This is the Trace Id: 070c466d20be77f173489c6bbae8048e
跳转至主内容 为什么选择 Microsoft 安全 AI 支持的网络安全 云安全 数据安全与治理 标识和网络访问 隐私和风险管理 AI 安全性 统一安全运营 零信任 Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Priva Microsoft Purview Microsoft Sentinel 智能 Microsoft Security Copilot 副驾驶® Microsoft Entra ID (Azure Active Directory) Microsoft Entra 智能体 ID Microsoft Entra 外部 ID Microsoft Entra ID 治理 Microsoft Entra ID 保护 Microsoft Entra Internet 访问 Microsoft Entra 专用访问 Microsoft Entra 权限管理 Microsoft Entra 验证 ID Microsoft Entra Workload ID Microsoft Entra 域服务 Azure Key Vault Microsoft Sentinel Microsoft Defender for Cloud Microsoft Defender XDR Microsoft Defender for Endpoint Microsoft Defender for Office 365 Microsoft Defender for Identity Microsoft Defender for Cloud Apps Microsoft 安全风险管理 Microsoft Defender 漏洞管理 Microsoft Defender 威胁智能 适用于商业高级版的 Microsoft Defender 套件 Microsoft Defender for Cloud Microsoft Defender 云安全状况管理 Microsoft Defender 外部攻击面管理 Azure 防火墙 Azure Web 应用防火墙 Azure DDoS 防护 GitHub 高级安全性 Microsoft Defender for Endpoint Microsoft Defender XDR Microsoft Defender 商业版 Microsoft Intune 核心功能 Microsoft Defender for IoT Microsoft Defender 漏洞管理 Microsoft Intune 高级分析 Microsoft Intune Endpoint Privilege Management Microsoft Intune 企业应用程序管理 Microsoft Intune 远程帮助 Microsoft 云 PKI Microsoft Purview 通信合规性 Microsoft Purview 合规性管理器 Microsoft Purview 数据生命周期管理 Microsoft Purview 电子数据展示 Microsoft Purview 审核 Microsoft Priva 风险管理 Microsoft Priva 主体权利请求 Microsoft Purview 数据治理 适用于商业高级版的 Microsoft Purview 套件 Microsoft Purview 数据安全功能 价格 服务 合作伙伴 网络安全意识 客户案例 安全性 101 产品试用 行业认可 安全响应中心 Microsoft 安全博客 Microsoft 安全活动 Microsoft 技术社区 文件 技术内容库 培训和认证 Microsoft Cloud 合规性计划 Microsoft 信任中心 服务信任门户 Microsoft 安全未来计划 业务解决方案中心 连络销售人员 开始免费试用 Microsoft 安全 Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space 混合现实 Microsoft HoloLens Microsoft Viva 量子计算 可持续发展 教育 汽车 金融服务 政府 医疗保健 制造业 零售业 查找合作伙伴 成为合作伙伴 合作伙伴网络 Microsoft Marketplace Marketplace Rewards 软件开发公司 博客 Microsoft Advertising 开发人员中心 文档 活动 许可 Microsoft Learn Microsoft Research 查看站点地图
带有箭头的橙、白、绿三色徽标

什么是用户和实体行为分析 (UEBA)？

了解 UEBA 如何利用机器学习和行为分析来检测威胁和网络攻击。
探索 AI 支持的统一安全运营

UEBA 网络安全

用户实体和行为分析 (UEBA) 是一种高级网络安全方法，它利用机器学习和行为分析来检测防火墙、服务器和数据库等遭到入侵的实体，以及恶意内部人员和网络攻击，包括分布式拒绝服务 (DDoS) 攻击，钓鱼攻击、恶意软件和勒索软件。

UEBA 的工作原理是分析来自已连接数据源的日志和警报，以便跨时间为组织的所有用户和实体构建行为特征描述的基线。UEBA 依赖于机器学习功能，结合其他技术来自动检测遭到入侵的资产。

