sentinel, Lab
场景 3 — 阶段二：异常行为检测与主动威胁狩猎
异常行为检测方法
| 方法 | 说明 | 示例 |
|---|---|---|
| 基线偏离检测 | 用户行为超出历史基线范围 | 非工作时间大量文件下载 |
| 同行异常检测 | 与同角色群体比较发现偏离 | 研发人员访问财务系统 |
| 行为序列异常 | 操作顺序不符合正常模式 | 查询→导出→压缩→外发（匹配数据窃取链） |
| 图分析异常 | 用户-资源关系图谱分析 | A→B→C 跳板式横向访问 |
| 时间序列异常 | 操作频率突变 / 趋势异常 | 某用户文件下载量持续攀升 |
威胁假设驱动狩猎
| 假设 | 狩猎条件 |
|---|---|
| H1: 被盗用的特权账号 | 新设备 + 新位置 + 非工作时段 |
| H2: 有员工在离职前窃取数据 | HR 离职 + 文件下载 + 个人邮箱 |
| H3: 存在被植入后门的服务器 | 新进程 + 新外联目标 + 非常时段 |
| H4: 存在慢速数据渗漏 | 持续 30 天 + 每日微量 + 加密通道 |
| H5: 存在权限滥用行为 | 访问非职责范围 + 敏感标签 |
异常行为风险评分示例
用户：zhangsan — 综合风险评分
| 维度 | 评分 | 状态 |
|---|---|---|
| 登录异常 | 85 | 🔴 |
| 文件操作 | 92 | 🔴 |
| 网络行为 | 45 | 🟡 |
| 邮件外发 | 78 | 🟠 |
| HR 关联 | 95 | 🔴 |
| 综合评分 | 87/100 | 🔴 高风险 |
离职前 + 大量下载 + 个人邮箱外发 + 非工作时间
狩猎工作流
- 提出假设：基于 ATT&CK 技术 / 威胁情报 / 经验
- 数据查询：在 UEBA 平台编写查询，跨数据源关联分析
- 异常识别：基线偏离 + 同行比较 + 序列分析
- 上下文验证：排除已知合理行为
- 升级调查：高分异常 → 安全调查，低分异常 → 更新基线