在经历了一系列“卡脖子”的事件后，科技企业对于知识产权尤其重视，中国科技企业深刻意识到，只有把核心技术掌握在自己手中，拥有自主知识产权，才能够摆脱受制于人的被动局面，真正掌握在国际市场的话语权。天空卫士作为集技术研发、产品销售和技术服务于一体的数据安全企业，拥有多项发明专利，并且致力于将发明专利落地。每一个专利都包含着一个故事，我们会通过《专利背后的故事》系列，讲述不同专利从“灵感”到“实现“的故事，向专利研发人员致敬。

今天我们介绍第一个专利——行为异常检测方法和装置

2018年，Gartner《Market Guide for User and Entity Behavior Analytics》认为UEBA（用户和实体行为分析）是对安全信息与事件管理（SIEM）的有效补充，利用人工智能、机器学习和数据挖掘等算法，可以帮助安全团队发现网络中隐藏的、 或未知威胁， 包括外部攻击和内部威胁，入选Gartner为安全团队建议的十大新项目。

SIEM+UEBA中能够帮助我们快速发现、检测和呈现内部威胁，但是，内部威胁防护不是只靠算法和数据能够完全覆盖的，主要体现在以下六个方面:

UEBA中引入安全专家的专业视野、知识和经验，是非常必要的。

本专利设计了一种将网络安全专家的领域知识与用户（实体）行为数据有效结合的检测方法，最终给出用户（实体）行为异常程度量化评分的方法ERS（Expert Risk Score）。具有以下优点和价值：

Part 02

目前，检测行为异常的方式主要通过规则匹配完成，即为异常配置对应的规则，当检测到的一具体行为（用户行为和/或实体行为）满足该规则时，则确定该行为异常。现有的这种行为异常检测方式，由于参考标准比较单一，会导致误报或虚报，对检测结果展示内容和举证不够丰富和充分。

本专利主要包含产品功能有：

引入安全专家的专业视野、知识和经验，由安全专家构建和确定基于场景的威胁因子变量间的拓扑关系，实现用户风险场景化威胁评估，为异常检测结果提供量化得分，提高检测精度，扩展检测范围，丰富报告结果。

以场景和威胁因子的方式为用户呈现专家安全视野，描述和展示内部危险因素的真实日志证据。使用户能够更加直观和充分地理解内部安全威胁和风险情况。

本专利应用于内部威胁防护（ITP）产品。ITP基于现有的统一内容安全（UCS）技术和内部威胁管理（ITM）技术相结合实现对内部用户的行为和意图进行监控和预测，在 APT 攻击的早期阶段通过分析用户的“非正常”数据流行为来锁定 APT 的潜在威胁，实现对内部异常用户行为的主动防御。而本专利-行为异常检测方法和装置可以协助ITP及时发现内部高风险的人和设备，对高风险用户进行实时风险控制，抓住“坏人”、主动出击。

引入安全专家的专业视野、知识和经验，由安全专家构建和确定基于场景的威胁因子变量间的拓扑关系，实现用户风险场景化威胁评估，为异常检测结果提供量化得分，提高检测精度，扩展检测范围，丰富报告结果。

以场景和威胁因子的方式为用户呈现专家安全视野，描述和展示内部危险因素的真实日志证据。使用户能够更加直观和充分地理解内部安全威胁和风险情况。