Danes bomo podali kratek pregled trga analize vedenja uporabnikov in subjektov (UEBA) na podlagi najnovejših Gartnerjeva raziskava. Trg UEBA je na dnu »stopnje razočaranja« glede na Gartner Hype Cycle for Threat-Facing Technologies, kar kaže na zrelost tehnologije. Toda paradoks situacije je v hkratni vsesplošni rasti investicij v tehnologije UEBA in izginjajočem trgu neodvisnih rešitev UEBA. Gartner napoveduje, da bo UEBA postala del funkcionalnosti sorodnih rešitev informacijske varnosti. Izraz "UEBA" bo verjetno izginil iz uporabe in ga bo nadomestil drug akronim, osredotočen na ožje področje uporabe (npr. "analitika vedenja uporabnikov"), podobno področje uporabe (npr. "analiza podatkov") ali pa bo preprosto postal nekaj nova modna beseda (na primer, izraz "umetna inteligenca" [AI] se zdi zanimiv, čeprav za sodobne proizvajalce UEBA nima nobenega smisla).

Ključne ugotovitve Gartnerjeve študije lahko povzamemo takole:

• Zrelost trga vedenjske analitike uporabnikov in subjektov potrjuje dejstvo, da te tehnologije uporablja segment srednjih in velikih podjetij za reševanje številnih poslovnih problemov;
• Analitične zmogljivosti UEBA so vgrajene v široko paleto sorodnih tehnologij informacijske varnosti, kot so varnostni posredniki dostopa do oblaka (CASB), sistemi SIEM za upravljanje in administracijo identitete (IGA);
• Pomp okoli prodajalcev UEBA in nepravilna uporaba izraza »umetna inteligenca« strankam otežuje razumevanje resnične razlike med tehnologijami proizvajalcev in funkcionalnostjo rešitev brez izvedbe pilotnega projekta;
• Stranke ugotavljajo, da sta lahko čas implementacije in vsakodnevna uporaba rešitev UEBA bolj delovno intenzivna in dolgotrajna, kot obljublja proizvajalec, tudi če upoštevamo le osnovne modele zaznavanja groženj. Dodajanje prilagojenih ali robnih primerov uporabe je lahko izjemno težavno in zahteva strokovno znanje na področju podatkovne znanosti in analitike.

Strateška napoved razvoja trga:

• Do leta 2021 bo trg za sisteme vedenjske analitike uporabnikov in subjektov (UEBA) prenehal obstajati kot ločeno področje in se bo preusmeril k drugim rešitvam s funkcionalnostjo UEBA;
• Do leta 2020 bo 95 % vseh uvedb UEBA del širše varnostne platforme.

Opredelitev rešitev UEBA

Rešitve UEBA uporabljajo vgrajeno analitiko za ocenjevanje dejavnosti uporabnikov in drugih entitet (kot so gostitelji, aplikacije, omrežni promet in shrambe podatkov).
Zaznajo grožnje in potencialne incidente, ki običajno predstavljajo nenormalno dejavnost v primerjavi s standardnim profilom in vedenjem uporabnikov in subjektov v podobnih skupinah v določenem časovnem obdobju.

Najpogostejši primeri uporabe v poslovnem segmentu so odkrivanje in odzivanje na grožnje ter odkrivanje in odzivanje na notranje grožnje (večinoma ogroženi notranji; včasih notranji napadalci).

UEBA je kot odločitevIn po funkciji, vgrajen v posebno orodje:

• Rešitev so proizvajalci »čistih« platform UEBA, vključno s prodajalci, ki rešitve SIEM prodajajo tudi ločeno. Osredotočen na široko paleto poslovnih problemov v vedenjski analitiki uporabnikov in subjektov.
• Vgrajeni – Proizvajalci/oddelki, ki integrirajo funkcije in tehnologije UEBA v svoje rešitve. Običajno se osredotoča na bolj specifičen sklop poslovnih težav. V tem primeru se UEBA uporablja za analizo vedenja uporabnikov in/ali subjektov.

Gartner gleda na UEBA po treh oseh, vključno z reševalci problemov, analitiko in viri podatkov (glejte sliko).

