ZH行为分析检查活动数据以查找人们如何使用网站、应用和数字服务的模式。 产品团队使用它来了解参与度和转化率。 安全团队使用它来识别需要进一步审查的异常活动。
同一个动作可以达到两个目的。 登录失败可能会暴露出令人困惑的登录过程。 许多帐户重复出现故障也可能支持安全调查。 该事件很重要，但其意义取决于周围的活动。
行为分析衡量什么？
行为数据包括服务记录的操作及其发生的顺序。 一些系统分析页面访问和购买。 其他人则检查登录尝试、交互时间或帐户内的活动。
常见的数据类型包括：
| 数据类型 | 示例 | 它有助于解释什么 |
|---|---|---|
| 活动 | 页面浏览量、注册、购买、表单提交 | 用户完成或放弃哪些操作 |
| 序列 | 结帐前访问的页面、登录后的操作 | 用户如何完成流程 |
| 时间和频率 | 操作之间的时间、重复尝试、回访 | 活动在会话内或会话之间如何变化 |
| 交互模式 | 滚动、指针移动、键盘交互 | 用户如何操作界面 |
| 活动背景 | 账户角色、会话历史、交易阶段 | 行动是否适合情境 |
并非每个系统都会收集所有这些信号。 产品团队可以研究注册渠道，而无需记录鼠标移动。 API 安全系统可以分析请求序列而不收集浏览器交互数据。
设备属性和网络信息可以添加上下文。 浏览器指纹描述了浏览环境的特征。 这些特征不同于其中执行的操作。
新的浏览器是环境的变化。 敏感帐户活动突然增加是一种行为改变。 系统可以评估两者，但它们提供不同的证据。
行为分析如何运作？
该过程从一个问题开始。 产品团队可能想知道用户在哪里放弃注册。 安全团队可能会调查帐户是否行为异常。
这个问题决定了哪些数据重要以及如何解释它。
- 收集相关活动。 网站事件、应用程序 SDK 和服务器日志记录所选操作。 收集取决于服务及其配置。
- 组织记录。 事件按会话、帐户、用户段或工作流程分组。 缺失事件和不完整的身份匹配可能会影响结果。
- **寻找模式。**分析师可以比较路径、衡量转化、对用户进行分组或检查预期模式的变化。
- 解释结果。 结果可能表明产品存在问题、支持假设或确定值得调查的活动。
- 查看结果。 实验、用户反馈和安全调查可帮助团队判断他们的解释是否有用。
会话管理 跨请求维护应用程序状态。 该状态可以帮助服务在同一会话中放置操作。 仅凭一次会话并不能证明是谁执行了这些操作。
产品分析
产品团队经常使用漏斗来衡量一系列序列的进度，例如注册、设置和首次使用。 留存分析显示用户是否回访。 群组分析比较具有共同行为或特征的群体。
这些方法有助于找出值得研究的差异。 他们自己并没有解释原因。
例如，完成设置的用户可能会更频繁地返回。 这并不能证明完成设置会导致保留。 更有动力的用户可能更有可能同时执行这两种操作。
证券分析
安全团队可以将当前活动与基线进行比较。 此基线代表帐户、组或特定工作流程的预期行为。
财务员工和系统管理员可以有非常不同的访问模式。 将两者与一个广泛的标准进行比较会错过有用的背景。
某些系统使用 历史和对等模式 来评估操作的异常程度。 一项不熟悉的操作可能会在一个帐户中脱颖而出，而对于其他角色的其他帐户来说却是例行公事。
结果可以是分数或异常标签。 单独的策略决定接下来会发生什么。 该服务可能会请求额外的验证、限制操作或发送活动以供审核。
行为分析
发现结帐中的问题
假设许多购物者在运费出现后离开。
行为分析可以确定这些退出发生的阶段。 然后，团队可以比较设备、交付选项和客户群体。
运输成本是一种可能的解释。 意外的交货时间或不明确的信息也可能造成影响。 客户反馈和受控测试有助于区分这些解释。
实用价值是在更改结帐流程之前知道在哪里进行调查。
检查异常账户活动
考虑一个通常在工作时间访问一小部分文档的帐户。 新登录后，它突然开始下载大量陌生文件。
每个事件都可以有合理的解释。 用户可能正在旅行或准备新项目。 总之，这些变化可能证明检查帐户是否已被盗用是合理的。
调查需要帐户权限、登录上下文和业务活动。 一种不寻常的模式开始了审查。 它并没有解决它。
评估自动化活动
行为证据有助于 Bot 检测。 重复的请求序列或异常的活动率可能有助于识别自动流量。
然而，自动化本质上并不是有害的。 批准的测试、监控服务和集成可以产生高度一致的模式。
检测系统可以结合请求、会话和浏览器信号，而不是单独依赖行为。 当系统还知道正在尝试执行哪个操作以及在什么条件下执行操作时，重复序列会变得更加有用。
