转载

UEBA架构设计之路(七)：横向移动检测

作者：mcvoodoo

上篇引言

UEBA通过机器学习对用户、实体进行分析，不管这种威胁是不是已知，也包括了实时和离线的检测方式，能得到一个直观的风险评级和证据分析，让安全人员能够响应异常和威胁。

到底是怎样的整体架构呢？我就不再介绍了，没看过前面篇章的朋友，可以点击下面链接，去看看：

UEBA架构设计之路1：UEBA框架
UEBA架构设计之路2：数据接入和准备
UEBA架构设计之路3：复杂事件处理引擎
UEBA架构设计之路4：异常、威胁指标和威胁
UEBA架构设计之路5：概率后缀树模型
UEBA架构设计之路6：图聚类

已经看过的朋友，咱继续。

后面的章节则会介绍各种组件的细节，包括数据接入和准备引擎，处理引擎，实时/离线配置，机器学习模型和不同应用，交互等。

九、 横向移动检测

用户可疑横向移动，通常说明用户证书密码被盗，或设备已被木马控制。横向移动检测是基于用户和设备之间的关系，给各设备分配相似性得分，设备和用户之间是关系，而相似性得分说明设备和用户的相似性。另外也基于登陆事件和设备分类元数据，解释相关性。当用户与常用设备相似性得分有明显差别时，检测出异常。

机器学习模型在这里的作用是生成分类元数据，分配相似性分数。下图则是横向移动检测框架图：

机器学习模型分析事件数据，图上是一个登陆投影，基于这个投影，模型为每个设备和用户生成分类元数据，分类元数据的作用是解释用户与设备的相关性，表示用户是普通用户、管理员或系统账号，对设备则可以表示办公终端、服务器、打印机等。所以上层模型可以实现自动识别用户、设备类型。

UEBA架构设计之路(七)：横向移动检测

机器学习模型识别用户与设备之间的关系，如果事件数据包括登录相关，则模型可将使用关系指示为用户登陆事件。右侧是关系图，左边组是用户，右边组是设备节点，两组是不相交集合。二分图中每个边都将用户和设备相连，另外关系还表示事件时间顺序。

基于使用关系，模型给设备分配相似性得分，相似性得分指示哪个设备被相同或类似用户组使用。换句话说，相似用户登陆设备倾向于具有相似性得分。

UEBA架构设计之路(七)：横向移动检测

上图是用户和设备的二分图示例，左侧是用户节点，右侧是设备节点，U11、U13登陆到S21，U11、U12登陆到S22，U12和U13登陆到S23，因此S21、S22和S23是与用户相似组关联。这个相似用户组就是U11、U12、U13。

注意U12在登陆到S24的时候是个虚线，表示特定登陆，而登陆S24的只有U14，这和U21、U22、U23显著不同了，这种差异反映在相似性得分分别为0.31、0.30和0.33。而S24相似性得分只有0.06。

当U12登陆到S24（虚线），模型确定S24得分0.06，无法满足常用设备相似性得分标准，这个标准可自定义，本例假设为0.255.这时模型检测到异常。

模型进一步分计算用户异常分数来判断异常，异常分数表示威胁相关可能性，可基于设备相似性得分的统计度量差异来计算，例如平均值。在这个例子中，设备S24相似度得分0.06，S22和S23平均得分0.315，相似性得分差异为0.255，模型把0.255和额外权重0.1相加得到0.355的异常得分，额外权重意思是这个设备的资产重要性。由于0.355超过0.3的阈值，所以报出异常。

不止于此，模型可基于用户的基线检测异常，这个基线包括用户和设备的相似性，例如U12的基线，与S22和S22相似性得分差异是0.03，并且小于阈值0.1。基线还包括登陆失败、成功、访问成功、访问失败等。

UEBA架构设计之路(七)：横向移动检测

模型可以以各种方式向设备分配相似性得分，上图是过程。模型接收二分图，对设备D4分哦诶初始权重值1，这个过程可以随机，权重值也可以不等于1。

UEBA架构设计之路(七)：横向移动检测

第二步，模型6300在设备节点D4处保持初始权重值1的百分比（15％），并且将D4的初始权重值1的剩余部分沿着D4的边缘均等地分配到节点U2，U3和U6。这个分配过程可视为马尔可夫链过程。在每个步骤中，值分配具有15％的概率（因此也称为“概率百分比”）以保持与前一步骤中相同。值分配具有（100％-15％= 85％）概率跟随节点的边缘移动到另一节点。

UEBA架构设计之路(七)：横向移动检测