"Čiste" platforme UEBA v primerjavi z vgrajeno UEBA

Gartner meni, da so »čista« platforma UEBA rešitve, ki:

• rešiti več specifičnih problemov, kot je spremljanje privilegiranih uporabnikov ali izpisovanje podatkov izven organizacije, in ne le abstraktnega »nadzora neobičajne dejavnosti uporabnikov«;
• vključujejo uporabo kompleksne analitike, ki nujno temelji na osnovnih analitičnih pristopih;
• zagotoviti več možnosti za zbiranje podatkov, vključno z vgrajenimi mehanizmi za izvor podatkov in iz orodij za upravljanje dnevnikov, podatkovnega jezera in/ali sistemov SIEM, brez obvezne potrebe po uvedbi ločenih agentov v infrastrukturo;
• jih je mogoče kupiti in namestiti kot samostojne rešitve, namesto da bi jih vključili
  sestava drugih izdelkov.

Spodnja tabela primerja oba pristopa.

Tabela 1. »Čiste« rešitve UEBA v primerjavi z vgrajenimi

Kategorija	"Čiste" platforme UEBA	Druge rešitve z vgrajeno UEBA
Problem, ki ga je treba rešiti	Analiza vedenja uporabnikov in entitet.	Pomanjkanje podatkov lahko omeji UEBA pri analiziranju vedenja samo uporabnikov ali subjektov.
Problem, ki ga je treba rešiti	Služi za reševanje najrazličnejših problemov	Specializiran je za omejen nabor nalog
Google Analytics	Odkrivanje anomalij z različnimi analitičnimi metodami – predvsem s statističnimi modeli in strojnim učenjem, skupaj s pravili in podpisi. Prihaja z vgrajeno analitiko za ustvarjanje in primerjavo dejavnosti uporabnikov in subjektov z njihovimi profili in profili sodelavcev.	Podobno čisti UEBA, vendar je analiza lahko omejena samo na uporabnike in/ali entitete.
Google Analytics	Napredne analitične zmožnosti, ki niso omejene samo s pravili. Na primer algoritem združevanja v gruče z dinamičnim združevanjem entitet.	Podobno kot »čista« UEBA, vendar je mogoče razvrščanje entitet v skupine v nekaterih vdelanih modelih groženj spremeniti samo ročno.
Google Analytics	Korelacija dejavnosti in vedenja uporabnikov in drugih subjektov (na primer z uporabo Bayesovih omrežij) in združevanje posameznega tveganega vedenja za prepoznavanje nenormalne dejavnosti.	Podobno čisti UEBA, vendar je analiza lahko omejena samo na uporabnike in/ali entitete.
Viri podatkov	Prejemanje dogodkov o uporabnikih in subjektih iz virov podatkov neposredno prek vgrajenih mehanizmov ali obstoječih shramb podatkov, kot sta SIEM ali Data Lake.	Mehanizmi za pridobivanje podatkov so običajno le neposredni in vplivajo samo na uporabnike in/ali druge subjekte. Ne uporabljajte orodij za upravljanje dnevnikov / SIEM / Data lake.
Viri podatkov	Rešitev se ne bi smela zanašati le na omrežni promet kot glavni vir podatkov, niti se ne bi smela zanašati samo na lastne agente za zbiranje telemetrije.	Rešitev se lahko osredotoča le na omrežni promet (na primer NTA – analiza omrežnega prometa) in/ali uporablja svoje agente na končnih napravah (na primer pripomočki za spremljanje zaposlenih).
Viri podatkov	Nasičenje podatkov uporabnika/entitete s kontekstom. Podpira zbiranje strukturiranih dogodkov v realnem času, kot tudi strukturiranih/nestrukturiranih kohezivnih podatkov iz IT imenikov - na primer Active Directory (AD) ali drugih strojno berljivih informacijskih virov (na primer baze podatkov HR).	Podobno čisti UEBA, vendar se lahko obseg kontekstualnih podatkov razlikuje od primera do primera. AD in LDAP sta najpogostejši kontekstualni shrambi podatkov, ki ju uporabljajo vdelane rešitve UEBA.
Razpoložljivost	Zagotavlja navedene funkcije kot samostojen izdelek.	Nemogoče je kupiti vgrajeno funkcionalnost UEBA brez nakupa zunanje rešitve, v katero je vgrajena.
Vir: Gartner (maj 2019)

Tako lahko vgrajena UEBA za reševanje določenih težav uporablja osnovno analitiko UEBA (na primer enostavno nenadzorovano strojno učenje), hkrati pa je zaradi dostopa do točno potrebnih podatkov lahko na splošno bolj učinkovita kot »čista« Rešitev UEBA. Hkrati pa »čiste« platforme UEBA pričakovano ponujajo kompleksnejšo analitiko kot glavno znanje v primerjavi z vgrajenim orodjem UEBA. Ti rezultati so povzeti v tabeli 2.

