Обнаружение аномалий в информационной безопасности – методы, которые строят модель нормального поведения пользователей, хостов, приложений и сети и сигнализируют об отклонениях: входе в необычное время или из необычного места, резком росте объёма выгрузок, обращении к нетипичным ресурсам, новых процессах и сетевых соединениях.
Где реализуется
- UEBA – поведенческая аналитика пользователей и сущностей.
- SIEM с правилами и моделями аномалий.
- NDR/NTA – аномалии сетевого трафика.
- EDR – аномальная активность на конечных точках.
- Антифрод-системы – аномальные операции клиентов.
Методы
- Статистические пороги и профили.
- Машинное обучение без учителя: кластеризация, изолирующий лес.
- Сравнение с группой схожих пользователей.
- Оценка риска с накоплением баллов.
Что важно
- Период обучения модели и учёт изменений в работе.
- Контроль ложных срабатываний.
- Объяснимость: почему событие признано аномальным.
- Связь с процессом реагирования в SOC.
