Overview
Tổng quan
UEBA (User and Entity Behavior Analytics) là module phân tích hành vi người dùng và thực thể trong nền tảng SecOps. UEBA sử dụng mô hình AI/ML để phát hiện các hành vi bất thường, từ đó đánh giá mức độ rủi ro của từng tài khoản theo thời gian thực.
Thay vì chỉ dựa vào các quy tắc tĩnh, UEBA học từ dữ liệu hoạt động thực tế của tổ chức để nhận diện những hành vi lệch chuẩn — kể cả khi chưa có mẫu tấn công cụ thể nào được định nghĩa trước.
Cách hoạt động
Mô tả:
| Step | Tên | Mô tả |
|---|---|---|
| 1 | Thu thập logs | Hệ thống thu thập dữ liệu hoạt động từ nhiều nguồn như người dùng, thiết bị, ứng dụng, mạng và dịch vụ đám mây. Dữ liệu được chuẩn hóa, phân tích và làm giàu để phục vụ cho việc phân tích hành vi. |
| 2 | Xây dựng baseline | Dựa trên dữ liệu lịch sử, hệ thống học và xây dựng hồ sơ hành vi bình thường (baseline) cho từng thực thể. Baseline được cập nhật liên tục để phản ánh đúng hành vi thực tế theo thời gian. |
| 3 | Phát hiện Anomaly | Hệ thống so sánh các hoạt động hiện tại với baseline đã xây dựng và sử dụng AI/ML hoặc các quy tắc phát hiện để xác định những hành vi bất thường, có dấu hiệu rủi ro hoặc khác biệt so với thông thường. |
| 4 | Tính điểm Risk score | Các anomaly được đánh giá và gán điểm rủi ro dựa trên nhiều yếu tố như mức độ bất thường, mức độ quan trọng của thực thể, hệ số suy giảm thời gian. |
| 5 | Sinh cảnh báo | Với các Risk score vượt ngưỡng thì hệ thống sẽ bắt đầu sinh Alert. |
Thuật ngữ
Thực thể (Entity)
Đối tượng được UEBA theo dõi và phân tích hành vi. Trong hệ thống, thực thể gồm hai loại chính:
- User (Người dùng): tài khoản cá nhân — nhân viên, quản trị viên, tài khoản dịch vụ. Đây là đối tượng trung tâm của UEBA vì hầu hết các mối đe dọa nội bộ đều xuất phát từ hành vi người dùng.
- Device (Thiết bị): máy tính, máy chủ, thiết bị đầu cuối có hoạt động trong hệ thống. Hành vi thiết bị được dùng để làm giàu ngữ cảnh cho phân tích người dùng.
Mỗi thực thể có thể được đánh giá mức độ quan trọng (criticality), ảnh hưởng trực tiếp đến cách tính Risk Score.
Hành vi (Behavior)
Tập hợp các hoạt động mà một thực thể thực hiện trong hệ thống theo thời gian — đăng nhập, truy cập file, di chuyển dữ liệu, thực thi lệnh, kết nối mạng...
UEBA xây dựng baseline hành vi cho từng thực thể từ lịch sử hoạt động. Baseline này đại diện cho "hành vi bình thường" của đối tượng đó trong tổ chức. Khi hoạt động thực tế lệch khỏi baseline, hệ thống ghi nhận là bất thường.
Bất thường (Anomaly)
Hành vi của một thực thể bị coi là bất thường khi lệch đáng kể so với baseline của chính họ hoặc so với nhóm đồng nghiệp tương đương.
Mỗi sự kiện bất thường được mô hình AI/ML gán một Anomaly Score từ 0–100. Chỉ những sự kiện có Anomaly Score trên 60 mới được đưa vào tính toán rủi ro.
Ví dụ một số loại anomaly phổ biến:
| Loại | Mô tả |
|---|---|
impossible_travel | Đăng nhập từ hai địa điểm địa lý không thể di chuyển được trong thời gian thực tế |
unusual_access_time | Truy cập vào giờ bất thường so với thói quen cá nhân |
mass_data_access | Tải xuống hoặc truy cập khối lượng dữ liệu bất thường lớn |
↳ Danh sách anomaly: Đọc chi tiết
Điểm rủi ro (Risk Score)
Chỉ số tổng hợp từ 0 đến 100 phản ánh mức độ nguy hiểm của một người dùng/thực thể tại thời điểm truy vấn. Điểm được tính dựa trên tất cả các sự kiện bất thường, có tính đến:
- Loại bất thường và mức độ nghiêm trọng
- Độ tin cậy của mô hình AI
- Thời điểm xảy ra (sự kiện mới hơn có trọng số cao hơn)
- Mức độ quan trọng của thực thể
↳ Cách tính điểm rủi ro: Đọc chi tiết
Cảnh báo nhầm (False Positive)
Trường hợp hệ thống đánh dấu một hành vi là bất thường hoặc rủi ro, nhưng trên thực tế đó là hoạt động hợp lệ. Ví dụ: nhân viên đi công tác nước ngoài kích hoạt cảnh báo impossible_travel, dù đây là chuyến đi được chấp thuận.
False positive là điều không thể tránh hoàn toàn trong hệ thống phát hiện dựa trên AI. Để giảm thiểu, người dùng có thể:
- Điều chỉnh ngưỡng Anomaly Score tối thiểu.
- Gắn nhãn sự kiện là "Mark as False Positive" để loại khỏi tính toán.