Das Problem, das UEBA löst
Klassische Sicherheitsüberwachung beruht auf Regeln: «Tritt dieses Ereignis ein, alarmiere.» Das funktioniert gut bei bekannten Bedrohungen, etwa einer Malware-Signatur, einem blockierten Anmeldeversuch oder einer Übertragung an eine gesperrte Adresse.
Es versagt bei Bedrohungen, die sich langsam über eine Reihe einzeln legitimer Handlungen entfalten. Eine Person lädt einen Monat lang täglich etwas mehr Dateien herunter als üblich. Ein kompromittiertes Konto meldet sich aus einer neuen Region an. Ein Dienstleister greift außerhalb seiner üblichen Zeiten auf Systeme zu.
Jede einzelne Handlung besteht die Regeln. Das Muster, also die aufsummierte Abweichung vom normalen Verhalten der Person, zeigt die Bedrohung an. UEBA ist dafür gebaut, genau solche Verhaltensmuster zu finden.
Wie UEBA arbeitet
UEBA arbeitet in fünf Schritten, von den Rohdaten der Überwachung der Nutzeraktivität bis zum Vergleich mit einer Vergleichsgruppe.
- 1
Datenerhebung
UEBA verarbeitet Aktivitätsdaten aus der gesamten Umgebung: Anmeldungen, Dateizugriffe, Anwendungsnutzung, Datenübertragungen, Netzwerkverbindungen und Endgeräteaktivität. Je reichhaltiger die Daten, desto genauer die Basislinien.
- 2
Basislinienbildung
Für jede Person und Entität baut das System ein Verhaltensprofil auf: übliche Arbeitszeiten, genutzte Anwendungen, aufgerufene Daten, Kontakte und Herkunft der Verbindungen. Die Basislinie wird über die Zeit gelernt und passt sich an veränderte Rollen an.
- 3
Anomalieerkennung
Neue Aktivitäten werden mit der Basislinie verglichen. Statistische Modelle und maschinelles Lernen erkennen Abweichungen, etwa einen plötzlichen Anstieg des Datenvolumens, Zugriffe außerhalb des üblichen Bereichs, ungewöhnliche Uhrzeiten oder neue Standorte.
- 4
Risikobewertung
Statt binärer Alarme verdichtet UEBA mehrere schwache Signale zu einem Risikowert. Späte Arbeit allein ist ein geringes Risiko. Späte Arbeit, Massendownloads und Uploads in eine private Cloud zusammen sind ein hohes Risiko.
- 5
Vergleich mit der Vergleichsgruppe
UEBA vergleicht eine Person zusätzlich mit Kolleginnen und Kollegen in derselben Rolle oder Abteilung. Verhalten, das im Team normal, für die Einzelperson aber auffällig ist (oder umgekehrt), liefert zusätzlichen Kontext.
Personen und Entitäten
Viele Bedrohungen betreffen beide Dimensionen. Ein kompromittiertes Nutzerkonto (Nutzeranomalie) kann von einem ungewöhnlichen Gerät aus arbeiten (Entitätsanomalie). UEBA verknüpft beide Dimensionen.
- Nutzer sind Menschen: Beschäftigte, Dienstleister, Administratoren und Dienstkonten. UEBA verfolgt ihre Verhaltensmuster, eine Kerngröße jedes Programms zum Insider-Risiko.
- Entitäten sind nichtmenschliche Akteure: Geräte, Server, Anwendungen und Netzwerkknoten. Eine Entität kann auffälligen Datenverkehr, unerwartete Verbindungen oder Konfigurationsänderungen zeigen.
UEBA und verwandte Ansätze
UEBA überschneidet sich mit anderen Werkzeugen, doch jedes beantwortet eine andere Frage.
| Ansatz | Unterschied zu UEBA |
|---|---|
| Überwachung der Nutzeraktivität (UAM) | Sammelt die rohen Aktivitätsdaten. UEBA wertet sie auf Auffälligkeiten aus. |
| Data Loss Prevention (DLP) | Verhindert, dass bestimmte Daten bestimmte Kanäle verlassen. UEBA betrachtet Verhaltensmuster. |
| SIEM | Verknüpft Protokolle meist über Regeln. UEBA ergänzt verhaltensbasierte Analytik. |
So sieht es in Anexet aus
Die Risikoanalyse im Modul Anexet Activity gruppiert Vorfälle nach Risikokategorie, sodass Prüfende sehen, welche Personen hohe Werte haben.
