受控语言
确定性短句，一句一个概念，一词只有一个含义。读完它们，你就有了这一章的全部词汇。
- UEBA 是用户与实体行为分析：为每个用户和实体建立行为画像。
- 它的数据源仍是日志与流量：登录、操作、访问、下载。
- 标签画像：把行为沉淀为标签，如常用时段、常用终端。
- 行为基线：先学会“正常”，再识别“偏离正常”。
- 机器学习模型给行为打风险分，分数累积触发关注。
- 场景一 数据泄露：非工作时段批量下载敏感文件。
- 场景二 失陷账户：账号行为模式突变，新地点加新操作。
- 场景三 离职风险：离职前异常收集资料。
- 场景四 合规分析：操作是否越权、是否绕过流程。
- 误报治理靠场景细化与反馈闭环。
- UEBA 回答的核心问题：这个人（或实体）为什么在做这件事？
结构图
UEBA 之路：数据到画像到评分。图上的方块都可以点：点击查看它的职责。
交互式网页
概念自测：每题即点即判，答完看解析。目标：全对，或错得明白。
得分 0 / 4
Q1 UEBA 与传统规则告警的最大区别？
解析 传统规则看绝对阈值；UEBA 看相对基线：偏离“他自己”的正常即可疑。
Q2 “失陷账户”的典型信号？
解析 账号被盗后，行为模式会换轨：时间、地点、操作序列都变了。
Q3 UEBA 的数据源主要来自？
解析 UEBA 建立在日志与流量的行为记录之上——这仍是日志分析的应用。
Q4 降低 UEBA 误报的正确姿势？
解析 场景越具体、反馈越及时，模型越懂业务，误报越少。
定制视频
本章分镜脚本（时间 / 画面 / 解说词）；成片在全书内容校准完成后统一制作。
| 时间 | 画面 | 解说词 |
|---|---|---|
| 0:00-0:12 | 监控屏上的事件流淡出，浮现一个人的行为剪影 | SIEM 看事件，UEBA 看人：同一件事，不同的人做，风险完全不同。 |
| 0:12-0:35 | 剪影周围生成标签云：常在 9-18 点活动/北京/笔记本 | 第一步是画像：把一个人的习惯沉淀成标签——常何时上线、常用什么设备。 |
| 0:35-0:55 | 基线走廊里，一条行为曲线走出边界 | 基线不是全局标准，而是“他自己的正常”。偏离自己，才最可疑。 |
| 0:55-1:20 | 四个场景小剧场：深夜批量下载/异地新操作/离职拷贝/越权审批 | 泄露、失陷、离职、越权——四大场景，都是“人不对劲”的信号。 |
| 1:20-1:45 | 风险分数累积成进度条，越过警戒线 | 模型打分、分数累积、越线触发——UEBA 让内部风险第一次变得可度量。 |