[發明專利]用戶行為風險評估

有效

• 申請號: 201280053565.5
• 申請日: 2012-10-17
• 公開（公告）號: CN104011731A
• 公開（公告）日: 2014-08-27
• 發明（設計）人: P·G·巴薩瓦帕特納;M·M·莫伊爾;S·施雷克
• 申請（專利權）人: 邁克菲公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 永新專利商標代理有限公司 72002
• 代理人: 劉瑜;王英

1.一種方法，包括：

識別與計算系統的至少一個特定用戶相關聯的預定的特定行為簡檔，所述特定行為簡檔標識所述至少一個用戶在所述計算系統內的預期行為；

使用至少一個計算機處理設備來識別與所述特定用戶對所述計算系統的使用相關聯的活動；以及

確定所識別的活動是否與所述特定行為簡檔有關，其中，識別出與所述特定行為簡檔偏離超過特定閾值的活動觸發與所述特定用戶有關的風險事件。

2.如權利要求1所述的方法，其中，沒有偏離超過特定閾值的活動被認為是充分地符合所述特定行為簡檔，并且不觸發風險事件。

3.如權利要求2所述的方法，其中，至少一個特定的所識別的活動被識別為與所述特定行為簡檔偏離但處于所述特定閾值內，所述方法還包括：

至少部分地基于所述至少一個特定的所識別的活動來修改所述特定行為簡檔。

4.如權利要求1所述的方法，其中，所述特定行為簡檔是基于用戶的行為簡檔，所述基于用戶的行為簡檔基于描述所述特定用戶在所述計算系統中的之前活動的多個輸入。

5.如權利要求4所述的方法，還包括：

識別與所述計算系統的第二用戶相關聯的第二基于用戶的行為簡檔；

識別與所述第二用戶對所述計算系統的使用相關聯的活動；以及

確定所述第二用戶的所識別的活動是否與所述第二基于用戶的行為簡檔有關，其中，識別出與所述第二行為簡檔偏離超過所述特定閾值的活動觸發與所述第二用戶有關的風險事件。

6.如權利要求4所述的方法，其中，所述第一用戶和所述第二用戶包括在所述計算系統內的多個用戶中，并且所述多個用戶中的每個用戶都具有至少一個相應的基于用戶的行為簡檔。

7.如權利要求6所述的方法，還包括：至少部分地基于所述多個用戶的基于用戶的行為簡檔來確定所述計算系統的聚合的風險簡檔。

8.如權利要求7所述的方法，其中，確定所述計算系統的聚合的風險簡檔包括：

識別所述計算系統中的特定計算設備與所述特定用戶之間的關聯；

確定所述特定計算設備的設備風險簡檔；以及

至少部分地基于所述特定計算設備的設備風險簡檔和所述特定計算設備的所述特定用戶的特定行為簡檔來確定與所述特定計算設備相關聯的組合風險。

9.如權利要求8所述的方法，其中，確定所述組合風險包括：根據所述特定行為簡檔識別所述特定用戶的行為趨勢，所述行為趨勢與所述特定計算設備的特定漏洞相對應，所述特定漏洞是根據所述特定計算設備的設備風險簡檔識別的。

10.如權利要求1所述的方法，其中，所述特定行為簡檔是基于組的行為簡檔，所述基于組的行為簡檔基于來自所述計算系統的用戶組中的多個用戶的多個輸入，所述多個輸入描述所述用戶組在所述計算系統中的之前活動。

11.如權利要求10所述的方法，其中，所述用戶組是下述中的至少一個：商業單元、特定地理位置中的用戶、具有特定雇傭狀態的用戶、一組織的特定部門中的用戶以及所述計算系統的全部識別的用戶的集合。

12.如權利要求1所述的方法，其中，所述特定行為簡檔基于從多個安全工具接收到的多個輸入，所述多個安全工具在所述計算系統內提供安全服務。

13.如權利要求12所述的方法，還包括：響應于確定出所述特定用戶的特定活動與所述特定行為簡檔偏離超過所述特定閾值而發起對策的部署，其中，所述對策與所述特定活動所觸發的特定風險事件相對應。

14.如權利要求13所述的方法，其中，所述對策是使用所述多個安全工具中的至少一個來部署的。

15.如權利要求14所述的方法，其中，所述多個安全工具包括下述中的至少兩個：防火墻、網頁網關、郵件網關、主機入侵保護(HIP)工具、網絡入侵保護(NIP)工具、反惡意軟件工具、數據丟失預防(DLP)工具、系統漏洞管理器、系統策略服從管理器、資產臨界工具以及安全信息管理(SIM)工具。