تحليلات السلوك

تحليلات السلوك منهج وليست منتجاً. تأخذ بيانات النشاط، مثل تسجيلات الدخول وعمليات الملفات وتدفقات الشبكة والرسائل والمعاملات واستخدام التطبيقات، وتبني صورة لما هو مألوف لكل جهة، ثم تقيّم كل ما يخرج عنها.

يكمن الفرق عن الكشف بالتوقيعات في السؤال الذي يطرحه كل منهما. التوقيع يطابق ملفاً ضاراً معروفاً أو عنواناً محظوراً. أما تحليلات السلوك فتسأل: هل بدأ حساب أو جهاز أو تدفق بيانات يتصرف بشكل مختلف عن سجله الخاص؟ لذلك تكون في كثير من الأحيان الإشارة الوحيدة المتاحة قبل أن تصل تهديدات جديدة أو بطيئة إلى هدفها.

المنطق نفسه يقوم عليه اكتشاف التهديدات الداخلية، حيث تكون الجهة موظفاً موثوقاً لا مهاجماً خارجياً، وحيث لا يملك التوقيع ما يطابقه.

مهما كانت الجهة، يتبع العمل التسلسل نفسه. ما يحدد الجودة هو خط الأساس، لأن الدرجة لا تساوي أكثر من صورة الطبيعي التي تقف خلفها. تُبنى خطوط الأساس عبر التنميط لكل مستخدم أو جهاز أو حساب.

1. 1

   جمع البيانات

   تُجمع بيانات النشاط من المصادر المناسبة، مثل وكلاء نقاط النهاية وأجهزة استشعار الشبكة ومزودي الهوية وسجلات المعاملات، بحجم كافٍ وتاريخ كافٍ.

2. 2

   بناء خط الأساس

   يُبنى ملف للطبيعي لكل جهة، سواء كانت مستخدماً أو جهازاً أو قطاعاً شبكياً أو حساباً، ويُقارن عادةً بأنماط مجموعة الأقران لاكتساب السياق.

3. 3

   التقييم

   تُقارن النشاطات الجديدة بخط الأساس باستخدام قواعد العتبات أو النماذج الإحصائية أو تعلم الآلة. وتحصل على درجة انحراف أو مخاطرة، لا على حكم بسيط بالمطابقة أو عدمها.

4. 4

   الفرز والاستجابة

   تُرتَّب النتائج المقيَّمة وتُوجَّه إلى المحللين عبر سير عمل مركز العمليات الأمنية أو وحدة SIEM. يحققون فيها، ثم يصعّدونها أو يستخدمونها لتحسين خط الأساس.

يعمل المنهج نفسه في أربعة مجالات، ولكل منها اسمه في السوق:

تتداخل المصطلحات إلى حد يسبب الالتباس. تحليلات السلوك هي المظلة العامة: استخدام الإحصاء وتعلم الآلة على بيانات السلوك، لأي جهة ولأي جزء من حزمة الأمن. تحليل سلوك المستخدمين والكيانات (UEBA) فئة منتجات مبنية عليها، وتقتصر على المستخدمين وكيانات تقنية المعلومات داخل المؤسسة.

تحليل السلوك هو الممارسة الأساسية لدراسة النشاط بهدف تحديد ما هو طبيعي، سواء أجراها المحلل يدوياً أم أتمتها برنامج. أما اكتشاف الشذوذ السلوكي فمهمة أضيق: تمييز انحراف محدد بعد وجود خط أساس. وفي الممارسة، يواجه فريق مركز العمليات الأمنية الأربعة معاً: المنهج، وفئة المنصة، وعمل التفسير، والتنبيه الذي بدأ كل ذلك.

تطبّق Anexet المنهج نفسه عبر قواعد صريحة. كل قاعدة تُفعَّل تنشئ حادثة، وتجمع الواجهة الحوادث حسب الفئة ومستوى المخاطر. يرى المحلل النمط في اكتشاف التهديدات الداخلية قبل أن يفتح حدثاً واحداً.

تُعدَّل الفئات في مدير فئات المخاطر، فيمكن للمؤسسة أن تضيف فئاتها إلى جانب الفئات القياسية. وتُبنى المنظورتان أدناه على بيانات الحوادث نفسها.

1 / 2

• 
• 

تلتقط تحليلات السلوك ما لا تلتقطه الكشوف بالتوقيعات والقواعد: انحرافات بطيئة أو تراكمية أو جديدة، مبنية من أفعال مشروعة كل منها على حدة. وهذه القوة هي نفسها أهم نقاط ضعفها.

تغذي الدرجات برنامج إدارة مخاطر المطلعين الداخليين، والقرار يتخذه أشخاص لا الدرجة. وأهم أربعة قيود هي:

• تحتاج خطوط الأساس إلى أسابيع من السجل قبل أن تعني الدرجات شيئاً.
• قد يبدو مشروع جديد أو تغيير في الدور أو ذروة موسمية كأنه انحراف.
• تُنتج العتبات الكثيرة إنذارات كاذبة، فيتوقف المحللون عن الثقة بالتنبيهات.
• تخضع بيانات نشاط الموظفين لقوانين العمل وحماية البيانات.

ابدأ بالجهات والبيانات التي سيسبب تسرّبها أو إساءة استخدامها أكبر ضرر، ثم بالقنوات التي تنقلها فعلياً. ابنِ خطوط الأساس لتلك الجهات أولاً، واضبط العتبات قبل أن يتصرف أحد بناءً على درجة.

البرنامج الذي يبدأ بغرض واضح وقائمة قصيرة من القواعد وسجل تدقيق كامل أسهل في الدفاع عنه من برنامج يقيّم كل شيء دفعة واحدة.