UEBA og adfærdsanalyse til insidertrusler

Adfærdsanalyse af brugere og enheder (UEBA) er en tilgang til sikkerhedsanalyse, der opbygger adfærdsbaselines for brugere og enheder (slutpunkter, servere og applikationer) og bruger statistiske modeller og maskinlæring til at registrere unormal adfærd. I modsætning til regelbaseret registrering kan UEBA fange trusler, der ikke har nogen kendt signatur — angribere, der bruger legitime værktøjer, insidere, der misbruger deres adgang, og kompromitterede konti, der overholder politikken, men afviger fra de normale adfærdsmønstre.

UEBA's effektivitet afhænger af præcise adfærdsbaselines. For brugere omfatter baselineattributter typiske login-tidspunkter, sædvanlige kildelokationer, enheder, der bruges regelmæssigt, typiske mængder dataadgang og hyppigt anvendte applikationer. For enheder omfatter baselines normale netværkstrafikmønstre, tjenestekonti­ers normale adgangsomfang og regelmæssig procesadfærd. UEBA-systemer observerer typisk miljøet i 2-4 uger, før de producerer pålidelige anomaliscorer.

UEBA-platforme tildeler risikoscorer til individuelle adfærdsanomalier og sammenlægger dem over tid. Et enkelt login sent om natten kan få en lav risikoscore. Kombineret med en usædvanlig dataoverførsel, adgang til følsomme HR-filer, som brugeren aldrig tidligere har tilgået, og en ny enhed stiger den samlede risikoscore til et højt risikoniveau. Denne tilgang med sammenlægning fanger diskrete insidertrusler, som ingen enkelt hændelse ville udløse en alarm for.

UEBA er særligt effektiv mod insidertrusler, som falder i flere kategorier. Ondsindede insidere stjæler eller saboterer bevidst data for personlig gevinst eller spionage. Uagtsomme insidere eksponerer ved et uheld data gennem dårlig praksis (ved at sende følsomme filer til personlige konti eller bruge svage adgangskoder). Kompromitterede insidere er legitime brugere, hvis konti er blevet overtaget af eksterne angribere, som derefter arbejder med brugerens adgangsrettigheder og kan skjule sig bag brugerens normale adfærd.

UEBA registrerer almindelig dataeksfiltrationsadfærd ved at overvåge adgangs- og overførselsmønstre. Indikatorer omfatter: brugere, der tilgår store mængder dokumenter uden for deres normale område, massiv download af filer fra SharePoint eller OneDrive, udskrivning af store mængder følsomme dokumenter, upload til personlig cloudlagring (Dropbox eller Google Drive) eller afsendelse af filer til personlige e-mailadresser. UEBA korrelerer disse adfærdsmønstre over tid for at danne et billede af bevidst dataeksfiltration.

Når en angriber stjæler gyldige brugerlegitimationsoplysninger, arbejder angriberen under offerets identitet og omgår dermed regelbaseret overvågning af godkendelse. UEBA registrerer disse scenarier med kompromitterede konti gennem adfærdsmæssig inkonsistens: Kontoen logger pludselig ind fra et nyt land, bruger en enhed, der aldrig er set før, tilgår ressourcer uden for brugerens normale område eller viser umulig rejse (godkendt i New York og derefter i Tokyo 30 minutter senere). Disse adfærdsskift er usynlige for signaturbaserede værktøjer, men tydelige i UEBA-baselines.

UEBA omfatter mere end brugere og overvåger også enheder — servere, applikationer og tjenestekonti. Tjenestekonti er attraktive mål, fordi de ofte har brede tilladelser, og deres aktivitet sjældent gennemgås. UEBA opbygger en baseline for, hvad hver tjenestekonto normalt gør: hvilke servere den tilgår, på hvilke tidspunkter den kører, og hvilke processer den starter. Afvigelser — f.eks. når en databasetjenestekonto pludselig forespørger på en godkendelsesserver — indikerer mulig lateral bevægelse ved hjælp af stjålne legitimationsoplysninger til en tjenestekonto.

UEBA-platforme indsamler data fra en lang række kilder for at opbygge fuldstændige adfærdsprofiler. Vigtige kilder omfatter identitets- og godkendelseslogge (Active Directory, Okta), telemetri fra slutpunkter (oprettelse af processer, filadgang), netværkslogge (DNS, proxy, firewall), DLP-løsninger (overvågning af e-mail og filer i skyen), HR-systemer (rolle, afdeling, fratrædelsesdatoer) samt logge over fysisk adgang (hændelser fra kortlæsere). Integration af HR-data gør det muligt automatisk at øge overvågningen af medarbejdere i risikozonen (personer på en PIP eller personer, der for nylig er blevet opsagt).

UEBA-platforme bruger flere ML-teknikker. Uovervåget klyngedannelse grupperer brugere med lignende adfærdsprofiler og markerer dem, der falder uden for deres sammenligningsgruppe. Detektion af afvigelser i tidsserier identificerer afvigelser fra historiske mønstre. Overvåget klassifikation (når der findes mærkede data om interne trusler) træner modeller til at genkende specifikke trusselscenarier. De fleste UEBA-systemer kombinerer flere modeller for at reducere falske positiver fra enhver enkelt tilgang.

Analyse af sammenligningsgrupper sammenligner en brugers adfærd med andres i samme afdeling, rolle eller team. Hvis alle sælgere downloader cirka 50 dokumenter om dagen, men én downloader 5.000, udløser denne afvigende adfærd en undersøgelse — også selv om 5.000 downloads om dagen ikke ville udløse en alarm baseret på en absolut grænse. Sammenligning med en sammenligningsgruppe opdager misbrug af mængder, der passer til rollen, men som absolutte grænser ikke fanger.

Når UEBA genererer en alarm med høj risiko, omfatter arbejdsgangen typisk: analytikerens gennemgang af brugerens tidslinje (alle afvigende hændelser i deres sammenhæng), konsultation med HR eller lederen (er brugeren på en PIP? har vedkommende for nylig sagt op?), målrettet indsamling af beviser (eksport af e-mails, DLP-opsamlinger) og, hvis det er begrundet, suspendering af kontoen samt eskalering til HR eller politiet. UEBA-risikoscorer kan også integreres med Conditional Access, så der automatisk kræves stærkere godkendelse, når en brugers score overskrider en grænse.

I denne lektion har du lært, at UEBA opbygger adfærdsbaselines for brugere og enheder for at opdage afvigende aktivitet uden kendte signaturer, at aggregering af risikoscorer kombinerer svage signaler til alarmer med høj sikkerhed ved interne trusler, og at sammenligning med sammenligningsgrupper og ML-modeller opdager rollespecifikt misbrug, som absolutte grænser ikke fanger. Dernæst undersøger vi inputvalidering og outputkodning — sikre kodningsmetoder, der forhindrer injektionssårbarheder.