Vandag sal ons 'n kort oorsig gee van die gebruikers- en entiteitgedragsanalise-mark (UEBA) gebaseer op die nuutste Gartner navorsing. Die UEBA-mark is aan die onderkant van die "ontnugteringstadium" volgens Gartner Hype Cycle for Threat-Facing Technologies, wat die volwassenheid van die tegnologie aandui. Maar die paradoks van die situasie lê in die gelyktydige algemene groei van beleggings in UEBA-tegnologieë en die verdwynende mark van onafhanklike UEBA-oplossings. Gartner voorspel dat UEBA deel sal word van die funksionaliteit van verwante inligtingsekuriteitsoplossings. Die term "UEBA" sal waarskynlik buite gebruik raak en vervang word deur 'n ander akroniem wat gefokus is op 'n nouer toepassingsarea (bv. "gebruikersgedrag-analise"), 'n soortgelyke toepassingsarea (bv. "data-analise"), of bloot 'n paar word nuwe modewoord (byvoorbeeld, die term "kunsmatige intelligensie" [KI] lyk interessant, hoewel dit nie sin maak vir moderne UEBA-vervaardigers nie).

Die belangrikste bevindinge van die Gartner-studie kan soos volg opgesom word:

• Die volwassenheid van die mark vir gedragsanalise van gebruikers en entiteite word bevestig deur die feit dat hierdie tegnologieë deur die medium en groot korporatiewe segment gebruik word om 'n aantal sakeprobleme op te los;
• UEBA-ontledingsvermoëns is ingebou in 'n wye reeks verwante inligtingsekuriteitstegnologieë, soos wolktoegang veilige makelaars (CASB's), identiteitsbestuur en administrasie (IGA) SIEM-stelsels;
• Die hype rondom UEBA-verkopers en die verkeerde gebruik van die term "kunsmatige intelligensie" maak dit moeilik vir kliënte om die werklike verskil tussen vervaardigers se tegnologieë en die funksionaliteit van oplossings te verstaan ​​sonder om 'n loodsprojek uit te voer;
• Kliënte neem kennis dat die implementeringstyd en daaglikse gebruik van UEBA-oplossings meer arbeidsintensief en tydrowend kan wees as wat die vervaardiger belowe, selfs wanneer slegs basiese bedreigingopsporingsmodelle oorweeg word. Die byvoeging van pasgemaakte of randgebruikgevalle kan uiters moeilik wees en vereis kundigheid in datawetenskap en analise.

Strategiese markontwikkelingsvoorspelling:

• Teen 2021 sal die mark vir gebruiker- en entiteitgedragsanalise-stelsels (UEBA) ophou om as 'n aparte area te bestaan ​​en na ander oplossings met UEBA-funksionaliteit verskuif;
• Teen 2020 sal 95% van alle UEBA-ontplooiings deel wees van 'n breër sekuriteitsplatform.

Definisie van UEBA-oplossings

UEBA-oplossings gebruik ingeboude analise om die aktiwiteit van gebruikers en ander entiteite (soos gashere, toepassings, netwerkverkeer en datawinkels) te evalueer.
Hulle bespeur bedreigings en potensiële voorvalle, wat tipies abnormale aktiwiteit verteenwoordig in vergelyking met die standaardprofiel en gedrag van gebruikers en entiteite in soortgelyke groepe oor 'n tydperk.

Die mees algemene gebruiksgevalle in die ondernemingsegment is bedreigingsopsporing en -reaksie, sowel as opsporing en reaksie op binnebedreigings (meestal gekompromitteerde insiders; soms interne aanvallers).

UEBA is soos besluitEn funksie, ingebou in 'n spesifieke instrument:

• Die oplossing is vervaardigers van "suiwer" UEBA-platforms, insluitend verkopers wat ook SIEM-oplossings afsonderlik verkoop. Gefokus op 'n wye reeks besigheidsprobleme in gedragsanalise van beide gebruikers en entiteite.
• Ingebed – Vervaardigers/afdelings wat UEBA-funksies en -tegnologie in hul oplossings integreer. Tipies gefokus op 'n meer spesifieke stel besigheidsprobleme. In hierdie geval word UEBA gebruik om die gedrag van gebruikers en/of entiteite te ontleed.

Gartner beskou UEBA langs drie asse, insluitend probleemoplossers, ontledings en databronne (sien figuur).

