UEBA et analyse comportementale des menaces internes

User and Entity Behavior Analytics (UEBA) est une approche de l'analyse de sécurité qui établit des références comportementales pour les utilisateurs et les entités (terminaux, serveurs, applications), puis utilise des modèles statistiques et l'apprentissage automatique pour détecter les comportements anormaux. Contrairement à la détection fondée sur des règles, UEBA peut détecter des menaces qui n'ont aucune signature connue — des attaquants utilisant des outils légitimes, des utilisateurs internes abusant de leurs accès et des comptes compromis opérant dans le respect des règles, mais en dehors des schémas comportementaux habituels.

L'efficacité d'UEBA dépend de références comportementales précises. Pour les utilisateurs, les attributs de référence comprennent : les heures de connexion habituelles, les lieux sources habituels, les appareils régulièrement utilisés, les volumes habituels d'accès aux données et l'utilisation fréquente des applications. Pour les entités, les références comprennent : les schémas normaux de trafic réseau, la portée d'accès habituelle des comptes de service et les comportements réguliers des processus. Les systèmes UEBA observent généralement l'environnement pendant 2 à 4 semaines avant de produire des scores d'anomalie fiables.

Les plateformes UEBA attribuent des scores de risque aux anomalies comportementales individuelles et les agrègent au fil du temps. Une connexion unique tard dans la nuit peut représenter un risque faible. Combinée à un téléchargement inhabituel de données, à l'accès à des fichiers sensibles de HR jamais consultés auparavant par l'utilisateur et à un nouvel appareil, elle fait grimper le score de risque agrégé à un niveau élevé. Cette approche par agrégation détecte des menaces internes subtiles qu'aucun événement isolé ne signalerait.

UEBA est particulièrement efficace contre les menaces internes, qui se répartissent en plusieurs catégories. Les utilisateurs internes malveillants volent ou sabotent intentionnellement des données à des fins personnelles ou d'espionnage. Les utilisateurs internes négligents exposent accidentellement des données en raison de mauvaises pratiques (envoi de fichiers sensibles vers des comptes personnels, utilisation de mots de passe faibles). Les utilisateurs internes compromis sont des utilisateurs légitimes dont les comptes ont été pris en contrôle par des attaquants externes, qui opèrent ensuite avec leurs droits d'accès et sous couvert de leur comportement habituel.

UEBA détecte les comportements courants d'exfiltration de données en surveillant les schémas d'accès et de transfert. Les indicateurs comprennent : l'accès par des utilisateurs à un grand nombre de documents en dehors de leur portée habituelle, le téléchargement en masse de fichiers depuis SharePoint ou OneDrive, l'impression de gros volumes de documents sensibles, le téléversement vers un stockage infonuagique personnel (Dropbox, Google Drive), ou l'envoi de fichiers vers des adresses e-mail personnelles. UEBA met ces comportements en corrélation au fil du temps afin de dresser le tableau d'une exfiltration intentionnelle.

Lorsqu'un attaquant dérobe des identifiants utilisateur valides, il opère sous l'identité de la victime, contournant ainsi la surveillance de l'authentification fondée sur des règles. UEBA détecte ces scénarios de comptes compromis grâce aux incohérences comportementales : le compte se connecte soudainement depuis un nouveau pays, utilise un appareil encore jamais observé, accède à des ressources en dehors de la portée habituelle de l'utilisateur ou présente un déplacement impossible (authentifié à New York, puis à Tokyo 30 minutes plus tard). Ces changements comportementaux sont invisibles pour les outils fondés sur des signatures, mais évidents pour les références UEBA.

UEBA ne se limite pas aux utilisateurs et surveille également les entités — serveurs, applications et comptes de service. Les comptes de service sont des cibles de grande valeur, car ils disposent souvent d'autorisations étendues et leur activité est rarement examinée. UEBA établit une référence de ce que fait normalement chaque compte de service : les serveurs auxquels il accède, les heures auxquelles il s'exécute et les processus qu'il lance. Les écarts — par exemple, un compte de service de base de données qui interroge soudainement un serveur d'authentification — indiquent un déplacement latéral potentiel au moyen d'identifiants de compte de service dérobés.

Les plateformes UEBA ingèrent un large éventail de sources de données afin d’établir des profils comportementaux complets. Les sources essentielles comprennent : les journaux d’identité et d’authentification (Active Directory, Okta), la télémétrie des points de terminaison (création de processus, accès aux fichiers), les journaux réseau (DNS, proxy, pare-feu), les solutions DLP (surveillance des e-mails et des fichiers cloud), les systèmes RH (rôle, service, dates de fin de contrat) et les journaux d’accès physique (événements des lecteurs de badges). L’intégration des données RH permet de renforcer automatiquement la surveillance des employés à risque (ceux qui sont sous PIP ou dont le contrat vient d’être résilié).

Les plateformes UEBA utilisent plusieurs techniques d’apprentissage automatique. Le regroupement non supervisé rassemble les utilisateurs présentant des profils comportementaux similaires et signale ceux qui s’écartent de leur groupe de référence. La détection d’anomalies dans les séries temporelles identifie les écarts par rapport aux schémas historiques. La classification supervisée (lorsque des données étiquetées sur les menaces internes sont disponibles) entraîne des modèles à reconnaître des scénarios de menace précis. La plupart des systèmes UEBA combinent plusieurs modèles afin de réduire les faux positifs liés à une seule approche.

L’analyse du groupe de référence compare le comportement d’un utilisateur à celui d’autres personnes du même service, occupant le même rôle ou appartenant à la même équipe. Si tous les commerciaux téléchargent environ 50 documents par jour, mais que l’un d’eux en télécharge 5 000, ce comportement atypique déclenche une investigation, même si 5 000 téléchargements par jour ne suffiraient pas à déclencher une alerte fondée sur un seuil absolu. La comparaison avec les pairs détecte les abus de volume propres à un rôle que les seuils absolus ne repèrent pas.

Lorsqu’UEBA génère une alerte à haut risque, le flux de réponse comprend généralement : l’examen par un analyste de la chronologie de l’utilisateur (tous les événements anormaux replacés dans leur contexte), la consultation des RH ou du responsable (l’utilisateur est-il sous PIP ? a-t-il récemment annoncé son départ ?), la collecte ciblée d’éléments probants (exports d’e-mails, captures DLP) et, si nécessaire, la suspension du compte ainsi que la transmission du dossier aux RH ou aux forces de l’ordre. Les scores de risque UEBA peuvent également s’intégrer à Conditional Access afin d’exiger automatiquement une authentification renforcée lorsque le score d’un utilisateur dépasse un seuil.

Évaluez votre compréhension des notions de CompTIA Security+ (SY0-701) présentées dans cette leçon.

Dans cette leçon, vous avez appris que : UEBA établit des références comportementales pour les utilisateurs et les entités afin de détecter les activités anormales sans signatures connues ; l’agrégation des scores de risque combine des signaux faibles en alertes à haut niveau de confiance concernant les menaces internes ; et la comparaison avec le groupe de référence et les modèles d’apprentissage automatique détectent les abus propres à un rôle que les seuils absolus ne repèrent pas. Nous allons maintenant étudier la validation des entrées et l’encodage des sorties, des pratiques de programmation sécurisée qui empêchent les vulnérabilités par injection.