RUПоведенческая аналитика анализирует данные об активности, чтобы выявить закономерности в том, как люди используют веб-сайты, приложения и цифровые сервисы. Продуктовые команды используют его для понимания вовлеченности и конверсии. Службы безопасности используют его для выявления необычной активности, требующей дальнейшего рассмотрения.
Одно и то же действие может служить обеим целям. Неудачный вход в систему может привести к запутанному процессу входа. Повторяющиеся сбои во многих учетных записях также могут служить основанием для расследования безопасности. Событие имеет значение, но его значение зависит от окружающей деятельности.
Что измеряет Поведенческая аналитика?
Поведенческие данные включают действия, которые записывает служба, и порядок, в котором они происходят. Некоторые системы анализируют посещения страниц и покупки. Другие проверяют попытки входа в систему, время взаимодействия или активность внутри учетной записи.
Общие типы данных включают в себя:
| Тип данных | Примеры | Что это помогает объяснить |
|---|---|---|
| События | Просмотры страниц, регистрации, покупки, отправки форм | Какие действия пользователи выполняют или отказываются от них |
| Последовательности | Страницы, посещенные до оформления заказа, действия после входа в систему | Как пользователи перемещаются по процессу |
| Сроки и частота | Время между действиями, повторные попытки, повторные посещения | Как меняется активность внутри или между сеансами |
| Шаблоны взаимодействия | Прокрутка, перемещение указателя, взаимодействие с клавиатурой | Как пользователи работают с интерфейсом |
| Контекст действия | Роль учетной записи, история сеансов, этап транзакции | Соответствует ли действие ситуации |
Не каждая система собирает все эти сигналы. Команда продукта может изучить воронку регистрации, не записывая движения мыши. Система безопасности API может анализировать последовательности запросов без сбора данных о взаимодействии браузера.
Свойства устройства и информация о сети могут добавить контекст. отпечаток браузера описывает характеристики среды просмотра. Эти характеристики отличаются от действий, выполняемых внутри него.
Новый браузер — это смена среды. Внезапное увеличение активности конфиденциальных учетных записей является изменением поведения. Система может оценить и то, и другое, но они предоставляют разные доказательства.
Как работает Поведенческая аналитика?
Процесс начинается с вопроса. Команда разработчиков продукта может захотеть узнать, в каких случаях пользователи отказываются от регистрации. Служба безопасности может выяснить, ведет ли учетная запись необычное поведение.
Этот вопрос определяет, какие данные имеют значение и как их интерпретировать.
- Собирайте соответствующие действия. События на веб-сайте, SDK приложений и журналы сервера записывают выбранные действия. Сбор зависит от сервиса и его конфигурации.
- Упорядочивайте записи. События группируются по сеансам, аккаунтам, сегментам пользователей или рабочим процессам. Отсутствующие события и неполное сопоставление идентификаторов могут повлиять на результат.
- Ищите закономерности. Аналитики могут сравнивать пути, измерять конверсию, группировать пользователей или проверять изменения по сравнению с ожидаемым шаблоном.
- Интерпретируйте результаты. Результат может указывать на проблему с продуктом, подтверждать гипотезу или определять действия, заслуживающие расследования.
- Оцените результаты. Эксперименты, отзывы пользователей и исследования безопасности помогают командам оценить, была ли их интерпретация полезной.
Управление сеансами поддерживает состояние приложения во всех запросах. Это состояние может помочь службе выполнять действия в рамках одного сеанса. Сама по себе сессия не доказывает, кто их совершил.
Анализ продукта
Продуктовые команды часто используют воронки для измерения прогресса в такой последовательности, как регистрация, настройка и первое использование. Анализ удержания показывает, возвращаются ли пользователи. Когортный анализ сравнивает группы, которые разделяют поведение или характеристики.
Эти методы помогают обнаружить различия, которые стоит изучить. Они не объясняют причину сами по себе.
Например, пользователи, завершившие настройку, могут возвращаться чаще. Это не доказывает, что завершение настройки приводит к удержанию. Более мотивированные пользователи могут с большей вероятностью сделать и то, и другое.
Анализ безопасности
Группы безопасности могут сравнивать текущую активность с базовым уровнем. Этот базовый план представляет ожидаемое поведение для учетной записи, группы или конкретного рабочего процесса.
Финансовый сотрудник и системный администратор могут иметь совершенно разные схемы доступа. Сравнение обоих с одним широким стандартом упустило бы полезный контекст.
