网络设备、安全设备、操作系统、中间件、应用系统都具有账号，只要有账号就会涉及到异常账号（状态）与账号异常（行为）的安全监控与分析。从风险类型来说，账号异常涉及到内部违规、暴力破解、账号失陷以及程序错误等类型，在安全日常监控与态势感知中都起到非常大的作用。
账号异常与UEBA有很大的关系，UEBA也是围绕着用户（账号）与行为（操作）进行分析，不同的是UEBA除了会用到关联分析方法外，还可能会用到机器学习算法，或者将二者进行有机的结合。本文主要是针对与账号异常相关的关联分析场景进行总结。
解决方案：配置访问控制策略，仅允许从堡垒机登陆服务器
解决方案：检查被攻击服务器是否被控制，确认账号创建是否异常
解决方案：排查登陆失败事件属于安全攻击还是管理员行为
针对账号登陆失败事件分析场景，除了需要特别关注安全设备，还需要特别关注暴露在互联网上的设备、系统与应用，暴露在互联网上的安全设备尤其要特别关注。
当然发生多次账号登陆失败事件，也不见得一定就是暴力破解攻击，也可能是管理员认为输错了口令而已。这时候需要综合安全设备告警，以及账号登陆失败事件的源地址和目的地址，来进行综合判断。
每个账号异常安全分析场景，都可以从同一源地址、同一目的地址、同一账号来分别建立分析规则，还可以更近一步细化出外网地址、内网地址。
并且账号异常各事件之间还可以再进行关联，这样就可以扩展出非常多的分析场景来。下面就以账号登陆失败事件为基础，列举部分典型的分析场景。
拓展场景3：发生暴力破解成功并新建账号（拓展场景2）后，发生删除账号行为事件，可能入侵结束后消除入侵痕迹。
拓展场景3：发生暴力破解成功（拓展场景1）后，账号发生上传文件数据行为，入侵成功后篡改数据。
▼▼账号状态异常关联分析拓展场景
拓展场景3：高价值账号（如VPN账号）在非可信地点（如境外地址）发生登陆行为，可能已经失陷。
总结：由于网络设备、安全设备、操作系统、中间件以及应用系统的日志，在安全分析的数据源中都属于高置信数据，因此账号异常相关安全分析场景效果都非常好。并且相关的安全分析场景还可以进一步深度挖掘，这样可以发现很多安全设备告警看不到的风险。
联系客服
