行動分析

行動分析は、アクティビティ データを調査して、人々がウェブサイト、アプリ、デジタル サービスをどのように利用するかのパターンを見つけます。 製品チームは、エンゲージメントとコンバージョンを理解するためにこれを使用します。 セキュリティ チームはこれを使用して、さらなるレビューが必要な異常なアクティビティを特定します。

同じアクションで両方の目的を達成できます。 ログインに失敗すると、サインイン プロセスが混乱する可能性があります。 多くのアカウントで繰り返される失敗も、セキュリティ調査の裏付けとなる可能性があります。 イベントは重要ですが、その意味は周囲の活動によって異なります。

行動分析は何を測定しますか?

行動データには、サービスが記録するアクションとその発生順序が含まれます。 一部のシステムはページの訪問と購入を分析します。 ログイン試行、インタラクションのタイミング、またはアカウント内のアクティビティを調査するものもあります。

一般的なデータ型は次のとおりです。

すべてのシステムがこれらすべての信号を収集するわけではありません。 製品チームは、マウスの動きを記録せずにサインアップファネルを調査できます。 API セキュリティ システムは、ブラウザー インタラクション データを収集せずにリクエスト シーケンスを分析する場合があります。

デバイスのプロパティとネットワーク情報によりコンテキストを追加できます。 ブラウザー フィンガープリント は、ブラウジング環境の特性を説明します。 これらの特性は、その中で実行されるアクションとは異なります。

新しいブラウザは環境の変化です。 機密性の高いアカウントのアクティビティが突然増加すると、行動が変化します。 システムは両方を評価できますが、提供される証拠は異なります。

行動分析はどのように機能しますか?

プロセスは質問から始まります。 製品チームは、ユーザーがどこで登録を放棄したかを知りたいと考えるかもしれません。 セキュリティ チームは、アカウントが異常な動作をしていないかどうかを調査する場合があります。

この質問によって、どのデータが重要か、そしてそれをどのように解釈するかが決まります。

1. 関連アクティビティを収集します。 Web サイト イベント、アプリ SDK、サーバー ログには、選択されたアクションが記録されます。 収集はサービスとその構成によって異なります。
2. レコードを整理します。 イベントは、セッション、アカウント、ユーザー セグメント、またはワークフローごとにグループ化されます。 イベントの欠落や不完全な ID 照合が結果に影響を与える可能性があります。
3. パターンを探します。 アナリストは経路を比較したり、コンバージョンを測定したり、ユーザーをグループ化したり、予想されるパターンからの変化を調べたりすることができます。
4. 結果を解釈します。 結果は、製品の問題を示唆したり、仮説を裏付けたり、調査に値するアクティビティを特定したりする可能性があります。
5. 結果を確認します。 実験、ユーザーからのフィードバック、セキュリティ調査は、チームが自分たちの解釈が有用かどうかを判断するのに役立ちます。

セッション管理 は、リクエスト間でアプリケーションの状態を維持します。 この状態は、サービスが同じセッション内でアクションを配置するのに役立ちます。 セッションだけでは誰が演奏したかを証明することはできません。

製品分析

製品チームは多くの場合、ファネルを使用して、登録、セットアップ、最初の使用などの一連の進行状況を測定します。 維持率分析により、ユーザーが戻ってくるかどうかがわかります。 コホート分析では、行動や特徴を共有するグループを比較します。

これらの方法は、調査する価値のある相違点を特定するのに役立ちます。 彼らは自分たちで原因を説明しません。

たとえば、セットアップを完了したユーザーは、より頻繁に戻ってくる可能性があります。 これは、セットアップの完了がリテンションの原因となることを証明するものではありません。 より意欲的なユーザーは両方を行う可能性が高くなります。

セキュリティ分析

セキュリティ チームは、現在のアクティビティをベースラインと比較する場合があります。 このベースラインは、アカウント、グループ、または特定のワークフローに対して予想される動作を表します。

財務担当者とシステム管理者では、アクセス パターンが大きく異なる場合があります。 両方を 1 つの広範な標準と比較すると、有用なコンテキストが失われてしまいます。

