明朝万达:基于UEBA技术的数据防泄漏解决方案,让内部威胁“看得见”

科技   2024-09-26 10:01   北京  

本文共计2559字,阅读预计需要8分钟

  • 特斯拉诉小米持股公司侵害技术秘密

    2023年10月,特斯拉(上海)有限公司以“侵害技术秘密”及不正当竞争纠纷为由,对冰零智能科技(常州)有限公司提起诉讼。特斯拉称,原特斯拉研发人员顾某在职期间,利用职务便利违规下载了大量特斯拉车辆技术秘密,并私下为冰零智能科技(常州)有限公司提供技术服务,涉嫌泄露特斯拉公司的技术秘密。


  • 某大药房因内鬼泄密被罚110万

    2023年11月,浙江温州公安网安部门查处了一起某大药房“内鬼”侵犯公民个人信息案。通过侦查发现,该大药房数据分析师利用工作便利将大量交易数据导出并售卖。经进一步侦查发现,该大药房因未建立健全全流程数据安全管理制度,未采取相应的技术措施和其他必要措施保障数据安全,最终导致大量敏感数据泄露,被公安机关罚款110万元。



数据是现代企业和组织的核心资产之一,它涵盖了企业的敏感信息、商业秘密、客户信息等重要内容。其安全性和保护直接关系到企业的运营安全、合规性以及市场竞争力。随着数字化转型的不断深入,数据泄露和攻击的风险与日俱增。

数据泄露主要分为内部泄露和外部蓄意攻击两种情况。随着安全防护技术(如防火墙、IDS 等)的发展,加之企业的重要数据往往运行于内部网络甚至是涉密网络,处于相对严格的隔离状态,使得外部蓄意攻击(如黑客攻击、撞库等)的窃取难度较高。因此,企业加强对内部信息和数据泄露途径的监控,对于提高企业的核心竞争力,防止企业“钙”流失具有重要的战略意义,也是势在必行的趋势。

市场调研显示,企业在应对内部敏感数据泄露问题时,安全信息及事件管理(Security Information and Event Management,SIEM)是应用最为广泛的数据防泄漏技术。但基于规则的 SIEM 数据防泄漏技术存在规则难以界定、未能明确警报优先级等问题。为解决 SIEM 的缺陷,于是出现了 UBA,并进而发展出了 UEBA。UEBA 能够识别历来无法基于日志或网络的解决方案所识别的异常,是对 SIEM 的有效补充。

▲ SIEM、UBA 和 UEBA 的对比




基于UEBA的数据防泄漏技术

解决方案


针对企业内部数据泄露的问题,明朝万达给出了基于UEBA技术的数据防泄漏解决方案。该方案凭借独特的监控角度、强大的自适应学习和行为分析能力、动态的行为基线,以及风险预测与等级评分机制,成为弥补基于规则的SIEM的关键性技术。

▲ 基于UEBA技术的数据防泄漏解决方案


基于UEBA技术的数据防泄漏解决方案共包含数据配置、大数据分析和存储平台、UEBA行为风险建模、UEBA行为风险分析、用户行为风险展示和实体行为风险展示6部分。

01数据配置 <<<<

当用UEBA技术实现对企业内部数据泄露风险检测时,首先需要配置记录用户和实体行为的异构数据源,以便于获取更为全面的行为信息。

02大数据分析和存储平台 <<<<

利用Logstash、Kafka日志收集技术等,采集用户和实体行为数据并进行初处理,然后将处理后的数据存储到指定服务器数据库中。

03UEBA行为风险建模 <<<<

基于人工智能算法,利用数据库中的历史行为数据,对用户和实体进行行为建模,并分别构建用户和实体的单体行为基线和群组行为基线。

04UEBA行为风险分析 <<<<

根据用户和实体的单体行为基线和群体行为基线,分析和评估用户和实体行为的数据泄露风险。

05用户行为风险展示 <<<<

实现用户行为画像、风险等级、风险优先级展示,帮助安全团队快速定位高风险用户。支持用户行为溯源取证,提供行为轨迹和详细日志供分析。

06实体行为风险展示 <<<<

类似用户行为风险展示,但聚焦于系统、设备、应用等实体的风险。实现实体行为画像、风险等级、风险优先级展示,并支持实体行为溯源取证,提供相关的日志和系统状态信息供分析。



关键技术

01 行为基线等级划分

通过对用户和实体行为进行分析和建模,构建了四重基线。依据不同风险的行为基线,UEBA将行为划归到五个区间,分别为:正常行为区间、低风险区间、中风险区间、高风险区间、应急处理区间。根据用户和实体的行为评分落入不同的风险等级区间,可将用户行为定义为五种等级的风险行为,分别为正常行为、低风险行为、中风险行为、高风险行为、应急处理行为五个风险等级。六角形表示用户和实体在当前时间点下的行为。六角形内填充的不同颜色表示该行为不同的风险等级,绿色表示正常行为、蓝色表示低风险行为、黄色表示中风险行为、橙色表示高风险行为、红色表示应急处理行为。

UEBA通过对用户和实体的行为进行风险评分和风险等级划分,从而为安全运维中的工作人员提供了事件处理的优先级,提高了安全防护的运行效率和真正的数据泄露事件的发现概率。

02 群组分析

该图中展现了几个人员的历史基线以及群组分析,通过构建群组分析,可以跨越单个用户、实体的局限,看到更大的事实;通过对比群组,易于异常检测;通过概率评估可以降低误报,提升信噪比;组合基线分析、群组分析,可以构成全时空的上下文环境。

03 用户行为画像

许多高级威胁会使得用户和资产行为方式与平时不同,如失陷账号。针对此类场景,UEBA 通过对正常行为和人员进行抽象归纳,利用大数据技术生成个体行为画像和群体行为画像。在此基础上,对比账户的活动是否存在异常行为,如频繁登录和退出、访问历史未访问过的信息系统或数据资产、异常时间地点登录等,并对比分析账户的活动是否偏离个人行为画像和群体(如部门或项目组等)行为画像,综合判断账户疑似被盗用风险评分,帮助安全团队及时发现账号失陷。



最坚固的城墙往往先从内部开始崩塌。对于企业的信息安全来说,每个环节都能成为关键节点,不容忽视。明朝万达推出的基于UEBA技术的数据防泄漏解决方案,通过人工智能算法的强大数据分析能力、创造性的等级划分机制、针对性的行为分析模型,解决了SIEM系统繁琐的规则制定与维护,以及未能给出警报的优先级等问题。基于UEBA的新一代数据防泄漏技术,具有更加深度的行为分析、行为刻画和行为监控能力,能为企业提供更为准确和合理的数据防泄漏服务。



作为中国新一代信息安全技术企业的代表厂商,明朝万达多年来专注于数据安全、公共安全、云安全、大数据安全及加密应用技术解决方案等服务,客户覆盖金融、政府、公安、电信运营商等诸多行业。

公司始终以守护用户数据价值为己任,致力于让安全真正服务于业务发展。在坚持技术创新的同时,注重技术与业务的深度融合,为客户提供量身定制的数据安全解决方案。


往期 · 推荐

明朝万达:运营商行业数据安全建设与敏感信息防护实践

2024网安周 | 明朝万达:数字经济当下数据安全治理实践

AI赋能安全 | 明朝万达入选《AI安全产业图谱(2024)》数据安全领域

明朝万达
关注北京明朝万达官方微信,抢先了解数据安全,移动安全,云安全及内网安全最新资讯
 最新文章