Analisi Comportamentale

L'analisi comportamentale è un metodo, non un prodotto. Prende dati di attività, come accessi, operazioni sui file, flussi di rete, messaggi, transazioni e uso delle applicazioni, costruisce un quadro di ciò che è tipico per ogni soggetto e assegna un punteggio a tutto ciò che se ne discosta.

La differenza rispetto al rilevamento basato su firme sta nella domanda che ciascuno pone. Una firma individua un file dannoso noto o un indirizzo in blacklist. L'analisi comportamentale chiede se un account, un dispositivo o un flusso di dati ha iniziato ad agire diversamente dalla propria storia. Per questo è spesso l'unico segnale disponibile prima che una minaccia nuova o lenta raggiunga il suo obiettivo.

La stessa logica guida il rilevamento delle minacce interne, dove il soggetto è un dipendente fidato e non un attaccante esterno, e dove una firma non ha nulla da confrontare.

Qualunque sia il soggetto, il lavoro segue la stessa sequenza. A determinare la qualità è la baseline, perché un punteggio vale solo quanto l'immagine di normalità che sta dietro. Le baseline si costruiscono con la profilazione di ogni utente, dispositivo o account.

1. 1

   Raccolta

   I dati di attività arrivano da fonti pertinenti, come agent sugli endpoint, sensori di rete, provider di identità e log delle transazioni, in volume e storico sufficienti.

2. 2

   Baseline

   Per ogni soggetto, cioè utente, dispositivo, segmento di rete o account, si costruisce un profilo del normale, spesso affiancato dalle norme del gruppo di pari.

3. 3

   Punteggio

   La nuova attività viene confrontata con la baseline tramite regole a soglia, modelli statistici o machine learning. Riceve un punteggio di scostamento o di rischio, non un semplice verdetto di corrispondenza o non corrispondenza.

4. 4

   Triage e risposta

   I risultati punteggiati vengono ordinati e instradati agli analisti tramite un flusso SOC o la console SIEM. Gli analisti li esaminano, li escalano o li usano per affinare la baseline.

Lo stesso metodo funziona in quattro ambiti, e ciascuno ha un nome proprio sul mercato:

I termini si sovrappongono abbastanza da creare confusione. L'analisi comportamentale è la disciplina generale: l'uso di statistica e machine learning sui dati comportamentali, per qualunque soggetto e qualunque parte dello stack di sicurezza. L'analisi del comportamento di utenti ed entità (UEBA) è una categoria di prodotti costruita su di essa, limitata a utenti ed entità IT all'interno di un'organizzazione.

L'analisi del comportamento è la pratica di base di studiare l'attività per stabilire cosa è normale, che la faccia un analista a mano o che un software la automatizzi. Il rilevamento di anomalie comportamentali è un compito più ristretto: segnalare una singola deviazione una volta che esiste una baseline. Nella pratica, un team SOC incontra tutti e quattro insieme: il metodo, la categoria di piattaforma, il lavoro interpretativo e l'alert che l'ha generato.

Anexet applica lo stesso metodo attraverso regole esplicite. Ogni regola che scatta crea un incidente, e la console raggruppa gli incidenti per categoria e per livello di rischio. L'analista vede lo schema in Insider Threat Detection prima di aprire un singolo evento.

Le categorie si modificano nel gestore delle categorie di rischio, così un'organizzazione può aggiungere le proprie accanto a quelle standard. Entrambe le viste qui sotto sono costruite sugli stessi dati degli incidenti.

1 / 2

• 
• 

L'analisi comportamentale coglie ciò che il rilevamento basato su firme e regole non vede: deviazioni lente, cumulative o nuove, costruite con azioni che sono ciascuna legittima. Questo punto di forza è anche il suo principale limite.

I punteggi alimentano un programma di gestione del rischio insider, e la decisione spetta alle persone, non al punteggio. Contano soprattutto quattro limiti:

• Le baseline richiedono settimane di storico prima che i punteggi abbiano senso.
• Un nuovo progetto, un cambio di ruolo o un picco stagionale possono sembrare una deviazione.
• Troppe soglie generano falsi positivi, e gli analisti smettono di fidarsi degli alert.
• I dati sull'attività dei dipendenti ricadono nel diritto del lavoro e nella protezione dei dati personali.

Parti dai soggetti e dai dati che farebbero più danni se trapelassero o venissero usati in modo improprio, poi dai canali che li trasportano davvero. Costruisci prima le baseline di quei soggetti e calibra le soglie prima che qualcuno agisca su un punteggio.

Un programma che parte da uno scopo chiaro, da una lista breve di regole e da un audit trail completo è più facile da difendere di uno che assegna punteggi a tutto insieme.