Le problème que l'UEBA résout
La surveillance de sécurité traditionnelle repose sur des règles : « si cet événement survient, alerte ». Elle fonctionne bien face aux menaces connues, comme une signature de logiciel malveillant, une tentative de connexion bloquée ou un transfert vers une adresse sur liste noire.
Elle échoue face aux menaces qui se déploient lentement, à travers une suite d'actions légitimes prises une à une. Un salarié télécharge chaque jour un peu plus de fichiers que d'habitude pendant un mois. Un compte compromis se connecte depuis une nouvelle zone géographique. Un prestataire accède à des systèmes en dehors de ses heures habituelles.
Chaque action passe les règles. C'est le motif, c'est-à-dire l'écart cumulé par rapport au comportement normal de la personne, qui signale la menace. L'UEBA est conçue pour trouver ces schémas de comportement.
Comment fonctionne l'UEBA
L'UEBA suit cinq étapes, des données brutes issues de la surveillance de l'activité des utilisateurs à la comparaison avec les pairs.
- 1
Collecte des données
L'UEBA exploite les données d'activité de tout l'environnement : connexions, accès aux fichiers, usage des applications, transferts de données, connexions réseau et activité des postes. Plus les données sont riches, plus les référentiels sont justes.
- 2
Construction du référentiel
Pour chaque utilisateur et chaque entité, le système bâtit un profil comportemental : horaires habituels, applications utilisées, données consultées, contacts et origine des connexions. Le référentiel s'apprend avec le temps et s'adapte à l'évolution des postes.
- 3
Détection d'anomalies
La nouvelle activité est comparée au référentiel. Des modèles statistiques et l'apprentissage automatique repèrent les écarts : hausse brutale du volume de données, accès hors du périmètre habituel, activité à des heures inhabituelles ou connexions depuis de nouveaux lieux.
- 4
Notation du risque
Au lieu d'alertes binaires, l'UEBA combine plusieurs signaux faibles en un score de risque. Travailler tard seul représente un risque faible. Travailler tard, télécharger massivement et déposer des fichiers sur un cloud personnel représente un risque élevé.
- 5
Comparaison au groupe de pairs
L'UEBA compare aussi une personne à ses pairs, c'est-à-dire à d'autres personnes au même poste ou dans le même service. Un comportement normal pour l'équipe mais inhabituel pour l'individu, ou l'inverse, apporte un contexte supplémentaire.
Utilisateurs et entités
Beaucoup de menaces mêlent les deux dimensions. Un compte utilisateur compromis (anomalie utilisateur) peut opérer depuis un appareil inhabituel (anomalie d'entité). L'UEBA corrèle les deux.
- Les utilisateurs sont des personnes : salariés, prestataires, administrateurs et comptes de service. L'UEBA suit leurs schémas de comportement, socle de tout programme de gestion du risque d'initié.
- Les entités sont des acteurs non humains : appareils, serveurs, applications et nœuds réseau. Une entité peut présenter des flux anormaux, des connexions inattendues ou des changements de configuration.
L'UEBA face aux approches voisines
L'UEBA recoupe d'autres outils, mais chacun répond à une question différente.
| Approche | Différence avec l'UEBA |
|---|---|
| Surveillance de l'Activité des Utilisateurs (UAM) | Collecte les données d'activité brutes. L'UEBA y détecte les anomalies. |
| Prévention de la perte de données (DLP) | Empêche certaines données de sortir par certains canaux. L'UEBA observe les comportements. |
| SIEM | Corrèle les journaux, généralement par règles. L'UEBA ajoute une analyse comportementale. |
Ce que cela donne dans Anexet
Le module Anexet Activity regroupe les incidents par catégorie de risque, ce qui permet à l'analyste de voir quels utilisateurs ont un score élevé.
1 / 2
Limites
Quatre limites pèsent sur les résultats en pratique.
| Limite | Point de vigilance | Statut |
|---|---|---|
| Maturité du référentiel | Nouvelles recrues, changements de poste et saisonnalité génèrent des faux positifs. | Phase initiale |
| Qualité des données | Des données d'entrée incomplètes ou bruitées réduisent la justesse de l'analyse. | Continu |
| Explicabilité | Les meilleures solutions donnent des facteurs de risque, pas seulement un score. | Choix de l'éditeur |
| Faux positifs | Un nouveau projet ou une promotion peut sembler anormal. Réglage fin indispensable. | Réglage régulier |
Là où l'UEBA apporte le plus
Chaque cas repose sur la même idée : un référentiel personnel et un écart qu'une règle isolée manquerait, comme dans la détection des menaces internes.
Pour aller plus loin : Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.
- Détection des menaces internes : repérer les salariés ou prestataires dont les indicateurs de menace interne évoquent un vol de données, un sabotage ou une fraude, avant ou pendant l'événement.
- Détection des comptes compromis : lorsqu'un attaquant utilise des identifiants volés, le schéma d'activité diffère du référentiel de l'utilisateur légitime.
- Détection du déplacement latéral : les attaquants qui progressent dans le réseau créent des accès différents du comportement normal.
- Surveillance des comptes à privilèges : les administrateurs disposent d'un accès étendu, et l'UEBA aide à repérer un usage inhabituel de cet accès.
Une fuite lente ne déclenche presque jamais une seule règle. Elle apparaît comme un motif qui ne ressemble plus à la personne qui fait son travail.
Anexet TeamComment Anexet traite ce sujet
Le moteur d'analyse de risque d'Anexet, intégré au module Activity, met en œuvre une notation comportementale du risque de type UEBA sur les données d'activité collectées sur les postes :
L'architecture on-premise signifie que toutes les données comportementales et tous les scores de risque restent dans l'infrastructure de l'organisation. C'est important, car les profils comportementaux sont eux-mêmes sensibles : habitudes d'activité des salariés, évaluations de risque.
Source des données comportementales
les agents installés sur les postes collectent l'activité des utilisateurs : applications employées, fichiers consultés, activité web et messagerie, rythmes horaires et transferts de données. Ils fournissent les données d'entrée riches dont l'UEBA a besoin.
Catégories de risque
les utilisateurs reçoivent une note selon huit catégories de risque prédéfinies : « menace interne », « fuite de données », « déloyauté des salariés », « comportement inapproprié », « activité improductive », « infraction à la loi », « usage des ressources de l'entreprise » et « non-respect des horaires ». Chacune combine plusieurs signaux comportementaux en un score de risque.
Tableaux de tendance
les scores de risque sont suivis dans le temps, avec des seuils paramétrables et des visualisations de tendance dans la console client.
Gestionnaire de notifications
les alertes à seuil sont envoyées par courriel, syslog ou Telegram dès que le score de risque d'un utilisateur franchit les limites définies, ce qui permet une investigation anticipée.
Fonctionnalité de détection des menaces internes
En savoir plus