定义之后则是技术上能够自动发现敏感数据及其流转，这里分为两层，一是数据的位置，二是数据类型的识别。在海量数据的状态下，需要多维度的发现能力，而不仅仅是在数据库层面进行识别。汇总则形成数据地图类产品，掌握数据资产的分布，对敏感数据进行标记跟踪，为后面的防护提供基础。

业界有一些同学用安全能力覆盖作为核心指标，笔者认为不可取。安全能力是手段，而降低风险才是目标。

上面一层是特征提取，目的是多维组合，减少明细，可为上层各模型快速使用。这里需要将各种变量提前计算，并且提供快速的组合能力，这部分主要是以风险为导向做变量。

再上层则是各类模型，通过各种模型计算出“异常”。业界UEBA厂商经常会说一个例子，用户在夜间大量查看了数据，且远高于同组其他人群，且以前不这样，因此是风险。如果按照这个逻辑，互联网公司每天都有海量风险，安全人员完全被淹没。因为互联网公司业务变化极快，很有可能夜间在加班准备数据，这只是一个异常，而不是风险。需要有更多的维度来证实风险，例如该人员已经提出离职，明天last day，同时该设备出现在员工常驻地1000公里以外等等，这些逻辑叠加到一定程度，才能够确认风险。模型的意义在于算出某些场景下的异常，多个异常才组成真正的风险。

而真正的风险，才会被暴露出来进入工单。一旦进入工单，则需人工介入闭环。因此需要满足高风险、高精确、证据确凿的条件。这一层还有一个角度，是从情报出发，反向溯源调查，特征和模型的提取，能够为溯源提供快速反查能力。如果没有，则说明风险场景需要扩张，简单说，数据不够。

更上层则提供可视化功能，为风险提供整体大盘，包括风险趋势、误报率、闭环时长，提供数据下钻功能等。

下图则是技术框架，更详细的内容可见笔者的另一篇《UEBA架构设计之路1-10》。

三阶段：这阶段的特征是智能&震慑。检测能力具备自适应，且能够对攻击者进行画像和人员定位打击。防护上开始针对业务进行特性化，并能够对多数风险主动拦截。响应上严重事件极少发生，消费者有对安全信心，且在红蓝对抗的情况下经过长期演练。这个阶段则代表进入了国内领先甚至国际一流水平。