险评估和排序
• 安全知识图谱：构建实体关系网络，可视化分析威胁
• 强化学习：通过反馈不断优化检测模型

UEBA部署实施

• 明确部署目标，识别关键数据源
• 确定合适的部署模式(本地部署/云部署等)
• 进行分析模型微调和定制
• 持续迭代优化，改进检测效果

UEBA应用案例

• 检测恶意内部人员行为
• 发现失陷账号和主机
• 防范数据泄露
• 业务API安全保护
• 远程办公安全管控
• 在医疗、金融、能源、政务等行业的应用

UEBA发展趋势

• 与SIEM、SOAR等技术融合，构建现代化安全运营能力
• 驱动更多创新安全应用场景