基于AI的UEBA大数据分析.pptxVIP

基于A I的UEBA 大数据分析 某医通：黄牛抢号团伙 某人贷：短信扫号平台 某游戏：道具量化交易攻击 批量账号 勒素团伙 代理平台：同 站电商 .App 当前安全风险-典型应用层攻击 玩家 I 汇总收集 关键技术： -代理池、猫池… -抢号再退号机器人 -爬虫平台 -比价系统 -量化交易机器人 2019北京阀落察金大金 2019 HFLING YHFR SFEURITY EHN FHFM 注形程序 接码平台 诈 骗 一 -多源低频 -接码平台 -人机交互 金时数据库 $ 敲诈 大数据金析价差 -交易策略 … … 线下联系 … —挂号需求书 灰产地 拾号醒序 遗号程序 线上道具交易数据 一分区道具价格一 注用登陆使用一 第三方交易平台 短信注册入口 味好 弹 用户信息库 在线挂号务 一短信扫号 一售卖一 线上搜素 患者 基于A I 技术的 UEBA(User Entity Behavior Analysis ) 用户实体行为 分析 下一代 安全产品 过度依赖情报中心 依赖设备指纹识别 主要依靠流量特征 完全基于规则 依赖人工，定制成本高，可维护性差，容 → 易 遗 漏 ， 规 则 只 能 识 别 已 知 ， 无 法 发 现 未 知威 下一代安全产品思路：UEBA (用户实体行为分析) 人-机识别不等于好-坏识别,无法解决 → 搜索引擎、 API合法调用等误判问题 2019北京阀落察金大金 2019 HFLING YHFR SHEURITY EHN FHFM → 滞后性 ，云化导致的共享性导致误报率高 软件云化旁路 部署，安全大 数据分析 接入复杂，存在延迟， 有可能中断正常业务 → 容易被攻击者构造特殊流量绕过 串行/嵌入模式 123.4 hp GET 17221.50.1288083 2019-03 dcm sehagjsard Moxila50(Wndows Ni ngrs20- 199-ugu bsc.00m 0a629708646650787182579901621020daget 73033363942 40.001200 周期内重复访问Pah 1234 hp GET 17221.50.1288083 2019-03-201429:41 dcom sergeReward Mozlla5.0 (Mindows 200 ngr-20- 199-4 0.0011438503629700640050787182079861c21eabcdstget ,dacorathe 377079243html 40.001200 UEBA(User Entity Behavior Analysis,用户实体行为分析) UEBA 的前提是U(User): 以用户为视角 流量为视角 用户为视角 GE 17221501288320190620142947 0.00114385036297088400050787182079901c2182bcd⁰lges 2019北京阀落察金大金 2019 HFLING YHFR SHEURITY EHN FHFM Mozla50[Wrdos NTs podud URL 自相关序列 N 1234 hp ngnx20-180-ugu 时间差自相关序列 40.001200 g 动作 人/ID 作用域 -行为分析-A I A I落地安全的技术难题 1.标注样本难题 E/tst/st1222 22K2F2820 0%28M1D%28%28%2F%2A2