Tabela 2. Rezultat razlik med »čisto« in vgrajeno UEBA

Kategorija	"Čiste" platforme UEBA	Druge rešitve z vgrajeno UEBA
Google Analytics	Uporabnost za reševanje najrazličnejših poslovnih problemov pomeni bolj univerzalen nabor funkcij UEBA s poudarkom na kompleksnejših modelih analitike in strojnega učenja.	Osredotočanje na manjši nabor poslovnih problemov pomeni visoko specializirane funkcije, ki se osredotočajo na modele, specifične za aplikacijo, s preprostejšo logiko.
Google Analytics	Za vsak scenarij uporabe je potrebna prilagoditev analitičnega modela.	Analitični modeli so vnaprej konfigurirani za orodje, ki ima vgrajeno UEBA. Orodje z vgrajeno UEBA praviloma doseže hitrejše rezultate pri reševanju določenih poslovnih problemov.
Viri podatkov	Dostop do podatkovnih virov iz vseh koncev korporativne infrastrukture.	Manj virov podatkov, običajno omejenih z razpoložljivostjo agentov zanje ali samim orodjem s funkcijami UEBA.
Viri podatkov	Informacije v vsakem dnevniku so lahko omejene z virom podatkov in morda ne vsebujejo vseh potrebnih podatkov za centralizirano orodje UEBA.	Količino in podrobnosti neobdelanih podatkov, ki jih agent zbere in posreduje UEBA, je mogoče posebej konfigurirati.
arhitektura	Je popoln izdelek UEBA za organizacijo. Integracija je lažja z uporabo zmogljivosti sistema SIEM ali podatkovnega jezera.	Zahteva ločen niz funkcij UEBA za vsako od rešitev, ki imajo vgrajeno UEBA. Vgrajene rešitve UEBA pogosto zahtevajo namestitev agentov in upravljanje podatkov.
Integracija	Za vsak primer ročna integracija rešitve UEBA z drugimi orodji. Omogoča organizaciji, da zgradi svoj tehnološki sklop na podlagi pristopa »najboljšega med analogi«.	Glavni paketi funkcij UEBA so že vključeni v samo orodje s strani proizvajalca. Modul UEBA je vgrajen in ga ni mogoče odstraniti, zato ga kupci ne morejo zamenjati z nečim svojim.
Vir: Gartner (maj 2019)

UEBA kot funkcija

UEBA postaja značilnost rešitev kibernetske varnosti od konca do konca, ki lahko izkoristijo dodatno analitiko. UEBA je podlaga za te rešitve in zagotavlja močno plast napredne analitike, ki temelji na vzorcih vedenja uporabnikov in/ali subjektov.

Trenutno na trgu je vgrajena funkcionalnost UEBA implementirana v naslednje rešitve, razvrščene po tehnološkem obsegu:

• Revizija in zaščita, osredotočena na podatke, so prodajalci, ki se osredotočajo na izboljšanje varnosti strukturiranega in nestrukturiranega shranjevanja podatkov (aka DCAP).

  V tej kategoriji prodajalcev Gartner med drugim ugotavlja, Platforma za kibernetsko varnost Varonis, ki ponuja analitiko vedenja uporabnikov za spremljanje sprememb v dovoljenjih za nestrukturirane podatke, dostopu in uporabi v različnih shrambah informacij.

• CASB sistemi, ki ponuja zaščito pred različnimi grožnjami v aplikacijah SaaS v oblaku z blokiranjem dostopa do storitev v oblaku za nezaželene naprave, uporabnike in različice aplikacij s pomočjo prilagodljivega sistema za nadzor dostopa.

  Vse vodilne rešitve CASB na trgu vključujejo zmogljivosti UEBA.

• DLP rešitve – usmerjeno v odkrivanje prenosa kritičnih podatkov izven organizacije ali njihove zlorabe.

  Napredek DLP v veliki meri temelji na razumevanju vsebine, z manj pozornosti na razumevanju konteksta, kot so uporabnik, aplikacija, lokacija, čas, hitrost dogodkov in drugi zunanji dejavniki. Da bi bili izdelki DLP učinkoviti, morajo prepoznati vsebino in kontekst. Zato mnogi proizvajalci začenjajo integrirati funkcionalnost UEBA v svoje rešitve.

