تحليلات سلوك المستخدم والكيان للتهديدات الداخلية

يُعد تحليل سلوك المستخدم والكيان (UEBA) منهجًا للتحليلات الأمنية ينشئ خطوط أساس سلوكية للمستخدمين والكيانات (نقاط النهاية، والخوادم، والتطبيقات)، ويستخدم النماذج الإحصائية والتعلم الآلي لاكتشاف السلوك الشاذ. وعلى خلاف الكشف القائم على القواعد، يستطيع UEBA اكتشاف التهديدات التي لا تملك توقيعًا معروفًا — مثل المهاجمين الذين يستخدمون أدوات مشروعة، والموظفين الداخليين الذين يسيئون استخدام صلاحياتهم، والحسابات المخترقة التي تعمل ضمن السياسات ولكن خارج أنماط السلوك المعتادة.

تعتمد فعالية UEBA على دقة خطوط الأساس السلوكية. وتشمل سمات خط الأساس للمستخدمين: ساعات تسجيل الدخول المعتادة، ومواقع المصدر المعتادة، والأجهزة المستخدمة بانتظام، وأحجام الوصول المعتادة إلى البيانات، والتطبيقات المستخدمة بشكل متكرر. أما خطوط الأساس للكيانات فتشمل: أنماط حركة الشبكة الطبيعية، ونطاق الوصول المعتاد لحسابات الخدمة، وسلوكيات العمليات المعتادة. تراقب أنظمة UEBA البيئة عادةً لمدة تتراوح بين أسبوعين وأربعة أسابيع قبل إنتاج درجات شذوذ موثوقة.

تُسند منصات UEBA درجات مخاطر إلى حالات الشذوذ السلوكي الفردية، ثم تجمعها بمرور الوقت. قد تحصل عملية تسجيل دخول واحدة في وقت متأخر من الليل على درجة مخاطر منخفضة. لكن عند اقترانها بتنزيل غير معتاد للبيانات، والوصول إلى ملفات موارد بشرية حساسة لم يسبق للمستخدم الوصول إليها، واستخدام جهاز جديد — ترتفع درجة المخاطر المجمعة إلى نطاق الخطر المرتفع. ويساعد هذا النهج التجميعي على اكتشاف التهديدات الداخلية الخفية التي لن يكتشفها أي حدث منفرد.

يُعد UEBA فعالًا بوجه خاص ضد التهديدات الداخلية، التي تنقسم إلى عدة فئات. يتعمد الموظفون الداخليون الخبيثون سرقة البيانات أو تخريبها لتحقيق مكاسب شخصية أو لأغراض التجسس. أما الموظفون الداخليون المهملون فيكشفون البيانات عرضيًا بسبب ممارسات سيئة (مثل إرسال الملفات الحساسة إلى حسابات شخصية عبر البريد الإلكتروني أو استخدام كلمات مرور ضعيفة). والموظفون الداخليون المخترقون هم مستخدمون شرعيون استولى مهاجمون خارجيون على حساباتهم، ثم يعمل المهاجمون باستخدام حقوق وصول المستخدم وغطائه السلوكي.

يكتشف UEBA سلوكيات استخراج البيانات الشائعة من خلال مراقبة أنماط الوصول والنقل. وتشمل المؤشرات: وصول المستخدمين إلى أعداد كبيرة من المستندات خارج نطاقهم المعتاد، وتنزيل الملفات بكميات كبيرة من SharePoint أو OneDrive، وطباعة كميات كبيرة من المستندات الحساسة، والتحميل إلى التخزين السحابي الشخصي (Dropbox وGoogle Drive)، أو إرسال الملفات إلى عناوين البريد الإلكتروني الشخصية. ويربط UEBA هذه السلوكيات عبر الزمن لتكوين صورة عن الاستخراج المتعمد للبيانات.

عندما يسرق مهاجم بيانات اعتماد مستخدم صحيحة، فإنه يعمل بهوية الضحية، متجاوزًا مراقبة المصادقة القائمة على القواعد. ويكتشف UEBA هذه السيناريوهات الخاصة بالحسابات المخترقة من خلال عدم الاتساق السلوكي: فقد يسجل الحساب الدخول فجأة من دولة جديدة، أو يستخدم جهازًا لم يُرصد من قبل، أو يصل إلى موارد خارج النطاق المعتاد للمستخدم، أو يُظهر سفرًا مستحيلًا (تمت المصادقة في نيويورك، ثم في طوكيو بعد 30 دقيقة). وتكون هذه التحولات السلوكية غير مرئية لأدوات الكشف القائمة على التوقيعات، لكنها واضحة في خطوط أساس UEBA.

