Το πρόβλημα που λύνει το UEBA
Η κλασική παρακολούθηση ασφάλειας στηρίζεται σε κανόνες: «αν συμβεί αυτό το γεγονός, ειδοποίησε». Λειτουργεί καλά με γνωστές απειλές, όπως μια υπογραφή κακόβουλου λογισμικού, μια αποκλεισμένη απόπειρα σύνδεσης ή μια μεταφορά σε διεύθυνση μαύρης λίστας.
Αποτυγχάνει μπροστά σε απειλές που εξελίσσονται αργά, μέσα από μια σειρά ενεργειών που η καθεμιά είναι θεμιτή χωριστά. Ένας εργαζόμενος κατεβάζει για έναν μήνα κάθε μέρα λίγα περισσότερα αρχεία από το συνηθισμένο. Ένας παραβιασμένος λογαριασμός συνδέεται από νέα τοποθεσία. Ένας συνεργάτης μπαίνει σε συστήματα εκτός του συνήθους ωραρίου του.
Κάθε ενέργεια περνά τους κανόνες. Αυτό που σηματοδοτεί την απειλή είναι το μοτίβο, δηλαδή η αθροιστική απόκλιση από την κανονική συμπεριφορά του χρήστη. Το UEBA σχεδιάστηκε για να βρίσκει αυτά τα μοτίβα συμπεριφοράς.
Πώς δουλεύει το UEBA
Το UEBA ακολουθεί πέντε στάδια, από τα ακατέργαστα δεδομένα που καταγράφει η παρακολούθηση δραστηριότητας χρηστών έως τη σύγκριση με ομάδα ομοίων.
- 1
Συλλογή δεδομένων
Το UEBA καταναλώνει δεδομένα δραστηριότητας από όλο το περιβάλλον: συνδέσεις χρηστών, πρόσβαση σε αρχεία, χρήση εφαρμογών, μεταφορές δεδομένων, συνδέσεις δικτύου και δραστηριότητα στους σταθμούς εργασίας. Όσο πλουσιότερα τα δεδομένα, τόσο ακριβέστερες οι βάσεις αναφοράς.
- 2
Δόμηση βάσης αναφοράς
Για κάθε χρήστη και οντότητα το σύστημα χτίζει προφίλ συμπεριφοράς: συνηθισμένες ώρες εργασίας, εφαρμογές, δεδομένα στα οποία έχει πρόσβαση, επαφές και προέλευση συνδέσεων. Η βάση μαθαίνεται με τον χρόνο και προσαρμόζεται όταν αλλάζουν οι ρόλοι.
- 3
Ανίχνευση ανωμαλιών
Η νέα δραστηριότητα συγκρίνεται με τη βάση αναφοράς. Στατιστικά μοντέλα και μηχανική μάθηση εντοπίζουν αποκλίσεις, όπως αιφνίδια αύξηση του όγκου δεδομένων, πρόσβαση εκτός του συνήθους εύρους, ασυνήθιστες ώρες ή νέες τοποθεσίες.
- 4
Βαθμολόγηση κινδύνου
Αντί για δυαδικές ειδοποιήσεις, το UEBA συνδυάζει πολλά ασθενή σήματα σε μία βαθμολογία κινδύνου. Η εργασία αργά από μόνη της είναι χαμηλός κίνδυνος. Η εργασία αργά, οι μαζικές λήψεις αρχείων και οι μεταφορές σε προσωπικό cloud μαζί είναι υψηλός κίνδυνος.
- 5
Σύγκριση με ομάδα ομοίων
Το UEBA συγκρίνει επίσης τον χρήστη με άτομα στον ίδιο ρόλο ή τμήμα. Η συμπεριφορά που είναι κανονική για την ομάδα αλλά ασυνήθιστη για το άτομο (ή το αντίστροφο) προσφέρει επιπλέον πλαίσιο.
Χρήστες και οντότητες
Πολλές απειλές αφορούν και τις δύο διαστάσεις. Ένας παραβιασμένος λογαριασμός χρήστη (ανωμαλία χρήστη) μπορεί να δρα από ασυνήθιστη συσκευή (ανωμαλία οντότητας). Το UEBA συσχετίζει και τις δύο.
- Οι χρήστες είναι άνθρωποι: εργαζόμενοι, εξωτερικοί συνεργάτες, διαχειριστές και λογαριασμοί υπηρεσιών. Το UEBA παρακολουθεί τα μοτίβα συμπεριφοράς τους, βασικό στοιχείο κάθε προγράμματος κινδύνου insider.
- Οι οντότητες είναι μη ανθρώπινοι δράστες: συσκευές, διακομιστές, εφαρμογές και κόμβοι δικτύου. Μια οντότητα μπορεί να εμφανίσει ανώμαλη κίνηση, απροσδόκητες συνδέσεις ή αλλαγές ρυθμίσεων.
Το UEBA έναντι συγγενών προσεγγίσεων
Το UEBA επικαλύπτεται με άλλα εργαλεία, αλλά το καθένα απαντά σε διαφορετικό ερώτημα.
| Προσέγγιση | Τι διαφέρει από το UEBA |
|---|---|
| Παρακολούθηση Δραστηριότητας Χρηστών (UAM) | Συλλέγει ακατέργαστα δεδομένα δραστηριότητας. Το UEBA τα αναλύει για ανωμαλίες. |
| Πρόληψη Απώλειας Δεδομένων (DLP) | Εμποδίζει συγκεκριμένα δεδομένα να φύγουν από κανάλια. Το UEBA εξετάζει μοτίβα συμπεριφοράς. |
| SIEM | Συσχετίζει αρχεία καταγραφής, συνήθως με κανόνες. Το UEBA προσθέτει αναλυτική συμπεριφοράς. |
Πώς φαίνεται στην Anexet
Η ανάλυση κινδύνου στη μονάδα Anexet Activity ομαδοποιεί τα περιστατικά ανά κατηγορία κινδύνου, ώστε ο αναλυτής να βλέπει ποιοι χρήστες έχουν υψηλή βαθμολογία.
