UEBA / anomaly detection

Behavior baselines за user, service и entity activity.

Открива отклонения: login geographies, unusual data volume, privilege usage, odd time windows.

Той търси отклонения от observed behavior. Това може да е полезно, но не означава, че всяко отклонение е атака или че „нормално“ поведение е безопасно.

Служител обикновено сваля 20–50 MB дневно, а внезапно export-ва 30 GB customer data в 03:00. Това е силен сигнал, особено ако е combined с resignation/offboarding context.

Използвайте UEBA първо за:

• privileged identities;
• critical data stores;
• unusual bulk access;
• impossible travel;
• dormant accounts.

• Focus on high-value identities.
• Combine with asset criticality.
• Human review for high-impact alerts.

False positives и slowly-changing malicious behavior са трудни.