Verhaltensanalyse

In der Sicherheit ist Verhaltensanalyse die Praxis, die beobachtbare digitale Aktivität von Personen in einer Organisation, Beschäftigte, Auftragnehmer, Administratoren, zu untersuchen, um zu verstehen, was normal ist, und zu erkennen, was es nicht ist. Die Einheit der Analyse ist nicht eine einzelne Datei oder Nachricht, sondern Aktivitätsmuster über die Zeit: wann Menschen arbeiten, welche Anwendungen und Seiten sie nutzen, mit wem sie kommunizieren, welche Daten sie berühren, wie intensiv.

Die Prämisse: Den meisten Insider-Vorfällen gehen beobachtbare Verhaltensänderungen voraus. Ein Beschäftigter, der sein Ausscheiden vorbereitet, ein von außen übernommenes Konto, ein Nutzer, der weit über seinen üblichen Rahmen hinausgreift, jedes zeigt sich zuerst als Abweichung von einem etablierten Muster. Verhaltensanalyse ist ein strukturierter Weg, diese Änderungen früh zu bemerken, statt sie nach einem Vorfall zu rekonstruieren.

Ob von einem Analysten oder von einer automatisierten Engine durchgeführt, folgt die Verhaltensanalyse einem sich wiederholenden Zyklus:

Das Ergebnis ist kein Urteil, sondern eine Priorität: eine Rangliste von Personen, deren jüngste Aktivität eine genauere Prüfung verdient, wobei jede Abweichung an die Ereignisse dahinter gebunden ist.

1. 1

   Sammlung

   Aktivitätsdaten werden von Endpunkten und Kanälen erfasst: Anwendungs- und Webnutzung, Mail und Messaging, Dateioperationen, Geräteverbindungen, Druck.

2. 2

   Baseline-Bildung

   Für jeden Nutzer, jede Rolle oder Gruppe wird über einen Zeitraum, der den Arbeitsrhythmus einfängt, ein Profil normaler Aktivität aufgebaut.

3. 3

   Vergleich

   Laufende Aktivität wird mit der Baseline und mit Richtlinienschwellen abgeglichen, Zählungen und Volumina, die eine Abweichung von der Norm markieren.

4. 4

   Bewertung

   Abweichungen werden nach Kategorie eingeordnet, möglicher Datenverlust, Richtlinienverstoß, Unloyalitätssignale, und erhalten ein Risikoniveau, das Schwere und Wiederholung widerspiegelt.

5. 5

   Reaktion

   Bestätigtes Risiko führt zu Alarmierung, Untersuchung oder Prävention; verworfene Befunde stimmen Baselines und Schwellen nach.

Eine Basislinie ist das Profil der normalen Aktivität eines Benutzers, einer Rolle oder einer Gruppe, das über einen Zeitraum aufgebaut wird, der den Arbeitsrhythmus erfasst. Eine Abweichung ist ein messbares Abweichen von diesem Profil. Dieselbe Handlung kann für die eine Person Routine und für eine andere ein Signal sein. Deshalb übersieht eine feste Regel für alle echte Fälle oder überflutet das Team mit Fehlalarmen. Der Vergleich jeder Person mit der eigenen Historie und mit Kolleginnen und Kollegen in derselben Rolle hält das Signal aussagekräftig. Basislinien stützen sich auf die bereits erfassten Daten der Überwachung der Benutzeraktivität, und Abweichungen werden vor dem Hintergrund bekannter Muster interner Bedrohungen bewertet.

Die Prüfung einer Abweichung ist genauso wichtig wie ihre Erkennung. Analysten sehen sich die Ereignisse hinter jeder markierten Änderung an, und ihre Entscheidungen fließen in die Basislinie zurück. So erzeugt ein harmloses Muster, etwa ein monatlicher Abschlussbericht, irgendwann keine Alarme mehr.