• Spremljanje zaposlenih je zmožnost snemanja in predvajanja dejanj zaposlenih, običajno v formatu podatkov, primernem za pravne postopke (če je potrebno).

  Nenehno spremljanje uporabnikov pogosto ustvari ogromno količino podatkov, ki zahtevajo ročno filtriranje in človeško analizo. Zato se UEBA uporablja znotraj nadzornih sistemov za izboljšanje učinkovitosti teh rešitev in zaznavanje le incidentov z visokim tveganjem.

• Varnost končne točke – Rešitve za zaznavanje in odziv končne točke (EDR) in platforme za zaščito končne točke (EPP) zagotavljajo zmogljivo instrumentacijo in telemetrijo operacijskega sistema za
  končne naprave.

  Takšno telemetrijo, povezano z uporabnikom, je mogoče analizirati, da se zagotovi vgrajena funkcionalnost UEBA.

• Spletna goljufija – Rešitve za odkrivanje spletnih goljufij zaznajo deviantno dejavnost, ki kaže na ogrožanje strankinega računa s prevaro, zlonamerno programsko opremo ali izkoriščanjem nezaščitenih povezav/prestrezanja prometa brskalnika.

  Večina rešitev za goljufije uporablja bistvo UEBA, analizo transakcij in merjenje naprav, z naprednejšimi sistemi, ki jih dopolnjujejo z ujemanjem odnosov v podatkovni zbirki identitet.

• IAM in nadzor dostopa – Gartner opaža evolucijski trend med prodajalci sistemov za nadzor dostopa, da se integrirajo s čistimi prodajalci in v svoje izdelke vgradijo nekatere funkcije UEBA.
• Sistemi IAM in Identity Governance and Administration (IGA). uporabite UEBA za pokrivanje scenarijev vedenjske in identitetne analize, kot so odkrivanje anomalij, analiza dinamičnega združevanja podobnih entitet, analiza prijave in analiza politike dostopa.
• IAM in upravljanje privilegiranega dostopa (PAM) – Zaradi vloge spremljanja uporabe skrbniških računov imajo rešitve PAM telemetrijo, ki prikazuje, kako, zakaj, kdaj in kje so bili uporabljeni skrbniški računi. Te podatke je mogoče analizirati z uporabo vgrajene funkcionalnosti UEBA za prisotnost nepravilnega vedenja skrbnikov ali zlonamernih namenov.
• Proizvajalec NTA (analiza omrežnega prometa) – uporabite kombinacijo strojnega učenja, napredne analitike in zaznavanja na podlagi pravil za prepoznavanje sumljive dejavnosti v omrežjih podjetij.

  Orodja NTA nenehno analizirajo izvorni promet in/ali zapise o pretoku (npr. NetFlow) za izgradnjo modelov, ki odražajo normalno vedenje omrežja, predvsem pa se osredotočajo na analitiko vedenja entitet.

• siem – številni prodajalci SIEM imajo zdaj napredno funkcionalnost podatkovne analize vgrajeno v SIEM ali kot ločen modul UEBA. Skozi leto 2018 in vse do leta 2019 je prišlo do nenehnega brisanja meja med funkcionalnostjo SIEM in UEBA, kot je razloženo v članku "Tehnološki vpogled v sodobni SIEM". Sistemi SIEM so postali boljši pri delu z analitiko in ponujajo bolj zapletene scenarije uporabe.

Scenariji prijave UEBA

Rešitve UEBA lahko rešijo široko paleto problemov. Vendar se stranke Gartner strinjajo, da primarni primer uporabe vključuje odkrivanje različnih kategorij groženj, doseženo s prikazovanjem in analiziranjem pogostih povezav med vedenjem uporabnikov in drugimi entitetami:

• nepooblaščen dostop in pretok podatkov;
• sumljivo obnašanje privilegiranih uporabnikov, zlonamerno ali nepooblaščeno delovanje zaposlenih;
• nestandardni dostop in uporaba virov v oblaku;
• itd

Obstajajo tudi številni netipični primeri uporabe, ki niso povezani s kibernetsko varnostjo, kot so goljufije ali spremljanje zaposlenih, za katere je lahko UEBA upravičena. Vendar pa pogosto zahtevajo vire podatkov, ki niso povezani z IT in informacijsko varnostjo, ali posebne analitične modele z globokim razumevanjem tega področja. Spodaj je opisanih pet glavnih scenarijev in aplikacij, o katerih se strinjajo proizvajalci UEBA in njihove stranke.