一部のシステムでは、履歴パターンとピア パターン を使用して、アクションがどの程度異常であるかを評価します。 なじみのないアクションは、あるアカウントにとっては目立つものでも、別の役割を持つ他のアカウントにとっては日常的なものである可能性があります。

結果はスコアまたは異常ラベルになる場合があります。 別のポリシーによって、次に何が起こるかが決まります。 サービスは追加の検証を要求したり、アクションを制限したり、レビューのためにアクティビティを送信したりする場合があります。

行動分析の例

チェックアウトで問題を見つける

配送料が表示された後に多くの買い物客が去ったとします。

行動分析により、これらの離脱が発生する段階が特定されます。 その後、チームはデバイス、配信オプション、顧客グループを比較できます。

送料が考えられる理由の1つです。 予期せぬ納期や不明瞭な情報も影響する可能性があります。 顧客からのフィードバックと管理されたテストは、これらの説明を区別するのに役立ちます。

実際の価値は、チェックアウトプロセスを変更する前に、どこを調査すべきかを知ることです。

異常なアカウントアクティビティの確認

通常、勤務時間中に少数のドキュメント セットにアクセスするアカウントを考えてみましょう。 新しくログインすると、突然、見慣れないファイルが大量にダウンロードされ始めます。

それぞれの出来事には正当な説明がある可能性があります。 ユーザーは旅行中、または新しいプロジェクトの準備中である可能性があります。 これらの変更を総合すると、アカウントが侵害されているかどうかを確認することが正当化される可能性があります。

調査にはアカウントの権限、ログイン コンテキスト、およびビジネス アクティビティが必要です。 珍しいパターンでレビューが始まります。 それは解決しません。

自動化されたアクティビティの評価

行動の証拠は ボットの検出 に寄与する可能性があります。 繰り返されるリクエスト シーケンスや異常なアクティビティ レートは、自動化されたトラフィックを識別するのに役立つ場合があります。

ただし、自動化は本質的に有害ではありません。 承認されたテスト、監視サービス、統合により、一貫性の高いパターンを生成できます。

検出システムは、動作だけに依存するのではなく、リクエスト、セッション、ブラウザー信号 を組み合わせる場合があります。 どのアクションがどのような条件で試行されているかをシステムが認識している場合、シーケンスの繰り返しはさらに便利になります。

キーボード ナビゲーションを使用している人は、マウスを動かさない場合があります。 パスワード マネージャーは、ほぼ瞬時にフィールドに入力できます。 どちらのアクションも、セッションが悪意のあるものであることを証明するものではありません。

行動分析 と関連概念

いくつかの用語は行動分析と重複します。 両者の主な違いは、重視するデータと支持する決定に関するものです。

ウェブ分析と行動分析は、多くの場合同じデータを使用します。 ツールはページビューをレポートし、それらのページ間のパスを分析することもできます。 多くの場合、違いは尋ねられる質問にあります。

行動バイオメトリクスはより狭い範囲に焦点を当てています。 アイデンティティやリスクの評価に役立つ可能性のある相互作用の特性を調べます。 行動分析では、ユーザーがどの機能を採用しているか、購入プロセスがどこで中断されているかなど、より広範な質問もカバーしています。

IPリスクスコア は、ネットワーク アドレスに関連付けられた選択された信号に関係します。 ユーザーがアカウント内で行うすべてのことを要約したものではありません。 サービスはそのスコアを行動の証拠と併せて考慮する場合がありますが、2 つの評価は互換性がありません。

ユーザー行動分析というフレーズは、製品コンテンツとセキュリティ コンテンツの両方にも表示されます。 その意味は、名前から推測するのではなく、アプリケーションから明らかである必要があります。

ブラウザプロファイルが適している場所

個別のブラウザ プロファイル は、Cookie、セッション、閲覧環境の整理に役立ちます。 MoreLogin はプロファイルを使用してアカウント環境を分離します。

この分離によって、オペレーターによる Web サイトの使用方法が自動的に変わるわけではありません。 同様のアクションは、異なる環境でも発生する可能性があります。 また、プロファイルは、サービスによってすでに記録されたアクティビティを消去しません。

