01 · 审计体系与日志基线
1.1 审计数据模型：六要素
数据访问审计的价值取决于记录结构的规范性。建议所有访问日志（无论来自ZTNA网关、数据库代理、DLP还是应用自身）统一对齐六要素模型：主体（自然人或机器身份的唯一标识）、凭证（实际用于认证的凭据与认证强度，区分"人"与"所用账号"）、时间（请求与决策时间戳，统一时区与NTP校准）、设备（设备身份、姿态评分、来源网络位置）、客体（资源与数据对象，携分级标签）、操作与结果（操作类型、数据量、策略决策与理由）。六要素缺一，事后溯源与影响面评估就无法闭环——这也是子课题06（泄露溯源与应急）的第一证据链。
1.2 日志基线的法定要求
- 《网络安全法》第21条：网络运营者应采取监测、记录网络运行状态与网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月——这是国内日志留存的下限要求，等保测评中"安全审计"控制项的直接依据。
- OMB M-21-31（2021年10月）：美国联邦事件响应日志要求，定义了日志分类（EL0—EL3）与留存、共享的技术期望；虽直接约束联邦机构，但其"日志成熟度分级"方法对组织自建SIEM有参照价值。
- 等保2.0审计要求（GB/T 22239-2019）：三级及以上系统应审计重要的用户行为与安全事件、对审计记录进行保护（防篡改、防删除）并定期备份——审计日志本身应按重要数据管理，其访问纳入监控。
- 《个人信息保护法》第51条：个人信息处理者应采取加密、去标识化等安全技术措施——员工与客户数据的访问日志若含个人信息，同样适用。
架构要点：①PDP决策日志与PA流量日志分开采集、统一关联（决策理由只在控制面产生）；②日志时间同步（NTP）是取证可信度的前提，应在审计清单中单列；③日志防篡改采用WORM存储或哈希链/签名机制，留存期与《网络安全法》六个月底线对齐，重要数据相关日志建议延长留存。
02 · UEBA与异常检测场景库
2.1 工作原理
UEBA（用户与实体行为分析）以历史数据建立主体（用户、账号、设备、服务）的行为基线，对偏离基线的访问行为计算风险评分，并联动信任算法执行处置（第3页信任算法输出）。基线维度包括：时间模式（惯常工作时段）、空间模式（惯常来源地/网络）、操作模式（惯常访问的数据集与操作类型）、量级模式（日常数据访问量）、同伴模式（同岗位群体的行为分布）。
2.2 检测场景库（数据访问视角）
| 异常场景 | 检测逻辑示例 | 建议处置 |
|---|---|---|
| 批量数据导出 | 单位时间导出记录数/容量超个人历史基线数倍，或触达系统TOP用户阈值 | step-up认证→降权/阻断→工单复核 |
| 非工作时间访问 | 历史基线外的时段访问重要数据（结合节假日、值班白名单） | step-up认证＋告警至主管 |
| 非常用地点/网络 | 来源国家/ASN/网络段偏离基线；impossible travel（短时跨地域登录） | 会话吊销→强制重新认证 |
| 权限突增后访问 | 权限变更（含临时授权）后短时间内大量访问此前不可见数据 | 关联变更工单核验；无工单则冻结会话 |
| 异常客体访问 | 访问与其岗位无关的数据域（偏离同伴群体分布） | 告警＋数据Owner复核 |
| 机器身份异常调用 | 服务账号出现交互式登录、非部署时段活跃、调用频次异常 | 自动禁用＋流水线排查（ITDR联动，第4页） |
| 低慢渗透式访问 | 单次体量小但持续性超出业务需要的数据接触 | 周度聚类分析＋人工狩猎 |
治理要点（对应KQ-3）：UEBA检出≠事件。每个场景必须预设"误报处置路径"（白名单、基线再训练、工单转派）与"确认事件处置路径"，并统计每场景的精确率趋势；连续误报率过高的场景应降级为"仅观测"。处置自动化程度与置信度挂钩：低置信度只告警，高置信度才自动降权/吊销。
03 · 威胁检测映射（MITRE ATT&CK）
将检测场景映射至ATT&CK战术与技术，可检验覆盖盲区并复用社区检测逻辑（如Sigma规则）：
| ATT&CK技术 | 名称 | 零信任体系的检测与应对 |
|---|---|---|
| T1078 | 有效账户（Valid Accounts） | 失陷账号利用的首要技术——UEBA基线偏离＋step-up＋会话吊销；账号与设备绑定使"合法账号对＋陌生设备"成为高置信信号 |
| T1557 | 中间人攻击（Adversary-in-the-Middle） | AiTM钓鱼中继——FIDO2域绑定抵御（第4页）；条件访问策略检测异常会话属性（UA/地理位置突变） |
| T1110 | 暴力破解（Brute Force） | SPA隐藏网关削减暴露面；认证速率限制＋威胁情报命中自动封禁 |
| T1552 | 不安全的凭据（Unsecured Credentials） | 凭据扫描（代码库/配置/文档）＋PAM保险箱替代硬编码＋密钥自动轮换 |
