PTA Análise Comportamental examina dados de atividades para encontrar padrões na forma como as pessoas usam sites, aplicativos e serviços digitais. As equipes de produto o utilizam para entender o engajamento e a conversão. As equipes de segurança o utilizam para identificar atividades incomuns que precisam de revisão adicional.
A mesma ação pode servir aos dois propósitos. Uma falha no login pode revelar um processo de login confuso. Falhas repetidas em muitas contas também podem apoiar uma investigação de segurança. O evento é importante, mas o seu significado depende da atividade envolvente.
O que a Análise Comportamental mede?
Os dados comportamentais incluem as ações que um serviço registra e a ordem em que ocorrem. Alguns sistemas analisam visitas e compras de páginas. Outros examinam as tentativas de login, o tempo de interação ou a atividade em uma conta.
Os tipos de dados comuns incluem:
| Tipo de dados | Exemplos | O que isso ajuda a explicar |
|---|---|---|
| Eventos | Visualizações de páginas, registros, compras, envios de formulários | Quais ações os usuários realizam ou abandonam |
| Sequências | Páginas visitadas antes da finalização da compra, ações após o login | Como os usuários passam por um processo |
| Tempo e frequência | Tempo entre ações, tentativas repetidas, visitas de retorno | Como a atividade muda dentro ou entre sessões |
| Padrões de interação | Rolagem, movimento do ponteiro, interação do teclado | Como os usuários operam uma interface |
| Contexto da atividade | Função da conta, histórico da sessão, estágio da transação | Se uma ação se ajusta à situação |
Nem todo sistema coleta todos esses sinais. Uma equipe de produto pode estudar um funil de inscrição sem registrar os movimentos do mouse. Um sistema de segurança de API pode analisar sequências de solicitações sem coletar dados de interação do navegador.
As propriedades do dispositivo e as informações da rede podem adicionar contexto. Uma impressão digital do navegador descreve características do ambiente de navegação. Essas características diferem das ações realizadas dentro dele.
Um novo navegador é uma mudança de ambiente. Um aumento repentino na atividade confidencial da conta é uma mudança de comportamento. Um sistema pode avaliar ambos, mas eles fornecem evidências diferentes.
Como funciona a Análise Comportamental?
O processo começa com uma pergunta. Uma equipe de produto pode querer saber onde os usuários abandonam o registro. Uma equipe de segurança pode investigar se uma conta está se comportando de maneira incomum.
Essa questão determina quais dados são importantes e como interpretá-los.
- Colete atividades relevantes. Eventos de sites, SDKs de aplicativos e logs de servidor registram ações selecionadas. A coleta depende do serviço e de sua configuração.
- Organize os registros. Os eventos são agrupados por sessão, conta, segmento de usuário ou fluxo de trabalho. Eventos ausentes e correspondência de identidade incompleta podem afetar o resultado.
- Procure padrões. Os analistas podem comparar caminhos, medir a conversão, agrupar usuários ou examinar alterações de um padrão esperado.
- Interprete as descobertas. O resultado pode sugerir um problema no produto, apoiar uma hipótese ou identificar atividades que merecem investigação.
- Revise o resultado. Experimentos, feedback de usuários e investigações de segurança ajudam as equipes a avaliar se sua interpretação foi útil.
Gerenciamento de sessão mantém o estado do aplicativo em todas as solicitações. Esse estado pode ajudar um serviço a realizar ações na mesma sessão. Uma sessão por si só não prova quem as realizou.
Análise do Produto
As equipes de produto costumam usar funis para medir o progresso por meio de uma sequência, como registro, configuração e primeiro uso. A análise de retenção mostra se os usuários retornam. A análise de coorte compara grupos que compartilham um comportamento ou característica.
Esses métodos ajudam a localizar diferenças que valem a pena investigar. Eles não explicam a causa por si próprios.
Por exemplo, os usuários que concluírem a configuração poderão retornar com mais frequência. Isso não prova que a conclusão da configuração cause retenção. Usuários mais motivados podem ter maior probabilidade de fazer as duas coisas.
Análise de Segurança
As equipes de segurança podem comparar a atividade atual com uma linha de base. Esta linha de base representa o comportamento esperado para uma conta, um grupo ou um fluxo de trabalho específico.
Um funcionário financeiro e um administrador de sistema podem ter padrões de acesso muito diferentes. Comparar ambos com um padrão amplo perderia um contexto útil.