アカウント環境を分離しておくと、構成の混乱を減らすことができます。 このサービスは引き続き、独自のルールに基づいてアカウント履歴とアクティビティを評価します。

制限、誤検知、およびプライバシー

失われた歴史と変化する習慣

新しいアカウントには比較できる履歴がほとんどありません。 新しい機能やワークフローによって、既存のパターンの有用性が低下する可能性もあります。

確立されたユーザーでも行動が変わります。 昇進、異なるデバイス、または新しい責任によって、通常の活動が変化する可能性があります。 これらの変更を無視するシステムは、不要なアラートを生成する可能性があります。

基礎となる作業が変更されると、ベースラインを見直す必要があります。

不完全または誤解を招くデータ

分析は記録の品質に依存します。

• イベントが欠落していると、完了したプロセスが放棄されたように見える可能性があります。
• イベントが重複すると、アクティビティ数が増加する可能性があります。
• 共有アカウントでは、さまざまな人々のアクションを混在させることができます。
• イベントの定義が変更されると、期間の比較が困難になる場合があります。

予期しないパターンを解釈する前に、チームはデータ収集自体が変更されたかどうかを確認する必要があります。

誤検知と見逃した脅威

正当なアクティビティが異常に見える場合があります。 不審なアクティビティは通常の使用に似ている場合もあります。

アクセシビリティ ツール、タッチ インターフェイス、および経験豊富なユーザーによって、通常のデスクトップ セッションとは異なるパターンが生成される場合があります。 承認された ブラウザの自動化 も、一貫したタイミングでアクションを繰り返す場合があります。 セキュリティ プロセスには、これらのアクティビティを悪用から区別するためのコンテキストが必要です。

アラートが増えても、必ずしも検出が向上するとは限りません。 チームは、どのアラートが有益な結果につながり、どのアラートが不必要な作業を生み出したかを確認する必要があります。

プライバシーとデータの取り扱い

行動記録により、誰かがサービスをどのように利用するかについての詳細な情報が明らかになる可能性があります。 収集は定義された目的と一致する必要があります。

便利なコントロールには次のものがあります。

• 収集を必要なイベントに限定します。
• 機密性の高い入力フィールドをマスクします。
• 詳細な記録へのアクセスを制限します。
• 保存期間の設定。
• データがどのように使用されるかを説明します。

セッション記録では機密情報が自動的に隠蔽されると想定すべきではありません。 チームは設定を確認し、実際に何がキャプチャされるかを確認する必要があります。

よくある質問

行動分析はユーザー行動分析と同じですか?

用語は重複することがよくあります。 製品チームは、エンゲージメントとコンバージョンの分析にそれらを使用できます。 セキュリティ チームは、ユーザー行動分析を使用して、異常なアカウント アクティビティを調査する場合があります。 意図された意味は、分析されるデータとそれがサポートする決定によって異なります。

行動分析にはマウス追跡が必要ですか?

いいえ。 ページ訪問、機能の使用状況、購入、およびサーバーのログは、ポインター データなしで行動分析をサポートできます。 マウスの追跡は、考えられる情報源の 1 つです。 これは要件ではなく、モバイル アプリや API アクティビティには無関係である可能性があります。

行動分析はボットを検出できますか?

自動化の証拠を提供できる可能性があります。 リクエストのタイミング、繰り返されるシーケンス、その他のパタ​​ーンが検出結果に寄与する場合があります。 これらのパターンには依然としてコンテキストが必要です。 承認された自動化は機械的に見える場合がありますが、一部の自動化されたアクティビティは人間の使用に似ている場合があります。

VPN またはブラウザ プロファイルで行動追跡を停止できますか?

どちらも、サービスが独自の Web サイトまたはアプリ内のアクティビティを記録できないことを保証するものではありません。 VPN はネットワーク ルートを変更します。 ブラウザー プロファイルは、ブラウジング環境の一部を分離します。 どちらも、サーバー レコードを自動的に削除したり、現在のアクションの分析を妨げたりすることはありません。

行動分析は、行動生体認証とどう違うのですか？

行動分析は、製品の改善やセキュリティのレビューなどの目的でアクティビティのパターンを調査します。 行動バイオメトリクスは、ID または認証の決定をサポートする可能性のあるインタラクション特性に焦点を当てています。 タイピングのリズムは生体認証に関連する可能性がありますが、チェックアウト放棄はより広範な行動分析の問題です。