UEBA 不仅可以检测潜在的安全漏洞，而且还可以确定任何特定资产的敏感度以及安全漏洞的潜在严重性。

关键要点

  • UEBA 有助于发现用户和非人类实体（如服务器、设备和网络）的可疑活动。
  • 通过收集数据并定义典型行为的基线，UEBA 可以识别异常活动并生成警报。
  • 组织使用 UEBA 增强威胁智能、加速事件检测和响应、适应不断演变的网络威胁、降低风险并遵守法规。
  • 如果未正确实施，UEBA 可能会带来隐私问题、误报等挑战。
  • UEBA 的发展将包括使用 AI 提高准确性、进一步与威胁防护解决方案集成以及主动网络威胁防护。
  • 组织可以开始利用 UEBA 的统一安全运营解决方案，帮助保护、检测和响应网络威胁。

UEBA 的重要组成部分

UEBA 的核心是两个重要组成部分：用户行为分析 (UBA)和实体行为分析 (EBA)。

UBA 通过了解用户行为帮助组织查看和阻止潜在的安全风险。这是通过监视和分析用户活动中的模式来实现的，以形成典型行为的基线模型。该模型根据此行为学习模式确定特定用户执行特定活动的概率。

与 UBA 一样，EBA 还可以帮助组织识别网络端的潜在网络威胁。EBA 监视和分析非人工实体（如服务器、应用程序、数据库和物联网 (IoT)）之间的活动。这有助于识别可能指示安全漏洞的可疑行为，例如未经授权的数据访问或异常数据传输模式。

UBA 和 EBA 共同构成了一种解决方案，用于比较各种不同的项目，包括地理位置、设备、环境、时间、频率以及对等或组织范围的行为。

UEBA 的工作原理是什么？

数据收集

UEBA 跨组织网络从已连接的数据源收集用户和实体数据。用户数据可能包括登录活动、位置和数据访问模式，而实体数据可能包括来自网络设备、服务器、终结点、应用程序和其他服务的日志。

构建模型和基线

UEBA 分析收集的数据，并使用它为每个用户和实体定义基线或典型行为模式。然后，基线用于创建动态行为模型，这些模型根据传入的数据在一段时间内持续学习和适应。

异常情况检测

UEBA 使用基线作为典型行为的指南，继续实时监视用户和实体活动，以帮助组织确定资产是否已遭到入侵。系统检测偏离典型基线行为的异常活动，例如启动异常大容量的数据传输，从而触发警报。虽然异常情况本身并不一定指示恶意行为甚至可疑行为，但它们可用于改进检测、调查和威胁搜寻。

警报和调查

有关用户行为、异常类型和潜在风险级别的见解的警报将发送到安全运营中心 (SOC) 团队。SOC 团队接收信息，并根据行为、上下文和风险优先级确定是否应进一步调查。

与其他安全工具协作

通过将 UEBA 与一系列更广泛的网络威胁解决方案一起使用，组织可以形成统一的安全平台，总体上享受更强的安全环境。UEBA 还可配合使用托管检测和响应 (MDR) 工具和特权访问管理 (PAM) 解决方案进行监视；安全信息和事件管理 (SIEM)；以及事件响应工具进行操作和响应。

UEBA 的优点

威胁检测和智能

威胁搜寻者使用威胁情报来帮助确定其查询是否发现了可疑行为。当行为可疑时，异常情况指向潜在路径以供进一步调查。通过分析用户 和实体之间的模式，UEBA 可以更快地检测范围更广的网络攻击，包括早期网络威胁、内部网络威胁、DDoS 攻击和暴力攻击，然后再升级到潜在的事件或安全漏洞。

适应性

UEBA 模型由机器学习算法驱动，这些算法使用数据分析从不断发展的用户和实体行为模式中不断学习。通过实时适应安全需求，安全解决方案可以保持有效，应对具有复杂网络威胁的不断变化的安全环境。

更快的事件响应

安全分析师通过异常情况来帮助确认安全漏洞、评估其影响，并提供有关潜在安全事件的及时且可操作的见解，SOC 团队可以使用这些见解进一步调查案例。反过来，这可以更快、更高效地解决事件，从而最大程度地减少网络威胁对整个组织的总体影响。

