Cosa conta come anomalia comportamentale
Un'anomalia è uno scostamento da un pattern atteso abbastanza ampio, o abbastanza insolito nel suo contesto, da giustificare attenzione. L'attesa deriva da una baseline: un modello di normalità costruito sulla storia della persona, sul suo gruppo di pari nello stesso ruolo e sul comportamento atteso per quel ruolo.
Non ogni anomalia è dolosa. Scadenze, trasferte e nuovi progetti producono anch'essi scostamenti legittimi. Il rilevamento genera quindi piste, non verdetti. La conferma avviene durante l'indagine, e i segnali rilevanti sono descritti negli indicatori di minaccia interna.
| Tipo | Esempio |
|---|---|
| Anomalia puntuale | Upload di 2 GB da un utente che di solito trasferisce megabyte |
| Anomalia contestuale | File di progetto aperti alle 3 di notte nel fine settimana |
| Anomalia collettiva | Raccolta di file, cambio di estensioni, archiviazione, poi un grande trasferimento |
Rilevamento di anomalie, analisi comportamentale e UEBA
I termini sono collegati, ma non intercambiabili. L'analisi comportamentale è la metodologia più ampia: studia come le persone usano i sistemi aziendali, stabilisce cosa è normale e interpreta gli scostamenti. La praticano sia gli analisti sia i software.
Il rilevamento di anomalie comportamentali è il compito tecnico specifico al suo interno: segnalare automaticamente le attività che soddisfano criteri di scostamento definiti rispetto a una baseline. L'analisi del comportamento di utenti ed entità (UEBA) è la categoria di prodotti che automatizza l'intero processo. In breve, l'analisi comportamentale pone le domande, il rilevamento delle anomalie fa scattare l'allerta e l'UEBA automatizza il ciclo.
Metodi di rilevamento: soglia, statistica, machine learning
Dominano tre famiglie di metodi, e la maggior parte delle implementazioni le combina.
Nessun approccio è strettamente superiore. Le regole di soglia sono trasparenti ma rigide. I modelli statistici aggiungono contesto personale e di pari. Il machine learning individua pattern più sottili, ma è più difficile da spiegare e da calibrare. Molti programmi partono da soglie e statistica, perché ogni alert è giustificabile davanti agli auditor. Aggiungono l'apprendimento solo dove la sensibilità in più vale l'opacità.
| Approccio | Come funziona | Punti di forza | Limiti |
|---|---|---|---|
| Regole di soglia | Limiti fissi sui conteggi di attività per periodo, es. 50 messaggi all'ora | Semplici da configurare, capire e auditare | Statiche e cieche al contesto; un solo limite, salvo divisione per gruppo |
| Rilevamento statistico | Confronta l'attività con la distribuzione della persona o del gruppo di pari | Si adatta a ogni utente e ruolo; nota la deriva graduale | Richiede storia; sensibile alla stagionalità e a baseline inquinate |
| Machine learning | Apprende il comportamento normale e misura quanto l'attività non vi rientra | Rileva scostamenti sottili e multidimensionali | Opaco; richiede dati ed esperienza; riscontri difficili da spiegare |
Falsi positivi e affaticamento da alert
I falsi positivi sono il problema operativo centrale. Nascono da cambiamenti legittimi che la baseline non ha ancora assorbito, come scadenze, trasferte, ristrutturazioni o picchi stagionali. Nascono anche da rilevatori tarati in modo troppo stretto.
Le baseline, costruite tramite profilazione, aggiungono un rumore proprio. Il cold start si verifica quando un nuovo dipendente non ha storia e il rilevamento si affida ai pattern dei pari. La deriva si verifica quando progetti e orari modificati fanno sì che un modello superato segnali attività ordinaria.
Il costo si accumula in affaticamento da alert: gli analisti smettono di fidarsi degli avvisi e gli scostamenti reali si perdono nel rumore.
Il contenimento è un processo. Tarare le soglie sulla variabilità normale misurata. Aggiungere il contesto del gruppo di pari, così i pattern dell'intera squadra non vengono segnalati membro per membro. Reimmettere nelle regole gli esiti benigni. Corroborare i segnali deboli con evidenze indipendenti, come verificare cosa è stato davvero trasferito, prima di escalare.
Dall'anomalia all'azione
Il rilevamento ripaga solo quando il suo output cambia gli esiti. Uno scostamento segnalato passa al triage, nell'ambito di un'indagine su incidente di sicurezza, dove un analista segue tre passaggi.
- 1
Confermare la gravità
L'analista valuta quanto sia seria l'anomalia.
- 2
Raccogliere il contesto
Verifica cosa è stato consultato, cosa è stato inviato e da dove.
- 3
Decidere
Chiude il caso, continua a osservarlo oppure interviene.
Come appare in Anexet
I due meccanismi a soglia compaiono nella console come regole statistiche e notifiche per valore di rischio; entrambi fanno parte della funzione di rilevamento delle minacce interne.
1 / 2
Limiti legali e documentazione
Poiché la tecnica si basa sul monitoraggio dei dipendenti, opera entro limiti legali. Nella maggior parte delle giurisdizioni, incluso il GDPR, il monitoraggio richiede una finalità definita, proporzionalità e trasparenza verso il personale.
Un programma difendibile documenta cosa misurano le baseline, chi vede i riscontri e per quanto tempo i record sono conservati.
Per approfondire: Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.
La baseline mostra com'è la normalità. Un alert ha senso solo quando qualcuno lo confronta con quella normalità.
Anexet TeamCome Anexet affronta questo
In Anexet il rilevamento di anomalie comportamentali poggia su due meccanismi a soglia: le regole di sicurezza statistica, che scattano quando l'attività di un utente o della rete supera limiti numerici configurati, e il motore Risk Analysis, che trasforma gli incidenti scattati in pattern comportamentali per utente con livelli e trend di rischio. Il rilevamento gira su soglie configurate dall'analista e non su modelli autoapprendenti; ogni regola è esplicita, auditabile e regolabile.
L'architettura on-premise tiene i dati comportamentali e i punteggi di rischio dentro l'infrastruttura dell'organizzazione; ogni riscontro finisce in una traccia di audit completa e attribuibile anziché in uno score opaco.
Regole di sicurezza statistica
una regola scatta quando un conteggio di attività supera un limite fissato entro un'ora, un giorno di calendario, una settimana o un periodo personalizzato, ad esempio più di 50 messaggi istantanei in un'ora, per utente o sull'intera rete.
Otto categorie di rischio
gli incidenti sono classificati in otto categorie predefinite: minaccia interna, fuga di dati, slealtà dei dipendenti, comportamento scorretto, attività improduttiva, violazione di legge, spesa di risorse aziendali e violazione dell'orario di lavoro, più categorie personalizzate.
Livelli e trend di rischio
ogni incidente riceve un punteggio Alto, Medio o Basso; ogni utente porta un valore totale e un valore di rischio non revisionato, e i grafici di tendenza si ricostruiscono automaticamente al cambiare del comportamento.
Notifiche di soglia
il gestore delle notifiche può avvisare per email o via Telegram appena il rischio di un utente in una categoria scelta supera una soglia configurata.
Funzione di rilevamento delle minacce interne
Scopri di più