UEBA dan Analitik Perilaku untuk Ancaman Orang Dalam

User and Entity Behavior Analytics (UEBA) adalah pendekatan analitik keamanan yang membangun dasar perilaku bagi pengguna dan entitas (titik akhir, server, aplikasi), lalu menggunakan model statistik dan pembelajaran mesin untuk mendeteksi perilaku anomali. Berbeda dari deteksi berbasis aturan, UEBA dapat menangkap ancaman yang tidak memiliki tanda tangan yang diketahui — penyerang yang menggunakan alat sah, orang dalam yang menyalahgunakan akses, serta akun yang disusupi dan beroperasi sesuai kebijakan tetapi di luar pola perilaku normal.

Efektivitas UEBA bergantung pada dasar perilaku yang akurat. Untuk pengguna, atribut dasar mencakup: jam Login yang umum, lokasi sumber yang biasa, Devices yang rutin digunakan, volume akses data yang lazim, dan penggunaan Applications yang sering. Untuk entitas, dasar mencakup: pola lalu lintas jaringan normal, cakupan akses akun layanan standar, dan perilaku proses yang rutin. Sistem UEBA biasanya mengamati lingkungan selama 2–4 minggu sebelum menghasilkan skor anomali yang andal.

Platform UEBA memberikan skor Risk pada anomali perilaku individual dan mengagregasikannya dari waktu ke waktu. Satu Login larut malam mungkin memiliki risiko rendah. Jika digabungkan dengan download data yang tidak biasa, akses ke file HR sensitif yang sebelumnya tidak pernah diakses pengguna, dan perangkat baru — skor risiko agregat melonjak ke tingkat risiko tinggi. Pendekatan agregasi ini menangkap ancaman orang dalam yang halus, yang tidak akan ditandai oleh satu Event saja.

UEBA sangat efektif menghadapi ancaman orang dalam, yang terbagi ke dalam beberapa kategori. Orang dalam yang berniat jahat sengaja mencuri atau menyabotase data demi keuntungan pribadi atau spionase. Orang dalam yang lalai secara tidak sengaja mengekspos data melalui praktik yang buruk (mengirim file sensitif ke akun pribadi melalui email, menggunakan kata sandi yang lemah). Orang dalam yang akunnya disusupi adalah pengguna sah yang akunnya diambil alih oleh penyerang eksternal, yang kemudian beroperasi menggunakan hak akses dan penyamaran perilaku pengguna tersebut.

UEBA mendeteksi perilaku eksfiltrasi data yang umum dengan memantau pola akses dan transfer. Indikatornya mencakup: pengguna mengakses dokumen dalam jumlah besar di luar cakupan normalnya, mengunduh file secara massal dari SharePoint atau OneDrive, mencetak dokumen sensitif dalam jumlah besar, mengunggah ke penyimpanan cloud pribadi (Dropbox, Google Drive), atau mengirim file ke alamat email pribadi. UEBA mengorelasikan perilaku ini dari waktu ke waktu untuk membangun gambaran eksfiltrasi yang disengaja.

Ketika penyerang mencuri kredensial pengguna yang valid, mereka beroperasi dengan identitas korban — sehingga mematahkan pemantauan autentikasi berbasis aturan. UEBA mendeteksi skenario akun yang disusupi melalui ketidakkonsistenan perilaku: akun tiba-tiba melakukan Login dari negara baru, menggunakan perangkat yang belum pernah terlihat sebelumnya, mengakses sumber daya di luar cakupan normal pengguna, atau menunjukkan perjalanan mustahil (terautentikasi di New York, lalu di Tokyo 30 menit kemudian). Pergeseran perilaku ini tidak terlihat oleh alat berbasis tanda tangan, tetapi jelas bagi dasar UEBA.

UEBA tidak hanya memantau pengguna, tetapi juga entitas — server, aplikasi, dan akun layanan. Akun layanan merupakan target bernilai tinggi karena sering memiliki izin luas dan aktivitasnya jarang ditinjau. UEBA membuat dasar tentang aktivitas normal setiap akun layanan: server mana yang diakses, kapan akun tersebut berjalan, dan proses apa yang dijalankannya. Penyimpangan — seperti akun layanan basis data yang tiba-tiba melakukan kueri ke server autentikasi — menunjukkan kemungkinan pergerakan lateral menggunakan kredensial akun layanan yang dicuri.

Platform UEBA mengumpulkan beragam sumber data untuk membangun profil perilaku yang lengkap. Sumber penting meliputi: log identitas dan autentikasi (Active Directory, Okta), telemetri endpoint (pembuatan proses, akses file), log jaringan (DNS, proxy, firewall), solusi DLP (pemantauan email dan file cloud), sistem HR (peran, departemen, tanggal pemutusan hubungan kerja), serta log akses fisik (peristiwa pembaca kartu akses). Integrasi data HR memungkinkan pemantauan intensif secara otomatis terhadap karyawan yang berisiko (mereka yang sedang menjalani PIP atau baru saja diberhentikan).

Platform UEBA menggunakan beberapa teknik pembelajaran mesin. Pengelompokan tanpa pengawasan mengelompokkan pengguna dengan profil perilaku yang serupa dan menandai mereka yang berada di luar kelompok rekannya. Deteksi anomali deret waktu mengidentifikasi penyimpangan dari pola historis. Klasifikasi dengan pengawasan (jika data ancaman dari orang dalam yang telah diberi label tersedia) melatih model untuk mengenali skenario ancaman tertentu. Sebagian besar sistem UEBA menggabungkan beberapa model untuk mengurangi positif palsu dari satu pendekatan saja.

Analisis kelompok rekan membandingkan perilaku pengguna dengan pengguna lain dalam departemen, peran, atau tim yang sama. Jika setiap tenaga penjualan mengunduh sekitar 50 dokumen per hari, tetapi satu orang mengunduh 5.000 dokumen, perilaku menyimpang tersebut memicu penyelidikan — meskipun 5.000 unduhan per hari tidak memicu peringatan ambang batas absolut. Perbandingan dengan rekan dapat menemukan penyalahgunaan volume yang sesuai dengan peran, yang tidak terdeteksi oleh ambang batas absolut.

Saat UEBA menghasilkan peringatan berisiko tinggi, alur kerja respons biasanya mencakup: peninjauan analis terhadap linimasa pengguna (semua peristiwa anomali dalam konteksnya), konsultasi dengan HR atau manajer (apakah pengguna sedang menjalani PIP? baru saja mengajukan pengunduran diri?), pengumpulan bukti yang terarah (ekspor email, tangkapan DLP), dan jika diperlukan, penangguhan akun serta eskalasi kepada HR atau penegak hukum. Skor risiko UEBA juga dapat diintegrasikan dengan Akses Bersyarat untuk secara otomatis mewajibkan autentikasi tingkat lanjut saat skor pengguna melewati ambang batas.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari lesson ini.

Dalam lesson ini Anda mempelajari bahwa: UEBA membangun baseline perilaku untuk pengguna dan entitas guna mendeteksi aktivitas anomali tanpa tanda tangan yang telah diketahui, agregasi skor risiko menggabungkan sinyal lemah menjadi peringatan berkepercayaan tinggi untuk ancaman dari orang dalam, dan perbandingan kelompok rekan serta model pembelajaran mesin menemukan penyalahgunaan spesifik peran yang tidak terdeteksi oleh ambang batas absolut. Selanjutnya, kita akan membahas validasi input dan pengodean output — praktik pengodean aman yang mencegah kerentanan injeksi.