NetGain把UEBA评分公式全公开了

凌晨三点，安全运营中心收到一条高危告警。值班工程师盯着屏幕上的风险分数，脑子里只有一个问题：这数字怎么算出来的？

大多数厂商的答案是：别问，信任模型就好。NetGain选择把公式、查询语句、衰减曲线全部摊开——五分钟的演示视频里，每一个乘数都能点击溯源。这不是技术炫技，是对"黑箱式AI"的正面挑战。

行业潜规则：AI是个筐，规则往里装

用户实体行为分析（UEBA）市场有个公开的秘密。厂商销售演示时满嘴"机器学习""异常检测"，部署后工程师追问某条告警的依据，得到的回复永远是同一套话术：模型判断的，请相信算法。

没有公式。没有查询语句。没有能在客户面前自证清白的证据链。只有一块看起来很专业的仪表盘，和一张年度续费账单。

NetGain创始人Mark Lewis在网络安全产品领域干了二十多年。他在博客中写道：「我见过这个套路太多次了。」

所谓"AI驱动"的UEBA，底层往往是硬编码的if语句——五次登录失败标记为异常，异地访问触发告警，非工作时间操作提升风险等级。规则写死在代码里，包装成"智能"卖出高价。客户花二十万美元买的不是学习能力，是一套披着AI外衣的静态规则库。

更麻烦的是审计场景。两个月后合规部门来查，问为什么某用户当时被标记。系统只能显示该用户现在的行为画像，无法还原检测瞬间的基准状态。告警变成了无法辩护的孤证。

NetGain的解法：无监督学习+全透明计算

他们的核心设计是零规则。系统不预设"五次失败登录等于异常"这类阈值，而是在14天滚动窗口内观察每个用户的自发模式。

以Mark Lewis本人为例：早八晚六登录，三个已知IP地址，日均112条事件。系统从未被告知这是"正常"，纯粹通过无监督学习（unsupervised learning）自行归纳。没有标注训练数据，没有人工定义的黑白样本。

风险评分的计算公式完全公开：

单项异常贡献值 = 基础风险 × 置信度 × 指数衰减（24小时半衰期）

这就是全部。没有隐藏权重，没有调参黑箱。工程师可以点击"解释此基准"，直接看到生成证据的Elasticsearch查询语句——复制、运行、人工核验原始事件，三步完成验证。

分数是连续变量，不是二元开关。用户近期活动减少时，风险值会从70平滑降至60再到45，不会 stuck 在"已告警"状态。已确认的异常会立即将其贡献值归零，避免噪音累积。

关键设计：基准状态在检测时刻冻结。两周后审计员追问依据，系统展示的是 detector 当时的观察快照，而非用户当下的行为画像。这让每一条告警都具备可辩护性。

攻击链乘数与上升风险：两个差异化设计

真实攻击者很少只触发单一检测器。NetGain引入了攻击链乘数：三小时内出现三种不同的MITRE ATT&CK技术，在单项异常得分基础上叠加2倍系数。50分的基础风险由此跃升至88分。

另一个被忽视的场景是"爬升者"。所有UEBA产品都支持按风险分数排序，NetGain额外增加了分数加速度（score acceleration）维度。

一个特权服务账户七天内从0分涨到31分，日均增速3分——按绝对值看尚未触及"高风险"阈值，但加速度信号已经暴露预攻击特征。这是打电话提醒管理员，还是等事态升级后启动应急响应，差别就在这里。

五分钟的演示，一道行业测试题

NetGain发布的视频全长五分钟，逐帧展示公式、查询、点击路径。Lewis在文末抛出一个挑衅：「看完这段视频，去让你的厂商展示任意一条告警背后的数学原理。沉默本身就是答案。」

这话刺耳，但指向一个真问题。Gartner预测2025年UEBA市场规模将突破15亿美元，但"AI"标签的滥用程度与市场规模同步膨胀。当每个厂商都声称使用机器学习，区分真假的标准不再是宣传话术，而是可审计的计算过程。

透明化设计也有代价。竞争对手可以完整复现NetGain的评分逻辑，客户的技术团队可能质疑某些权重设置。Lewis的回应是：「这就是你能站在客户面前辩护的UEBA。」

对安全运营团队而言，可解释性不是锦上添花，是刚需。SOC分析师每天面对数百条告警，无法溯源的"AI判断"只会加剧疲劳和误报焦虑。当上级或客户质疑某条高危标记时，"模型说的"从来不是有效回答。

透明会成为新门槛吗

NetGain的公开策略，本质上是用可审计性换取信任溢价。在UEBA这个信任稀缺的细分市场，这可能是更聪明的差异化路径。

一个值得观察的信号：当越来越多买家开始要求"展示公式"，黑箱产品的续费率会不会承压？安全软件的采购决策正在从"功能清单对比"转向"运营可信度验证"，这个转变的速度可能比厂商预期的更快。