1 / 2
Περιορισμοί
Τέσσερις περιορισμοί επηρεάζουν τα αποτελέσματα στην πράξη.
| Περιορισμός | Τι να προσέχετε | Κατάσταση |
|---|---|---|
| Ωριμότητα της βάσης αναφοράς | Νέοι εργαζόμενοι, αλλαγές ρόλων και εποχικά μοτίβα παράγουν αρχικά ψευδώς θετικά. | Αρχική φάση |
| Ποιότητα δεδομένων | Ελλιπή ή θορυβώδη δεδομένα εισόδου μειώνουν την ακρίβεια της ανάλυσης. | Συνεχής |
| Επεξηγησιμότητα | Οι καλύτερες υλοποιήσεις δείχνουν ερμηνεύσιμους παράγοντες κινδύνου, όχι μόνο βαθμολογία. | Επιλογή προμηθευτή |
| Ψευδώς θετικά | Νέο έργο ή προαγωγή μπορεί να φανεί ανώμαλο. Η ρύθμιση είναι απαραίτητη. | Τακτική ρύθμιση |
Πού προσθέτει τη μεγαλύτερη αξία το UEBA
Κάθε περίπτωση βασίζεται στην ίδια ιδέα: μια προσωπική βάση αναφοράς και μια απόκλιση που ένας μεμονωμένος κανόνας θα έχανε, όπως στον εντοπισμό εσωτερικών απειλών.
Περισσότερα: Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.
- Εντοπισμός εσωτερικών απειλών: αναγνώριση εργαζομένων ή συνεργατών των οποίων οι δείκτες εσωτερικής απειλής υποδηλώνουν κλοπή δεδομένων, σαμποτάζ ή απάτη, πριν συμβεί ή καθώς συμβαίνει.
- Εντοπισμός παραβιασμένων λογαριασμών: όταν εξωτερικός επιτιθέμενος χρησιμοποιεί κλεμμένα διαπιστευτήρια, το μοτίβο διαφέρει από τη βάση του νόμιμου χρήστη.
- Εντοπισμός πλευρικής κίνησης: οι επιτιθέμενοι που κινούνται στο δίκτυο δημιουργούν μοτίβα πρόσβασης διαφορετικά από την κανονική συμπεριφορά των χρηστών.
- Παρακολούθηση προνομιούχων λογαριασμών: οι διαχειριστές έχουν ευρεία πρόσβαση, και το UEBA βοηθά να εντοπιστεί πότε χρησιμοποιείται ασυνήθιστα.
Μια αργή διαρροή σπάνια ενεργοποιεί έναν μόνο κανόνα. Εμφανίζεται ως μοτίβο που δεν μοιάζει πια με τον άνθρωπο που κάνει τη δουλειά του.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Ο μηχανισμός ανάλυσης κινδύνου της Anexet, μέρος της μονάδας Activity, υλοποιεί συμπεριφορική βαθμολόγηση κινδύνου τύπου UEBA πάνω στα δεδομένα δραστηριότητας που συλλέγονται στους σταθμούς εργασίας:
Η αρχιτεκτονική on-premise σημαίνει ότι όλα τα δεδομένα συμπεριφοράς και οι βαθμολογίες κινδύνου παραμένουν στην υποδομή του οργανισμού. Αυτό έχει σημασία, καθώς τα ίδια τα προφίλ συμπεριφοράς είναι ευαίσθητα: μοτίβα δραστηριότητας εργαζομένων και αξιολογήσεις κινδύνου.
Πηγή δεδομένων συμπεριφοράς
οι agents στους σταθμούς εργασίας συλλέγουν τη δραστηριότητα των χρηστών: εφαρμογές που χρησιμοποιούνται, αρχεία στα οποία γίνεται πρόσβαση, δραστηριότητα στο web και στα μηνύματα, χρονικά μοτίβα και μεταφορές δεδομένων. Παρέχουν τα πλούσια δεδομένα εισόδου που απαιτεί το UEBA.
Κατηγορίες κινδύνου
οι χρήστες βαθμολογούνται σε οκτώ έτοιμες κατηγορίες κινδύνου: «εσωτερική απειλή», «διαρροή δεδομένων», «έλλειψη αφοσίωσης εργαζομένων», «ανάρμοστη συμπεριφορά», «μη παραγωγική δραστηριότητα», «παράβαση νόμου», «χρήση πόρων της εταιρείας» και «παράβαση ωραρίου εργασίας». Κάθε κατηγορία συνδυάζει πολλά συμπεριφορικά σήματα σε μία βαθμολογία κινδύνου.
Πίνακες τάσεων
οι βαθμολογίες κινδύνου παρακολουθούνται διαχρονικά, με παραμετροποιήσιμα κατώφλια και απεικονίσεις τάσεων στην κονσόλα πελάτη.
Διαχειριστής ειδοποιήσεων
οι ειδοποιήσεις κατωφλίου στέλνονται με email, syslog ή Telegram όταν η βαθμολογία κινδύνου ενός χρήστη ξεπεράσει τα καθορισμένα όρια, επιτρέποντας προδραστική διερεύνηση.
Λειτουργία εντοπισμού εσωτερικών απειλών
Μάθετε περισσότερα