"Suiwer" UEBA-platforms teenoor ingeboude UEBA

Gartner beskou 'n "suiwer" UEBA-platform as oplossings wat:

• verskeie spesifieke probleme op te los, soos die monitering van bevoorregte gebruikers of die uitvoer van data buite die organisasie, en nie net die abstrakte "monitering van abnormale gebruikersaktiwiteit" nie;
• die gebruik van komplekse analise behels, noodwendig gebaseer op basiese analitiese benaderings;
• bied verskeie opsies vir data-insameling, insluitend beide ingeboude databronmeganismes en vanaf logbestuurnutsmiddels, Datameer- en/of SIEM-stelsels, sonder die verpligte behoefte om afsonderlike agente in die infrastruktuur te ontplooi;
• kan as losstaande oplossings aangekoop en ontplooi word eerder as ingesluit
  samestelling van ander produkte.

Die tabel hieronder vergelyk die twee benaderings.

Tabel 1. "Suiwer" UEBA-oplossings vs ingeboude oplossings

Kategorie	"Suiwer" UEBA-platforms	Ander oplossings met ingeboude UEBA
Probleem wat opgelos moet word	Ontleding van gebruikersgedrag en entiteite.	Gebrek aan data kan UEBA beperk om die gedrag van slegs gebruikers of entiteite te ontleed.
Probleem wat opgelos moet word	Dien om 'n wye reeks probleme op te los	Spesialiseer in 'n beperkte stel take
Analytics	Anomalie-opsporing met behulp van verskeie analitiese metodes - hoofsaaklik deur statistiese modelle en masjienleer, tesame met reëls en handtekeninge. Kom met ingeboude ontledings om gebruikers- en entiteitaktiwiteit te skep en te vergelyk met hul en kollegas se profiele.	Soortgelyk aan suiwer UEBA, maar ontleding kan slegs tot gebruikers en/of entiteite beperk word.
Analytics	Gevorderde analitiese vermoëns, nie net beperk deur reëls nie. Byvoorbeeld, 'n groeperingsalgoritme met dinamiese groepering van entiteite.	Soortgelyk aan "suiwer" UEBA, maar entiteitsgroepering in sommige ingeboude bedreigingsmodelle kan slegs met die hand verander word.
Analytics	Korrelasie van aktiwiteit en gedrag van gebruikers en ander entiteite (byvoorbeeld deur gebruik te maak van Bayes-netwerke) en samevoeging van individuele risikogedrag om afwykende aktiwiteit te identifiseer.	Soortgelyk aan suiwer UEBA, maar ontleding kan slegs tot gebruikers en/of entiteite beperk word.
Databronne	Ontvangs van gebeurtenisse op gebruikers en entiteite vanaf databronne direk deur ingeboude meganismes of bestaande datawinkels, soos SIEM of Data lake.	Meganismes vir die verkryging van data is gewoonlik net direk en raak slegs gebruikers en/of ander entiteite. Moenie logbestuurnutsmiddels / SIEM / Datameer gebruik nie.
Databronne	Die oplossing moet nie net staatmaak op netwerkverkeer as die hoofbron van data nie, en moet ook nie net op sy eie agente staatmaak om telemetrie in te samel nie.	Die oplossing kan slegs op netwerkverkeer fokus (byvoorbeeld NTA - netwerkverkeeranalise) en/of sy agente op eindtoestelle gebruik (byvoorbeeld, werknemermoniteringnutsprogramme).
Databronne	Versadiging van gebruiker-/entiteitdata met konteks. Ondersteun die versameling van gestruktureerde gebeurtenisse in reële tyd, sowel as gestruktureerde/ongestruktureerde samehangende data van IT-gidse - byvoorbeeld Active Directory (AD), of ander masjienleesbare inligtingsbronne (byvoorbeeld HR-databasisse).	Soortgelyk aan suiwer UEBA, maar die omvang van kontekstuele data kan van geval tot geval verskil. AD en LDAP is die mees algemene kontekstuele datawinkels wat deur ingebedde UEBA-oplossings gebruik word.
beskikbaarheid	Verskaf die gelyste kenmerke as 'n selfstandige produk.	Dit is onmoontlik om ingeboude UEBA-funksionaliteit te koop sonder om 'n eksterne oplossing te koop waarin dit gebou is.
Bron: Gartner (Mei 2019)

Om sekere probleme op te los, kan ingebedde UEBA dus basiese UEBA-analise gebruik (byvoorbeeld eenvoudige masjienleer sonder toesig), maar terselfdertyd, as gevolg van toegang tot presies die nodige data, kan dit oor die algemeen meer effektief wees as 'n "suiwer" UEBA oplossing. Terselfdertyd bied “suiwer” UEBA-platforms, soos verwag, meer komplekse ontledings as die hoofkennis in vergelyking met die ingeboude UEBA-instrument. Hierdie resultate word in Tabel 2 opgesom.

