Il problema che l'UEBA risolve
Il monitoraggio di sicurezza tradizionale si basa su regole: «se si verifica questo evento, segnala». Funziona bene con le minacce note, come la firma di un malware, un tentativo di accesso bloccato o un trasferimento verso un indirizzo in lista nera.
Non regge davanti alle minacce che si sviluppano lentamente, attraverso una sequenza di azioni singolarmente legittime. Un dipendente scarica ogni giorno qualche file in più del solito per un mese. Un account compromesso si collega da una nuova area geografica. Un collaboratore esterno accede ai sistemi fuori dal suo orario abituale.
Ogni azione passa le regole. A segnalare la minaccia è lo schema, cioè lo scostamento accumulato rispetto al comportamento normale della persona. L'UEBA è progettata proprio per trovare questi schemi di comportamento.
Come funziona l'UEBA
L'UEBA segue cinque fasi, dai dati grezzi raccolti dal monitoraggio dell'attività degli utenti al confronto con il gruppo omogeneo.
- 1
Raccolta dei dati
L'UEBA utilizza dati di attività di tutto l'ambiente: accessi degli utenti, apertura di file, uso delle applicazioni, trasferimenti di dati, connessioni di rete e attività degli endpoint. Più i dati sono ricchi e ampi, più accurate sono le linee di base.
- 2
Costruzione della linea di base
Per ogni utente ed entità il sistema costruisce un profilo comportamentale: orari abituali, applicazioni usate, dati consultati, contatti e provenienza delle connessioni. La linea di base si apprende nel tempo e si adatta al cambiare dei ruoli.
- 3
Rilevamento delle anomalie
La nuova attività viene confrontata con la linea di base. Modelli statistici e apprendimento automatico individuano gli scostamenti: un'impennata improvvisa del volume di dati, accessi fuori dall'ambito abituale, attività in orari insoliti o connessioni da nuovi luoghi.
- 4
Punteggio di rischio
Invece di avvisi binari, l'UEBA combina più segnali deboli in un unico punteggio di rischio. Lavorare fino a tardi è un rischio basso. Lavorare fino a tardi, scaricare file in massa e caricarli su un cloud personale è un rischio alto.
- 5
Confronto con il gruppo omogeneo
L'UEBA confronta inoltre una persona con i suoi pari, cioè con altri che hanno lo stesso ruolo o lo stesso reparto. Un comportamento normale per il gruppo ma anomalo per l'individuo, o viceversa, offre contesto aggiuntivo.
Utenti ed entità
Molte minacce coinvolgono entrambe le dimensioni. Un account utente compromesso (anomalia dell'utente) può operare da un dispositivo insolito (anomalia dell'entità). L'UEBA mette in relazione le due dimensioni.
- Gli utenti sono persone: dipendenti, collaboratori esterni, amministratori e account di servizio. L'UEBA ne segue gli schemi di comportamento, base di ogni programma di gestione del rischio insider.
- Le entità sono attori non umani: dispositivi, server, applicazioni e nodi di rete. Un'entità può mostrare traffico anomalo, connessioni inattese o modifiche di configurazione.
L'UEBA e gli approcci affini
L'UEBA si sovrappone ad altri strumenti, ma ciascuno risponde a una domanda diversa.
| Approccio | Differenza rispetto all'UEBA |
|---|---|
| Monitoraggio dell'Attività degli Utenti (UAM) | Raccoglie i dati grezzi di attività. L'UEBA li analizza per cercare anomalie. |
| Prevenzione della Perdita di Dati (DLP) | Impedisce che dati specifici escano da canali specifici. L'UEBA osserva i comportamenti. |
| SIEM | Correla i registri, di solito tramite regole. L'UEBA aggiunge l'analisi comportamentale. |
Come appare in Anexet
L'analisi del rischio nel modulo Anexet Activity raggruppa gli incidenti per categoria di rischio, così chi verifica vede quali utenti hanno un punteggio alto.
1 / 2
Limiti
Quattro limiti incidono sui risultati nella pratica.
| Limite | Cosa tenere d'occhio | Stato |
|---|---|---|
| Maturità della linea di base | Nuovi assunti, cambi di ruolo e cicli stagionali generano falsi positivi all'inizio. | Fase iniziale |
| Qualità dei dati | Dati di ingresso incompleti o rumorosi riducono la precisione dell'analisi. | Continuo |
| Spiegabilità | Le implementazioni migliori mostrano fattori di rischio interpretabili, non solo un punteggio. | Scelta del fornitore |
| Falsi positivi | Un nuovo progetto o promozione può sembrare anomalo. Taratura indispensabile. | Taratura costante |
Dove l'UEBA porta più valore
Ogni caso si basa sulla stessa idea: una linea di base personale e uno scostamento che una singola regola non vedrebbe, come nel rilevamento delle minacce interne.
Per approfondire: Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.
- Rilevamento delle minacce interne: individuare dipendenti o collaboratori i cui indicatori di minaccia interna suggeriscono furto di dati, sabotaggio o frode, prima o mentre accade.
- Rilevamento di account compromessi: quando un attaccante usa credenziali rubate, lo schema di attività differisce dalla linea di base dell'utente legittimo.
- Rilevamento del movimento laterale: gli attaccanti che si spostano nella rete creano schemi di accesso diversi dal comportamento normale.
- Sorveglianza degli account privilegiati: gli amministratori hanno accessi ampi, e l'UEBA aiuta a rilevarne l'uso insolito.
Una fuga lenta raramente fa scattare una sola regola. Appare come uno schema che non assomiglia più alla persona che svolge il proprio lavoro.
Anexet TeamCome Anexet affronta questo
Il motore di analisi del rischio di Anexet, parte del modulo Activity, realizza un punteggio comportamentale di rischio in stile UEBA sopra i dati di attività raccolti sugli endpoint:
L'architettura on-premise significa che tutti i dati comportamentali e i punteggi di rischio restano nell'infrastruttura dell'organizzazione. Questo conta, perché gli stessi profili comportamentali sono sensibili: abitudini di attività dei dipendenti e valutazioni di rischio.
Fonte dei dati comportamentali
gli agenti endpoint raccolgono l'attività degli utenti sulle postazioni: applicazioni usate, file consultati, attività web e di messaggistica, schemi orari e trasferimenti di dati. Forniscono i dati di ingresso ricchi che l'UEBA richiede.
Categorie di rischio
gli utenti ricevono un punteggio su otto categorie di rischio predefinite: «minaccia interna», «fuga di dati», «slealtà dei dipendenti», «comportamento inappropriato», «attività improduttiva», «violazione di legge», «uso delle risorse aziendali» e «violazione dell'orario di lavoro». Ogni categoria combina più segnali comportamentali in un punteggio di rischio.
Cruscotti di tendenza
i punteggi di rischio sono seguiti nel tempo, con soglie configurabili e visualizzazioni di tendenza nella console cliente.
Gestore delle notifiche
gli avvisi a soglia vengono inviati via e-mail, syslog o Telegram quando il punteggio di rischio di un utente supera i limiti definiti, consentendo un'indagine anticipata.
Funzionalità di rilevamento delle minacce interne
Scopri di più