Ανάλυση Συμπεριφοράς

Η ανάλυση συμπεριφοράς είναι μέθοδος, όχι προϊόν. Παίρνει δεδομένα δραστηριότητας, όπως συνδέσεις, λειτουργίες αρχείων, ροές δικτύου, μηνύματα, συναλλαγές και χρήση εφαρμογών, χτίζει μια εικόνα του τυπικού για κάθε υποκείμενο και βαθμολογεί ό,τι αποκλίνει από αυτήν.

Η διαφορά από την ανίχνευση με υπογραφές βρίσκεται στο ερώτημα που θέτει η καθεμία. Μια υπογραφή ταιριάζει με γνωστό κακόβουλο αρχείο ή με αποκλεισμένη διεύθυνση. Η ανάλυση συμπεριφοράς ρωτά αν ένας λογαριασμός, μια συσκευή ή μια ροή δεδομένων άρχισε να συμπεριφέρεται διαφορετικά από το δικό της ιστορικό. Γι' αυτό συχνά είναι το μόνο σήμα που υπάρχει προτού μια νέα ή αργή απειλή φτάσει στον στόχο της.

Την ίδια λογική χρησιμοποιεί η ανίχνευση εσωτερικών απειλών, όπου υποκείμενο είναι ένας έμπιστος εργαζόμενος και όχι ένας εξωτερικός επιτιθέμενος, και όπου καμία υπογραφή δεν έχει τι να ταιριάξει.

Ό,τι κι αν είναι το υποκείμενο, η δουλειά ακολουθεί την ίδια αλληλουχία. Την ποιότητα την καθορίζει η βασική γραμμή, γιατί μια βαθμολογία αξίζει μόνο όσο η εικόνα του φυσιολογικού πίσω της. Οι βασικές γραμμές χτίζονται με προφίλ κάθε χρήστη, συσκευής ή λογαριασμού.

1. 1

   Συλλογή

   Τα δεδομένα δραστηριότητας προέρχονται από σχετικές πηγές, όπως πράκτορες στα τελικά σημεία, αισθητήρες δικτύου, παρόχους ταυτότητας και αρχεία συναλλαγών, σε επαρκή όγκο και ιστορικό.

2. 2

   Βασική γραμμή

   Για κάθε υποκείμενο, δηλαδή χρήστη, συσκευή, τμήμα δικτύου ή λογαριασμό, δημιουργείται προφίλ του φυσιολογικού. Συνήθως συγκρίνεται και με τα πρότυπα της ομάδας αναφοράς.

3. 3

   Βαθμολόγηση

   Η νέα δραστηριότητα συγκρίνεται με τη βασική γραμμή με κανόνες ορίων, στατιστικά μοντέλα ή μηχανική μάθηση. Παίρνει βαθμό απόκλισης ή κινδύνου και όχι απλό ναι ή όχι.

4. 4

   Διαλογή και αντίδραση

   Τα βαθμολογημένα ευρήματα ταξινομούνται και στέλνονται στους αναλυτές μέσω ροής SOC ή της κονσόλας SIEM. Οι αναλυτές τα ερευνούν και στη συνέχεια τα κλιμακώνουν ή τα χρησιμοποιούν για να βελτιώσουν τη βασική γραμμή.

Η ίδια μέθοδος λειτουργεί σε τέσσερις τομείς, και καθένας έχει το δικό του όνομα στην αγορά:

Οι όροι επικαλύπτονται αρκετά ώστε να προκαλούν σύγχυση. Η ανάλυση συμπεριφοράς είναι η γενική πειθαρχία: η χρήση στατιστικής και μηχανικής μάθησης σε δεδομένα συμπεριφοράς, για κάθε υποκείμενο και κάθε μέρος της στοίβας ασφάλειας. Η ανάλυση συμπεριφοράς χρηστών και οντοτήτων (UEBA) είναι κατηγορία προϊόντων που βασίζεται σε αυτήν και περιορίζεται σε χρήστες και οντότητες IT μέσα σε έναν οργανισμό.

Η ανάλυση συμπεριφοράς είναι η υποκείμενη πρακτική της μελέτης της δραστηριότητας για να προσδιοριστεί τι είναι φυσιολογικό, είτε το κάνει ένας αναλυτής με το χέρι είτε το αυτοματοποιεί λογισμικό. Η ανίχνευση συμπεριφορικών ανωμαλιών είναι πιο στενή εργασία: η επισήμανση μιας συγκεκριμένης απόκλισης αφού υπάρξει βασική γραμμή. Στην πράξη, μια ομάδα SOC συναντά και τα τέσσερα ταυτόχρονα: τη μέθοδο, την κατηγορία πλατφόρμας, τη διερμηνευτική εργασία και την ειδοποίηση που την ξεκίνησε.

Το Anexet εφαρμόζει την ίδια μέθοδο μέσω ρητών κανόνων. Κάθε κανόνας που ενεργοποιείται δημιουργεί περιστατικό, και η κονσόλα ομαδοποιεί τα περιστατικά ανά κατηγορία και επίπεδο κινδύνου. Ο αναλυτής βλέπει το μοτίβο στο Insider Threat Detection πριν ανοίξει ένα μόνο γεγονός.

Οι κατηγορίες επεξεργάζονται στον διαχειριστή κατηγοριών κινδύνου, ώστε ένας οργανισμός να προσθέτει δικές του δίπλα στις τυπικές. Και οι δύο προβολές παρακάτω βασίζονται στα ίδια δεδομένα περιστατικών.

1 / 2

• 
• 

Η ανάλυση συμπεριφοράς εντοπίζει όσα δεν εντοπίζουν η ανίχνευση με υπογραφές και με κανόνες: αργές, σωρευτικές ή νέες αποκλίσεις από ενέργειες που η καθεμία είναι νόμιμη. Αυτή η δύναμη είναι ταυτόχρονα και η κύρια αδυναμία της.

Οι βαθμολογίες τροφοδοτούν ένα πρόγραμμα διαχείρισης κινδύνου εσωτερικού προσωπικού, και την απόφαση την παίρνουν άνθρωποι, όχι η βαθμολογία. Τέσσερις περιορισμοί έχουν τη μεγαλύτερη σημασία:

• Οι βασικές γραμμές χρειάζονται εβδομάδες ιστορικού προτού οι βαθμολογίες σημαίνουν κάτι.
• Ένα νέο έργο, μια αλλαγή ρόλου ή μια εποχική αιχμή μπορεί να μοιάζει με απόκλιση.
• Πολλά όρια παράγουν ψευδείς συναγερμούς και οι αναλυτές παύουν να εμπιστεύονται τις ειδοποιήσεις.
• Τα δεδομένα για τη δραστηριότητα των εργαζομένων υπόκεινται στο εργατικό δίκαιο και στην προστασία δεδομένων.

Ξεκινήστε από τα υποκείμενα και τα δεδομένα που θα βλάψουν περισσότερο αν διαρρεύσουν ή κακοποιηθούν, και μετά από τα κανάλια που τα μεταφέρουν πραγματικά. Χτίστε πρώτα τις βασικές γραμμές για αυτά τα υποκείμενα και ρυθμίστε τα όρια προτού κάποιος ενεργήσει με βάση μια βαθμολογία.

Ένα πρόγραμμα που ξεκινά με σαφή σκοπό, μικρό κατάλογο κανόνων και πλήρη ίχνη ελέγχου είναι ευκολότερο να υπερασπιστεί από ένα που βαθμολογεί τα πάντα μαζί.