Tabel 2. Die resultaat van die verskille tussen "suiwer" en ingeboude UEBA

Kategorie	"Suiwer" UEBA-platforms	Ander oplossings met ingeboude UEBA
Analytics	Toepaslikheid vir die oplossing van 'n verskeidenheid besigheidsprobleme impliseer 'n meer universele stel UEBA-funksies met die klem op meer komplekse analise en masjienleermodelle.	Fokus op 'n kleiner stel besigheidsprobleme beteken hoogs gespesialiseerde kenmerke wat fokus op toepassingspesifieke modelle met eenvoudiger logika.
Analytics	Aanpassing van die analitiese model is nodig vir elke toepassingscenario.	Analitiese modelle is vooraf gekonfigureer vir die instrument waarin UEBA ingebou is. 'n Hulpmiddel met ingeboude UEBA behaal oor die algemeen vinniger resultate in die oplossing van sekere besigheidsprobleme.
Databronne	Toegang tot databronne vanuit alle hoeke van die korporatiewe infrastruktuur.	Minder databronne, gewoonlik beperk deur die beskikbaarheid van agente vir hulle of die instrument self met UEBA-funksies.
Databronne	Die inligting vervat in elke logboek kan beperk word deur die databron en bevat dalk nie al die nodige data vir die gesentraliseerde UEBA-instrument nie.	Die hoeveelheid en detail van die rou data wat deur die agent ingesamel is en aan UEBA oorgedra word, kan spesifiek gekonfigureer word.
Argitektuur	Dit is 'n volledige UEBA-produk vir 'n organisasie. Integrasie is makliker deur die vermoëns van 'n SIEM-stelsel of Datameer te gebruik.	Vereis 'n aparte stel UEBA-kenmerke vir elk van die oplossings wat ingeboude UEBA het. Ingebedde UEBA-oplossings vereis dikwels die installering van agente en die bestuur van data.
integrasie	Handmatige integrasie van die UEBA-oplossing met ander instrumente in elke geval. Laat 'n organisasie toe om sy tegnologiestapel te bou gebaseer op die "beste onder analoë"-benadering.	Die hoofbundels UEBA-funksies is reeds deur die vervaardiger in die instrument self ingesluit. Die UEBA-module is ingebou en kan nie verwyder word nie, so kliënte kan dit nie met iets van hul eie vervang nie.
Bron: Gartner (Mei 2019)

UEBA as 'n funksie

UEBA word 'n kenmerk van end-tot-end kuberveiligheidsoplossings wat kan baat by bykomende ontledings. UEBA lê ten grondslag van hierdie oplossings, wat 'n kragtige laag van gevorderde analise verskaf gebaseer op gebruiker- en/of entiteitgedragspatrone.

Tans op die mark word die ingeboude UEBA-funksionaliteit geïmplementeer in die volgende oplossings, gegroepeer volgens tegnologiese omvang:

• Data-gefokusde oudit en beskerming, is verskaffers wat daarop gefokus is om die sekuriteit van gestruktureerde en ongestruktureerde databerging (ook bekend as DCAP) te verbeter.

  In hierdie kategorie van verkopers merk Gartner onder andere op, Varonis kuberveiligheidsplatform, wat gebruikersgedraganalise bied om veranderinge in ongestruktureerde datatoestemmings, toegang en gebruik oor verskillende inligtingwinkels te monitor.

• CASB stelsels, wat beskerming bied teen verskeie bedreigings in wolkgebaseerde SaaS-toepassings deur toegang tot wolkdienste vir ongewenste toestelle, gebruikers en toepassingsweergawes te blokkeer deur 'n aanpasbare toegangsbeheerstelsel te gebruik.

  Alle markleidende CASB-oplossings sluit UEBA-vermoëns in.

• DLP oplossings – gefokus op die opsporing van die oordrag van kritieke data buite die organisasie of die misbruik daarvan.

  DLP-vooruitgang is grootliks gebaseer op die begrip van inhoud, met minder fokus op die verstaan ​​van konteks soos gebruiker, toepassing, ligging, tyd, snelheid van gebeure en ander eksterne faktore. Om effektief te wees, moet DLP-produkte beide inhoud en konteks herken. Dit is hoekom baie vervaardigers UEBA-funksionaliteit in hul oplossings begin integreer.

