Analiza behawioralna

Analiza behawioralna to metoda, a nie produkt. Pobiera dane o aktywności, takie jak logowania, operacje na plikach, przepływy sieciowe, wiadomości, transakcje i użycie aplikacji, buduje obraz tego, co jest typowe dla danego podmiotu, i ocenia wszystko, co od niego odbiega.

Różnica względem wykrywania sygnaturowego tkwi w pytaniu, które każda z metod zadaje. Sygnatura dopasowuje znany złośliwy plik albo zablokowany adres. Analiza behawioralna pyta, czy konto, urządzenie lub przepływ danych zaczęło zachowywać się inaczej niż we własnej historii. Dlatego często jest jedynym sygnałem, który pojawia się, zanim nowe lub powolne zagrożenie osiągnie swój cel.

Ta sama logika stoi za wykrywaniem zagrożeń wewnętrznych, gdzie podmiotem jest zaufany pracownik, a nie atakujący z zewnątrz, i gdzie sygnatura nie ma z czym się porównać.

Niezależnie od podmiotu praca przebiega w tej samej kolejności. O jakości decyduje baza odniesienia, bo ocena jest tak dobra, jak obraz normy, na którym się opiera. Bazy buduje się przez profilowanie każdego użytkownika, urządzenia lub konta.

1. 1

   Zbieranie danych

   Dane o aktywności pochodzą z odpowiednich źródeł, takich jak agenty na stacjach roboczych, sensory sieciowe, dostawcy tożsamości i dzienniki transakcji, w wystarczającej ilości i na wystarczająco długiej historii.

2. 2

   Budowa bazy

   Dla każdego podmiotu, czyli użytkownika, urządzenia, segmentu sieci lub konta, tworzy się profil normy. Zwykle zestawia się go z normami grupy porównawczej, żeby zyskać kontekst.

3. 3

   Ocena

   Nowa aktywność porównywana jest z bazą za pomocą reguł progowych, modeli statystycznych lub uczenia maszynowego. Dostaje wynik odchylenia lub ryzyka, a nie prostego werdyktu zgodne lub niezgodne.

4. 4

   Selekcja i reakcja

   Ocenione ustalenia są uszeregowane i kierowane do analityków przez proces SOC lub konsolę SIEM. Analitycy je badają, potem eskalują albo wykorzystują do dopracowania bazy.

Ta sama metoda działa w czterech obszarach, a każdy ma własną nazwę na rynku:

Terminy na tyle się pokrywają, że łatwo je pomylić. Analiza behawioralna to nadrzędna dyscyplina: ogólne użycie statystyki i uczenia maszynowego na danych o zachowaniu, dla dowolnego podmiotu i dowolnego elementu stosu bezpieczeństwa. Analityka zachowań użytkowników i encji (UEBA) to jedna kategoria produktów zbudowana na tej metodzie, ograniczona do użytkowników i zasobów IT w organizacji.

Analiza zachowań to podstawowa praktyka badania aktywności, by ustalić, co jest normalne, niezależnie od tego, czy robi to analityk ręcznie, czy oprogramowanie to automatyzuje. Wykrywanie anomalii behawioralnych jest węższym zadaniem: oznaczeniem jednego odchylenia, gdy baza już istnieje. W praktyce zespół SOC spotyka wszystkie cztery naraz: metodę, kategorię platformy, pracę interpretacyjną i alert, który ją uruchomił.

Anexet stosuje tę samą metodę za pomocą jawnych reguł. Każda reguła, która się uruchomi, tworzy incydent, a konsola grupuje incydenty według kategorii i poziomu ryzyka. Analityk widzi wzorzec w module Wykrywanie zagrożeń wewnętrznych, zanim otworzy pojedyncze zdarzenie.

Kategorie edytuje się w menedżerze kategorii ryzyka, więc organizacja może dodać własne obok standardowych. Oba widoki poniżej są zbudowane na tych samych danych o incydentach.

1 / 2

• 
• 

Analiza behawioralna wychwytuje to, czego nie widzą wykrywanie sygnaturowe i oparte na regułach: powolne, narastające lub nowe odchylenia zbudowane z działań, z których każde jest legalne. Ta mocna strona jest zarazem jej główną słabością.

Wyniki zasilają program zarządzania ryzykiem insider, a ostateczną decyzję podejmują ludzie, nie wynik. Najważniejsze są cztery ograniczenia:

• Bazy potrzebują tygodni historii, zanim wyniki coś znaczą.
• Nowy projekt, zmiana roli lub sezonowy szczyt mogą wyglądać jak odchylenie.
• Zbyt wiele progów generuje fałszywe alarmy, a analitycy przestają ufać alertom.
• Dane o aktywności pracowników podlegają prawu pracy i ochronie danych osobowych.

Zacznij od podmiotów i danych, których wyciek lub nadużycie wyrządziłoby najwięcej szkód, a potem od kanałów, którymi te dane faktycznie płyną. Najpierw zbuduj bazy dla tych podmiotów i dostrój progi, zanim ktokolwiek zareaguje na wynik.

Program, który startuje z jasnym celem, krótką listą reguł i pełnym śladem audytu, łatwiej obronić niż taki, który ocenia wszystko naraz.