用途：面向SOC与内部威胁项目，基于行为基线检测账户失陷、内部数据窃取、权限滥用、共享账户等异常。
主要能力：以30天历史认证与访问日志建立用户基线；用地理距离与时间差计算速度，识别不可能旅行；比对登录时段、星期与历史分布识别异常登录；用文件访问量与Z分数识别异常数据访问；统计特权事件与主机数对比基线识别权限滥用；最后汇总为加权风险分并排序输出报告。
使用方式：需具备SIEM（如Splunk ES UBA模块或等效UEBA能力）、30天以上认证与访问日志、规范化到CIM的VPN/O365/AD日志、GeoIP库（MaxMind GeoLite2）及身份信息（部门、角色、主管、常规工作时间）。工作流分六步：建立基线、检测不可能旅行、检测异常登录时间、检测异常数据访问、检测权限滥用、生成风险分并排序。所需Splunk查询命令保持原样使用。
适用场景：失陷账户（不可能旅行＋非工作时间登录）、离职前数据窃取、权限提升滥用、共享账户多地域同时登录、长期休眠账户突然执行特权操作。
限制：不能作为纪律处分的唯一依据，结果是指标需进一步调查；需已具备上述日志与工具条件；具体阈值与权重需按环境调整。缺失的价格、平台版本、部署步骤等暂未提供。