• Werknemer monitering is die vermoë om werknemerhandelinge op te teken en te speel, gewoonlik in 'n dataformaat wat geskik is vir regsprosedures (indien nodig).

  Om gebruikers voortdurend te monitor genereer dikwels 'n oorweldigende hoeveelheid data wat handmatige filtering en menslike ontleding vereis. Daarom word UEBA binne moniteringstelsels gebruik om die werkverrigting van hierdie oplossings te verbeter en slegs hoërisiko-voorvalle op te spoor.

• Eindpunt sekuriteit – Eindpuntopsporing en -reaksie (EDR) oplossings en eindpuntbeskermingsplatforms (EPP) bied kragtige instrumentasie en bedryfstelsel-telemetrie aan
  eindtoestelle.

  Sulke gebruikerverwante telemetrie kan ontleed word om ingeboude UEBA-funksionaliteit te verskaf.

• Aanlyn bedrog – Aanlyn oplossings vir bedrogopsporing bespeur afwykende aktiwiteit wat dui op 'n kompromie van 'n kliënt se rekening deur 'n bedrog, wanware, of uitbuiting van onversekerde verbindings/blaaierverkeeronderskepping.

  Die meeste bedrogoplossings gebruik die essensie van UEBA, transaksie-analise en toestelmeting, met meer gevorderde stelsels wat hulle aanvul deur verwantskappe in die identiteitsdatabasis te pas.

• IAM en toegangsbeheer – Gartner merk op 'n evolusionêre neiging onder toegangsbeheerstelselverkopers om met suiwer verskaffers te integreer en 'n mate van UEBA-funksionaliteit in hul produkte in te bou.
• IAM en Identity Governance and Administration (IGA) stelsels gebruik UEBA om gedrags- en identiteitsanalise-scenario's soos anomalie-opsporing, dinamiese groeperingsanalise van soortgelyke entiteite, aanmeldontleding en toegangsbeleidanalise te dek.
• IAM en Privileged Access Management (PAM) – As gevolg van die rol van die monitering van die gebruik van administratiewe rekeninge, het PAM-oplossings telemetrie om te wys hoe, hoekom, wanneer en waar administratiewe rekeninge gebruik is. Hierdie data kan ontleed word deur die ingeboude funksionaliteit van UEBA te gebruik vir die teenwoordigheid van abnormale gedrag van administrateurs of kwaadwillige bedoelings.
• Vervaardigers NTA (Netwerkverkeeranalise) – gebruik 'n kombinasie van masjienleer, gevorderde analise en reëlgebaseerde opsporing om verdagte aktiwiteite op korporatiewe netwerke te identifiseer.

  NTA-nutsmiddels ontleed voortdurend bronverkeer- en/of vloeirekords (bv. NetFlow) om modelle te bou wat normale netwerkgedrag weerspieël, hoofsaaklik met die fokus op entiteitgedraganalise.

• Siem – baie SIEM-verskaffers het nou gevorderde data-analise-funksionaliteit in SIEM ingebou, of as 'n aparte UEBA-module. Regdeur 2018 en tot dusver in 2019 was daar 'n voortdurende vervaag van die grense tussen SIEM- en UEBA-funksionaliteit, soos bespreek in die artikel "Tegnologie-insig vir die moderne SIEM". SIEM-stelsels het beter geword om met analise te werk en meer komplekse toepassingscenario's te bied.

UEBA Aansoek Scenario's

UEBA-oplossings kan 'n wye reeks probleme oplos. Gartner-kliënte stem egter saam dat die primêre gebruiksgeval die opsporing van verskeie kategorieë van bedreigings behels, wat bereik word deur gereelde korrelasies tussen gebruikersgedrag en ander entiteite te vertoon en te ontleed:

• ongemagtigde toegang en beweging van data;
• verdagte gedrag van bevoorregte gebruikers, kwaadwillige of ongemagtigde aktiwiteite van werknemers;
• nie-standaard toegang en gebruik van wolkhulpbronne;
• ens.

Daar is ook 'n aantal atipiese nie-kubersekuriteit gebruik gevalle, soos bedrog of werknemer monitering, waarvoor UEBA geregverdig kan word. Hulle benodig egter dikwels databronne buite IT en inligtingsekuriteit, of spesifieke analitiese modelle met 'n diepgaande begrip van hierdie area. Die vyf hoofscenario's en toepassings waaroor beide UEBA-vervaardigers en hul kliënte saamstem, word hieronder beskryf.

