Verhaltensanalytik

Verhaltensanalytik ist eine Methode, kein Produkt. Sie verarbeitet Aktivitätsdaten wie Anmeldungen, Dateizugriffe, Netzwerkflüsse, Nachrichten, Transaktionen und Anwendungsnutzung, bildet ab, was für jedes Subjekt typisch ist, und bewertet alles, was davon abweicht.

Der Unterschied zur signaturbasierten Erkennung liegt in der Frage, die jede Methode stellt. Eine Signatur erkennt eine bekannte schädliche Datei oder eine gesperrte Adresse. Verhaltensanalytik fragt, ob ein Konto, ein Gerät oder ein Datenfluss sich anders verhält als in der eigenen Historie. Deshalb ist sie oft das einzige Signal, bevor eine neue oder langsam voranschreitende Bedrohung ihr Ziel erreicht.

Dieselbe Logik steckt hinter der Erkennung von Insider-Bedrohungen, wo das Subjekt ein vertrauenswürdiger Mitarbeiter ist und keine Signatur etwas zum Abgleich findet.

Unabhängig vom Subjekt folgt die Arbeit derselben Abfolge. Über die Qualität entscheidet die Baseline, denn eine Bewertung ist nur so gut wie das Bild von Normalität dahinter. Baselines entstehen durch Profiling jedes Benutzers, Geräts oder Kontos.

1. 1

   Erfassung

   Aktivitätsdaten stammen aus relevanten Quellen wie Endpoint-Agenten, Netzwerksensoren, Identitätsanbietern und Transaktionsprotokollen, in ausreichendem Umfang und über einen ausreichend langen Zeitraum.

2. 2

   Baseline erstellen

   Für jedes Subjekt, also Benutzer, Gerät, Netzsegment oder Konto, wird ein Normalprofil angelegt. Meist wird es zum Vergleich mit den Normen der Peergroup ergänzt.

3. 3

   Bewertung

   Neue Aktivität wird mit der Baseline verglichen, über Schwellenwertregeln, statistische Modelle oder maschinelles Lernen. Sie erhält einen Abweichungs- oder Risikowert statt eines einfachen Treffers oder Nicht-Treffers.

4. 4

   Triage und Reaktion

   Bewertete Befunde werden priorisiert und über einen SOC-Workflow oder die SIEM-Konsole an Analysten weitergeleitet. Diese untersuchen sie und eskalieren sie oder nutzen sie zur Verfeinerung der Baseline.

Dieselbe Methode funktioniert in vier Bereichen, und jeder hat auf dem Markt seinen eigenen Namen:

Die Begriffe überschneiden sich so stark, dass Verwechslungen entstehen. Verhaltensanalytik ist die übergeordnete Disziplin: der allgemeine Einsatz von Statistik und maschinellem Lernen auf Verhaltensdaten, für jedes Subjekt und jeden Teil des Sicherheitsstacks. Benutzer- und Entitätsverhaltensanalyse (UEBA) ist eine Produktkategorie, die darauf aufbaut und sich auf Benutzer und IT-Objekte innerhalb einer Organisation beschränkt.

Verhaltensanalyse ist die zugrunde liegende Praxis, Aktivitäten zu untersuchen, um festzustellen, was normal ist, unabhängig davon, ob ein Analyst das von Hand macht oder Software es automatisiert. Die Erkennung von Verhaltensanomalien ist die engere Aufgabe, eine einzelne Abweichung zu markieren, sobald eine Baseline existiert. In der Praxis trifft ein SOC-Team alle vier gleichzeitig an: die Methode, die Plattformkategorie, die interpretative Arbeit und den Alarm, der sie ausgelöst hat.

Anexet wendet dieselbe Methode über explizite Regeln an. Jede ausgelöste Regel erzeugt einen Vorfall, und die Konsole gruppiert Vorfälle nach Kategorie und Risikostufe. Ein Analyst erkennt das Muster in Insider Threat Detection, bevor er ein einzelnes Ereignis öffnet.

Kategorien werden im Manager für Risikokategorien bearbeitet, sodass eine Organisation eigene neben den Standardkategorien anlegen kann. Beide Ansichten unten basieren auf denselben Vorfallsdaten.

1 / 2

• 
• 

Verhaltensanalytik erfasst, was signatur- und regelbasierte Erkennung nicht erfassen kann: langsame, kumulative oder neue Abweichungen aus Handlungen, die jeweils legitim sind. Diese Stärke ist zugleich ihre größte Schwäche.

Die Werte fließen in ein Programm für Insider-Risikomanagement ein, und die Entscheidung trifft der Mensch, nicht der Wert. Am wichtigsten sind vier Grenzen:

• Baselines brauchen Wochen an Historie, bevor die Werte etwas bedeuten.
• Ein neues Projekt, ein Rollenwechsel oder eine saisonale Spitze kann wie eine Abweichung aussehen.
• Zu viele Schwellenwerte erzeugen Fehlalarme, und Analysten vertrauen den Meldungen nicht mehr.
• Daten über die Aktivität von Beschäftigten unterliegen Arbeits- und Datenschutzrecht.

Beginne mit den Subjekten und Daten, deren Abfluss oder Missbrauch den größten Schaden anrichten würde, und dann mit den Kanälen, über die diese Daten tatsächlich fließen. Baue zuerst Baselines für diese Subjekte auf und stimme die Schwellenwerte ab, bevor jemand auf einen Wert reagiert.

Ein Programm mit klarem Zweck, einer kurzen Regelliste und einer lückenlosen Prüfspur lässt sich leichter verteidigen als eines, das alles auf einmal bewertet.