使用键盘导航的人可能不会产生鼠标移动。 密码管理器几乎可以立即完成字段。 这两种操作都不能证明该会话是恶意的。
行为分析与相关概念
有几个术语与行为分析重叠。 他们的主要区别在于他们强调的数据和他们支持的决策。
| 概念 | 主要焦点 | 与行为分析的关系 |
|---|---|---|
| 网络分析 | 网站流量和使用情况 | 可以包含相同的事件、路径和转化分析 |
| 浏览器指纹 | 浏览器和设备特征 | 添加环境上下文而不是描述完整的活动模式 |
| 行为生物识别 | 交互特征，例如打字节奏 | 更加关注身份、身份验证或风险评估 |
| 用户和实体行为分析（UEBA） | 跨用户和其他实体的安全模式 | 将行为分析应用于安全监控 |
| 知识产权风险评分 | 与IP地址相关的风险信号 | 评估网络环境而不是帐户的完整行为 |
网络分析和行为分析通常使用相同的数据。 工具可以报告页面视图并分析这些页面之间的路径。 差异通常在于所提出的问题。
行为生物识别技术的关注范围较窄。 它检查可能有助于评估身份或风险的交互特征。 行为分析还涵盖更广泛的问题，例如用户采用哪些功能或购买过程在哪里发生故障。
IP 风险评分 涉及与网络地址关联的选定信号。 它并没有总结用户在帐户中所做的一切。 服务可能会将该分数与行为证据一起考虑，但这两种评估不可互换。
用户行为分析一词也出现在产品和安全内容中。 它的含义应根据具体应用场景判断，而不能仅凭名称推断。
浏览器配置文件适合的地方
单独的浏览器配置文件 帮助组织 cookie、会话和浏览环境。 MoreLogin 使用配置文件来保持帐户环境独立。
这种分离不会自动改变运营商使用网站的方式。 类似的操作仍然可能在不同的环境中发生。 配置文件也不会删除服务已记录的活动。
保持帐户环境独立可以减少配置混淆。 该服务仍然根据自己的规则评估帐户历史记录和活动。
限制、误报和隐私
缺失的历史和改变的习惯
新账户几乎没有历史可供比较。 新功能和工作流程也会降低现有模式的用处。
即使是老用户也会改变他们的行为。 晋升、不同的设备或新的职责都可能改变正常的活动。 忽略这些更改的系统可能会生成不必要的警报。
随着基础工作的变化，需要审查基线。
数据不完整或有误导性
分析取决于记录的质量。
- 缺少事件可能会使已完成的流程看起来被遗弃。
- 重复的事件可能会增加活动计数。
- 共享帐户可以混合不同人的操作。
- 事件定义的变化可能会使时期难以比较。
在解释意外模式之前，团队应检查数据收集本身是否发生变化。
误报和漏报的威胁
合法活动可能看起来不寻常。 可疑活动也可能类似于普通使用。
辅助工具、触摸界面和经验丰富的用户可能会产生与典型桌面会话不同的模式。 授权的浏览器自动化也可以以一致的时间重复操作。 安全流程需要上下文来区分这些活动和滥用。
更多警报并不一定意味着更好的检测。 团队需要审查哪些警报带来了有用的发现，哪些警报造成了不必要的工作。
隐私和数据处理
行为记录可以公开有关某人如何使用服务的详细信息。 收集应符合既定目的。
有用的控件包括：
- 将收集限制为必要的事件。
- 屏蔽敏感输入字段。
- 限制对详细记录的访问。
- 设置保留期限。
- 解释如何使用数据。
不应假定会话记录会自动隐藏敏感信息。 团队需要验证他们的设置并检查实际捕获的内容。
常见问题解答
行为分析与用户行为分析相同吗？
这些术语经常重叠。 产品团队可以使用它们进行参与度和转化分析。 安全团队可以使用用户行为分析来调查异常帐户活动。 预期含义取决于正在分析的数据及其支持的决策。
行为分析是否需要鼠标跟踪？
不。 页面访问、功能使用、购买和服务器日志可以支持行为分析，无需指针数据。 鼠标跟踪是一种可能的信息来源。 这不是必需的，并且可能与移动应用程序或 API 活动无关。
行为分析可以检测机器人吗？
它可以提供自动化的证据。 请求定时、重复序列和其他模式可能对检测结果有贡献。 这些模式仍然需要背景。 经批准的自动化可能看起来很机械，而一些自动化活动可能类似于人类的使用。
VPN 或浏览器配置文件可以停止行为跟踪吗？
两者都不保证服务无法记录其自己的网站或应用程序内的活动。 VPN 改变网络路由。 浏览器配置文件将浏览环境的各个部分分开。 既不会自动删除服务器记录，也不会阻止对当前操作的分析。
行为分析与行为生物识别有何不同？
行为分析检查活动模式，以实现产品改进和安全审查等目的。 行为生物识别侧重于可能支持身份或身份验证决策的交互特征。 打字节奏可能与生物识别相关，而结帐放弃是一个更广泛的行为分析问题。