Некоторые системы используют исторические и одноранговые шаблоны для оценки того, насколько необычно действие. Незнакомое действие может выделяться для одного аккаунта, но быть рутинным для других с другой ролью.
Результатом может быть оценка или метка аномалии. Отдельная политика определяет, что произойдет дальше. Сервис может запросить дополнительную проверку, ограничить действие или отправить действие на проверку.
Примеры Поведенческая аналитика
Обнаружение проблемы при оформлении заказа
Предположим, что многие покупатели уходят после того, как появляется плата за доставку.
Поведенческий анализ определяет этап, на котором происходят эти выходы. Затем команда может сравнить устройства, варианты доставки и группы клиентов.
Стоимость доставки является одним из возможных объяснений. Неожиданные сроки доставки или неясная информация также могут способствовать этому. Отзывы клиентов и контролируемые тесты помогают различать эти объяснения.
Практическая ценность заключается в том, чтобы знать, что следует изучить, прежде чем менять процесс оформления заказа.
Проверка необычной активности учетной записи
Рассмотрим учетную запись, которая обычно обращается к небольшому набору документов в рабочее время. Внезапно после нового входа в систему он начинает скачивать большие объемы незнакомых файлов.
Каждое событие могло иметь законное объяснение. Пользователь может путешествовать или готовиться к новому проекту. В совокупности изменения могут оправдать проверку того, была ли скомпрометирована учетная запись.
Для расследования необходимы разрешения учетной записи, контекст входа в систему и деловая активность. Необычный узор начинает обзор. Это не решает проблему.
Оценка автоматизированной деятельности
Поведенческие данные могут способствовать Обнаружение ботов. Повторяющиеся последовательности запросов или необычная интенсивность активности могут помочь выявить автоматический трафик.
Однако автоматизация по своей сути не является вредной. Утвержденные тесты, службы мониторинга и интеграции могут создавать очень согласованные шаблоны.
Системы обнаружения могут комбинировать сигналы запроса, сеанса и браузера, а не полагаться только на поведение. Повторяющаяся последовательность становится более полезной, когда система также знает, какое действие предпринимается и при каких условиях.
Человек, использующий навигацию с помощью клавиатуры, может не производить движений мышью. Менеджер паролей может заполнять поля практически мгновенно. Ни одно из действий не доказывает, что сеанс является вредоносным.
Поведенческая аналитика и связанные понятия
Некоторые термины пересекаются с Поведенческая аналитика. Их основные различия касаются данных, которые они подчеркивают, и решений, которые они поддерживают.
| Концепция | Основное внимание | Связь с Поведенческая аналитика |
|---|---|---|
| Веб-аналитика | Трафик и использование веб-сайта | Может включать одни и те же события, пути и анализ конверсий. |
| Фингерпринтинг браузера | Характеристики браузера и устройства | Добавляет контекст среды, а не описывает полную схему деятельности. |
| Поведенческая биометрия | Характеристики взаимодействия, такие как ритм набора текста | Более пристальное внимание уделяется идентификации, аутентификации или оценке рисков. |
| Аналитика поведения пользователей и объектов, или UEBA | Шаблоны безопасности для пользователей и других объектов | Применяет поведенческий анализ для мониторинга безопасности |
| Оценка рисков интеллектуальной собственности | Сигналы риска, связанные с IP-адрес | Оценивает сетевой контекст, а не полное поведение учетной записи. |
Веб-аналитика и Поведенческая аналитика часто используют одни и те же данные. Инструмент может сообщать о просмотрах страниц, а также анализировать пути между этими страницами. Разница часто заключается в задаваемом вопросе.
Поведенческая биометрия имеет более узкую направленность. В нем рассматриваются характеристики взаимодействия, которые могут помочь оценить личность или риск. Поведенческая аналитика также охватывает более широкие вопросы, например, какие функции используют пользователи или где процесс покупки прерывается.
Оценка риска IP касается выбранных сигналов, связанных с сетевым адресом. Он не суммирует все действия пользователя в учетной записи. Служба может учитывать этот балл наряду с поведенческими данными, но эти две оценки не являются взаимозаменяемыми.
Фраза «аналитика поведения пользователей» также встречается как в материалах по продуктам, так и в материалах по безопасности. Его значение должно быть ясно из контекста применения, а не предполагаться по названию.
Где подходят профили браузера
Отдельные профили браузера помогают организовать файлы cookie, сеансы и среду просмотра. MoreLogin использует профили для разделения сред учетных записей.