"Zlonamerni insajder"

Ponudniki rešitev UEBA, ki pokrivajo ta scenarij, samo spremljajo zaposlene in zaupanja vredne izvajalce glede neobičajnega, »slabega« ali zlonamernega vedenja. Prodajalci na tem strokovnem področju ne spremljajo ali analizirajo vedenja storitvenih računov ali drugih nečloveških entitet. Predvsem zaradi tega se ne osredotočajo na odkrivanje naprednih groženj, kjer hekerji prevzamejo obstoječe račune. Namesto tega so namenjeni prepoznavanju zaposlenih, ki so vpleteni v škodljive dejavnosti.

V bistvu koncept "zlonamernega insajderja" izhaja iz zaupanja vrednih uporabnikov z zlonamernimi nameni, ki iščejo načine, kako povzročiti škodo svojemu delodajalcu. Ker je zlonamerno namero težko izmeriti, najboljši prodajalci v tej kategoriji analizirajo podatke o kontekstualnem vedenju, ki niso zlahka na voljo v revizijskih dnevnikih.

Ponudniki rešitev v tem prostoru tudi optimalno dodajajo in analizirajo nestrukturirane podatke, kot so vsebina e-pošte, poročila o produktivnosti ali informacije družbenih medijev, da zagotovijo kontekst za vedenje.

Ogrožene notranje in vsiljive grožnje

Izziv je hitro odkriti in analizirati "slabo" vedenje, ko napadalec pridobi dostop do organizacije in se začne premikati znotraj IT infrastrukture.
Asertivne grožnje (APT), kot so neznane ali še ne povsem razumljene grožnje, je izjemno težko odkriti in se pogosto skrivajo za zakonito dejavnostjo uporabnikov ali računi storitev. Takšne grožnje imajo običajno zapleten model delovanja (glejte na primer članek “ Obravnava verige kibernetskih ubijanj«) ali njihovo vedenje še ni bilo ocenjeno kot škodljivo. Zaradi tega jih je težko zaznati z uporabo preproste analitike (kot je ujemanje po vzorcih, pragovih ali korelacijskih pravilih).

Vendar ima veliko teh vsiljivih groženj za posledico nestandardno vedenje, ki pogosto vključuje nič hudega sluteče uporabnike ali subjekte (ali ogrožene notranje osebe). Tehnike UEBA ponujajo več zanimivih priložnosti za odkrivanje takšnih groženj, izboljšanje razmerja med signalom in šumom, konsolidacijo in zmanjšanje količine obvestil, prednostno razvrščanje preostalih opozoril ter olajšanje učinkovitega odziva in preiskave incidentov.

Ponudniki UEBA, ki ciljajo na to problematično področje, imajo pogosto dvosmerno integracijo s sistemi SIEM organizacije.

Eksfiltracija podatkov

Naloga v tem primeru je zaznavanje dejstva, da se podatki prenašajo izven organizacije.
Prodajalci, ki se osredotočajo na ta izziv, običajno izkoristijo zmogljivosti DLP ali DAG z zaznavanjem anomalij in napredno analitiko, s čimer izboljšajo razmerje med signalom in šumom, konsolidirajo obseg obvestil in dajo prednost preostalim sprožilcem. Za dodaten kontekst se prodajalci običajno bolj zanašajo na omrežni promet (kot so spletni posredniki) in podatke o končnih točkah, saj lahko analiza teh podatkovnih virov pomaga pri preiskavah izločitve podatkov.

Zaznavanje izločanja podatkov se uporablja za lovljenje notranjih in zunanjih hekerjev, ki ogrožajo organizacijo.

Identifikacija in upravljanje privilegiranega dostopa

Proizvajalci neodvisnih rešitev UEBA na tem področju strokovnega znanja opazujejo in analizirajo vedenje uporabnikov na ozadju že oblikovanega sistema pravic, da bi prepoznali pretirane privilegije ali nepravilen dostop. To velja za vse vrste uporabnikov in računov, vključno s privilegiranimi in storitvenimi računi. Organizacije uporabljajo tudi UEBA, da se znebijo mirujočih računov in uporabniških privilegijev, ki so višji od zahtevanih.