"Kwaadwillige insider"

UEBA-oplossingsverskaffers wat hierdie scenario dek, monitor slegs werknemers en vertroude kontrakteurs vir ongewone, "slegte" of kwaadwillige gedrag. Verkopers in hierdie gebied van kundigheid monitor of ontleed nie die gedrag van diensrekeninge of ander nie-menslike entiteite nie. Grootliks as gevolg hiervan is hulle nie daarop gefokus om gevorderde bedreigings op te spoor waar kuberkrakers bestaande rekeninge oorneem nie. In plaas daarvan is hulle daarop gemik om werknemers wat by skadelike aktiwiteite betrokke is, te identifiseer.

In wese spruit die konsep van 'n "kwaadwillige insider" uit vertroude gebruikers met kwaadwillige bedoelings wat maniere soek om skade aan hul werkgewer te veroorsaak. Omdat kwaadwillige bedoelings moeilik is om te meet, ontleed die beste verskaffers in hierdie kategorie kontekstuele gedragsdata wat nie maklik in ouditlogboeke beskikbaar is nie.

Oplossingsverskaffers in hierdie ruimte voeg ook ongestruktureerde data, soos e-posinhoud, produktiwiteitsverslae of sosiale media-inligting, optimaal by en ontleed om konteks vir gedrag te verskaf.

Gekompromitteerde insider en indringende dreigemente

Die uitdaging is om vinnig “slegte” gedrag op te spoor en te ontleed sodra die aanvaller toegang tot die organisasie verkry het en binne die IT-infrastruktuur begin beweeg.
Selfgeldende bedreigings (APT's), soos onbekende of nog nie ten volle verstaan ​​bedreigings nie, is uiters moeilik om op te spoor en skuil dikwels agter wettige gebruikeraktiwiteit of diensrekeninge. Sulke bedreigings het gewoonlik 'n komplekse bedryfsmodel (sien byvoorbeeld die artikel " Die aanspreek van die Cyber ​​​​Kill Chain") of hul gedrag is nog nie as skadelik beoordeel nie. Dit maak dit moeilik om hulle op te spoor met behulp van eenvoudige analise (soos passing deur patrone, drempels of korrelasiereëls).

Baie van hierdie indringende bedreigings lei egter tot nie-standaard gedrag, wat dikwels niksvermoedende gebruikers of entiteite (ook bekend as gekompromitteerde insiders) betrek. UEBA-tegnieke bied verskeie interessante geleenthede om sulke bedreigings op te spoor, sein-tot-geraas-verhouding te verbeter, kennisgewingvolume te konsolideer en te verminder, oorblywende waarskuwings te prioritiseer, en effektiewe insidentreaksie en ondersoek te fasiliteer.

UEBA-verskaffers wat hierdie probleemarea teiken, het dikwels tweerigting-integrasie met die organisasie se SIEM-stelsels.

Data-eksfiltrasie

Die taak in hierdie geval is om die feit op te spoor dat data buite die organisasie oorgedra word.
Verkopers wat op hierdie uitdaging gefokus het, gebruik tipies DLP- of DAG-vermoëns met anomalie-opsporing en gevorderde analise, en verbeter sodoende die sein-tot-geraas-verhouding, konsolideer die kennisgewingvolume en prioritiseer oorblywende snellers. Vir addisionele konteks maak verskaffers gewoonlik meer staat op netwerkverkeer (soos webgevolmagtigdes) en eindpuntdata, aangesien ontleding van hierdie databronne kan help met data-eksfiltrasie-ondersoeke.

Bespeuring van data-eksfiltrasie word gebruik om insiders en eksterne kuberkrakers vas te trek wat die organisasie bedreig.

Identifikasie en bestuur van bevoorregte toegang

Vervaardigers van onafhanklike UEBA-oplossings op hierdie gebied van kundigheid neem gebruikersgedrag waar en ontleed teen die agtergrond van 'n reeds gevormde stelsel van regte om buitensporige voorregte of abnormale toegang te identifiseer. Dit is van toepassing op alle tipe gebruikers en rekeninge, insluitend bevoorregte en diensrekeninge. Organisasies gebruik ook UEBA om ontslae te raak van dormante rekeninge en gebruikersvoorregte wat hoër is as wat vereis word.