يمتد UEBA إلى ما هو أبعد من المستخدمين لمراقبة الكيانات — الخوادم والتطبيقات وحسابات الخدمة. وتُعد حسابات الخدمة أهدافًا عالية القيمة لأنها غالبًا ما تمتلك صلاحيات واسعة، ونادرًا ما تخضع أنشطتها للمراجعة. ويحدد UEBA خط الأساس لما تفعله كل حسابات الخدمة عادةً: الخوادم التي تصل إليها، وأوقات تشغيلها، والعمليات التي تنشئها. وتشير الانحرافات — مثل أن يبدأ حساب خدمة قاعدة بيانات فجأة في الاستعلام من خادم مصادقة — إلى احتمال حدوث حركة جانبية باستخدام بيانات اعتماد حساب خدمة مسروقة.

تستوعب منصات UEBA مجموعة واسعة من مصادر البيانات لبناء ملفات سلوكية متكاملة. وتشمل المصادر المهمة: سجلات الهوية والمصادقة (Active Directory وOkta)، وبيانات القياس عن بُعد لنقاط النهاية (إنشاء العمليات والوصول إلى الملفات)، وسجلات الشبكة (DNS والوكيل وجدار الحماية)، وحلول DLP (مراقبة البريد الإلكتروني والملفات السحابية)، وأنظمة الموارد البشرية (الدور والقسم وتواريخ إنهاء الخدمة)، وسجلات الدخول المادي (أحداث قارئ البطاقات). ويتيح دمج بيانات الموارد البشرية تفعيل مراقبة مشددة تلقائية للموظفين المعرّضين للخطر (الموظفين الخاضعين لخطة تحسين الأداء أو الذين أُنهيت خدمتهم حديثًا).

تستخدم منصات UEBA عدة تقنيات للتعلّم الآلي. تعمل خوارزميات التجميع غير الخاضع للإشراف على تجميع المستخدمين ذوي الملفات السلوكية المتشابهة، وتحدد من يخرجون عن مجموعة أقرانهم. ويحدد اكتشاف الشذوذ في السلاسل الزمنية الانحرافات عن الأنماط التاريخية. أما التصنيف الخاضع للإشراف (عند توفر بيانات معنونة عن التهديدات الداخلية)، فيدرّب النماذج على التعرف على سيناريوهات تهديد محددة. وتجمع معظم أنظمة UEBA بين نماذج متعددة لتقليل النتائج الإيجابية الكاذبة الناتجة عن أي نهج واحد.

تقارن تحليلات مجموعة الأقران سلوك المستخدم بسلوك الآخرين في القسم أو الدور أو الفريق نفسه. فإذا كان كل موظفي المبيعات ينزّلون نحو 50 مستندًا يوميًا، بينما ينزّل أحدهم 5,000 مستند، فإن هذا السلوك الشاذ يطلق تحقيقًا — حتى لو لم يكن تنزيل 5,000 مستند يوميًا كافيًا لتفعيل تنبيه ناتج عن حد مطلق. تكشف مقارنة الأقران إساءة استخدام الأحجام المناسبة للدور، وهي إساءة قد تفوتها الحدود المطلقة.

عندما تُصدر UEBA تنبيهًا عالي الخطورة، يتضمن سير عمل الاستجابة عادةً: مراجعة المحلل للخط الزمني للمستخدم (جميع الأحداث الشاذة ضمن سياقها)، والتشاور مع الموارد البشرية أو المدير (هل يخضع المستخدم لخطة تحسين الأداء؟ هل قدّم إشعارًا بترك العمل مؤخرًا؟)، وجمع الأدلة المستهدفة (تصديرات البريد الإلكتروني وبيانات DLP الملتقطة)، وإذا اقتضى الأمر، تعليق الحساب وتصعيد الأمر إلى الموارد البشرية أو جهات إنفاذ القانون. ويمكن أيضًا دمج درجات مخاطر UEBA مع Conditional Access لطلب مصادقة إضافية تلقائيًا عندما تتجاوز درجة المستخدم حدًا معينًا.

اختبروا مدى فهمكم لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلمتم في هذا الدرس أن: UEBA تنشئ خطوطًا أساسية سلوكية للمستخدمين والكيانات لاكتشاف النشاط الشاذ من دون تواقيع معروفة، وأن تجميع درجات المخاطر يجمع الإشارات الضعيفة في تنبيهات عالية الثقة بشأن التهديدات الداخلية، وأن مقارنة مجموعات الأقران ونماذج التعلّم الآلي تكشف إساءة الاستخدام الخاصة بالأدوار، والتي قد تفوتها الحدود المطلقة. بعد ذلك، سنستكشف التحقق من المدخلات وترميز المخرجات — وهما ممارستان للبرمجة الآمنة تمنعان ثغرات الحقن.