AWatch-rus/docs/WORKFORCE_UEBA_MODEL_RU.md

Workforce / UEBA Model

Позиционирование

AWatch-rus v0.3 использует Workforce-first подход:

Телеметрия -> Активность -> Риск -> Расследование -> Отчет

Это не сертифицированная СЗИ, не промышленная SIEM и не полнофункциональная DLP. Корректная формулировка для v0.3:

UEBA-compatible rule-based risk scoring v1.

Workforce scoring

Расчетные поля:

• activity_index;
• active_today;
• department_activity_index;
• owner_activity_index;
• trend_status;
• anomaly_status;
• risk_level.

Базовая proxy-формула:

Индекс активности = active_seconds / planned_seconds * 100

Взвешенный индекс использует роли и веса приложений, если задан workforce policy.

Статусы

• OK - состояние в норме;
• WARN - требуется внимание;
• FAIL - требуется действие.

Каждый риск обязан объяснять:

• что произошло;
• почему это риск;
• что проверить;
• рекомендуемое действие.

UEBA risk v1

Риск рассчитывается по правилам, а не по скрытой ML-модели.

Поля объяснимости:

• confidence;
• risk_sources;
• baseline_status;
• policy_version;
• calculated_from;
• baseline_window_days;
• user_baseline_available;
• department_baseline_available;
• deviation_score;
• baseline_samples.

Evidence

Evidence повышает достоверность вывода, но само по себе не является фактором риска. Риск должен исходить из события, отклонения, тренда или правила.

Не реализуется

• перехват содержимого документов;
• запись экрана;
• кейлоггер;
• скрытый агент;
• контентный DLP-анализ;
• автоматическое редактирование инцидентов;
• автоматическое наказание или блокировка сотрудника.