Alguns sistemas usam padrões históricos e de pares para avaliar o quão incomum é uma ação. Uma ação desconhecida pode se destacar para uma conta e ser rotineira para outras com uma função diferente.
O resultado pode ser uma pontuação ou um rótulo de anomalia. Uma política separada determina o que acontece a seguir. O serviço pode solicitar verificação adicional, limitar uma ação ou enviar a atividade para revisão.
Exemplos de Análise Comportamental
Encontrando um problema no checkout
Suponha que muitos compradores saiam depois que as taxas de entrega aparecem.
A análise comportamental identifica o estágio em que ocorrem essas saídas. A equipe pode então comparar dispositivos, opções de entrega e grupos de clientes.
O custo de envio é uma explicação possível. Prazos de entrega inesperados ou informações pouco claras também podem contribuir. O feedback do cliente e os testes controlados ajudam a distinguir entre essas explicações.
O valor prático é saber onde investigar antes de alterar o processo de checkout.
Revendo atividades incomuns da conta
Considere uma conta que normalmente acessa um pequeno conjunto de documentos durante o horário de trabalho. De repente, ele começa a baixar grandes volumes de arquivos desconhecidos após um novo login.
Cada evento poderia ter uma explicação legítima. O usuário pode estar viajando ou se preparando para um novo projeto. Juntas, as alterações podem justificar a verificação se a conta foi comprometida.
A investigação precisa de permissões de conta, contexto de login e atividade comercial. Um padrão incomum inicia a revisão. Isso não resolve.
Avaliando atividade automatizada
Evidências comportamentais podem contribuir para Detecção de bots. Sequências de solicitações repetidas ou taxas de atividade incomuns podem ajudar a identificar o tráfego automatizado.
No entanto, a automação não é inerentemente prejudicial. Testes aprovados, serviços de monitoramento e integrações podem produzir padrões altamente consistentes.
Os sistemas de detecção podem combinar solicitação , sessão e sinais do navegador em vez de confiar apenas no comportamento. Uma sequência repetida torna-se mais útil quando o sistema também sabe qual ação está sendo tentada e sob quais condições.
Uma pessoa que usa a navegação pelo teclado pode não produzir nenhum movimento do mouse. Um gerenciador de senhas pode preencher campos quase instantaneamente. Nenhuma das ações prova que a sessão é maliciosa.
Análise Comportamental vs. Conceitos Relacionados
Vários termos se sobrepõem à Análise Comportamental. As suas principais diferenças dizem respeito aos dados que enfatizam e às decisões que apoiam.
| Conceito | Foco principal | Relacionamento com Análise Comportamental |
|---|---|---|
| Análise da web | Tráfego e uso do site | Pode incluir os mesmos eventos, caminhos e análises de conversão |
| Impressão digital do navegador | Características do navegador e do dispositivo | Adiciona contexto ambiental em vez de descrever o padrão de atividade completo |
| Biometria comportamental | Características de interação, como ritmo de digitação | Concentra-se mais na identidade, autenticação ou avaliação de risco |
| Análise de comportamento de usuário e entidade, ou UEBA | Padrões de segurança entre usuários e outras entidades | Aplica análise comportamental ao monitoramento de segurança |
| Pontuação de risco de IP | Sinais de risco associados a um Endereço IP | Avalia o contexto da rede em vez do comportamento completo de uma conta |
A análise da web e a Análise Comportamental geralmente usam os mesmos dados. Uma ferramenta pode relatar visualizações de páginas e também analisar os caminhos entre essas páginas. A diferença geralmente está na pergunta feita.
A biometria comportamental tem um foco mais restrito. Examina características de interação que podem ajudar a avaliar a identidade ou o risco. A Análise Comportamental também abrange questões mais amplas, como quais recursos os usuários adotam ou onde uma jornada de compra falha.
Uma Pontuação de risco de IP diz respeito a sinais selecionados associados a um endereço de rede. Não resume tudo o que um usuário faz em uma conta. Um serviço pode considerar essa pontuação juntamente com evidências comportamentais, mas as duas avaliações não são intercambiáveis.
A frase análise do comportamento do usuário também aparece no conteúdo do produto e de segurança. Seu significado deve ficar claro na aplicação, e não ser assumido pelo nome.
Onde cabem os perfis do navegador
Perfis de navegador separados ajudam a organizar cookies, sessões e ambientes de navegação. MoreLogin usa perfis para manter os ambientes de contas separados.
