基于异常的检测

基于异常的检测使用统计模型、启发式规则或机器学习,学习网络、主机、用户或应用的"正常"状态,当观察到的活动显著偏离基线时发出告警。它是基于特征检测的有力补充,可以发现未知威胁、内部滥用、新型恶意软件以及任何特征都无法描述的隐蔽攻击。常见实现包括 UEBA、NDR/XDR 分析、基于 NetFlow 的行为基线和 DNS 流量画像。代价是误报增多——合法的变化也可能看起来反常——因此需要细心选择基线窗口、构建反馈闭环、调整阈值并由分析师评审,才能将异常转化为可调查的发现。