UKПоведінкова аналітика вивчає дані про активність, щоб знайти закономірності в тому, як люди використовують веб-сайти, програми та цифрові служби. Команди продуктів використовують його, щоб зрозуміти залученість і конверсію. Команди безпеки використовують його для виявлення незвичайної активності, яка потребує подальшої перевірки.
Та сама дія може служити обом цілям. Невдалий вхід може виявити заплутаний процес входу. Повторні збої в багатьох облікових записах також можуть сприяти розслідуванню безпеки. Подія має значення, але її значення залежить від навколишньої активності.
Що вимірює Поведінкова аналітика?
Дані про поведінку включають дії, які реєструє служба, і порядок їх виконання. Деякі системи аналізують відвідування сторінок і покупки. Інші досліджують спроби входу, час взаємодії або діяльність в обліковому записі.
Загальні типи даних включають:
| Тип даних | Приклади | Що це допомагає пояснити |
|---|---|---|
| Події | Перегляди сторінок, реєстрації, покупки, подання форм | Які дії користувачі виконують або відмовляються |
| Послідовності | Сторінки, відвідані до оформлення замовлення, дії після входу | Як користувачі переміщуються в процесі |
| Час і частота | Час між діями, повторні спроби, повторні візити | Як змінюється активність протягом або між сеансами |
| Шаблони взаємодії | Прокручування, рух вказівника, взаємодія з клавіатурою | Як користувачі працюють з інтерфейсом |
| Контекст діяльності | Роль облікового запису, історія сеансу, етап транзакції | Чи відповідає дія ситуації |
Не кожна система збирає всі ці сигнали. Команда продукту може вивчати послідовність реєстрації, не записуючи рухи миші. Система безпеки API може аналізувати послідовності запитів без збору даних про взаємодію браузера.
Властивості пристрою та інформація про мережу можуть додати контекст. відбиток пальця браузера описує характеристики середовища перегляду. Ці характеристики відрізняються від дій, що виконуються в ньому.
Новий браузер – це зміна середовища. Раптове збільшення конфіденційної активності облікового запису є зміною поведінки. Система може оцінювати обидва, але вони надають різні докази.
Як працює Поведінкова аналітика?
Процес починається із запитання. Команда продукту може захотіти знати, де користувачі відмовляються від реєстрації. Команда безпеки може перевірити, чи обліковий запис поводиться незвично.
Це питання визначає, які дані мають значення та як їх інтерпретувати.
- Збирайте релевантні дії. Події на веб-сайті, пакети SDK додатків і журнали сервера реєструють вибрані дії. Збір залежить від послуги та її конфігурації.
- Упорядковуйте записи. Події групуються за сеансом, обліковим записом, сегментом користувача або робочим процесом. Відсутні події та неповне зіставлення ідентифікаторів можуть вплинути на результат.
- Шукайте шаблони. Аналітики можуть порівнювати шляхи, вимірювати конверсію, групувати користувачів або досліджувати зміни від очікуваного шаблону.
- Інтерпретуйте результати. Результат може свідчити про проблему з продуктом, підтверджувати гіпотезу або ідентифікувати діяльність, яка заслуговує на дослідження.
- Перегляньте результат. Експерименти, відгуки користувачів і дослідження безпеки допомагають командам визначити, чи була їхня інтерпретація корисною.
Керування сеансами підтримує стан програми за запитами. Цей стан може допомогти службі розмістити дії в межах одного сеансу. Один лише сеанс не доводить, хто їх виконав.
Аналіз продукту
Команди продуктів часто використовують послідовності переходів для вимірювання прогресу в послідовності, наприклад реєстрації, налаштування та першого використання. Аналіз утримання показує, чи повертаються користувачі. Когортний аналіз порівнює групи, які мають спільну поведінку чи характеристику.
Ці методи допомагають знайти відмінності, які варто дослідити. Вони самі по собі не пояснюють причину.
Наприклад, користувачі, які завершили налаштування, можуть повертатися частіше. Це не доводить, що завершення налаштування викликає збереження. Більш мотивовані користувачі, швидше за все, зроблять і те, і інше.
Аналіз безпеки
Команди безпеки можуть порівнювати поточну діяльність із базовою лінією. Цей базовий рівень представляє очікувану поведінку для облікового запису, групи або певного робочого процесу.
Фінансовий працівник і системний адміністратор можуть мати дуже різні схеми доступу. Порівняння обох із одним широким стандартом утратило б корисний контекст.