| T1563 | 远程服务会话劫持 | 运维通道PAM代理化、会话录屏、非常用RDP/SSH来源告警 |
| T1567 | 外泄至云存储（Exfiltration to Cloud Storage） | 云访问的CASB/DLP通道管控（第5页）；非常用云存储域名访问告警 |
| T1098 | 账户操纵（Account Manipulation） | ITDR监测目录异常变更（异常委派、新建隐蔽管理员、可疑邮箱转发规则） |
注：ATT&CK版本持续更新，技术编号与名称以MITRE官方当前版本为准；上表覆盖与"数据访问控制"直接相关的子集。
04 · 持续评估与自动化响应（SOAR）
4.1 处置剧本模板（按置信度分级）
| 触发条件 | 置信度 | 自动动作序列 |
|---|---|---|
| 会话风险评分中等升高 | 中低 | 记录上下文→要求step-up认证→认证通过则继续并降权观察 |
| 凭据出现于泄露情报/钓鱼命中 | 高 | 吊销全部会话与刷新令牌→强制密码重置/FIDO重注册→通知用户与主管→排查近期访问日志 |
| UEBA确认批量导出异常 | 高 | 阻断当前导出→保留现场日志→通知数据Owner与安全值班→按泄露应急流程启动（子课题06联动） |
| 机器身份非部署时段活跃 | 高 | 禁用该身份→暂停关联流水线→切换人工审批→排查凭据泄露 |
| PE/PA组件故障降级 | 预案 | 按预定义fail策略运行→告警值班→恢复后补录决策日志并复核降级期访问 |
4.2 人工复核与回退机制
- 双人复核：自动吊销/禁用等强处置设置值班复核岗；误判恢复流程（账号解锁、会话重建）须分钟级可用——处置速度必须与恢复速度匹配。
- 处置留痕：每个自动动作记录触发条件、决策依据、执行结果与复核结论，纳入月度审计抽样。
- 剧本演练：每半年开展桌面推演与技术演练各一次，覆盖"误报风暴"（大量账号同时触发）与"处置系统自身失效"两种极端场景。
05 · 运营指标与度量
| 指标类别 | 示例指标 | 说明 |
|---|---|---|
| 检测时效 | 平均检测时间（MTTD）、高置信场景自动处置占比 | 衡量"持续评估"的实际运转速度 |
| 处置质量 | 误报率、误处置恢复时长、剧本执行成功率 | KQ-3的直接度量，防止自动化误伤业务 |
| 覆盖程度 | 六要素日志覆盖率、UEBA场景启用率、关键系统接入率 | 与第6阶段遥测规划对应的落地度量 |
| 风险趋势 | 失陷账号数、钓鱼演练凭据提交率、特权会话异常率 | 与反钓鱼工作组演练体系联动（第4页） |
| 合规证据 | 日志留存达标率、审计抽样合格率、例外台账过期数 | 直接支撑第8页审计要求 |
06 · 员工监控的合规边界
访问审计与UEBA必然处理员工个人信息（账号行为、地理位置、工作时间等），其合规边界是"安全必要"与"隐私保护"的比例平衡：
- 合法性基础：《个人信息保护法》第13条将"按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需"列为处理个人信息的合法事由——前提是规章制度已明确告知并经民主程序（《劳动合同法》第4条）；第17条要求处理前告知处理目的、方式与范围。
- 最小必要：审计采集限于工作账号与工作系统访问行为；非工作时段、个人设备（BYOD）上的个人隐私空间原则上不采集——BYOD场景的企业容器化（沙箱）可实现"只审企业容器、不碰个人空间"。
- 比例与目的限定：采集字段与检测目的直接相关，禁止"先全量采集再说"的做法；位置等敏感字段仅在触发特定场景（如异地登录确认）时调取。
- 权利保障：员工对监控规则享有知情权；审计数据用于纪律处分时应允许申辩与复核，防止"算法黑箱裁决"。
- 审计者亦受审：审计日志的访问本身纳入审计（谁在查谁），防止内部滥用监控能力。
本节参考来源（第7页）
《中华人民共和国网络安全法》第21条（日志留存不少于六个月）；《中华人民共和国个人信息保护法》第6、13、17、51条：中国政府网。
OMB M-21-31《Improving the Federal Government's Investigative and Remediation Capabilities Related to Cybersecurity Incidents》（2021.10）：白宫OMB（国家档案馆藏）。
MITRE ATT&CK知识库（T1078、T1557、T1110、T1552、T1563、T1567、T1098等技术条目）：attack.mitre.org。
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（安全审计控制项）：国家标准全文公开系统。
CMU Software Engineering Institute（CERT Division）内部威胁研究资源：SEI官网。