Правила корреляции с типом periodical используются для выявления несанкционированного использования учетных записей путем обнаружения аномальной активности пользователей, которая может указывать на компрометацию учетной записи. Создание этого правила доступно только при использовании коррелятора correlator-ng.
Механизм анализа событий аутентификации пользователей формирует профиль их обычного поведения и выявляет отклонения от этого поведения на основе статистических показателей. Процесс выявления аномалий выполняется с определенной периодичностью на основе накопленных данных, а не в момент поступления каждого события.
Работа правила корреляции типа periodical состоит из двух этапов:
На первом этапе правило корреляции накапливает статистику поведения пользователей. Этот этап соответствует периоду холодного старта, в течение которого аномалии не выявляются. Накопление статистики начинается с первого события, поступившего в правило. При этом все события, созданные ранее, не учитываются.
В рамках этапа накопления и агрегации данных происходит следующее:
Длительность периода холодного старта является фиксированной и задается в конфигурации правила корреляции. Холодный старт может быть выполнен следующими способами:
При использовании ретроспективного сканирования правило корреляции обрабатывает загружаемые события так же, как и события, поступающие из потока. Если в хранилище присутствуют события аутентификации пользователей за минимальный период, необходимый для накопления статистики, правило начинает выполнение периодического выявления аномалий сразу после завершения загрузки этих событий.
Как запустить процедуру ретроспективного сканирования
Допускается ситуация, при которой в правило сначала загружаются данные за период, не превышающий длительность холодного старта, а затем накопление статистики продолжается при обработке потока событий до завершения периода холодного старта.
После завершения периода холодного старта правило начинает анализировать накопленные данные с определенной периодичностью. Для каждого пользователя и каждого анализируемого признака:
Если период выявления аномалий совпадает с периодом группировки, для анализа используется значение показателя за последний завершенный период. Если период выявления меньше периода группировки, анализ выполняется по данным текущего (еще незавершенного) периода, что позволяет получить результаты до окончания всего периода группировки.
Если показатели, отражающие аномальную активность пользователя, превышают пороговые значения, создается корреляционное событие. При необходимости правило может дополнительно создавать алерт.
Показатели выявления аномальной активности пользователей
Для выявления аномалий используются два показателя:
Этот показатель показывает, во сколько раз текущая активность пользователя превышает его средний уровень активности, и рассчитывается по следующей формуле:
Relative Score = (Текущая активность + 1) / (Средняя активность + 1)
Где:
Текущая активность – значение активности на текущий момент.
Средняя активность – средний уровень активности за период, на основе которого рассчитывается показатель.
Этот показатель показывает, насколько текущее значение отклоняется от среднего значения с учетом разброса данных, и рассчитывается по следующей формуле:
Z-Score = (Текущая активность – Средняя активность) / Стандартное отклонение
Где:
Текущая активность – значение активности на текущий момент.
Средняя активность – средний уровень активности за период, на основе которого рассчитывается показатель.
Стандартное отклонение – показатель разброса значений активности за выбранный период.
Аномальная активность пользователя фиксируется, если значение одного из показателей (Relative Score или Z-Score) превышает заданный порог. Для каждого анализируемого признака правило выбирает наиболее подходящий показатель в зависимости от статистики поведения пользователя.
Использование двух показателей позволяет оценивать аномалии в разных сценариях поведения, снижая количество ложных срабатываний. При выявлении аномалии правило создает корреляционное событие, которое содержит информацию о пользователе, времени, анализируемом признаке, типе показателя, значении показателя, пороге, который был превышен, а также аномальные значения для анализа аномалии.