Поведенческий анализ

Поведенческий анализ — подход к выявлению угроз, при котором оцениваются действия процессов, пользователей, устройств или сетевых сущностей, а не только известные признаки файлов и атак. Значимыми могут быть последовательность событий, частота операций, связи между объектами и отклонение от ожидаемой модели. В средствах защиты применяются правила, статистические профили и модели машинного обучения. Например, подозрительной может считаться цепочка запуска процесса, массового изменения документов и попытки отключить защиту. Точность зависит от качества телеметрии, контекста, базовой линии и корректной настройки исключений. Метод используется в EDR, XDR, SIEM, системах защиты электронной почты и анализе сетевого трафика. Он полезен для выявления ранее неизвестных техник, но требует процесса разбора срабатываний из-за возможных ложных тревог. Поведенческий анализ отличается от сигнатурного анализа, сопоставляющего данные с известной сигнатурой. Он также не тождественен UEBA: UEBA специализируется на поведении пользователей и сущностей, тогда как поведенческий анализ может применяться к процессам и файлам.