Деякі системи використовують історичні та однорангові моделі, щоб оцінити, наскільки незвичною є дія. Незнайома дія може виділятися для одного облікового запису, а для інших із іншою роллю бути звичайною справою.
Результатом може бути оцінка або мітка аномалії. Окрема політика визначає, що буде далі. Сервіс може запросити додаткову перевірку, обмежити дію або надіслати активність на перевірку.
Приклади Поведінкова аналітика
Пошук проблеми в Checkout
Припустімо, що багато покупців йдуть після того, як з’явиться вартість доставки.
Поведінковий аналіз визначає стадію, на якій відбуваються ці виходи. Потім команда може порівняти пристрої, варіанти доставки та групи клієнтів.
Вартість доставки є одним із можливих пояснень. Несподівані терміни доставки або незрозуміла інформація також можуть сприяти. Відгуки клієнтів і контрольовані тести допомагають розрізнити ці пояснення.
Практична цінність полягає в тому, щоб знати, де дослідити, перш ніж змінити процес оформлення замовлення.
Перегляд незвичайної активності облікового запису
Розглянемо обліковий запис, який зазвичай отримує доступ до невеликого набору документів у робочий час. Він раптово починає завантажувати великі обсяги незнайомих файлів після нового входу.
Кожна подія могла мати законне пояснення. Можливо, користувач подорожує або готується до нового проекту. Разом ці зміни можуть виправдати перевірку, чи обліковий запис було зламано.
Для дослідження потрібні дозволи облікового запису, контекст входу та бізнес-активність. Починає огляд незвичайний візерунок. Це не врегулює це.
Оцінка автоматизованої діяльності
Поведінкові дані можуть сприяти Виявлення ботів. Повторювані послідовності запитів або незвичні показники активності можуть допомогти ідентифікувати автоматизований трафік.
Однак автоматизація за своєю суттю не шкідлива. Схвалені тести, служби моніторингу та інтеграції можуть створювати дуже послідовні шаблони.
Системи виявлення можуть поєднувати сигнали запиту, сеансу та браузера, а не покладатися лише на поведінку. Повторювана послідовність стає більш корисною, коли система також знає, яку дію намагається виконати та за яких умов.
Людина, яка використовує навігацію з клавіатури, може не рухати мишею. Менеджер паролів може заповнювати поля майже миттєво. Жодна дія не доводить, що сеанс є шкідливим.
Поведінкова аналітика проти пов’язаних понять
Кілька термінів збігаються з Поведінкова аналітика. Їхні головні розбіжності стосуються даних, які вони наголошують, і рішень, які вони підтримують.
| Концепція | Основна увага | Зв’язок із Поведінкова аналітика |
|---|---|---|
| Веб-аналітика | Трафік і використання веб-сайту | Може включати однакові події, шляхи та аналіз переходів |
| Фінгерпринтинг браузера | Характеристики браузера та пристрою | Додає контекст середовища, а не описує повний шаблон діяльності |
| Поведінкова біометрія | Характеристики взаємодії, наприклад ритм друку | Більше уваги приділяє ідентифікації, автентифікації чи оцінці ризику |
| Аналітика поведінки користувачів і організацій, або UEBA | Шаблони безпеки для користувачів та інших об’єктів | Застосовує аналіз поведінки для моніторингу безпеки |
| Оцінка ризику IP | Сигнали ризику, пов’язані з IP-адреса | Оцінює контекст мережі, а не повну поведінку облікового запису |
Веб-аналітика та Поведінкова аналітика часто використовують ті самі дані. Інструмент може звітувати про перегляди сторінок, а також аналізувати шляхи між цими сторінками. Різниця часто полягає в поставленому питанні.
Поведінкова біометрія має більш вузьку спрямованість. Він вивчає характеристики взаємодії, які можуть допомогти оцінити ідентичність або ризик. Поведінкова аналітика також охоплює ширші питання, наприклад, які функції використовують користувачі або де ламається шлях до покупки.
Оцінка ризику IP стосується вибраних сигналів, пов’язаних із мережевою адресою. Він не підсумовує все, що користувач робить в обліковому записі. Служба може розглядати цю оцінку разом із поведінковими доказами, але ці дві оцінки не є взаємозамінними.
Фраза аналітика поведінки користувачів також з’являється у вмісті продуктів і безпеки. Його значення має бути зрозумілим із контексту застосування, а не лише з назви.
Де підходять профілі браузера
Окремі профілі браузера допомагають організувати файли cookie, сеанси та середовища перегляду. MoreLogin використовує профілі для розділення середовищ облікових записів.
