‏تحليل سلوك المستخدمين والكيانات (UEBA)

تقوم المراقبة الأمنية التقليدية على القواعد: «إذا وقع هذا الحدث فأطلق تنبيهاً». وهي تنجح مع التهديدات المعروفة، مثل توقيع برمجية خبيثة، أو محاولة دخول محجوبة، أو تحويل إلى عنوان مدرج في القائمة السوداء.

لكنها تعجز أمام التهديدات التي تتكشّف ببطء عبر سلسلة من الإجراءات، كل منها مشروع بمفرده. موظف ينزّل كل يوم ملفات أكثر قليلاً من المعتاد على مدى شهر. حساب مخترَق يسجّل الدخول من موقع جديد. متعاقد يدخل إلى أنظمة خارج ساعات عمله المعتادة.

يمر كل إجراء عبر القواعد. ما يدل على التهديد هو النمط، أي الانحراف التراكمي عن السلوك الطبيعي للمستخدم. وقد صُمّم UEBA للعثور على هذه الأنماط السلوكية.

يمر UEBA بخمس مراحل، من البيانات الخام التي تسجلها مراقبة نشاط المستخدمين إلى المقارنة بمجموعة الأقران.

1. 1

   جمع البيانات

   يستهلك UEBA بيانات النشاط من البيئة كلها: تسجيلات الدخول، والوصول إلى الملفات، واستخدام التطبيقات، ونقل البيانات، واتصالات الشبكة، ونشاط محطات العمل. وكلما كانت البيانات أغنى، كانت خطوط الأساس أدق.

2. 2

   بناء خط الأساس

   يبني النظام لكل مستخدم وكيان ملفاً سلوكياً يشمل ساعات العمل المعتادة، والتطبيقات المستخدمة، والبيانات التي يُوصل إليها، ومصادر الاتصال. ويُتعلَّم خط الأساس مع الوقت، ويتكيف مع تغيّر الأدوار.

3. 3

   اكتشاف الشذوذ

   تُقارَن النشاطات الجديدة بخط الأساس. تحدد النماذج الإحصائية وتعلّم الآلة الانحرافات، مثل ارتفاع مفاجئ في حجم البيانات، أو وصول خارج النطاق المعتاد، أو نشاط في ساعات غير معتادة، أو مواقع جديدة.

4. 4

   تسجيل درجة الخطر

   بدلاً من التنبيهات الثنائية، يجمع UEBA عدة إشارات ضعيفة في درجة خطر واحدة. العمل حتى وقت متأخر وحده خطر منخفض. أما العمل المتأخر مع تنزيل الملفات بالجملة ورفعها إلى سحابة شخصية فخطر مرتفع.

5. 5

   المقارنة بمجموعة الأقران

   يقارن UEBA أيضاً سلوك المستخدم بأشخاص في الدور نفسه أو القسم نفسه. فالسلوك الطبيعي للفريق وغير المعتاد للفرد، أو العكس، يضيف سياقاً إضافياً.

تشمل كثير من التهديدات البعدين معاً. فحساب مستخدم مخترَق (شذوذ في المستخدم) قد يعمل من جهاز غير معتاد (شذوذ في الكيان). ويربط UEBA بين البعدين.

• المستخدمون أشخاص: موظفون ومتعاقدون ومسؤولو أنظمة وحسابات خدمة. ويتتبّع UEBA أنماط سلوكهم، وهي أساس أي برنامج لإدارة خطر المطلع الداخلي.
• الكيانات فاعلون غير بشريين: أجهزة وخوادم وتطبيقات وعُقد شبكة. وقد يُظهر الكيان حركة مرور شاذة، أو اتصالات غير متوقعة، أو تغييرات في الإعدادات.

يتداخل UEBA مع أدوات أخرى، لكن كلاً منها يجيب عن سؤال مختلف.

يجمّع تحليل المخاطر في وحدة Anexet Activity الحوادث حسب فئة الخطر، ليرى المحلل أي المستخدمين حصلوا على درجات مرتفعة.

1 / 2

• 
• 

تؤثر أربعة قيود في النتائج عملياً.

تقوم كل حالة على الفكرة نفسها: خط أساس شخصي وانحراف لا تلتقطه قاعدة منفردة، كما في اكتشاف التهديدات الداخلية.

للمزيد من القراءة: كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.

• اكتشاف التهديدات الداخلية: تحديد الموظفين أو المتعاقدين الذين تشير مؤشرات التهديد الداخلي لديهم إلى سرقة بيانات أو تخريب أو احتيال، قبل وقوع ذلك أو أثناءه.
• اكتشاف الحسابات المخترقة: عندما يستخدم مهاجم خارجي بيانات اعتماد مسروقة، يختلف نمط نشاطه عن خط أساس المستخدم الشرعي.
• اكتشاف الحركة الجانبية: المهاجمون الذين يتنقلون داخل الشبكة ينشئون أنماط وصول تختلف عن السلوك الطبيعي للمستخدمين.
• مراقبة الحسابات المميزة: يملك مسؤولو الأنظمة وصولاً واسعاً، ويساعد UEBA على رصد استخدامه بشكل غير معتاد.