企業(yè)數(shù)據(jù)資產(chǎn)是企業(yè)經(jīng)營、決策和戰(zhàn)略制定的基礎(chǔ)。企業(yè)在產(chǎn)業(yè)與服務、營銷支持、業(yè)務運營、風險管控、信息披露等生產(chǎn)、經(jīng)營、管理活動中涉及到大量的商業(yè)秘密、工作秘密以及員工和客戶的隱私信息，保護好這些數(shù)據(jù)對企業(yè)聲譽和運營安全至關(guān)重要。然而，數(shù)據(jù)的泄露卻成為了企業(yè)的一大隱患。
據(jù)報道，一家高新技術(shù)企業(yè)技術(shù)負責人李某和銷售部門的孫某都曾是該公司離職員工，他們利用在原公司獲得的商業(yè)秘密，生產(chǎn)并銷售與原公司產(chǎn)品相似的產(chǎn)品，獲得了高達2500余萬元的巨額利潤。這種背叛行為不僅給原公司造成了巨大的經(jīng)濟損失，也對知識產(chǎn)權(quán)保護和商業(yè)競爭產(chǎn)生了嚴重沖擊。
近80%數(shù)據(jù)泄露來自內(nèi)部
從中國裁判文書網(wǎng)所有與數(shù)據(jù)泄露相關(guān)的典型判例研究發(fā)現(xiàn)，近80%的數(shù)據(jù)泄露和內(nèi)部人員相關(guān)。無論是內(nèi)部員工的“無意識泄密”，還是有意識的“內(nèi)鬼”行為，都可能給企業(yè)帶來巨大的損失。
內(nèi)部威脅總在暗處，作為防守方往往“看不見”“摸不著”。內(nèi)部威脅難以被檢查和發(fā)現(xiàn)主要體現(xiàn)在以下四方面：
1、產(chǎn)生威脅的內(nèi)部人員情況復雜，內(nèi)部人員的惡意行為往往發(fā)生在正常工作的間隙，導致惡意行為嵌入在大量的正常行為數(shù)據(jù)中，其隱蔽性和多元性難以發(fā)現(xiàn)。
2、企業(yè)對于內(nèi)部人員是基于“默認信任”的模式，傳統(tǒng)安全防護機制上更多的傾向于檢測和阻斷外部攻擊，而較少投入在內(nèi)部安全防護上面，難以清晰辨別內(nèi)部人員的正常行為操作與危害行為操作。
3、內(nèi)部人員熟悉內(nèi)部安全運行機制，網(wǎng)絡(luò)安全邊界透明化使得他們能夠比較容易地規(guī)避系統(tǒng)防御檢測機制，導致內(nèi)部威脅難以發(fā)現(xiàn)。
4、某些情況下即便通過檢測機制發(fā)現(xiàn)了惡意行為，但除非是獲取法律認可的充分證據(jù)，否則無法判定內(nèi)部人員存在惡意行為，內(nèi)部人員可以工作疏忽等理由掩飾和推脫。
如何提取數(shù)據(jù)、快速甄別有效信息、識別出內(nèi)部威脅，通過圖形化視圖提供決策依據(jù)，預防員工的異常行為，追溯員工的異常操作，規(guī)避內(nèi)部威脅引發(fā)的安全事件等，已成為當下企業(yè)在構(gòu)建數(shù)據(jù)安全防御體系過程中考量的重要標準。
結(jié)合大數(shù)據(jù)技術(shù)的用戶行為分析
北信源網(wǎng)絡(luò)安全行為大數(shù)據(jù)分析(UEBA)系統(tǒng)建設(shè)的總體目標是將對象行為數(shù)據(jù)、對象異常行為用例場景、大數(shù)據(jù)建模分析技術(shù)、可視化分析技術(shù)有機結(jié)合，對關(guān)鍵數(shù)據(jù)資源的使用行為進行監(jiān)控，實現(xiàn)“異常數(shù)據(jù)使用行為預警、可疑對象行為追溯和畫像分析、可疑對象行為輔助取證”的業(yè)務管理閉環(huán)，全方面提升用戶防范關(guān)鍵數(shù)據(jù)泄露的能力。
系統(tǒng)圍繞數(shù)據(jù)安全防護場景中常見的實體、行為對象以及對象行為構(gòu)建多種結(jié)合業(yè)務場景的分析主題，實現(xiàn)全面用戶行為風險評估體系。
系統(tǒng)基于規(guī)則和機器學習算法的行為分析，將大數(shù)據(jù)技術(shù)與用戶業(yè)務場景緊密結(jié)合。圍繞正常員工、無意識違規(guī)員工、惡意人員三類人群結(jié)合賬號登陸、數(shù)據(jù)獲取、內(nèi)部共享、外部傳輸?shù)臄?shù)據(jù)獲取及使用途經(jīng)構(gòu)建數(shù)據(jù)安全分析及防護體系。
北信源UEBA產(chǎn)品基于以下四大主題場景進行行為分析，構(gòu)建行為基線，最終圍繞人員、賬號、設(shè)備、應用和文件進行行為畫像，以及一些綜合分析。
一、應用查詢數(shù)據(jù)泄露
主要用于分析從核心應用系統(tǒng)上查詢一些敏感數(shù)據(jù)并泄露出去的行為，例如身份證號、手機號、客戶信息等。
二、文件數(shù)據(jù)泄露
主要用于分析從指定系統(tǒng)上下載文件，或從其他方式獲取到敏感文件，并通過多種外發(fā)通道進行泄露的行為。
三、應用賬號異常分析
主要用于對一些重要應用系統(tǒng)的賬號被泄露、冒用等異常行為的分析和發(fā)現(xiàn)。
四、運維特權(quán)賬號行為分析
通過對堡壘機運維的特權(quán)賬號的操作行為進行分析，發(fā)現(xiàn)運維特權(quán)賬號異常行為。
北信源UEBA系統(tǒng)，通過全方面的數(shù)據(jù)可視展示，幫助企事業(yè)單位及時發(fā)現(xiàn)數(shù)據(jù)信息的內(nèi)部威脅和風險行為，讓用戶對全局信息一覽無余并及時響應異常風險事件，有效規(guī)避內(nèi)部行為引發(fā)的數(shù)據(jù)泄露事件，讓內(nèi)部威脅無處遁形，助力企業(yè)在激烈的市場競爭中保持競爭優(yōu)勢。
