VNPhân tích hành vi kiểm tra dữ liệu hoạt động để tìm ra các mẫu trong cách mọi người sử dụng trang web, ứng dụng và dịch vụ kỹ thuật số. Nhóm sản phẩm sử dụng nó để hiểu mức độ tương tác và chuyển đổi. Các nhóm bảo mật sử dụng nó để xác định hoạt động bất thường cần xem xét thêm.
Cùng một hành động có thể phục vụ cả hai mục đích. Đăng nhập thất bại có thể tiết lộ quá trình đăng nhập khó hiểu. Lỗi lặp đi lặp lại trên nhiều tài khoản cũng có thể hỗ trợ việc điều tra bảo mật. Sự kiện quan trọng nhưng ý nghĩa của nó phụ thuộc vào hoạt động xung quanh.
Phân tích hành vi đo lường điều gì?
Dữ liệu hành vi bao gồm các hành động mà dịch vụ ghi lại và thứ tự chúng xảy ra. Một số hệ thống phân tích lượt truy cập trang và mua hàng. Những người khác kiểm tra các lần thử đăng nhập, thời gian tương tác hoặc hoạt động trong tài khoản.
Các kiểu dữ liệu phổ biến bao gồm:
| Kiểu dữ liệu | Ví dụ | Điều đó giúp giải thích điều gì |
|---|---|---|
| Sự kiện | Lượt xem trang, đăng ký, mua hàng, gửi biểu mẫu | Những hành động nào người dùng hoàn thành hoặc bỏ qua |
| trình tự | Các trang đã truy cập trước khi thanh toán, hành động sau khi đăng nhập | Cách người dùng di chuyển qua một quy trình |
| Thời gian và tần suất | Thời gian giữa các hành động, các lần thử lặp lại, các lần quay lại | Cách hoạt động thay đổi trong hoặc giữa các phiên |
| Mẫu tương tác | Cuộn, di chuyển con trỏ, tương tác bàn phím | Cách người dùng vận hành một giao diện |
| Bối cảnh hoạt động | Vai trò tài khoản, lịch sử phiên, giai đoạn giao dịch | Liệu một hành động có phù hợp với tình huống hay không |
Không phải mọi hệ thống đều thu thập tất cả các tín hiệu này. Nhóm sản phẩm có thể nghiên cứu kênh đăng ký mà không cần ghi lại chuyển động của chuột. Hệ thống bảo mật API có thể phân tích chuỗi yêu cầu mà không thu thập dữ liệu tương tác của trình duyệt.
Thuộc tính thiết bị và thông tin mạng có thể thêm ngữ cảnh. dấu vân tay trình duyệt mô tả các đặc điểm của môi trường duyệt web. Những đặc điểm đó khác với các hành động được thực hiện bên trong nó.
Một trình duyệt mới là một sự thay đổi môi trường. Hoạt động tài khoản nhạy cảm tăng đột ngột là sự thay đổi hành vi. Một hệ thống có thể đánh giá cả hai, nhưng chúng cung cấp bằng chứng khác nhau.
Phân tích hành vi hoạt động như thế nào?
Quá trình bắt đầu bằng một câu hỏi. Nhóm sản phẩm có thể muốn biết người dùng từ bỏ đăng ký ở đâu. Nhóm bảo mật có thể điều tra xem tài khoản có hoạt động bất thường hay không.
Câu hỏi đó xác định dữ liệu nào quan trọng và cách diễn giải nó.
- Thu thập hoạt động có liên quan. Sự kiện trên trang web, SDK ứng dụng và nhật ký máy chủ ghi lại các hành động đã chọn. Bộ sưu tập phụ thuộc vào dịch vụ và cấu hình của nó.
- Sắp xếp hồ sơ. Các sự kiện được nhóm theo phiên, tài khoản, phân khúc người dùng hoặc quy trình làm việc. Việc thiếu sự kiện và kết quả nhận dạng không đầy đủ có thể ảnh hưởng đến kết quả.
- Tìm kiếm các mẫu. Các nhà phân tích có thể so sánh các đường dẫn, đo lường chuyển đổi, nhóm người dùng hoặc kiểm tra các thay đổi so với một mẫu dự kiến.
- Giải thích các phát hiện. Kết quả có thể gợi ý vấn đề về sản phẩm, hỗ trợ một giả thuyết hoặc xác định hoạt động đáng được điều tra.
- Xem xét kết quả. Các thử nghiệm, phản hồi của người dùng và điều tra bảo mật giúp các nhóm đánh giá liệu cách giải thích của họ có hữu ích hay không.
