Risk Score Engine là thành phần trung tâm trong UEBA, chịu trách nhiệm tính toán và gán một điểm số rủi ro duy nhất cho từng thực thể (Entity). Điểm số này phản ánh mức độ nguy hiểm của đối tượng dựa trên các hành vi bất thường được ghi nhận trong thời gian gần nhất.

Công thức tính

$RiskScore = EntityMultiplier \times \sum_{i=1}^{n} \bigl(W_i \times A_i \times DF_i\bigr)$

Giải thích từng biến

Chi tiết từng thành phần

1. Nhân hệ số thực thể (EntityMultiplier)

Được lấy từ registry dựa trên mức độ quan trọng của tài khoản. Nếu không có dữ liệu registry, mặc định = 1.0.

2. Trọng số loại bất thường ($W_i$)

3. Điểm Anomaly ($A_i$)

Được tạo ra bởi mô hình AI/ML (anomaly_score). Sự kiện được đưa vào tính Risk Score nếu:

$anomaly\_score > 0.60 \text{ AND } (status = \text{'anomaly'})$

Chuẩn hoá từ 0, 100 → 0, 1:

Hệ thống phát phát hành điểm từ 0–100. Engine chuẩn hoá về 0, 1:

• Nếu score > 1.0 → chia cho 100
• Nếu score ≤ 1.0 → giữ nguyên (dữ liệu cũ)
• Ngoài khoảng → giới hạn về 0 hoặc 1

Ví dụ: anomaly_score = 92 → $A_i = 0.92$

3. Hệ số suy giảm thời gian ($DF_i$)

$DF_i = e^{-\lambda \cdot \Delta t}$

Trong đó:

• $e$: Hằng số toán học Euler ($\approx 2.718$).
• $\lambda$ (DecayLambda): Tốc độ suy giảm của điểm số. Theo mặc định trong hệ thống, cấu hình này là $0.05$ mỗi giờ.
• $\Delta t$: Khoảng thời gian (tính bằng giờ) kể từ lúc sự kiện bất thường ($Anomaly$) xảy ra cho đến thời điểm hệ thống thực hiện truy vấn để tính toán Risk Score.

Giá trị của $DF_i$ sẽ luôn nằm trong khoảng từ $0$ đến $1$:

• Khi sự kiện vừa mới xảy ra ($\Delta t = 0$): $DF_i = e^0 = 1$. Lúc này, sự kiện giữ nguyên 100% giá trị rủi ro và tác động mạnh nhất đến Risk Score.
• Thời gian trôi qua càng lâu ($\Delta t$ tăng lên): $DF_i$ sẽ giảm dần về cận 0. Nghĩa là sự kiện đó sẽ ít ảnh hưởng dần và cuối cùng không còn đóng góp vào điểm rủi ro tổng thể nữa.

Chu kỳ bán rã (Half-life) là gì?

Với tốc độ mặc định $\lambda = 0.05$, chu kỳ bán rã của một sự kiện là khoảng 13.9 giờ. Nghĩa là sau gần 14 tiếng, nếu người dùng không có thêm hành vi xấu nào khác, thì mức độ nguy hiểm của sự kiện cũ tự động giảm đi một nửa.

Chuẩn hoá đầu ra → 0, 100

Sau khi tính RawScore = EntityMultiplier × Σ(W_i × A_i × DF_i), hệ thống áp dụng hàm sigmoid để chuẩn hoá:

$RiskScore = 100 \times \left(1 - e^{-k \cdot RawScore}\right), \quad k = \frac{\ln 2}{3} \approx 0.231$

Bảng chuyển đổi RawScore → RiskScore

Phân loại mức rủi ro

Ví dụ tính toán

Người dùng: Alice, criticality = high, quyền = privileged

• EntityMultiplier = 1.5 + 0.5 = 2.0

Các sự kiện bất thường trong 7 ngày qua:

Các bước tính

Bước 1: Tính tổng đóng góp

$\sum (W_i \times A_i \times DF_i) = 1.249 + 0.476 + 0.059 = 1.784$

Bước 2: Nhân với EntityMultiplier

$RawScore = 2.0 \times 1.784 = 3.568$

Bước 3: Chuẩn hoá qua sigmoid

$RiskScore = 100 \times (1 - e^{-0.231 \times 3.568}) \approx 56$

Kết quả: Risk Score = 56 → Mức high