Co liczy się za anomalię behawioralną
Anomalia to odchylenie od oczekiwanego wzorca, na tyle duże albo w danym kontekście na tyle nietypowe, że uzasadnia uwagę. Oczekiwanie pochodzi z punktu odniesienia, czyli modelu normalności zbudowanego z historii danej osoby, jej grupy rówieśniczej na tym samym stanowisku oraz oczekiwanego zachowania dla tej roli.
Nie każda anomalia jest złośliwa. Terminy, podróże służbowe i nowe projekty też wywołują uzasadnione odchylenia, dlatego wykrywanie daje tropy, a nie werdykty. Potwierdzenie następuje w trakcie badania, a sygnały, które mają znaczenie, opisano we wskaźnikach zagrożeń wewnętrznych.
| Rodzaj | Przykład |
|---|---|
| Anomalia punktowa | Wysłanie 2 GB przez użytkownika, który zwykle przesyła megabajty |
| Anomalia kontekstowa | Otwarcie plików projektu o 3 w nocy w weekend |
| Anomalia zbiorcza | Zebranie plików, zmiana rozszerzeń, archiwizacja, a potem jeden duży transfer |
Wykrywanie anomalii, analiza zachowań i UEBA
Te terminy są powiązane, ale nie wymienne. Analiza zachowań to szersza metodologia: badanie, jak ludzie korzystają z systemów firmowych, ustalanie normalności i interpretowanie odchyleń. Robią to zarówno analitycy, jak i oprogramowanie.
Wykrywanie anomalii behawioralnych to konkretne zadanie techniczne w tym zakresie: automatyczne oznaczanie aktywności spełniającej zdefiniowane kryteria odchylenia od punktu odniesienia. Analityka zachowań użytkowników i encji (UEBA) to kategoria produktów, która automatyzuje cały proces. Krótko: analiza zachowań zadaje pytania, wykrywanie anomalii jest wyzwalaczem, a UEBA automatyzuje pętlę.
Metody wykrywania: progowa, statystyczna, uczenie maszynowe
Dominują trzy rodziny metod, a większość wdrożeń łączy je ze sobą.
Żadne podejście nie jest jednoznacznie lepsze. Reguły progowe są przejrzyste, ale sztywne. Modele statystyczne dodają kontekst osobisty i rówieśniczy. Uczenie maszynowe znajduje subtelniejsze wzorce, ale trudniej je wyjaśnić i dostroić. Wiele programów zaczyna od progów i statystyki, bo każdy alert można wtedy uzasadnić przed audytorami. Uczenie dodaje się dopiero tam, gdzie dodatkowa czułość jest warta nieprzejrzystości.
| Podejście | Jak działa | Mocne strony | Ograniczenia |
|---|---|---|---|
| Reguły progowe | Stałe limity liczby aktywności w okresie, np. 50 wiadomości na godzinę | Proste w konfiguracji, zrozumieniu i audycie | Statyczne, ślepe na kontekst, jeden limit dla wszystkich |
| Wykrywanie statystyczne | Porównuje aktywność z rozkładem osoby lub grupy rówieśniczej | Dopasowuje się do użytkownika i roli; widzi powolny dryf | Wymaga historii; wrażliwe na sezonowość i zanieczyszczone punkty odniesienia |
| Uczenie maszynowe | Modele uczą się normy i oceniają aktywność według słabości dopasowania | Wykrywa subtelne, wielowymiarowe odchylenia | Nieprzejrzyste; wymaga danych i wiedzy; wyniki trudno wyjaśnić |
Fałszywe alarmy i zmęczenie alertami
Fałszywe alarmy to centralny problem operacyjny. Biorą się z uzasadnionych zmian, których punkt odniesienia jeszcze nie uwzględnił, takich jak terminy, podróże, reorganizacje czy sezonowe szczyty. Biorą się też z detektorów nastawionych zbyt ostro.
Punkty odniesienia, budowane przez profilowanie, dodają własny szum. Zimny start występuje, gdy nowy pracownik nie ma historii, więc wykrywanie opiera się na wzorcach grupy. Dryf pojawia się, gdy zmienione projekty i harmonogramy sprawiają, że nieaktualny model oznacza zwykłą aktywność jako podejrzaną.