Quản lý phiên duy trì trạng thái ứng dụng qua các yêu cầu. Trạng thái đó có thể giúp dịch vụ thực hiện các hành động trong cùng một phiên. Chỉ một phiên họp không chứng minh được ai đã thực hiện chúng.
Phân tích sản phẩm
Nhóm sản phẩm thường dùng phễu phân tích để đo tiến trình thông qua một trình tự, chẳng hạn như đăng ký, thiết lập và lần sử dụng đầu tiên. Phân tích tỷ lệ giữ chân cho biết liệu người dùng có quay lại hay không. Phân tích đoàn hệ so sánh các nhóm có chung hành vi hoặc đặc điểm.
Những phương pháp này giúp xác định những khác biệt đáng để điều tra. Họ không tự mình giải thích nguyên nhân.
Ví dụ: người dùng hoàn tất thiết lập có thể quay lại thường xuyên hơn. Điều đó không chứng minh rằng việc hoàn tất thiết lập sẽ gây ra tình trạng lưu giữ. Những người dùng có động lực hơn có thể có nhiều khả năng làm cả hai việc hơn.
Phân tích bảo mật
Các nhóm bảo mật có thể so sánh hoạt động hiện tại với đường cơ sở. Đường cơ sở này thể hiện hành vi dự kiến đối với một tài khoản, một nhóm hoặc một quy trình công việc cụ thể.
Nhân viên tài chính và quản trị viên hệ thống có thể có các kiểu truy cập rất khác nhau. So sánh cả hai với một tiêu chuẩn rộng sẽ bỏ lỡ bối cảnh hữu ích.
Một số hệ thống sử dụng mẫu lịch sử và ngang hàng để đánh giá mức độ bất thường của một hành động. Một hành động lạ có thể nổi bật đối với một tài khoản trong khi lại là hành động thường xuyên đối với những tài khoản khác có vai trò khác.
Kết quả có thể là điểm số hoặc nhãn bất thường. Một chính sách riêng biệt sẽ xác định điều gì sẽ xảy ra tiếp theo. Dịch vụ có thể yêu cầu xác minh bổ sung, giới hạn một hành động hoặc gửi hoạt động đó để xem xét.
Ví dụ về Phân tích hành vi
Tìm sự cố khi thanh toán
Giả sử nhiều người mua hàng rời đi sau khi phí giao hàng xuất hiện.
Phân tích hành vi xác định giai đoạn mà những lối thoát đó xảy ra. Sau đó, nhóm có thể so sánh các thiết bị, tùy chọn giao hàng và nhóm khách hàng.
Chi phí vận chuyển là một lời giải thích có thể. Thời gian giao hàng ngoài dự kiến hoặc thông tin không rõ ràng cũng có thể góp phần. Phản hồi của khách hàng và các bài kiểm tra có kiểm soát giúp phân biệt giữa những lời giải thích đó.
Giá trị thực tế là biết nơi cần điều tra trước khi thay đổi quy trình thanh toán.
Xem xét hoạt động tài khoản bất thường
Hãy xem xét một tài khoản thường truy cập một bộ tài liệu nhỏ trong giờ làm việc. Nó đột nhiên bắt đầu tải xuống khối lượng lớn các tệp lạ sau lần đăng nhập mới.
Mỗi sự kiện có thể có một lời giải thích hợp lý. Người dùng có thể đang đi du lịch hoặc chuẩn bị cho một dự án mới. Cùng với nhau, những thay đổi có thể biện minh cho việc kiểm tra xem tài khoản có bị xâm phạm hay không.
Cuộc điều tra cần có quyền tài khoản, bối cảnh đăng nhập và hoạt động kinh doanh. Một mô hình bất thường bắt đầu đánh giá. Nó không giải quyết nó.
Đánh giá hoạt động tự động
Bằng chứng hành vi có thể góp phần vào Phát hiện bot. Chuỗi yêu cầu lặp lại hoặc tỷ lệ hoạt động bất thường có thể giúp xác định lưu lượng truy cập tự động.
Tuy nhiên, tự động hóa vốn không có hại. Các thử nghiệm, dịch vụ giám sát và tích hợp được phê duyệt có thể tạo ra các mẫu có tính nhất quán cao.
Hệ thống phát hiện có thể kết hợp yêu cầu, phiên và tín hiệu trình duyệt thay vì chỉ dựa vào hành vi. Trình tự lặp lại sẽ trở nên hữu ích hơn khi hệ thống cũng biết hành động nào đang được thực hiện và trong điều kiện nào.
