# Analiza zachowań użytkowników i zagrożenia wewnętrzne (UEBA)

EN: **User and entity behaviour analytics (UEBA) and insider threat detection** · id `ueba` · aliases: UEBA, insider threat detection, user behaviour analytics, UBA, wykrywanie zagrożeń wewnętrznych

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [Wykrywanie zagrożeń i włamań](https://aiatlasgraph.com/t/threatdetection.md) › Analiza zachowań użytkowników i zagrożenia wewnętrzne (UEBA)

## Description

- PL: Modelowanie typowego zachowania kont, użytkowników i urządzeń w organizacji oraz wykrywanie odchyleń wskazujących na przejęte konto lub nieuczciwego pracownika.
- EN: Modelling the typical behaviour of accounts, users and devices in an organisation and detecting deviations that suggest a hijacked account or a malicious insider.

## In one sentence

- PL: System, który uczy się, jak zwykle pracują ludzie w firmie, i podnosi alarm, gdy czyjeś konto zaczyna zachowywać się dziwnie.
- EN: A system that learns how people at a company usually work and raises an alarm when someone's account starts acting strangely.

## Problem it solves

- PL: Najgroźniejsze wycieki zaczynają się od kogoś z prawdziwym hasłem, więc zwykłe zabezpieczenia niczego nie zauważają.
- EN: The worst leaks start with someone holding a real password, so ordinary safeguards notice nothing.

## What it does

- PL: Jak portier, który zna wszystkich pracowników: nie sprawdza przepustek, tylko dziwi się, gdy księgowa o trzeciej w nocy wynosi archiwum.
- EN: Like a doorman who knows every employee: he doesn't check passes, he just wonders why the accountant is carrying out the archive at 3 a.m.

## Everyday example

- PL: Konto handlowca, który właśnie złożył wypowiedzenie, nagle pobiera całą bazę klientów na prywatny dysk; system zgłasza to przełożonemu.
- EN: The account of a salesperson who just handed in notice suddenly downloads the entire customer database to a personal drive; the system flags it to a manager.

## This concerns you if you…

- PL: odpowiadasz za dane firmy
- PL: pracujesz z logami logowania i dostępu
- PL: budujesz detektory anomalii na danych o ludziach
- EN: are responsible for company data
- EN: work with login and access logs
- EN: build anomaly detectors on data about people

## Keywords

insider threat detection · behavior analytics · anomaly detection · adaptive attacker · sparse labels · synthetic data · risk scoring

## How it works

- PL: Modele uczą się rozróżniać zachowania użytkowników wewnętrznych od normalnej aktywności na podstawie wysokowymiarowych, niejednorodnych i rzadkich danych behawioralnych. Badania porównują takie podejścia na ograniczonych etykietach i danych syntetycznych, a wynik wykorzystuje się do priorytetyzacji anomalii do dalszej analizy.
- EN: Models learn to distinguish insider behavior from normal activity using high-dimensional, heterogeneous, and sparse behavioral data. Research compares such approaches under limited labels and synthetic data, and the resulting scores prioritize anomalies for further analysis.

## Limits

- PL: Dane są wysokowymiarowe, niejednorodne i rzadkie, a wiarygodnych etykiet jest mało. Napastnik może adaptować zachowanie, więc wynik modelu jest wskazówką do dochodzenia, a nie dowodem nadużycia.
- EN: Data is high-dimensional, heterogeneous, and sparse, with few reliable labels. An attacker can adapt behavior, so a model score is an investigation lead rather than proof of abuse.

## Key terms

- PL: **zagrożenie wewnętrzne**: Szkoda wyrządzona przez osobę z legalnym dostępem do systemów.
- PL: **grupa rówieśnicza**: Osoby o podobnej roli, z którymi porównuje się zachowanie użytkownika.
- PL: **wynik anomalii**: Liczba mówiąca, jak bardzo zachowanie odbiega od normy.
- EN: **insider threat**: Harm caused by someone with legitimate access to systems.
- EN: **peer group**: People in similar roles against whom a user's behaviour is compared.
- EN: **anomaly score**: A number showing how far behaviour departs from the norm.

## Know first

- [Wykrywanie anomalii i nowości (Outlier and novelty detection)](https://aiatlasgraph.com/t/anomalydetection.md)

## Sources

- [Deep Learning for Insider Threat Detection: Review, Challenges and Opportunities](<https://arxiv.org/abs/2005.12433>) `yuan-wu-insider-threat-dl-review-2020` · by Shuhan Yuan, Xintao Wu

---

AI Atlas revision 122 (2026-10-30) · HTML: https://aiatlasgraph.com/t/ueba · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30