UEBA
Danh sách Anomalies
Giúp người dùng hiểu các loại bất thường hành vi người dùng và thực thể được UEBA phát hiện.
Anomaly trong UEBA là gì?
Trong UEBA, Anomaly là hành vi lệch khỏi baseline (mẫu hành vi bình thường) của người dùng, thiết bị hoặc tài khoản trong một bối cảnh thời gian cụ thể.
Danh sách các loại bất thường tạo ra từ Rule Based
| STT | Loại bất thường | Model | Weight (Trọng số) | Mô tả |
|---|---|---|---|---|
| 1 | Off hours login | Rule based | Người dùng đăng nhập ngoài khung giờ làm việc thông thường (ví dụ ban đêm, cuối tuần). Có thể hợp lệ do tăng ca/công tác, nhưng cũng là dấu hiệu cần xác minh. | |
| 2 | Unknown IP | Rule based | Đăng nhập từ địa chỉ IP chưa từng xuất hiện trong lịch sử gần đây của tài khoản. Cần đối chiếu VPN, địa điểm và thiết bị sử dụng. | |
| 3 | First time login from new country | Rule based | Đăng nhập từ quốc gia mới chưa có trong lịch sử hành vi của tài khoản. Có thể do công tác hoặc có rủi ro chiếm dụng tài khoản. | |
| 4 | MFA by pass | Rule based | Phát hiện hành vi cố gắng vượt qua hoặc né tránh bước xác thực đa yếu tố (MFA). Đây là tín hiệu rủi ro cao cần kiểm tra ngay. | |
| 5 | Brute force | Rule based | Xuất hiện nhiều lần đăng nhập thất bại liên tiếp trên cùng tài khoản hoặc cùng nguồn truy cập, có dấu hiệu dò mật khẩu tự động. | |
| 6 | Privileged account login outside business hours | Rule based | Tài khoản đặc quyền (admin/privileged) đăng nhập ngoài giờ làm việc. Cần xác thực mục đích thao tác và lịch bảo trì được phê duyệt. | |
| 7 | Concurrent login | Rule based | Cùng một tài khoản có phiên đăng nhập đồng thời từ nhiều IP/địa điểm trong khoảng thời gian chồng lấn bất thường. | |
| 8 | Distributed account probe | Rule based | Một nguồn truy cập thực hiện nhiều lần đăng nhập thất bại trên nhiều tài khoản khác nhau, biểu hiện hành vi dò quét diện rộng. | |
| 9 | Multiple account lockouts | Rule based | Nhiều tài khoản bị khóa trong thời gian ngắn do đăng nhập sai nhiều lần, có thể liên quan đến chiến dịch password spraying. | |
| 10 | Disabled account login attempt | Rule based | Có đăng nhập vào tài khoản đã bị vô hiệu hóa (disabled). Thường phản ánh việc dùng lại thông tin xác thực cũ hoặc hoạt động thăm dò. | |
| 11 | Service account interactive login | Rule based | Tài khoản dịch vụ thực hiện đăng nhập tương tác như người dùng thông thường, trái với mục đích vận hành chuẩn của service account. |
Danh sách các loại bất thường tạo ra từ Machine Learning
| STT | Loại bất thường | Model | Weight (Trọng số) | Mô tả |
|---|---|---|---|---|
| 1 | Impossible travel | Machine Learning | Hệ thống phát hiện hai lần đăng nhập liên tiếp ở hai vị trí địa lý cách xa nhau với thời gian di chuyển không khả thi theo thực tế. |