1 / 2
Grenzen
Vier Grenzen wirken sich in der Praxis auf die Ergebnisse aus.
| Grenze | Worauf zu achten ist | Status |
|---|---|---|
| Reife der Basislinie | Neue Beschäftigte, Rollenwechsel und saisonale Muster erzeugen anfangs Fehlalarme. | Anfangsphase |
| Datenqualität | Lückenhafte oder verrauschte Eingangsdaten machen die Auswertung ungenauer. | Laufend |
| Erklärbarkeit | Die besten Lösungen zeigen deutbare Risikofaktoren, nicht nur einen Zahlenwert. | Anbieterwahl |
| Fehlalarme | Ein neues Projekt oder eine Beförderung kann auffällig wirken. Feinjustierung ist unverzichtbar. | Laufende Feinjustierung |
Wo UEBA den größten Nutzen bringt
Jeder Fall beruht auf derselben Idee: eine persönliche Basislinie und eine Abweichung, die eine einzelne Regel übersehen würde, wie bei der Erkennung von Insider-Bedrohungen.
Weiterlesen: Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.
- Erkennung von Insider-Bedrohungen: Beschäftigte oder Dienstleister identifizieren, deren Indikatoren für Insider-Bedrohungen auf Datendiebstahl, Sabotage oder Betrug hindeuten, bevor oder während es geschieht.
- Erkennung kompromittierter Konten: Nutzt ein Angreifer gestohlene Zugangsdaten, weicht das Muster von der Basislinie der berechtigten Person ab.
- Erkennung seitlicher Bewegung: Angreifer, die sich durch das Netz bewegen, erzeugen Zugriffsmuster, die vom normalen Verhalten abweichen.
- Überwachung privilegierter Konten: Administratoren haben weitreichenden Zugang. UEBA hilft zu erkennen, wenn dieser ungewöhnlich genutzt wird.
Ein langsamer Abfluss löst selten eine einzelne Regel aus. Er zeigt sich als Muster, das nicht mehr wie die Person aussieht, die ihre Arbeit erledigt.
Anexet TeamWie Anexet das löst
Die Risikoanalyse von Anexet, Teil des Moduls Activity, setzt eine verhaltensbasierte Risikobewertung im UEBA-Stil auf den am Endgerät erhobenen Aktivitätsdaten um:
Die On-Premise-Architektur bedeutet, dass alle Verhaltensdaten und Risikowerte in der Infrastruktur der Organisation bleiben. Das ist wichtig, weil die Verhaltensprofile selbst sensibel sind: Aktivitätsmuster von Beschäftigten und Risikoeinschätzungen.
Quelle der Verhaltensdaten
Endpoint-Agenten erfassen die Nutzeraktivität an den Arbeitsplätzen: genutzte Anwendungen, geöffnete Dateien, Web- und Messenger-Aktivität, Zeitmuster und Datenübertragungen. Sie liefern die reichhaltigen Eingangsdaten, die UEBA benötigt.
Risikokategorien
Nutzer werden über acht vorbereitete Risikokategorien bewertet: «Insider-Bedrohung», «Datenabfluss», «Illoyalität von Beschäftigten», «unangemessenes Verhalten», «unproduktive Tätigkeit», «Rechtsverstoß», «Nutzung von Unternehmensressourcen» und «Verstoß gegen den Arbeitszeitplan». Jede Kategorie verdichtet mehrere Verhaltenssignale zu einem Risikowert.
Trend-Dashboards
Risikowerte werden über die Zeit verfolgt, mit konfigurierbaren Schwellenwerten und Trenddarstellungen in der Client-Konsole.
Benachrichtigungsmanager
Schwellenwertbasierte Alarme werden per E-Mail, Syslog oder Telegram ausgelöst, sobald der Risikowert einer Person festgelegte Grenzen überschreitet. So ist eine vorausschauende Untersuchung möglich.
Funktion zur Erkennung von Insider-Bedrohungen
Mehr erfahren