风险缓解

在混合或远程工作时代，当今的组织面临不断演变的网络威胁，因此其方法也必须演变。为了更有效地检测新的和现有的网络威胁，安全分析师会查找异常情况。虽然单个异常事件并不一定表示恶意行为，但跨杀伤链存在多个异常事件可能表示风险更大。安全分析师可以通过添加针对已识别异常行为的警报来进一步增强检测。通过采用 UEBA 并扩展其安全作用域以包含传统办公室设置之外的设备，组织可以主动改进登录安全性，缓解网络威胁，并确保整个环境更具弹性和安全性。

合规性保障

在金融服务和医疗保健等受监管行业中，数据保护和隐私法规附带了每家公司必须遵守的标准。UEBA 的持续监视和报告功能可帮助组织跟踪这些法规合规性要求。

UEBA 的挑战和注意事项

虽然 UEBA 为组织提供了宝贵的见解，但也带来了自己独特的挑战。下面是实施 UEBA 时要解决的一些常见问题：
  • 误报
    有时，UEBA 系统可以错误地将正常行为分类到可疑行为中，并生成误报。UEBA 还可能会错过实际的安全网络威胁，这可能会生成误报。为了更准确地检测网络威胁，组织需要谨慎调查警报。

  • 实体之间的命名不一致
    资源提供程序可能会创建一个警报，该警报不足以识别实体，例如没有域名上下文的用户名。发生这种情况时，用户实体不能与同一帐户的其他实例合并，然后该用户实体被标识为单独的实体。若要最大程度地降低此风险，必须使用标准化的形式标识实体，并将实体与其身份提供者同步以创建单个目录。

  • 隐私问题
    加强安全操作不应以牺牲个人隐私权为代价。持续监视用户和实体行为会引发与道德和隐私相关的问题，因此必须负责任地使用安全工具，尤其是 AI 增强的安全工具。

  • 快速发展的网络威胁 
    尽管 UEBA 系统旨在适应不断变化的网络威胁环境，但它们仍可能在与快速发展的网络威胁保持同步方面面临挑战。随着网络攻击技术和模式的变化，继续优化 UEBA 技术以满足组织的需求至关重要。

UEBA 与 NTA 的区别

网络流量分析 (NTA) 是一种网络安全方法，在实践中与 UEBA 有许多相似之处，但在焦点、应用程序和规模方面有所不同。形成全面的网络安全解决方案时，这两种方法可以很好地协同工作：

UEBA 与 NTA

UEBA：
  • 重点介绍如何通过机器学习和 AI 了解和监视用户和实体在网络中的行为。
  • 从用户和实体源收集数据，这些数据可能包括登录活动、访问日志和事件数据，以及实体之间的交互。
  • 使用模型或基线来识别内部威胁、遭到入侵的帐户以及可能导致潜在事件的异常行为。
NTA：
  • 通过检查数据包和识别可能指示潜在威胁的模式，重点了解和监视网络中的数据流。
  • 从网络流量收集数据，其中可能包括网络日志、协议、IP 地址和流量模式。
  • 使用流量模式识别基于网络的威胁，例如 DDoS 攻击、恶意软件以及数据盗窃和外泄。
  • 与其他网络安全工具和技术以及 UEBA 配合使用效果良好。

UEBA 与 SIEM 的区别

UEBA 和安全信息和事件管理 (SIEM) 是一种互补技术，可协同工作来增强组织的整体安全状况。两者都在形成可靠的监视和响应框架方面发挥着关键作用，但它们在焦点和源范围方面有所不同。让我们比较这两者：

