Análise Comportamental

Análise comportamental é um método, não um produto. Ela recebe dados de atividade, como logins, operações com arquivos, fluxos de rede, mensagens, transações e uso de aplicativos, monta um quadro do que é típico para cada entidade e avalia tudo o que se afasta desse quadro.

A diferença para a detecção por assinatura está na pergunta que cada uma faz. Uma assinatura encontra um arquivo malicioso conhecido ou um endereço bloqueado. A análise comportamental pergunta se uma conta, um dispositivo ou um fluxo de dados passou a agir de forma diferente do próprio histórico. Por isso, costuma ser o único sinal disponível antes que uma ameaça nova ou de ação lenta chegue ao objetivo.

A mesma lógica sustenta a detecção de ameaças internas, em que o alvo é um funcionário de confiança e não um atacante externo, e em que a assinatura não tem o que comparar.

Qualquer que seja a entidade, o trabalho segue a mesma sequência. A qualidade depende da linha de base, porque uma pontuação vale apenas o que vale a imagem do normal por trás dela. As linhas de base são construídas por meio do perfilamento de cada usuário, dispositivo ou conta.

1. 1

   Coleta

   Os dados de atividade vêm de fontes relevantes, como agentes nos endpoints, sensores de rede, provedores de identidade e logs de transações, em volume e histórico suficientes para ser úteis.

2. 2

   Linha de base

   Um perfil do normal é construído para cada entidade, seja um usuário, um dispositivo, um segmento de rede ou uma conta. Costuma ser comparado às normas do grupo de pares para dar contexto.

3. 3

   Pontuação

   A atividade nova é comparada com a linha de base por regras de limite, modelos estatísticos ou aprendizado de máquina. Recebe uma pontuação de desvio ou de risco, e não um simples veredito de bateu ou não bateu.

4. 4

   Triagem e resposta

   Os achados pontuados são ordenados e encaminhados aos analistas por um fluxo de SOC ou pelo console do SIEM. Os analistas investigam, depois escalam ou usam o resultado para refinar a linha de base.

O mesmo método funciona em quatro áreas, e cada uma tem seu próprio nome no mercado:

Os termos se sobrepõem o bastante para gerar confusão. Análise comportamental é a disciplina guarda-chuva: o uso de estatística e aprendizado de máquina sobre dados comportamentais, para qualquer entidade e qualquer parte da pilha de segurança. A Análise de Comportamento de Usuários e Entidades (UEBA) é uma categoria de produto construída sobre ela, limitada a usuários e entidades de TI dentro de uma organização.

A análise de comportamento é a prática de base de estudar a atividade para estabelecer o que é normal, seja um analista que faça isso manualmente, seja um software que automatize o trabalho. A detecção de anomalias comportamentais é uma tarefa mais restrita: sinalizar um desvio específico quando já existe uma linha de base. Na prática, uma equipe de SOC encontra as quatro ao mesmo tempo: o método, a categoria de plataforma, o trabalho de interpretação e o alerta que o disparou.

O Anexet aplica o mesmo método por meio de regras explícitas. Cada regra disparada cria um incidente, e o console agrupa os incidentes por categoria e por nível de risco. O analista vê o padrão em Detecção de Ameaças Internas antes de abrir um único evento.

As categorias são editadas no gerenciador de categorias de risco, de modo que a organização pode acrescentar as suas às padrão. As duas visões abaixo são construídas com os mesmos dados de incidentes.

1 / 2

• 
• 

A análise comportamental captura o que a detecção por assinatura e por regras não captura: desvios lentos, cumulativos ou novos, formados por ações que, isoladamente, são legítimas. Esse ponto forte é também sua principal fraqueza.

As pontuações alimentam um programa de gestão de risco de insider, e a decisão final cabe às pessoas, não à pontuação. Quatro limites importam mais:

• As linhas de base precisam de semanas de histórico antes que as pontuações façam sentido.
• Um projeto novo, uma mudança de função ou um pico sazonal podem parecer um desvio.
• Limiares demais geram falsos positivos, e os analistas deixam de confiar nos alertas.
• Os dados sobre a atividade dos funcionários estão sujeitos à legislação trabalhista e de proteção de dados.

Comece pelas entidades e pelos dados cujo vazamento ou uso indevido causaria mais dano, depois pelos canais que realmente os transportam. Construa primeiro as linhas de base dessas entidades e ajuste os limiares antes que alguém aja com base em uma pontuação.

Um programa que começa com um propósito claro, uma lista curta de regras e uma trilha de auditoria completa é mais fácil de defender do que um que pontua tudo de uma vez.