Koszt narasta w zmęczenie alertami. Analitycy przestają ufać alertom, a rzeczywiste odchylenia giną w szumie.
Opanowanie tego jest procesem. Dostrajanie progów względem zmierzonej normalnej zmienności. Dodawanie kontekstu grupy rówieśniczej, aby wzorce całego zespołu nie były oznaczane u każdego członka osobno. Zasilanie reguł przypadkami uznanymi za niegroźne. Weryfikowanie słabych sygnałów niezależnym dowodem, na przykład sprawdzeniem, co faktycznie przeniesiono, przed eskalacją.
Od anomalii do działania
Wykrywanie opłaca się tylko wtedy, gdy jego wynik zmienia rezultat. Oznaczone odchylenie trafia do triażu w ramach badania incydentu bezpieczeństwa, gdzie analityk wykonuje trzy kroki.
- 1
Potwierdzenie wagi
Analityk ocenia, jak poważne jest odchylenie.
- 2
Zebranie kontekstu
Sprawdza, co zostało otwarte, co wysłano i skąd.
- 3
Decyzja
Zamyka sprawę, obserwuje ją dalej albo interweniuje.
Jak to wygląda w Anexet
Oba mechanizmy progowe widoczne są w konsoli jako reguły statystyczne i powiadomienia o wartości ryzyka; obie są częścią funkcji wykrywania zagrożeń wewnętrznych.
1 / 2
Granice prawne i dokumentacja
Ponieważ technika opiera się na monitorowaniu pracowników, działa w granicach prawa. W większości jurysdykcji, w tym na gruncie RODO, monitorowanie wymaga zdefiniowanego celu, proporcjonalności i przejrzystości wobec pracowników.
Wiarygodny program dokumentuje, co mierzą punkty odniesienia, kto widzi wyniki i jak długo przechowuje się zapisy.
Czytaj dalej: Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.
Punkt odniesienia pokazuje, jak wygląda norma. Alert ma sens dopiero wtedy, gdy ktoś sprawdzi go względem tej normy.
Anexet TeamJak rozwiązuje to Anexet
W Anexet wykrywanie anomalii behawioralnych opiera się na dwóch mechanizmach progowych: regułach bezpieczeństwa statystycznego, które uruchamiają się, gdy aktywność użytkownika lub sieci przekroczy skonfigurowane limity liczbowe, oraz silniku analizy ryzyka, który zamienia wyzwolone zdarzenia w behawioralne wzorce per użytkownik z poziomami i trendami ryzyka. Wykrywanie działa na progach konfigurowanych przez analityka, a nie na modelach samouczących; każda reguła jest jawna, audytowalna i regulowana.
Architektura on-premise utrzymuje dane behawioralne i oceny ryzyka wewnątrz infrastruktury organizacji; każdy wynik trafia do pełnego, przypisywalnego śladu audytu, a nie do nieprzejrzystego wyniku.
Reguły bezpieczeństwa statystycznego
reguła uruchamia się, gdy liczba aktywności przekroczy zadany limit w ciągu godziny, doby kalendarzowej, tygodnia lub okresu własnego, np. ponad 50 wiadomości błyskawicznych na godzinę, per użytkownik lub w całej sieci.
Osiem kategorii ryzyka
zdarzenia są klasyfikowane w ośmiu predefiniowanych kategoriach: zagrożenie wewnętrzne, wyciek danych, niewierność pracowników, nieprawidłowe zachowanie, aktywność nieproduktywna, naruszenie prawa, koszty zasobów firmowych i naruszenie harmonogramu pracy, plus kategorie własne.
Poziomy i trendy ryzyka
każde zdarzenie otrzymuje ocenę wysokie, średnie lub niskie; każdy użytkownik ma łączną wartość ryzyka oraz wartość wynikającą ze zdarzeń jeszcze nieprzejrzanych, a wykresy trendów przebudowują się automatycznie wraz ze zmianą zachowania.
Powiadomienia progowe
menedżer powiadomień może alertować pocztą lub przez Telegram, gdy tylko ryzyko użytkownika w wybranej kategorii przekroczy skonfigurowany próg.
Funkcja wykrywania zagrożeń wewnętrznych
Dowiedz się więcej