UEBA und Verhaltensanalyse bei Insider-Bedrohungen

User and Entity Behavior Analytics (UEBA) ist ein Ansatz der Sicherheitsanalyse, der Verhaltensbaselines für Benutzer und Entitäten (Endpunkte, Server und Anwendungen) erstellt und mithilfe statistischer Modelle und maschinellen Lernens anomales Verhalten erkennt. Im Gegensatz zu regelbasierter Erkennung kann UEBA Bedrohungen erkennen, für die keine bekannte Signatur existiert – Angreifer, die legitime Tools verwenden, Insider, die ihre Zugriffsrechte missbrauchen, und kompromittierte Konten, die sich zwar richtlinienkonform, aber außerhalb normaler Verhaltensmuster bewegen.

Die Wirksamkeit von UEBA hängt von präzisen Verhaltensbaselines ab. Bei Benutzern umfassen die Baseline-Merkmale typische Anmeldezeiten, übliche Quellstandorte, regelmäßig verwendete Geräte, typische Volumina des Datenzugriffs und häufig genutzte Anwendungen. Bei Entitäten umfassen die Baselines normale Muster des Netzwerkverkehrs, den üblichen Zugriffsbereich von Dienstkonten und reguläre Prozessaktivitäten. UEBA-Systeme beobachten die Umgebung in der Regel 2 bis 4 Wochen, bevor sie zuverlässige Anomaliewerte liefern.

UEBA-Plattformen weisen einzelnen Verhaltensanomalien Risikowerte zu und aggregieren diese über einen bestimmten Zeitraum. Eine einzelne Anmeldung spät in der Nacht kann ein geringes Risiko ergeben. Zusammen mit einem ungewöhnlichen Daten-Download, dem Zugriff auf vertrauliche HR-Dateien, auf die der Benutzer zuvor nie zugegriffen hat, und einem neuen Gerät steigt der aggregierte Risikowert jedoch in den Hochrisikobereich. Dieser Aggregationsansatz erkennt subtile Insiderbedrohungen, die kein einzelnes Ereignis auslösen würde.

UEBA ist besonders wirksam gegen Insiderbedrohungen, die in mehrere Kategorien fallen. Böswillige Insider stehlen oder sabotieren Daten absichtlich, um sich persönlich zu bereichern oder Spionage zu betreiben. Fahrlässige Insider legen Daten durch schlechte Vorgehensweisen versehentlich offen (beispielsweise durch das Senden vertraulicher Dateien an persönliche Konten oder die Verwendung schwacher Passwörter). Kompromittierte Insider sind legitime Benutzer, deren Konten von externen Angreifern übernommen wurden, die anschließend mit den Zugriffsrechten und dem gewohnten Verhaltensprofil des Benutzers agieren.

UEBA erkennt häufige Verhaltensweisen bei der Datenexfiltration, indem Zugriffsmuster und Übertragungsmuster überwacht werden. Zu den Indikatoren gehören: Benutzer, die auf eine große Anzahl von Dokumenten außerhalb ihres üblichen Bereichs zugreifen, Dateien per Bulk-Download aus SharePoint oder OneDrive herunterladen, große Mengen vertraulicher Dokumente drucken, Dateien in persönlichen Cloud-Speicher (Dropbox, Google Drive) hochladen oder Dateien an persönliche E-Mail-Adressen senden. UEBA korreliert diese Verhaltensweisen über einen längeren Zeitraum, um ein Bild einer gezielten Exfiltration zu erstellen.

Wenn ein Angreifer gültige Anmeldeinformationen eines Benutzers stiehlt, agiert er unter der Identität des Opfers und umgeht dadurch die regelbasierte Überwachung der Authentifizierung. UEBA erkennt solche Szenarien mit kompromittierten Konten anhand von Verhaltensabweichungen: Das Konto meldet sich plötzlich aus einem neuen Land an, verwendet ein bislang unbekanntes Gerät, greift auf Ressourcen außerhalb des üblichen Benutzerbereichs zu oder zeigt ein unmögliches Reiseereignis (authentifiziert in New York und 30 Minuten später in Tokio). Diese Verhaltensänderungen sind für signaturbasierte Tools unsichtbar, in UEBA-Baselines jedoch eindeutig erkennbar.

