UEBA y análisis de comportamiento frente a amenazas internas

User and Entity Behavior Analytics (UEBA) es un enfoque de análisis de seguridad que crea líneas base de comportamiento para usuarios y entidades (endpoints, servidores y aplicaciones) y utiliza modelos estadísticos y aprendizaje automático para detectar comportamientos anómalos. A diferencia de la detección basada en reglas, UEBA puede detectar amenazas que no tienen una firma conocida: atacantes que usan herramientas legítimas, personas internas que abusan de sus permisos y cuentas comprometidas que operan dentro de la política, pero fuera de los patrones de comportamiento normales.

La eficacia de UEBA depende de contar con líneas base de comportamiento precisas. En el caso de los usuarios, los atributos de referencia incluyen: horarios habituales de inicio de sesión, ubicaciones de origen habituales, dispositivos utilizados habitualmente, volúmenes normales de acceso a datos y aplicaciones usadas con frecuencia. En el caso de las entidades, las líneas base incluyen: patrones normales de tráfico de red, alcance de acceso habitual de las cuentas de servicio y comportamientos habituales de los procesos. Normalmente, los sistemas UEBA observan el entorno durante 2-4 semanas antes de generar puntuaciones de anomalía fiables.

Las plataformas UEBA asignan puntuaciones de riesgo a anomalías de comportamiento individuales y las agregan a lo largo del tiempo. Un único inicio de sesión a altas horas de la noche podría recibir una puntuación de riesgo baja. Si se combina con una descarga de datos inusual, el acceso a archivos confidenciales de RR. HH. que el usuario nunca había consultado y un dispositivo nuevo, la puntuación de riesgo agregada aumenta hasta un nivel alto. Este enfoque de agregación detecta amenazas internas sutiles que ningún evento individual señalaría.

UEBA resulta especialmente eficaz contra las amenazas internas, que se dividen en varias categorías. Las personas internas maliciosas roban o sabotean datos intencionadamente para obtener beneficios personales o realizar espionaje. Las personas internas negligentes exponen datos accidentalmente debido a malas prácticas (envían archivos confidenciales a cuentas personales de correo electrónico o utilizan contraseñas débiles). Las personas internas comprometidas son usuarios legítimos cuyas cuentas han sido tomadas por atacantes externos, que después operan con los permisos de acceso y la apariencia de comportamiento del usuario.

UEBA detecta comportamientos habituales de exfiltración de datos mediante la supervisión de patrones de acceso y transferencia. Entre los indicadores se incluyen: usuarios que acceden a grandes cantidades de documentos fuera de su ámbito habitual, descarga masiva de archivos desde SharePoint o OneDrive, impresión de grandes volúmenes de documentos confidenciales, carga en almacenamiento personal en la nube (Dropbox o Google Drive) o envío de archivos a direcciones personales de correo electrónico. UEBA correlaciona estos comportamientos a lo largo del tiempo para crear una imagen de una exfiltración intencionada.

Cuando un atacante roba credenciales válidas de un usuario, opera con la identidad de la víctima y elude la monitorización de autenticación basada en reglas. UEBA detecta estas situaciones de cuentas comprometidas mediante incoherencias de comportamiento: la cuenta inicia sesión de repente desde un país nuevo, utiliza un dispositivo nunca visto, accede a recursos fuera del ámbito normal del usuario o muestra un viaje imposible (autenticación en Nueva York y después en Tokio 30 minutos más tarde). Estas variaciones de comportamiento son invisibles para las herramientas basadas en firmas, pero resultan evidentes para las líneas base de UEBA.

UEBA va más allá de los usuarios y supervisa también entidades: servidores, aplicaciones y cuentas de servicio. Las cuentas de servicio son objetivos de gran valor porque suelen tener permisos amplios y su actividad rara vez se revisa. UEBA establece una línea base de lo que hace normalmente cada cuenta de servicio: a qué servidores accede, a qué horas se ejecuta y qué procesos inicia. Las desviaciones —como que una cuenta de servicio de base de datos consulte de repente un servidor de autenticación— indican un posible movimiento lateral mediante credenciales de una cuenta de servicio robadas.

Las plataformas UEBA incorporan una amplia variedad de fuentes de datos para crear perfiles de comportamiento completos. Entre las fuentes críticas se incluyen: registros de identidad y autenticación (Active Directory, Okta), telemetría de endpoints (creación de procesos, acceso a archivos), registros de red (DNS, proxy, firewall), soluciones DLP (supervisión del correo electrónico y de archivos en la nube), sistemas de RR. HH. (rol, departamento, fechas de baja) y registros de acceso físico (eventos de lectores de credenciales). La integración de los datos de RR. HH. permite intensificar automáticamente la supervisión de los empleados en situación de riesgo (quienes están en un PIP o han sido despedidos recientemente).

Las plataformas UEBA utilizan varias técnicas de ML. El clustering no supervisado agrupa a los usuarios con perfiles de comportamiento similares y señala a quienes se encuentran fuera de su grupo de pares. La detección de anomalías en series temporales identifica desviaciones respecto a los patrones históricos. La clasificación supervisada (cuando se dispone de datos etiquetados sobre amenazas internas) entrena modelos para reconocer escenarios de amenaza específicos. La mayoría de los sistemas UEBA combinan varios modelos para reducir los falsos positivos que produciría un único enfoque.

El análisis del grupo de pares compara el comportamiento de un usuario con el de otras personas del mismo departamento, rol o equipo. Si todos los vendedores descargan aproximadamente 50 documentos al día, pero uno descarga 5.000, ese comportamiento atípico desencadena una investigación, aunque 5.000 descargas diarias no activaran una alerta por umbral absoluto. La comparación con los pares detecta abusos de volumen propios de un rol que los umbrales absolutos no detectan.

Cuando UEBA genera una alerta de alto riesgo, el flujo de respuesta suele incluir: revisión por parte del analista de la línea temporal del usuario (todos los eventos anómalos en su contexto), consulta con RR. HH. o el responsable (¿el usuario está en un PIP? ¿ha comunicado recientemente su dimisión?), recopilación selectiva de evidencias (exportaciones de correo electrónico, capturas de DLP) y, si procede, suspensión de la cuenta y escalado a RR. HH. o a las fuerzas del orden. Las puntuaciones de riesgo de UEBA también pueden integrarse con Conditional Access para exigir automáticamente una autenticación reforzada cuando la puntuación de un usuario supera un umbral.

Compruebe sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: UEBA establece líneas base de comportamiento para usuarios y entidades con el fin de detectar actividad anómala sin firmas conocidas; la agregación de puntuaciones de riesgo combina señales débiles en alertas de alta confianza sobre amenazas internas; y la comparación con grupos de pares y los modelos de ML detectan abusos específicos de cada rol que los umbrales absolutos no detectan. A continuación, analizaremos la validación de entradas y la codificación de salidas: prácticas de codificación segura que previenen vulnerabilidades de inyección.