• Arbeitszeiten im Vergleich zum üblichen Zeitplan der Person und zum Rhythmus des Teams
• Menge an Nachrichten, Dateien und Downloads pro Stunde, Tag oder Woche
• Anwendungen, Websites und Empfänger, die die Person üblicherweise nutzt
• Repositories, Freigaben und Systeme, die die Person üblicherweise öffnet

In der Sicherheit behandelt Verhaltensanalyse ausschließlich beobachtbare Handlungen auf Unternehmenssystemen: welche Ressourcen abgerufen wurden, was wohin gesendet wurde, wann und in welchem Umfang. Sie leitet keine Persönlichkeitsmerkmale, Haltungen oder Absichten her und sagt nicht voraus, was eine Person abseits der Arbeitssysteme tun könnte. Psychologisches Profiling ist eine andere Tätigkeit mit deutlich strengeren rechtlichen Grenzen, und es ist nicht das, was Insider-Risiko-Analyse tut.

Die Unterscheidung ist rechtlich bedeutsam: Aufsichtsbehörden akzeptieren die Überwachung arbeitsbezogener Aktivität, wenn sie verhältnismäßig, transparent und zweckgebunden ist, während die Einschätzung von Persönlichkeiten oder Privatleben sensible Verarbeitung ist, die die meisten Rahmenwerke einschränken oder verbieten. Ein verteidigungsfähiges Programm benennt die Indikatoren, denen es folgt; es charakterisiert nicht die Person dahinter.

Eine weitere Grenze: User and Entity Behavior Analytics (UEBA) ist die Technologiekategorie, die Verhaltensanalyse mit statistischen Modellen automatisiert; die Verhaltensanalyse selbst ist die breitere Praxis, von Analysten wie von Engines betrieben.

Die meisten dieser Muster zeigen sich zuerst als Abweichung von der eigenen Basislinie der Person. Automatisierte UEBA-Werkzeuge markieren sie, und Analysten entscheiden, was jedes davon bedeutet.

Im Modul Insider Threat Detection erhält jeder Vorfall eine Risikostufe und eine Kategorie. So sieht der Sicherheitsverantwortliche, wo sich das Risiko konzentriert, bevor er ein einzelnes Ereignis öffnet.

1 / 2

• 
• 

Da sie auf der Überwachung von Beschäftigten aufbaut, unterliegt die Verhaltensanalyse dem Arbeits- und Datenschutzrecht. In der EU und im Vereinigten Königreich verlangt die DSGVO eine legitime Grundlage, einen definierten Zweck, Verhältnismäßigkeit und Transparenz, Beschäftigte müssen wissen, dass Überwachung existiert und was sie abdeckt; in Deutschland kommt die Mitbestimmung des Betriebsrats hinzu, der bei Systemen zur Verhaltenskontrolle vor der Einführung zu beteiligen ist. Andere Jurisdiktionen setzen eigene Unterrichtungsregeln; Datenminimierung gilt überall: erheben, was der Zweck erfordert, und nichts mehr.

Praktische Schutzmaßnahmen: eine schriftliche, dem Personal mitgeteilte Überwachungsrichtlinie, auf definierte Rollen beschränkte Verhaltensaufzeichnungen, Aufbewahrungsgrenzen und eine klare Trennung zwischen Sicherheitsanalyse und Leistungsbewertung. Die rechtliche Linie verläuft zwischen der Beobachtung von Aktivität auf Unternehmensressourcen und der verdeckten Überwachung von Personen.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und dann mit den Kanälen, über die sie tatsächlich fließen. Ein klares Programm für Insider-Risk-Management braucht eine kurze Liste von Indikatoren, die die Organisation ihren Beschäftigten erklären kann.

Bevor aus einer Abweichung eine Schlussfolgerung wird, prüfen Sie die Ereignisse dahinter und den Kontext der Arbeit. Eine Abweichung ist eine Frage, die beantwortet werden muss, kein Urteil über die Person.

Weiterlesen: Profiling.