Một người sử dụng điều hướng bằng bàn phím có thể không di chuyển được chuột. Trình quản lý mật khẩu có thể hoàn thành các trường gần như ngay lập tức. Không có hành động nào chứng minh rằng phiên này là độc hại.
Phân tích hành vi so với các khái niệm liên quan
Một số thuật ngữ trùng lặp với Phân tích hành vi. Sự khác biệt chính của chúng liên quan đến dữ liệu chúng nhấn mạnh và các quyết định chúng hỗ trợ.
| Ý tưởng | Trọng tâm chính | Mối quan hệ với Phân tích hành vi |
|---|---|---|
| Phân tích trang web | Lưu lượng truy cập và sử dụng trang web | Có thể bao gồm các sự kiện, đường dẫn và phân tích chuyển đổi giống nhau |
| Dấu vân tay trình duyệt | Đặc điểm của trình duyệt và thiết bị | Thêm bối cảnh môi trường thay vì mô tả toàn bộ mẫu hoạt động |
| Sinh trắc học hành vi | Đặc điểm tương tác, chẳng hạn như nhịp gõ | Tập trung chặt chẽ hơn vào nhận dạng, xác thực hoặc đánh giá rủi ro |
| Phân tích hành vi người dùng và thực thể hoặc UEBA | Các mẫu bảo mật giữa người dùng và các thực thể khác | Áp dụng phân tích hành vi để giám sát an ninh |
| Chấm điểm rủi ro IP | Các tín hiệu rủi ro liên quan đến Địa chỉ IP | Đánh giá bối cảnh mạng thay vì hành vi hoàn chỉnh của một tài khoản |
Phân tích trang web và Phân tích hành vi thường sử dụng cùng một dữ liệu. Một công cụ có thể báo cáo lượt xem trang và cũng có thể phân tích đường dẫn giữa các trang đó. Sự khác biệt thường nằm ở câu hỏi được hỏi.
Sinh trắc học hành vi có trọng tâm hẹp hơn. Nó kiểm tra các đặc điểm tương tác có thể giúp đánh giá danh tính hoặc rủi ro. Phân tích hành vi cũng bao gồm các câu hỏi rộng hơn, chẳng hạn như tính năng nào người dùng áp dụng hoặc hành trình mua hàng bị gián đoạn ở đâu.
Điểm rủi ro IP liên quan đến các tín hiệu được chọn liên kết với địa chỉ mạng. Nó không tóm tắt mọi thứ người dùng làm trong tài khoản. Dịch vụ có thể xem xét điểm đó cùng với bằng chứng hành vi, nhưng hai đánh giá này không thể thay thế cho nhau.
Cụm từ phân tích hành vi người dùng cũng xuất hiện trong cả nội dung sản phẩm và bảo mật. Ý nghĩa của nó phải rõ ràng từ ứng dụng chứ không phải được giả định từ tên gọi.
Hồ sơ trình duyệt phù hợp ở đâu
Cấu hình trình duyệt riêng biệt giúp sắp xếp cookie, phiên và môi trường duyệt web. MoreLogin sử dụng hồ sơ để tách biệt môi trường tài khoản.
Sự tách biệt đó không tự động thay đổi cách người điều hành sử dụng trang web. Các hành động tương tự vẫn có thể xảy ra trên các môi trường khác nhau. Cấu hình cũng không xóa hoạt động đã được dịch vụ ghi lại.
Việc tách biệt các môi trường tài khoản có thể làm giảm tình trạng trộn lẫn cấu hình. Dịch vụ vẫn đánh giá lịch sử và hoạt động tài khoản theo quy tắc riêng.
Hạn chế, tích cực sai và quyền riêng tư
Thiếu lịch sử và thay đổi thói quen
Các tài khoản mới có ít lịch sử để so sánh. Các tính năng và quy trình công việc mới cũng có thể làm cho các mẫu hiện có trở nên ít hữu ích hơn.
Ngay cả những người dùng đã thành lập cũng thay đổi hành vi của họ. Sự thăng tiến, một công cụ khác hoặc một trách nhiệm mới có thể làm thay đổi hoạt động bình thường. Một hệ thống bỏ qua những thay đổi đó có thể tạo ra những cảnh báo không cần thiết.
Đường cơ sở cần được xem xét khi công việc cơ bản thay đổi.
Dữ liệu không đầy đủ hoặc gây hiểu lầm
Phân tích phụ thuộc vào chất lượng của hồ sơ.
- Việc thiếu sự kiện có thể khiến một quy trình đã hoàn tất trông như bị bỏ dở.
