sentinel, Lab
场景 2 — 阶段一：数据采集与行为基线构建
多维度行为数据采集
| 数据源 | 采集内容 |
|---|---|
| 身份认证日志 | AD / LDAP / SSO 登录记录，登录时间 / 地点 / 设备 / 成功失败 |
| 文件访问日志 | 文件服务器 / SharePoint / NAS，读写 / 下载 / 删除 / 权限变更 |
| 网络行为日志 | 代理 / 防火墙 / DNS 日志，访问目标 / 流量 / 连接模式 |
| 邮件与通信日志 | 邮件网关 / IM 平台记录，收发件人 / 附件 / 外发频率 |
| 终端行为日志 | EDR / 终端 DLP / USB 管控，进程 / 命令行 / 软件安装 |
| 云平台操作日志 | AWS CloudTrail / Azure Monitor，API 调用 / 资源配置变更 |
用户基线画像示例
用户: zhangsan 常用登录时段: 08:30-18:00 常驻地: 北京 · 公司办公网 常用设备: DELL-Latitude-01 日均文件操作: 35-50 次 日均外发邮件: 5-12 封 访问资源: CRM / 项目文档 / 代码库
基线构建阶段
| 阶段 | 时间 | 说明 |
|---|---|---|
| 学习期 | 2-4 周 | 持续采集行为数据，不触发告警，仅建模 |
| 群体基线 + 个体基线 | — | 同角色群体的共性基线 + 每个用户的个性化基线 |
| 自适应更新 | 持续 | 基线持续更新，季节性 / 项目周期自适应 |
偏离评分公式
基线构建阶段
| 阶段 | 时间 | 说明 |
|---|---|---|
| 学习期 | 2-4 周 | 持续采集行为数据，不触发告警，仅建模 |
| 群体基线 + 个体基线 | — | 同角色群体的共性基线 + 每个用户的个性化基线 |
| 自适应更新 | 持续 | 基线持续更新，季节性 / 项目周期自适应 |
偏离评分公式
Risk Score = Σ(Wi × Di) × C Wi = 维度权重 Di = 基线偏离度（标准差） C = 资产/角色敏感系数
基线工程关键设计
- 角色分群：同部门 / 同职级用户归为一群
- 时间窗口：短期基线 (7 天) 捕捉突变，长期基线 (90 天) 捕捉趋势
- 排除噪声：排除已知维护窗口 / 业务高峰
- 敏感资产加权：核心数据库 / 代码库 / 财务系统权重更高
- 离职 / 转岗感知：对接 HR 系统，离职期间自动提升监控等级
基线构建完成 → 进入阶段二：异常行为检测与狩猎