UEBA 与 SIEM

UEBA：
  • 重点监视和分析用户和实体在网络中的行为，查找行为模式中可能指示潜在安全风险的异常。
  • 从广泛的用户和实体源（包括用户、网络设备、应用和防火墙）收集数据，以实现更准确、基于上下文的威胁智能。
  • 使用机器翻译和高级分析提供与用户和实体行为相关的可操作见解，帮助安全团队更高效地响应内部威胁。
SIEM
  • 重点介绍如何收集、聚合和分析大量数据（包括用户和实体的行为）以提供组织安全状况的完整概述。
  • 从广泛的用户和实体源（包括用户、网络设备、应用和防火墙）收集数据，以提供资产的端到端视图。
  • 使用机器学习和高级分析提供与用户和实体行为相关的可操作见解，帮助安全团队更高效地响应内部威胁。
  • 提供总体安全环境的全面视图，重点介绍日志管理、事件关联以及事件监视和响应。

适用于您的业务的 UEBA 解决方案

随着网络安全威胁的快速发展，UEBA 解决方案对组织的防御策略变得比以往更重要。更好地保护企业免受未来网络威胁的关键是保持理智、主动且有意识。

如果有兴趣通过下一代 UEBA 功能增强组织的网络安全能力，则需要探索最新选项。统一安全运营解决方案将 SIEM 和 UEBA 的功能汇集在一起，帮助组织实时查看和阻止复杂的网络威胁，所有这些操作都来自一个平台。借助跨云、平台和终结点服务的统一安全性和可见性，更快地移动。通过聚合整个技术堆栈中的安全数据全面了解安全状况，并使用 AI 发现潜在的网络威胁。
资源

详细了解 Microsoft 安全

一个穿着白色西装的人正在使用笔记本电脑
解决方案

AI 支持的统一安全运营

在一个平台中使用 XDR 和 SIEM 来超越威胁。
详细了解
两个人看着彼此
产品

Microsoft Sentinel

使用 AI 支持的基于云的 SIEM 阻止网络攻击，该 SIEM 通过用户和实体行为分析检测异常和威胁。
详细了解
一个人和另一个人坐在桌子旁，桌上放着一台笔记本电脑
产品

Microsoft 安全 Copilot

通过生成式 AI，使安全团队能够检测隐藏的模式并更快地响应事件。
详细了解

常见问题解答

  • UEBA 是一种网络安全方法，可借助机器学习算法和 AI 查找和阻止跨用户和实体活动的潜在安全威胁。
  • 当 UEBA 工具检测到偏离基线行为的异常行为时，这会触发发送给安全团队的警报。例如，来自未知设备的异常登录活动可能会触发警报。
  • UEBA 工具有助于跨用户和实体源分析模式，以主动发现组织中的异常行为、恶意活动或内部威胁。
  • UBA 通过监视和分析用户活动来深入了解潜在的安全风险。UEBA 通过监视和分析非人类实体（如服务器、应用和设备）以及用户行为，进一步推进了这一步。
  • EDR 解决方案在单个终结点级别监视和响应安全事件。UEBA 监视和响应用户和实体在整个网络中的行为，也包括终结点。
  • UEBA 侧重于分析和了解用户和实体行为，以检测潜在的安全威胁。安全编排、自动化和响应 (SOAR) 用于通过编排和自动化简化安全工作流程。尽管在专注点和功能方面有所不同，但 SOAR 和 UEBA 在全面网络安全策略的上下文中相互补充。

关注 Microsoft 安全

Surface Pro Surface Laptop 适用于组织的 Copilot Microsoft 365 探索 Microsoft 产品 Windows 11 应用程序 帐户个人资料 下载中心 订单跟踪 Microsoft 教育版 教育设备 Microsoft Teams 教育版 Microsoft 365 教育版 Office 教育版 教育工作者培训和开发 面向学生和家长的优惠 面向学生的 Azure
Microsoft AI Microsoft 安全 Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teams Microsoft 开发人员 Microsoft Learn 支持 AI 商城应用 Microsoft 技术社区 Microsoft Marketplace Microsoft Power Platform Marketplace Rewards Visual Studio 招贤纳士 关于 Microsoft 公司新闻 Microsoft 隐私 投资人 可持续发展
中文（中国） 消费者健康隐私 与 Microsoft 联系 隐私 管理 Cookie 使用条款 商标 关于我们的广告 京ICP备09042378号-6