Voorval prioritisering

Die doel van hierdie taak is om kennisgewings wat deur oplossings in hul tegnologiestapel gegenereer word, te prioritiseer om te verstaan ​​watter voorvalle of potensiële voorvalle eerste aangespreek moet word. UEBA-metodologieë en -instrumente is nuttig om insidente te identifiseer wat besonder ongewoon of besonder gevaarlik is vir 'n gegewe organisasie. In hierdie geval gebruik die UEBA-meganisme nie net die basisvlak van aktiwiteit en bedreigingsmodelle nie, maar versadig ook die data met inligting oor die organisasiestruktuur van die maatskappy (byvoorbeeld kritieke hulpbronne of rolle en toegangsvlakke van werknemers).

Probleme met die implementering van UEBA-oplossings

Die markpyn van UEBA-oplossings is hul hoë prys, komplekse implementering, instandhouding en gebruik. Terwyl maatskappye sukkel met die aantal verskillende interne portale, kry hulle nog 'n konsole. Die grootte van die belegging van tyd en hulpbronne in 'n nuwe instrument hang af van die uitdagings op hande en die tipe ontledings wat nodig is om dit op te los, en vereis meestal groot beleggings.

Anders as wat baie vervaardigers beweer, is UEBA nie 'n "stel dit en vergeet dit"-instrument wat dan vir dae aaneen aaneenlopend kan loop nie.
Gartner-kliënte neem byvoorbeeld kennis dat dit 3 tot 6 maande neem om 'n UEBA-inisiatief van nuuts af te loods om die eerste resultate te verkry van die oplossing van die probleme waarvoor hierdie oplossing geïmplementeer is. Vir meer komplekse take, soos die identifisering van binnebedreigings in 'n organisasie, neem die tydperk toe tot 18 maande.

Faktore wat die moeilikheid om UEBA te implementeer en die toekomstige doeltreffendheid van die instrument beïnvloed:

• Kompleksiteit van organisasie-argitektuur, netwerktopologie en databestuurbeleide
• Beskikbaarheid van die regte data op die regte vlak van detail
• Die kompleksiteit van die verskaffer se analitiese algoritmes—byvoorbeeld die gebruik van statistiese modelle en masjienleer teenoor eenvoudige patrone en reëls.
• Die hoeveelheid vooraf gekonfigureerde ontledings wat ingesluit is - dit wil sê die vervaardiger se begrip van watter data vir elke taak ingesamel moet word en watter veranderlikes en eienskappe die belangrikste is om die analise uit te voer.
• Hoe maklik is dit vir die vervaardiger om outomaties met die vereiste data te integreer.

  Byvoorbeeld:

  • As 'n UEBA-oplossing 'n SIEM-stelsel as die hoofbron van sy data gebruik, samel die SIEM inligting van die vereiste databronne in?
  • Kan die nodige gebeurtenislogboeke en organisatoriese konteksdata na 'n UEBA-oplossing herlei word?
  • As die SIEM-stelsel nog nie die databronne wat deur die UEBA-oplossing benodig word, versamel en beheer nie, hoe kan dit dan daarheen oorgedra word?

• Hoe belangrik is die toepassingscenario vir die organisasie, hoeveel databronne benodig dit, en hoeveel oorvleuel hierdie taak met die vervaardiger se kundigheidsarea.
• Watter mate van organisatoriese volwassenheid en betrokkenheid word vereis – byvoorbeeld die skepping, ontwikkeling en verfyning van reëls en modelle; gewigte aan veranderlikes toe te ken vir evaluering; of die risikobepalingsdrempel aan te pas.
• Hoe skaalbaar is die verkoper se oplossing en sy argitektuur in vergelyking met die huidige grootte van die organisasie en sy toekomstige vereistes.
• Tyd om basiese modelle, profiele en sleutelgroepe te bou. Vervaardigers benodig dikwels ten minste 30 dae (en soms tot 90 dae) om ontleding te doen voordat hulle "normale" konsepte kan definieer. Om historiese data een keer te laai, kan modelopleiding bespoedig. Sommige van die interessante gevalle kan vinniger geïdentifiseer word deur reëls te gebruik as om masjienleer te gebruik met 'n ongelooflike klein hoeveelheid aanvanklike data.
• Die vlak van inspanning wat nodig is om dinamiese groepering en rekeningprofilering (diens/persoon) te bou, kan baie verskil tussen oplossings.

Bron: will.com