配置用户行为监控需聚焦基线建模与高危模式识别：第一步精准采集认证、终端、应用层日志并统一格式；第二步定义非工作时段提权、异地登录、横向移动、数据窃取四类上下文关联行为；第三步用滑动窗口构建动态基线并量化偏离度；第四步通过Sigma规则+无监督学习实现轻量实时检测与自动响应。

要配置系统用户行为记录监控来识别潜伏的内部威胁，核心不是堆砌日志，而是让日志“会说话”——即建立可比对的行为基线，并聚焦高风险行为模式。重点在于数据质量、上下文关联和动态阈值，而非单纯增加采集量。

第一步：精准采集关键行为日志源

只抓真正能反映“人怎么用系统”的日志，避免信息过载：

• 身份认证层：必须接入 Active Directory 或 LDAP 的登录/登出、密码修改、权限变更事件；SSH 登录日志（含成功与失败）需完整保留，尤其 src_ip、user_id、timestamp、session_id
• 终端操作层：启用 Linux auditd 监控敏感路径（如 /etc/shadow、/home/*/.ssh/）和高危命令（sudo、curl、wget、find ... -exec）
• 应用与数据层：数据库审计日志（如 MySQL general_log 或 PostgreSQL pg_audit）、云存储访问日志（如 S3 Object Lambda 日志），重点提取 谁、何时、访问了什么资源、做了什么操作
• 统一时间与格式：所有日志必须通过 NTP 同步时间戳，推荐使用 JSON 格式并标准化字段名（如统一用 event_type 替代 action 或 operation）

第二步：定义四类高危行为模式（带上下文）

内部威胁往往隐蔽，需结合时间、位置、权限、频率多维判断，单点异常易误报：

• 非工作时段+高权限操作：例如凌晨 2 点，某普通员工账号执行 sudo su - 并访问数据库备份目录。规则示例：hour in [0,1,2,3,4,5] AND event_type == "privilege_escalation" AND user_role != "admin"
• 地理位置突变+敏感动作：同一账号前次登录 IP 属北京，本次登录 IP 属尼日利亚，且立即尝试导出客户表。需计算 IP 地理距离（可用 MaxMind DB），非简单比对城市名
• 横向移动迹象：某账号在 10 分钟内，从主机 A 登录后，立刻以相同凭据尝试连接主机 B、C、D 的 SSH 或 SMB 服务，且 B/C/D 非其日常访问清单
• 数据窃取节奏异常：平时每日下载 5 个文件（平均大小 2MB），近 3 天改为每小时下载 1 个、单个大小达 800MB，且目标均为含 “customer”、“salary” 字样的目录

第三步：构建动态行为基线，拒绝静态阈值

内部人员行为会随项目、角色缓慢变化，固定阈值（如“每天登录不能超 5 次”）极易失效或漏报：

• 滑动窗口统计：对每个用户，按 14 天滚动窗口计算其登录时间分布（95% 分位数为工作时段）、常用 IP 段（Top 3）、高频访问路径（如 /app/api/v1/orders）。基线每天自动更新
• 偏离度量化：不直接设“是否异常”，而输出偏离分（0–100）。例如：当前登录时间与历史 95% 分位区间距离越远，得分越高；IP 地理距离超过历史最大值 3 倍，加权扣分
• 小样本冷启动：新员工入职首周，基线暂用部门平均模型 + 人工标记的“可信行为”作为初始种子，避免初期误报

第四步：部署轻量级实时检测引擎

无需重写整个 SIEM，可用现有工具链快速落地：

• 规则引擎：用 Sigma 规则语法写检测逻辑（兼容 Elasticsearch、Splunk、Microsoft Sentinel），例如暴力破解后成功登录：selection: event_type: "auth_failure" | count() by src_ip > 5 within 300s → 关联后续 event_type: "auth_success" 同 IP
• 无监督学习兜底：对无法规则化的复杂行为（如命令行序列异常），用 Isolation Forest 对每个用户的历史命令向量（n-gram 特征）建模，定期扫描离群点
• 响应闭环：告警触发后，自动执行 whois 查询源 IP、拉取该用户近 7 天全部操作摘要、生成简易调查报告，推送给 SOC 团队，而非仅发邮件