Analityka zachowań użytkowników i encji (UEBA)

Klasyczne monitorowanie bezpieczeństwa opiera się na regułach: „jeśli zajdzie to zdarzenie, wywołaj alert”. Dobrze radzi sobie ze znanymi zagrożeniami, na przykład z sygnaturą złośliwego oprogramowania, zablokowaną próbą logowania albo transferem na adres z czarnej listy.

Zawodzi przy zagrożeniach, które rozwijają się powoli, przez ciąg działań, z których każde z osobna jest uprawnione. Pracownik pobiera przez miesiąc każdego dnia nieco więcej plików niż zwykle. Przejęte konto loguje się z nowej lokalizacji. Współpracownik wchodzi do systemów poza zwykłymi godzinami.

Każde działanie przechodzi przez reguły. Sygnałem zagrożenia jest wzorzec, czyli narastające odchylenie od normalnego zachowania użytkownika. UEBA została zaprojektowana właśnie po to, by znajdować takie wzorce zachowań.

UEBA działa w pięciu etapach, od danych zbieranych przez monitorowanie aktywności użytkowników po porównanie z grupą odniesienia.

1. 1

   Zbieranie danych

   UEBA pobiera dane o aktywności z całego środowiska: logowania, dostęp do plików, korzystanie z aplikacji, transfery danych, połączenia sieciowe i aktywność na stacjach końcowych. Im bogatsze dane, tym trafniejsze profile.

2. 2

   Profilowanie

   Dla każdego użytkownika i encji system buduje profil behawioralny: zwykłe godziny pracy, używane aplikacje, dane, do których ma dostęp, kontakty i miejsca połączeń. Profil uczy się w czasie i zmienia się wraz z rolą.

3. 3

   Wykrywanie anomalii

   Nową aktywność porównuje się z profilem. Modele statystyczne i uczenie maszynowe wykrywają odchylenia, na przykład nagły skok wolumenu danych, dostęp poza zwykłym zakresem, nietypowe godziny lub nowe lokalizacje.

4. 4

   Punktacja ryzyka

   Zamiast alertów zero-jedynkowych UEBA łączy kilka słabych sygnałów w jedną ocenę ryzyka. Sama praca po godzinach to niskie ryzyko. Praca po godzinach, masowe pobieranie plików i wysyłanie do prywatnej chmury razem to ryzyko wysokie.

5. 5

   Porównanie z grupą odniesienia

   UEBA porównuje też użytkownika z osobami na tym samym stanowisku lub w tym samym dziale. Zachowanie normalne dla zespołu, a nietypowe dla osoby (albo odwrotnie), dodaje kontekstu.

Wiele zagrożeń dotyczy obu wymiarów. Przejęte konto użytkownika (anomalia użytkownika) może działać z nietypowego urządzenia (anomalia encji). UEBA koreluje oba wymiary.

• Użytkownicy to ludzie: pracownicy, współpracownicy, administratorzy i konta usługowe. UEBA śledzi ich wzorce zachowań, co jest podstawą każdego programu zarządzania ryzykiem insider.
• Encje to podmioty nieludzkie: urządzenia, serwery, aplikacje i węzły sieci. Encja może wykazywać nietypowy ruch, nieoczekiwane połączenia lub zmiany konfiguracji.

UEBA nachodzi na kilka narzędzi, ale każde z nich odpowiada na inne pytanie.

Analiza ryzyka w module Anexet Activity grupuje incydenty według kategorii ryzyka, dzięki czemu analityk widzi, którzy użytkownicy mają wysokie oceny.

1 / 2

• 
• 

Na wyniki w praktyce wpływają cztery ograniczenia.

Każdy z tych przypadków opiera się na tej samej idei: indywidualnym profilu i odchyleniu, którego pojedyncza reguła by nie wychwyciła, jak w wykrywaniu zagrożeń wewnętrznych.

Czytaj dalej: Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.

• Wykrywanie zagrożeń wewnętrznych: wskazywanie pracowników lub współpracowników, których wskaźniki zagrożeń wewnętrznych sugerują kradzież danych, sabotaż lub nadużycie, przed zdarzeniem albo w jego trakcie.
• Wykrywanie przejętych kont: gdy napastnik używa wykradzionych danych logowania, wzorzec aktywności odbiega od profilu prawdziwego użytkownika.
• Wykrywanie przemieszczania się w sieci: napastnicy poruszający się po sieci tworzą wzorce dostępu inne niż zwykłe zachowanie użytkowników.
• Nadzór nad kontami uprzywilejowanymi: administratorzy mają szeroki dostęp, a UEBA pomaga zauważyć, kiedy jest on używany w nietypowy sposób.