80 lines
2.3 KiB
Markdown
80 lines
2.3 KiB
Markdown
# Workforce / UEBA Model
|
|
|
|
## Позиционирование
|
|
|
|
AWatch-rus v0.3 использует Workforce-first подход:
|
|
|
|
```text
|
|
Телеметрия -> Активность -> Риск -> Расследование -> Отчет
|
|
```
|
|
|
|
Это не сертифицированная СЗИ, не промышленная SIEM и не полнофункциональная DLP. Корректная формулировка для v0.3:
|
|
|
|
```text
|
|
UEBA-compatible rule-based risk scoring v1.
|
|
```
|
|
|
|
## Workforce scoring
|
|
|
|
Расчетные поля:
|
|
|
|
- `activity_index`;
|
|
- `active_today`;
|
|
- `department_activity_index`;
|
|
- `owner_activity_index`;
|
|
- `trend_status`;
|
|
- `anomaly_status`;
|
|
- `risk_level`.
|
|
|
|
Базовая proxy-формула:
|
|
|
|
```text
|
|
Индекс активности = active_seconds / planned_seconds * 100
|
|
```
|
|
|
|
Взвешенный индекс использует роли и веса приложений, если задан workforce policy.
|
|
|
|
## Статусы
|
|
|
|
- `OK` - состояние в норме;
|
|
- `WARN` - требуется внимание;
|
|
- `FAIL` - требуется действие.
|
|
|
|
Каждый риск обязан объяснять:
|
|
|
|
- что произошло;
|
|
- почему это риск;
|
|
- что проверить;
|
|
- рекомендуемое действие.
|
|
|
|
## UEBA risk v1
|
|
|
|
Риск рассчитывается по правилам, а не по скрытой ML-модели.
|
|
|
|
Поля объяснимости:
|
|
|
|
- `confidence`;
|
|
- `risk_sources`;
|
|
- `baseline_status`;
|
|
- `policy_version`;
|
|
- `calculated_from`;
|
|
- `baseline_window_days`;
|
|
- `user_baseline_available`;
|
|
- `department_baseline_available`;
|
|
- `deviation_score`;
|
|
- `baseline_samples`.
|
|
|
|
## Evidence
|
|
|
|
Evidence повышает достоверность вывода, но само по себе не является фактором риска. Риск должен исходить из события, отклонения, тренда или правила.
|
|
|
|
## Не реализуется
|
|
|
|
- перехват содержимого документов;
|
|
- запись экрана;
|
|
- кейлоггер;
|
|
- скрытый агент;
|
|
- контентный DLP-анализ;
|
|
- автоматическое редактирование инцидентов;
|
|
- автоматическое наказание или блокировка сотрудника.
|