- Các sự kiện trùng lặp có thể làm tăng số lượng hoạt động.
- Tài khoản dùng chung có thể kết hợp hành động của những người khác nhau.
- Những thay đổi trong định nghĩa sự kiện có thể làm cho việc so sánh các giai đoạn trở nên khó khăn.
Trước khi diễn giải một mẫu không mong muốn, các nhóm nên kiểm tra xem bản thân việc thu thập dữ liệu có thay đổi hay không.
Tích cực sai và các mối đe dọa bị bỏ lỡ
Hoạt động hợp pháp có thể trông bất thường. Hoạt động đáng ngờ cũng có thể giống với việc sử dụng thông thường.
Các công cụ trợ năng, giao diện cảm ứng và người dùng có kinh nghiệm có thể tạo ra các mẫu khác với phiên trên máy tính để bàn thông thường. Tự động hóa trình duyệt được ủy quyền cũng có thể lặp lại các hành động với thời gian nhất quán. Quy trình bảo mật cần có bối cảnh để phân biệt các hoạt động này với hành vi lạm dụng.
Nhiều cảnh báo hơn không nhất thiết có nghĩa là phát hiện tốt hơn. Các nhóm cần xem xét cảnh báo nào dẫn đến những phát hiện hữu ích và cảnh báo nào tạo ra công việc không cần thiết.
Quyền riêng tư và xử lý dữ liệu
Hồ sơ hành vi có thể tiết lộ thông tin chi tiết về cách ai đó sử dụng dịch vụ. Bộ sưu tập phải phù hợp với mục đích đã xác định.
Các điều khiển hữu ích bao gồm:
- Giới hạn việc thu thập ở những sự kiện cần thiết.
- Che giấu các trường đầu vào nhạy cảm.
- Hạn chế quyền truy cập vào hồ sơ chi tiết.
- Thiết lập thời gian lưu giữ.
- Giải thích cách dữ liệu sẽ được sử dụng.
Không nên coi việc ghi phiên là để tự động ẩn thông tin nhạy cảm. Các nhóm cần xác minh cài đặt của mình và kiểm tra những gì thực sự được ghi lại.
Câu hỏi thường gặp
Phân tích hành vi có giống với phân tích hành vi người dùng không?
Các điều khoản thường chồng chéo. Nhóm sản phẩm có thể sử dụng chúng để phân tích mức độ tương tác và chuyển đổi. Nhóm bảo mật có thể sử dụng phân tích hành vi người dùng để điều tra hoạt động tài khoản bất thường. Ý nghĩa dự định phụ thuộc vào dữ liệu được phân tích và quyết định mà nó hỗ trợ.
Phân tích hành vi có yêu cầu theo dõi chuột không?
KHÔNG. Lượt truy cập trang, sử dụng tính năng, mua hàng và nhật ký máy chủ có thể hỗ trợ phân tích hành vi mà không cần dữ liệu con trỏ. Theo dõi chuột là một nguồn thông tin có thể. Đây không phải là một yêu cầu và có thể không liên quan đến các ứng dụng di động hoặc hoạt động API.
Phân tích hành vi có thể phát hiện bot không?
Nó có thể cung cấp bằng chứng về tự động hóa. Thời gian yêu cầu, trình tự lặp lại và các mẫu khác có thể đóng góp vào kết quả phát hiện. Những mô hình đó vẫn cần bối cảnh. Tự động hóa được phê duyệt có thể trông máy móc, trong khi một số hoạt động tự động có thể giống với việc sử dụng của con người.
VPN hoặc hồ sơ trình duyệt có thể ngừng theo dõi hành vi không?
Không đảm bảo rằng dịch vụ không thể ghi lại hoạt động trong trang web hoặc ứng dụng của chính dịch vụ đó. VPN thay đổi tuyến mạng. Cấu hình trình duyệt tách biệt các phần của môi trường duyệt web. Không tự động xóa bản ghi máy chủ hoặc ngăn chặn việc phân tích các hành động hiện tại.
Phân tích hành vi khác với sinh trắc học hành vi như thế nào?
Phân tích hành vi kiểm tra các mẫu hoạt động cho các mục đích như cải tiến sản phẩm và đánh giá bảo mật. Sinh trắc học hành vi tập trung vào các đặc điểm tương tác có thể hỗ trợ các quyết định nhận dạng hoặc xác thực. Nhịp điệu gõ có thể liên quan đến sinh trắc học, trong khi việc bỏ qua thanh toán là một câu hỏi Phân tích hành vi rộng hơn.