Prednostno določanje incidentov

Cilj te naloge je dati prednost obvestilom, ki jih ustvarijo rešitve v njihovem tehnološkem skladu, da bi razumeli, katere incidente ali morebitne incidente je treba obravnavati najprej. Metodologije in orodja UEBA so uporabne pri prepoznavanju incidentov, ki so še posebej neobičajni ali posebej nevarni za določeno organizacijo. V tem primeru mehanizem UEBA ne uporablja samo osnovne ravni aktivnosti in modelov groženj, temveč tudi nasiči podatke z informacijami o organizacijski strukturi podjetja (na primer kritični viri ali vloge in ravni dostopa zaposlenih).

Problemi implementacije rešitev UEBA

Tržna bolečina rešitev UEBA je visoka cena, zahtevna implementacija, vzdrževanje in uporaba. Medtem ko se podjetja borijo s številom različnih internih portalov, dobivajo še eno konzolo. Velikost vložka časa in sredstev v novo orodje je odvisna od zastavljenih nalog in vrste analitike, ki je potrebna za njihovo reševanje, in največkrat zahteva velike investicije.

V nasprotju s tem, kar trdijo številni proizvajalci, UEBA ni orodje »nastavi in ​​pozabi«, ki lahko nato neprekinjeno deluje več dni.
Stranke Gartnerja na primer ugotavljajo, da traja od 3 do 6 mesecev, da se pobuda UEBA začne iz nič, da se pridobijo prvi rezultati reševanja težav, za katere je bila ta rešitev implementirana. Za zahtevnejše naloge, kot je prepoznavanje notranjih groženj v organizaciji, se obdobje podaljša na 18 mesecev.

Dejavniki, ki vplivajo na težavnost implementacije UEBA in prihodnjo učinkovitost orodja:

• Kompleksnost organizacijske arhitekture, topologije omrežja in politik upravljanja podatkov
• Razpoložljivost pravih podatkov na pravi ravni podrobnosti
• Zapletenost analitičnih algoritmov prodajalca – na primer uporaba statističnih modelov in strojnega učenja v primerjavi s preprostimi vzorci in pravili.
• Količina vključene vnaprej konfigurirane analitike – to je proizvajalčevo razumevanje tega, katere podatke je treba zbrati za vsako nalogo in katere spremenljivke in atributi so najpomembnejši za izvedbo analize.
• Kako enostavno se proizvajalec samodejno integrira z zahtevanimi podatki.

  Na primer:

  • Če rešitev UEBA uporablja sistem SIEM kot glavni vir svojih podatkov, ali SIEM zbira informacije iz zahtevanih virov podatkov?
  • Ali je mogoče potrebne dnevnike dogodkov in podatke o organizacijskem kontekstu usmeriti v rešitev UEBA?
  • Če sistem SIEM še ne zbira in nadzoruje virov podatkov, ki jih potrebuje rešitev UEBA, kako jih je mogoče tja prenesti?

• Kako pomemben je scenarij uporabe za organizacijo, koliko podatkovnih virov potrebuje in koliko se ta naloga prekriva s strokovnim področjem proizvajalca.
• Kakšna stopnja organizacijske zrelosti in vključenosti je potrebna – na primer ustvarjanje, razvoj in izboljšanje pravil in modelov; dodeljevanje uteži spremenljivkam za vrednotenje; ali prilagoditev praga ocene tveganja.
• Kako razširljiva je prodajalčeva rešitev in njena arhitektura v primerjavi s trenutno velikostjo organizacije in njenimi prihodnjimi zahtevami.
• Čas je za izdelavo osnovnih modelov, profilov in ključnih skupin. Proizvajalci pogosto zahtevajo vsaj 30 dni (in včasih do 90 dni) za izvedbo analize, preden lahko definirajo "normalne" koncepte. Enkratno nalaganje zgodovinskih podatkov lahko pospeši usposabljanje modela. Nekatere zanimive primere je mogoče hitreje identificirati s pravili kot z uporabo strojnega učenja z neverjetno majhno količino začetnih podatkov.
• Stopnja truda, ki je potrebna za izgradnjo dinamičnega združevanja in profiliranja računa (storitev/oseba), se lahko med rešitvami zelo razlikuje.

Vir: www.habr.com