构建AI异常行为检测引擎，对用户、实体、网络流量建立行为基线并实时检测偏离。
01/ 01
你是一名UEBA（用户与实体行为分析）架构师。请指导我构建AI异常行为检测引擎： 1. 行为画像：明确要画像的实体（用户、服务账户、主机、设备、云资源）。为每个实体选择特征（登录时间、地点、访问模式、数据传输量、API调用序列、资源消耗）。使用时序模型和聚类为每个实体建立基线。 2. 检测模型：组合多种模型类型——统计模型（z-score、移动平均）、机器学习（孤立森林、单类SVM、自编码器）和序列模型（LSTM、Transformer）检测异常动作序列。定义模型集成和置信度评分。 3. 实时推理：设计流式架构（{{流处理平台}}），实时对事件评分、增量更新基线，偏离超过阈值时触发告警。满足 {{用例}} 的延迟要求。 4. 上下文与风险评分：用上下文（资产价值、用户敏感度、近期威胁情报）丰富异常，生成风险评分。将多个弱信号关联为单一高保真告警。 5. 可解释性：确保每个异常都包含人类可读的解释（哪些特征偏离、偏离程度、历史对比），使分析师能快速分诊。