Análise de Comportamento de Usuários e Entidades (UEBA)

O monitoramento de segurança tradicional apoia-se em regras: “se este evento ocorrer, alerte”. Funciona bem para ameaças conhecidas, como uma assinatura de malware, uma tentativa de login bloqueada ou uma transferência para um endereço em lista negra.

Falha diante de ameaças que se desenrolam devagar, por meio de uma sequência de ações individualmente legítimas. Um funcionário baixa, dia após dia, um pouco mais de arquivos do que o habitual durante um mês. Uma conta comprometida acessa de uma nova localidade. Um prestador entra em sistemas fora do seu horário normal.

Cada ação passa pelas regras. O padrão, ou seja, o desvio acumulado em relação ao comportamento normal do usuário, é o que sinaliza a ameaça. A UEBA foi concebida para encontrar esses padrões comportamentais.

A UEBA opera em cinco etapas, desde os dados brutos registrados pelo monitoramento da atividade dos usuários até a comparação com o grupo de pares.

1. 1

   Coleta de dados

   A UEBA consome dados de atividade de todo o ambiente: logins, acesso a arquivos, uso de aplicações, transferências, conexões de rede e atividade nos endpoints. Quanto mais ricos os dados, mais precisas as linhas de base.

2. 2

   Traçado da linha de base

   Para cada usuário e entidade, o sistema constrói um perfil comportamental: horários habituais, aplicações usadas, dados acessados, contatos e origem das conexões. A linha de base é aprendida com o tempo e se adapta às mudanças de função.

3. 3

   Detecção de anomalias

   A nova atividade é comparada com a linha de base. Modelos estatísticos e aprendizado de máquina sinalizam desvios, como um salto súbito no volume de dados, acesso fora do escopo habitual, horários incomuns ou novas localidades.

4. 4

   Pontuação de risco

   Em vez de alertas binários, a UEBA combina vários sinais fracos em uma pontuação de risco. Trabalhar até tarde é risco baixo. Trabalhar até tarde, baixar arquivos em massa e enviá-los para nuvem pessoal é risco alto.

5. 5

   Comparação com o grupo de pares

   A UEBA também compara o usuário com colegas do mesmo cargo ou departamento. Um comportamento normal para a equipe, mas incomum para a pessoa (ou o contrário), acrescenta contexto.

Muitas ameaças envolvem as duas dimensões. Uma conta de usuário comprometida (anomalia de usuário) pode operar a partir de um dispositivo incomum (anomalia de entidade). A UEBA correlaciona as duas.

• Usuários são pessoas: funcionários, prestadores, administradores e contas de serviço. A UEBA acompanha os seus padrões de comportamento, base de qualquer programa de risco de insider.
• Entidades são atores não humanos: dispositivos, servidores, aplicações e nós de rede. Uma entidade pode apresentar tráfego anômalo, conexões inesperadas ou mudanças de configuração.

A UEBA se sobrepõe a outras ferramentas, mas cada uma responde a uma pergunta diferente.

A análise de risco do módulo Anexet Activity agrupa os incidentes por categoria de risco, para que o analista veja quais usuários têm pontuação alta.

1 / 2

• 
• 

Quatro limitações afetam os resultados na prática.

Cada caso usa a mesma ideia: uma linha de base pessoal e um desvio que uma única regra deixaria passar, como na detecção de ameaças internas.

Leitura adicional: Como um oficial de segurança identifica um insider usando o sistema DLP?.

• Detecção de ameaças internas: identificar funcionários ou prestadores cujos indicadores de ameaça interna sugerem roubo de dados, sabotagem ou fraude, antes ou durante o evento.
• Detecção de contas comprometidas: quando um atacante usa credenciais roubadas, o padrão de atividade difere da linha de base do usuário legítimo.
• Detecção de movimentação lateral: atacantes que se deslocam pela rede criam padrões de acesso diferentes do comportamento normal.
• Monitoramento de contas privilegiadas: administradores têm acesso amplo, e a UEBA ajuda a detectar quando ele é usado de forma incomum.