Überwachung der Nutzeraktivität (UAM)

Die Überwachung von Benutzeraktivitäten (UAM) erfasst, was Menschen auf Systemen des Unternehmens tun: welche Programme sie nutzen, welche Websites sie besuchen, welche Dateien sie öffnen und welche Geräte sie anschließen. Jedes dieser Ereignisse wird zu einem Aktivitätsdatensatz, und UAM ist die Praxis, diese Datensätze gesammelt und in ihrer Gesamtheit auszuwerten.

Die Praxis entscheidet nicht von allein, was zulässig ist. Eine schriftliche Richtlinie legt Zweck, Umfang und die Personen fest, die die Daten einsehen dürfen. Ohne sie kann ein Werkzeug, das das Unternehmen schützen soll, dazu werden, einzelne Personen zu kontrollieren. Deshalb muss der Umfang festgelegt werden, bevor der erste Agent installiert wird.

Ein Agent auf jedem Arbeitsplatz sendet Datensätze an einen zentralen Speicher. Was er erfasst, hängt vom Profil des Geräts, von der Richtlinie des Unternehmens und vom rechtlichen Rahmen des Landes ab, in dem die Person arbeitet.

Die meisten Einführungen verfolgen drei Ziele. Das erste bestimmt meist den Aufbau der übrigen.

• Sicherheit: Eine Referenz für normale Arbeit macht Abweichungen sichtbar, etwa große Kopien in der Nacht. Das ist der Kern der Erkennung von Insider-Bedrohungen.
• Untersuchungen: Nach einem Datenabfluss oder einem Regelverstoß zeigen die Datensätze, wer was wann und auf welchem System getan hat. Dafür braucht es disziplinarische und rechtliche Prüfungen.
• Arbeitszeit: Aggregierte Daten zeigen aktive Stunden, den Anwendungsmix und die Leerlaufzeit pro Team. Das unterstützt Zeiterfassung und Kapazitätsplanung.

Die Begriffe überschneiden sich, beantworten aber jeweils eine andere Frage. Die Verhinderung von Datenverlust (DLP) fragt, wohin vertrauliche Daten gelangen dürfen, und blockiert Übertragungen, die gegen die Regeln verstoßen. UAM fragt, was jede Person getan hat. Datenübertragung ist dabei nur ein Teil des Bildes.

Verhaltensanalyse von Benutzern und Entitäten (UEBA) wendet Statistik und maschinelles Lernen auf diese Datensätze an, um ungewöhnliches Verhalten zu bewerten. Ein SIEM sammelt Sicherheitsprotokolle aus vielen Systemen und verknüpft sie. UAM liefert die Aktivitätsdetails, die die beiden anderen nutzen können, und viele Programme betreiben alle drei nebeneinander.

Überwachungsdaten sind an sich sensibel, deshalb sollte der Zugriff enger sein als die Daten selbst. Trennen Sie diejenigen, die die Richtlinie festlegen, von denen, die die Datensätze täglich lesen, und binden Sie jede Einsicht an einen definierten Zweck. Dies gehört auch zum Management von Insider-Risiken, das als Prozess und nicht als Werkzeug betrieben wird.

Das Modul Anexet Activity arbeitet mit Endpoint-Agenten für Windows, Linux und macOS. Jedes Agentenprofil legt fest, welche Aktivität erfasst wird, sodass unterschiedliche Gruppen von Rechnern nach unterschiedlichen Regeln laufen können.

Die Profilkonsole zeigt diese Optionen an einer Stelle: Aktivitätsüberwachung am PC mit Zeitlimit für Inaktivität, Zwischenablagekontrolle und einen Schalter für die Keylogger-Nutzung. Bildschirmfotos und andere Erfassungsarten werden im selben Profil eingestellt. Der zweite Ausschnitt zeigt das Ergebnis auf der Zeitleiste einer Person.

1 / 2

• 
• 

Die Überwachung von Beschäftigten ist in jedem Land anders geregelt. Nach der DSGVO braucht sie eine Rechtsgrundlage, Verhältnismäßigkeit zu einem genannten Zweck, Datenminimierung und Transparenz gegenüber den Beschäftigten. Das US-Recht ist großzügiger, unterscheidet sich aber je nach Bundesstaat, und in einigen Ländern muss der Betriebsrat einem System zustimmen, bevor es in Betrieb geht.

Gute Praxis ist fast überall dieselbe: eine schriftliche Richtlinie, ein klar definierter Zweck wie Sicherheit statt Kleinkontrolle und Zugriffskontrollen auf die Überwachungsdaten. Ein UAM-Programm soll Unternehmenssysteme und Aktivitäten beobachten, nicht das Privatleben der Person. Das Erstellen von Profilen über Beschäftigte wirft eigene rechtliche Fragen auf.

Beginnen Sie mit der Frage, die die Überwachung beantworten soll, und sammeln Sie dann die kleinste Menge an Aktivitätsdatensätzen, die sie beantwortet. Ein Programm, das jedes mögliche Signal erfasst, wird oft abgeschaltet, während ein eng gefasstes Programm mit klarem Verantwortlichen weiterläuft.

Halten Sie die Daten in einer Infrastruktur, die Sie kontrollieren. Mit der On-Premise-Bereitstellung bleiben Aktivitätsdatensätze im Unternehmen, was wichtig ist, wenn die Überwachungsdaten selbst sensibel sind.

Weiterlesen: Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.