sentinel, Lab
技战法概述
传统的安全检测手段主要基于已知的攻击特征和预定义的规则进行威胁发现，对于未知威胁和内部威胁的检测能力有限。内部威胁的特点在于：攻击者使用合法的账号和权限进行操作，其行为在表面上与正常用户无异。
UEBA（User and Entity Behavior Analytics）通过对用户和系统实体的历史行为进行持续学习和建模，建立正常行为基线，然后基于基线偏离程度来识别异常行为。
三类内部威胁
| 类型 | 特征 |
|---|---|
| 被盗用账号 | 攻击者使用窃取的凭证登录后的行为模式与账号主人不同 |
| 内部恶意人员 | 员工在离职前或受到外部利诱后的行为异常 |
| 受损服务器 | 被植入后门的服务器产生的异常网络连接或进程行为 |
八维行为分析模型
| 维度 | 分析内容 |
|---|---|
| 时间维度 | 登录时段 / 操作时间 / 非工作时间活动 |
| 位置维度 | 登录 IP / 地理位置 / VPN 使用 / 常驻地 |
| 设备维度 | 设备指纹 / MAC / 浏览器 / OS 特征 |
| 访问维度 | 资源访问频率 / 数据量 / 敏感目录 |
| 网络维度 | 连接目标 / 流量模式 / DNS 请求 |
| 操作维度 | 命令执行 / 权限变更 / 配置修改 |
| 通信维度 | 邮件收发 / IM 活动 / 外部联系 |
| 关系维度 | 部门 / 角色 / 权限 / 汇报线 / 社交网络 |
三阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 阶段一 | 数据采集与基线构建 | 多维度行为数据采集，建立正常基线 |
| 阶段二 | 异常行为检测与狩猎 | 基线偏离分析 + 假设驱动狩猎 |
| 阶段三 | 调查响应与模型迭代 | 调查确认，模型持续优化 |