Такое разделение не меняет автоматически то, как оператор использует веб-сайт. Подобные действия по-прежнему могут происходить в разных средах. Профиль также не удаляет действия, уже записанные службой.
Разделение сред учетных записей может уменьшить путаницу в конфигурации. Сервис по-прежнему оценивает историю и активность аккаунта по своим правилам.
Ограничения, ложные срабатывания и конфиденциальность
Отсутствие истории и изменение привычек
У новых аккаунтов мало истории, с которой можно сравнивать. Новые функции и рабочие процессы также могут сделать существующие шаблоны менее полезными.
Даже опытные пользователи меняют свое поведение. Повышение по службе, другое устройство или новая ответственность могут изменить обычную деятельность. Система, игнорирующая эти изменения, может генерировать ненужные предупреждения.
Базовые показатели необходимо пересматривать по мере изменения основной работы.
Неполные или вводящие в заблуждение данные
Анализ зависит от качества записей.
- Отсутствие событий может сделать завершенный процесс заброшенным.
- Повторяющиеся события могут привести к увеличению количества действий.
- Общие аккаунты могут смешивать действия разных людей.
- Изменения в определениях событий могут затруднить сравнение периодов.
Прежде чем интерпретировать неожиданную закономерность, команды должны проверить, изменился ли сам сбор данных.
Ложные срабатывания и пропущенные угрозы
Законная деятельность может выглядеть необычно. Подозрительная деятельность также может напоминать обычное использование.
Инструменты специальных возможностей, сенсорные интерфейсы и опытные пользователи могут создавать шаблоны, отличающиеся от типичного сеанса рабочего стола. Авторизованная Автоматизация браузера также может повторять действия с постоянным интервалом времени. Процессу обеспечения безопасности необходим контекст, позволяющий отличить эти действия от злоупотреблений.
Больше предупреждений не обязательно означает лучшее обнаружение. Командам необходимо проанализировать, какие оповещения привели к полезным выводам, а какие создали ненужную работу.
Конфиденциальность и обработка данных
Записи о поведении могут предоставить подробную информацию о том, как кто-то использует услугу. Сбор должен соответствовать определенной цели.
Полезные элементы управления включают в себя:
- Ограничение сбора необходимыми событиями.
- Маскирование чувствительных полей ввода.
- Ограничение доступа к подробным записям.
- Установка сроков хранения.
- Объяснение того, как будут использоваться данные.
Не следует предполагать, что запись сеанса автоматически скрывает конфиденциальную информацию. Командам необходимо проверить свои настройки и проверить, что на самом деле фиксируется.
Часто задаваемые вопросы
Является ли Поведенческая аналитика тем же, что и аналитика поведения пользователей?
Термины часто пересекаются. Продуктовые команды могут использовать их для анализа вовлеченности и конверсии. Службы безопасности могут использовать аналитику поведения пользователей для расследования необычной активности учетной записи. Предполагаемое значение зависит от анализируемых данных и решения, которое они поддерживают.
Требуется ли для Поведенческая аналитика отслеживание мыши?
Нет. Посещения страниц, использование функций, покупки и журналы сервера могут поддерживать поведенческий анализ без данных указателей. Отслеживание мыши является одним из возможных источников информации. Это не является обязательным требованием и может не иметь значения для мобильных приложений или активности API.
Может ли Поведенческая аналитика обнаружить ботов?
Это может служить доказательством автоматизации. Время запроса, повторяющиеся последовательности и другие закономерности могут способствовать результату обнаружения. Этим шаблонам все еще нужен контекст. Утвержденная автоматизация может выглядеть механической, в то время как некоторые автоматизированные действия могут напоминать действия человека.
Может ли профиль VPN или браузера остановить отслеживание поведения?
Ни один из них не гарантирует, что служба не сможет записывать действия на своем веб-сайте или в приложении. VPN меняет сетевой маршрут. Профиль браузера разделяет части среды просмотра. Ни один из них не удаляет автоматически записи сервера и не предотвращает анализ текущих действий.
Чем Поведенческая аналитика отличается от поведенческой биометрии?
Поведенческая аналитика изучает шаблоны действий для таких целей, как улучшение продукта и проверка безопасности. Поведенческая биометрия фокусируется на характеристиках взаимодействия, которые могут поддерживать решения об идентификации или аутентификации. Ритм набора текста может иметь отношение к биометрии, тогда как отказ от оформления заказа – это более широкий вопрос Поведенческая аналитика.