Це розділення не змінює автоматично те, як оператор використовує веб-сайт. Подібні дії можуть відбуватися в різних середовищах. Профіль також не стирає дії, уже записані службою.
Окреме середовище облікових записів може зменшити плутанину конфігурації. Сервіс все ще оцінює історію та активність облікового запису за власними правилами.
Обмеження, помилкові спрацьовування та конфіденційність
Відсутня історія та зміна звичок
Нові облікові записи мають невелику історію для порівняння. Нові функції та робочі процеси також можуть зробити існуючі шаблони менш корисними.
Навіть досвідчені користувачі змінюють свою поведінку. Підвищення по службі, інший пристрій або нова відповідальність можуть змінити звичайну діяльність. Система, яка ігнорує ці зміни, може генерувати непотрібні сповіщення.
Базові показники потребують перегляду, оскільки основна робота змінюється.
Неповні або оманливі дані
Аналіз залежить від якості записів.
- Відсутні події можуть змусити завершений процес виглядати покинутим.
- Повторювані події можуть збільшити кількість активності.
- Спільні облікові записи можуть змішувати дії різних людей.
- Зміни у визначеннях подій можуть ускладнити порівняння періодів.
Перш ніж інтерпретувати неочікуваний шаблон, команди повинні перевірити, чи змінився сам збір даних.
Помилкові спрацьовування та пропущені загрози
Законна діяльність може виглядати незвично. Підозріла діяльність також може нагадувати звичайне використання.
Інструменти спеціальних можливостей, сенсорні інтерфейси та досвідчені користувачі можуть створювати шаблони, які відрізняються від типового сеансу на робочому столі. Авторизована Автоматизація браузера також може повторювати дії з узгодженим часом. Процес безпеки потребує контексту, щоб відрізнити ці дії від зловживань.
Більше сповіщень не обов’язково означає краще виявлення. Командам необхідно переглянути, які сповіщення призвели до корисних висновків, а які створили непотрібну роботу.
Конфіденційність і обробка даних
Поведінкові записи можуть надати детальну інформацію про те, як хтось використовує службу. Збір має відповідати певній меті.
Корисні елементи керування включають:
- Обмеження колекції необхідними подіями.
- Маскування чутливих полів введення.
- Обмеження доступу до детальних записів.
- Встановлення термінів зберігання.
- Пояснення того, як будуть використовуватися дані.
Не слід вважати, що запис сеансу автоматично приховує конфіденційну інформацію. Команди повинні перевірити свої налаштування та перевірити, що насправді зафіксовано.
Часті запитання
Чи Поведінкова аналітика те саме, що й аналітика поведінки користувачів?
Терміни часто збігаються. Команди продуктів можуть використовувати їх для аналізу залучення та конверсії. Команди безпеки можуть використовувати аналітику поведінки користувачів, щоб дослідити незвичайну активність облікового запису. Передбачуване значення залежить від даних, що аналізуються, і рішення, яке вони підтримують.
Чи вимагає Поведінкова аналітика відстеження миші?
Ні. Відвідування сторінок, використання функцій, покупки та журнали сервера можуть підтримувати аналіз поведінки без даних покажчиків. Відстеження миші є одним із можливих джерел інформації. Це не є обов’язковою умовою та може бути неактуальним для мобільних додатків або активності API.
Чи може Поведінкова аналітика виявляти ботів?
Це може надати докази автоматизації. Час запиту, повторювані послідовності та інші закономірності можуть впливати на результат виявлення. Ці моделі все ще потребують контексту. Схвалена автоматизація може виглядати механічно, тоді як деякі автоматизовані дії можуть нагадувати використання людини.
Чи може VPN або профіль браузера зупинити відстеження поведінки?
Жодна з них не гарантує, що служба не зможе реєструвати дії на власному веб-сайті чи в додатку. VPN змінює мережевий маршрут. Профіль браузера розділяє частини середовища перегляду. Ані автоматично не видаляє записи сервера, ані запобігає аналізу поточних дій.
Чим Поведінкова аналітика відрізняється від поведінкової біометрії?
Поведінкова аналітика вивчає моделі активності для таких цілей, як покращення продукту та перевірка безпеки. Поведінкова біометрія зосереджена на характеристиках взаємодії, які можуть підтримувати рішення про ідентифікацію або автентифікацію. Ритм набору тексту може мати відношення до біометричних даних, тоді як відмова від оплати є ширшим питанням Поведінкова аналітика.
