UEBA e analisi comportamentale per le minacce interne

User and Entity Behavior Analytics (UEBA) è un approccio all'analisi della sicurezza che costruisce baseline comportamentali per utenti ed entità (endpoint, server e applicazioni) e utilizza modelli statistici e machine learning per rilevare comportamenti anomali. A differenza del rilevamento basato su regole, UEBA può individuare minacce prive di una firma nota: attaccanti che usano strumenti legittimi, utenti interni che abusano dei propri accessi e account compromessi che operano nel rispetto delle policy, ma al di fuori dei normali pattern comportamentali.

L'efficacia di UEBA dipende dall'accuratezza delle baseline comportamentali. Per gli utenti, gli attributi della baseline includono: orari abituali di accesso, posizioni sorgente consuete, dispositivi utilizzati regolarmente, volumi tipici di accesso ai dati e applicazioni usate di frequente. Per le entità, le baseline includono: normali pattern di traffico di rete, ambito di accesso standard degli account di servizio e comportamenti abituali dei processi. In genere i sistemi UEBA osservano l'ambiente per 2-4 settimane prima di produrre punteggi di anomalia affidabili.

Le piattaforme UEBA assegnano punteggi di rischio alle singole anomalie comportamentali e li aggregano nel tempo. Un singolo accesso notturno potrebbe ricevere un punteggio di rischio basso. Se si combina con un download di dati insolito, l'accesso a file sensibili delle risorse umane mai consultati prima dall'utente e un nuovo dispositivo, il punteggio di rischio aggregato aumenta fino a indicare un rischio elevato. Questo approccio basato sull'aggregazione rileva minacce interne sottili che nessun singolo evento riuscirebbe a segnalare.

UEBA è particolarmente efficace contro le minacce interne, che rientrano in diverse categorie. Gli utenti interni malevoli rubano o sabotano intenzionalmente i dati per interesse personale o per spionaggio. Gli utenti interni negligenti espongono accidentalmente i dati a causa di pratiche inadeguate (inviano file sensibili ad account personali, usano password deboli). Gli utenti interni compromessi sono utenti legittimi i cui account sono stati acquisiti da attaccanti esterni, che operano quindi con i diritti di accesso e la copertura comportamentale dell'utente.

UEBA rileva i comuni comportamenti di esfiltrazione dei dati monitorando i pattern di accesso e trasferimento. Tra gli indicatori figurano: utenti che accedono a un numero elevato di documenti al di fuori del loro normale ambito, il download massivo di file da SharePoint o OneDrive, la stampa di grandi quantità di documenti sensibili, il caricamento su servizi di cloud storage personali (Dropbox, Google Drive) o l'invio di file a indirizzi email personali. UEBA correla questi comportamenti nel tempo per delineare un quadro dell'esfiltrazione intenzionale.

Quando un attaccante sottrae credenziali utente valide, opera sotto l'identità della vittima, eludendo il monitoraggio dell'autenticazione basato su regole. UEBA rileva questi scenari di account compromessi attraverso le incoerenze comportamentali: l'account accede improvvisamente da un nuovo Paese, usa un dispositivo mai rilevato prima, accede a risorse al di fuori del normale ambito dell'utente o mostra un impossible travel (autenticazione a New York e poi a Tokyo 30 minuti dopo). Questi cambiamenti comportamentali sono invisibili agli strumenti basati su firme, ma risultano evidenti nelle baseline UEBA.

UEBA non si limita agli utenti, ma monitora anche le entità, ovvero server, applicazioni e account di servizio. Gli account di servizio sono obiettivi di grande valore perché spesso dispongono di autorizzazioni estese e la loro attività viene raramente esaminata. UEBA definisce una baseline delle normali attività di ciascun account di servizio: i server a cui accede, gli orari di esecuzione e i processi che avvia. Le deviazioni, come un account di servizio del database che interroga improvvisamente un server di autenticazione, indicano un potenziale movimento laterale tramite credenziali di un account di servizio sottratte.

Le piattaforme UEBA acquisiscono dati da un'ampia gamma di fonti per creare profili comportamentali completi. Le fonti fondamentali includono: log di identità e autenticazione (Active Directory, Okta), dati telemetrici degli endpoint (creazione di processi, accesso ai file), log di rete (DNS, proxy, firewall), soluzioni DLP (monitoraggio delle email e dei file nel cloud), sistemi HR (ruolo, reparto, date di cessazione) e log degli accessi fisici (eventi dei lettori di badge). L'integrazione dei dati HR consente di attivare automaticamente un monitoraggio più intenso per i dipendenti a rischio (quelli sottoposti a PIP o licenziati di recente).

Le piattaforme UEBA utilizzano diverse tecniche di ML. Il clustering non supervisionato raggruppa gli utenti con profili comportamentali simili e segnala quelli che si discostano dal proprio gruppo di riferimento. Il rilevamento delle anomalie nelle serie temporali individua deviazioni rispetto ai modelli storici. La classificazione supervisionata (quando sono disponibili dati etichettati sulle minacce interne) addestra i modelli a riconoscere specifici scenari di minaccia. La maggior parte dei sistemi UEBA combina più modelli per ridurre i falsi positivi che potrebbero derivare da un singolo approccio.

L'analisi del gruppo di riferimento confronta il comportamento di un utente con quello di altri utenti dello stesso reparto, ruolo o team. Se ogni commerciale scarica circa 50 documenti al giorno, ma uno ne scarica 5.000, questo comportamento anomalo avvia un'indagine, anche se 5.000 download al giorno non attiverebbero un avviso basato su una soglia assoluta. Il confronto con i colleghi rileva gli abusi dei volumi appropriati al ruolo che le soglie assolute non riescono a individuare.

Quando UEBA genera un avviso di rischio elevato, il flusso di risposta prevede in genere: la revisione da parte dell'analista della cronologia dell'utente (tutti gli eventi anomali analizzati nel loro contesto), il confronto con le risorse umane o il responsabile (l'utente è sottoposto a un PIP? Ha comunicato di recente le proprie dimissioni?), la raccolta mirata di prove (esportazioni delle email, acquisizioni DLP) e, se necessario, la sospensione dell'account e l'escalation alle risorse umane o alle forze dell'ordine. I punteggi di rischio UEBA possono inoltre integrarsi con Conditional Access per richiedere automaticamente un'autenticazione step-up quando il punteggio di un utente supera una soglia.

In questa lezione ha imparato che: UEBA crea baseline comportamentali per utenti ed entità, così da rilevare attività anomale senza firme note; l'aggregazione dei punteggi di rischio combina segnali deboli in avvisi ad alta affidabilità sulle minacce interne; infine, il confronto con il gruppo di riferimento e i modelli di ML rilevano gli abusi specifici del ruolo che le soglie assolute non riescono a individuare. Prossimamente esamineremo la convalida degli input e la codifica degli output, pratiche di programmazione sicura che prevengono le vulnerabilità di injection.