Windows用户行为异常分析通过建立个人化行为基线，结合活跃热力图、登录上下文校验与进程网络联动判定，实现分级干预；自动屏蔽采用三层弹性控制（限外连、冻令牌、重定向写入），支持倒计时撤销与误报自适应调优。
windows 用户行为异常分析与自动屏蔽策略，核心在于“识别偏差”和“动态响应”，而不是一刀切地禁用功能。它不依赖静态规则库，而是结合用户日常操作节奏、访问资源习惯、登录上下文等维度建立行为基线，再对偏离基线的操作触发分级干预。
基于时间与活跃度的行为建模
系统持续采集用户每日的键盘/鼠标活动间隔、前台应用切换频率、远程桌面连接时段、USB设备接入时间等信号，生成个人化活跃热力图。例如：某用户工作日 9:00–18:00 高频使用 Excel 和内部 ERP，凌晨 2:00–4:00 基本无操作；若某天凌晨 3:15 突然出现 PowerShell 启动 + 大量 WMI 查询 + 远程 SMB 连接，则被标记为高风险会话。
- 默认启用轻量级采样（每 3 分钟记录一次活跃状态），避免性能开销
- 支持手动标注“假期”“出差”等特殊周期，防止模型误判
- 连续 7 天未登录的账户，自动转入低优先级监控模式
登录行为的上下文校验
仅看事件 ID 4624/4625 不够，需叠加地理 IP、设备指纹、认证方式三重验证。比如同一账户从北京登录后 2 分钟又在东京触发登录，且使用的是无证书的 NTLM 认证，即触发“可疑横向移动”告警，并临时限制该账户 30 分钟内不得执行本地管理员操作。
- 自动比对历史登录设备硬件哈希（如主板序列号、硬盘 VID）
- 对 RDP 登录强制要求启用网络级别身份验证（NLA）
- 检测到非域控环境下的 Kerberos TGT 请求异常增长，推送至安全运营中心
进程与网络行为的联动判定
单个高 CPU 进程未必恶意，但若同时满足“由计划任务启动”+“父进程为 wscript.exe”+“连接非常用端口（如 4444）”+“内存中解密出 Base64 编码的 PowerShell 脚本”，则立即终止进程、隔离文件、阻断对应 IP 并上报。
- 利用 ETW（Event Tracing for Windows）捕获进程创建、DLL 加载、网络连接原始事件
- 内置常见攻击链特征库（如 Mimikatz 内存扫描行为、Cobalt Strike beacon 模式）
- 允许管理员自定义“白名单进程组”，例如开发环境中的 python.exe + pip install 组合可豁免网络外连检查
自动屏蔽的弹性执行机制
屏蔽不是简单禁用，而是分层控制：第一层限制网络外连（防火墙规则）、第二层冻结用户令牌（禁止提权）、第三层重定向写入路径（将可疑文件保存至隔离区而非真实目录）。所有动作附带 5 秒倒计时提示，支持快捷键（如 Ctrl+Alt+Esc）一键撤销。
- 每次屏蔽自动记录决策依据（如“检测到 cmd.exe 调用 certutil.exe -decode”）
- 屏蔽后生成简易报告，含时间戳、进程树截图、关联日志片段
- 连续 3 次误报自动降低该行为模式的置信阈值，并建议人工复核