Essa separação não altera automaticamente a forma como um operador utiliza um website. Ações semelhantes ainda podem ocorrer em ambientes diferentes. Um perfil também não apaga atividades já registradas por um serviço.
Manter os ambientes de contas separados pode reduzir confusões de configuração. O serviço ainda avalia o histórico e a atividade da conta de acordo com suas próprias regras.
Limitações, falsos positivos e privacidade
História perdida e mudança de hábitos
Novas contas têm pouco histórico para comparar. Novos recursos e fluxos de trabalho também podem tornar os padrões existentes menos úteis.
Até mesmo usuários estabelecidos mudam seu comportamento. Uma promoção, um dispositivo diferente ou uma nova responsabilidade podem alterar a atividade normal. Um sistema que ignora essas alterações pode gerar alertas desnecessários.
As linhas de base precisam de revisão à medida que o trabalho subjacente muda.
Dados incompletos ou enganosos
A análise depende da qualidade dos registros.
- Eventos ausentes podem fazer com que um processo concluído pareça abandonado.
- Eventos duplicados podem aumentar as contagens de atividades.
- As contas compartilhadas podem misturar as ações de pessoas diferentes.
- Mudanças nas definições de eventos podem dificultar a comparação dos períodos.
Antes de interpretar um padrão inesperado, as equipes devem verificar se a própria coleta de dados mudou.
Falsos Positivos e Ameaças Perdidas
A atividade legítima pode parecer incomum. Atividade suspeita também pode assemelhar-se ao uso normal.
Ferramentas de acessibilidade, interfaces sensíveis ao toque e usuários experientes podem produzir padrões diferentes de uma sessão típica de desktop. A Automação do navegador autorizada também pode repetir ações com tempo consistente. Um processo de segurança precisa de contexto para distinguir estas atividades do abuso.
Mais alertas não significam necessariamente melhor detecção. As equipes precisam analisar quais alertas levaram a descobertas úteis e quais criaram trabalho desnecessário.
Privacidade e tratamento de dados
Os registros comportamentais podem expor informações detalhadas sobre como alguém usa um serviço. A coleta deve corresponder a um propósito definido.
Os controles úteis incluem:
- Limitando a coleta a eventos necessários.
- Mascarando campos de entrada confidenciais.
- Restringindo o acesso a registros detalhados.
- Definir períodos de retenção.
- Explicar como os dados serão usados.
Não se deve presumir que a gravação da sessão oculta informações confidenciais automaticamente. As equipes precisam verificar suas configurações e verificar o que realmente foi capturado.
Perguntas frequentes
A Análise Comportamental é igual à análise do comportamento do usuário?
Os termos muitas vezes se sobrepõem. As equipes de produto podem usá-los para análise de engajamento e conversão. As equipes de segurança podem usar análises do comportamento do usuário para investigar atividades incomuns na conta. O significado pretendido depende dos dados que estão sendo analisados e da decisão que eles suportam.
A Análise Comportamental exige rastreamento do mouse?
Não. Visitas de páginas, uso de recursos, compras e logs de servidor podem dar suporte à análise comportamental sem dados de ponteiro. O rastreamento do mouse é uma possível fonte de informação. Não é um requisito e pode ser irrelevante para aplicativos móveis ou atividades de API.
A Análise Comportamental pode detectar bots?
Pode fornecer evidências de automação. O tempo de solicitação, sequências repetidas e outros padrões podem contribuir para um resultado de detecção. Esses padrões ainda precisam de contexto. A automação aprovada pode parecer mecânica, enquanto algumas atividades automatizadas podem assemelhar-se ao uso humano.
Uma VPN ou perfil de navegador pode interromper o rastreamento comportamental?
Nenhum deles garante que um serviço não possa registrar atividades em seu próprio site ou aplicativo. Uma VPN altera a rota da rede. Um perfil de navegador separa partes do ambiente de navegação. Nenhum dos dois remove automaticamente os registros do servidor nem impede a análise das ações atuais.
Qual a diferença entre a Análise Comportamental e a biometria comportamental?
A Análise Comportamental examina padrões de atividade para fins como melhoria de produtos e revisão de segurança. A biometria comportamental concentra-se nas características de interação que podem apoiar decisões de identidade ou autenticação. O ritmo de digitação pode ser relevante para a biometria, enquanto o abandono do caixa é uma questão mais ampla de Análise Comportamental.