UEBA beschränkt sich nicht auf Benutzer, sondern überwacht auch Entitäten – Server, Anwendungen und Dienstkonten. Dienstkonten sind besonders attraktive Ziele, da sie häufig weitreichende Berechtigungen besitzen und ihre Aktivitäten nur selten überprüft werden. UEBA erstellt für jedes Dienstkonto eine Baseline seines normalen Verhaltens: auf welche Server es zugreift, zu welchen Zeiten es ausgeführt wird und welche Prozesse es startet. Abweichungen – etwa wenn ein Datenbankdienstkonto plötzlich einen Authentifizierungsserver abfragt – weisen auf eine mögliche laterale Bewegung mit gestohlenen Anmeldeinformationen eines Dienstkontos hin.

UEBA-Plattformen nehmen eine große Bandbreite an Datenquellen auf, um vollständige Verhaltensprofile zu erstellen. Zu den kritischen Quellen gehören: Identitäts- und Authentifizierungsprotokolle (Active Directory, Okta), Endpoint-Telemetrie (Prozesserstellung, Dateizugriffe), Netzwerkprotokolle (DNS, Proxy, Firewall), DLP-Lösungen (Überwachung von E-Mails und Cloud-Dateien), HR-Systeme (Rolle, Abteilung, Kündigungsdaten) und Protokolle des physischen Zutritts (Ereignisse von Kartenlesern). Durch die Integration von HR-Daten lässt sich die Überwachung gefährdeter Mitarbeitender (Personen mit PIP oder kürzlich gekündigte Mitarbeitende) automatisch verstärken.

UEBA-Plattformen verwenden mehrere ML-Techniken. Unüberwachtes Clustering gruppiert Benutzer mit ähnlichen Verhaltensprofilen und kennzeichnet diejenigen, die außerhalb ihrer Vergleichsgruppe liegen. Anomalieerkennung in Zeitreihen identifiziert Abweichungen von historischen Mustern. Überwachtes Klassifizieren (wenn gekennzeichnete Daten zu Insider-Bedrohungen verfügbar sind) trainiert Modelle darauf, bestimmte Bedrohungsszenarien zu erkennen. Die meisten UEBA-Systeme kombinieren mehrere Modelle, um Fehlalarme zu reduzieren, die bei einem einzelnen Ansatz entstehen könnten.

Die Analyse von Vergleichsgruppen vergleicht das Verhalten eines Benutzers mit dem Verhalten anderer Personen in derselben Abteilung, Rolle oder demselben Team. Wenn alle Vertriebsmitarbeitenden ungefähr 50 Dokumente pro Tag herunterladen, eine Person jedoch 5.000, löst dieses Ausreißerverhalten eine Untersuchung aus – selbst wenn 5.000 Downloads pro Tag keinen Alarm aufgrund eines absoluten Schwellenwerts auslösen würden. Der Vergleich mit der Vergleichsgruppe erkennt einen für die jeweilige Rolle ungewöhnlich hohen Umfang, den absolute Schwellenwerte übersehen.

Wenn UEBA einen Alarm mit hohem Risiko erzeugt, umfasst der Reaktionsablauf typischerweise: die Überprüfung durch Analysten anhand der Zeitleiste des Benutzers (alle anomalen Ereignisse im Kontext), die Rücksprache mit der Personalabteilung oder der Führungskraft (befindet sich der Benutzer in einem PIP? Hat er kürzlich gekündigt?), die gezielte Beweissicherung (E-Mail-Exporte, DLP-Aufzeichnungen) und, falls gerechtfertigt, die Sperrung des Kontos sowie die Weiterleitung an die Personalabteilung oder Strafverfolgungsbehörden. UEBA-Risikowerte können außerdem in Conditional Access integriert werden, um automatisch eine zusätzliche Authentifizierung zu verlangen, sobald der Wert eines Benutzers einen Schwellenwert überschreitet.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: UEBA erstellt Verhaltensbaselines für Benutzer und Entitäten, um anomale Aktivitäten ohne bekannte Signaturen zu erkennen, die Aggregation von Risikowerten kombiniert schwache Signale zu hochgradig vertrauenswürdigen Alarmen für Insider-Bedrohungen, und der Vergleich mit der Vergleichsgruppe sowie ML-Modelle erkennen rollenspezifischen Missbrauch, den absolute Schwellenwerte übersehen. Als Nächstes behandeln wir Eingabevalidierung und Ausgabekodierung – sichere Programmierpraktiken, die Injection-Schwachstellen verhindern.