内部脅威に対するUEBAと行動分析

User and Entity Behavior Analytics (UEBA)は、ユーザーとエンティティ（エンドポイント、サーバー、アプリケーション）の行動ベースラインを構築し、統計モデルと機械学習を使って異常な行動を検知するセキュリティ分析手法です。ルールベースの検知とは異なり、既知のシグネチャーを持たない脅威、つまり正規のツールを使う攻撃者、アクセス権を悪用する内部関係者、ポリシーには従っているものの通常の行動パターンから外れて活動する侵害アカウントを検知できます。

UEBAの有効性は、正確な行動ベースラインに左右されます。ユーザーの場合、ベースラインの属性には、通常のログイン時間、通常のアクセス元の場所、普段使用するデバイス、通常のデータアクセス量、頻繁に使用するアプリケーションが含まれます。エンティティの場合は、通常のネットワークトラフィックパターン、標準的なサービスアカウントのアクセス範囲、通常のプロセスの動作などが含まれます。UEBAシステムは通常、信頼できる異常スコアを生成する前に、2～4週間環境を観測します。

UEBAプラットフォームは、個々の行動異常にリスクスコアを割り当て、時間の経過に伴って集約します。深夜のログインが1回あっただけなら、リスクは低いかもしれません。しかし、通常とは異なるデータのダウンロード、これまでアクセスしたことのない機密性の高い人事ファイルへのアクセス、新しいデバイスの使用が組み合わさると、集約されたリスクスコアは高リスクの領域まで急上昇します。この集約アプローチにより、単一のイベントでは検知できない巧妙な内部脅威を捉えられます。

UEBAは、いくつかのカテゴリに分けられる内部脅威に対して特に効果的です。悪意のある内部関係者は、個人的な利益やスパイ活動を目的として、意図的にデータを盗んだり破壊したりします。過失のある内部関係者は、不適切な運用（機密ファイルを個人アカウントにメールで送る、脆弱なパスワードを使うなど）によって、誤ってデータを漏えいさせます。侵害された内部関係者とは、正規ユーザーのアカウントが外部の攻撃者に乗っ取られ、その攻撃者がユーザーのアクセス権と通常の行動に紛れる状態を利用して活動するケースです。

UEBAは、アクセスと転送のパターンを監視することで、一般的なデータ持ち出しの行動を検知します。指標には、通常の範囲を超えて大量のドキュメントにアクセスすること、SharePointやOneDriveからファイルを一括ダウンロードすること、機密文書を大量に印刷すること、個人用クラウドストレージ（Dropbox、Google Drive）へアップロードすること、個人用メールアドレスへファイルを送信することなどがあります。UEBAはこれらの行動を時間軸に沿って相関させ、意図的なデータ持ち出しの全体像を構築します。

攻撃者が正規ユーザーの認証情報を盗むと、被害者のIDで活動するため、ルールベースの認証監視を回避します。UEBAは、行動の一貫性が崩れる侵害されたアカウントのシナリオを検知します。たとえば、アカウントが突然新しい国からログインする、これまで使われたことのないデバイスを使用する、ユーザーの通常の範囲外にあるリソースへアクセスする、あるいは不可能な移動（30分前にニューヨークで認証された後、東京で認証されるなど）を示す場合です。こうした行動の変化はシグネチャーベースのツールでは見えませんが、UEBAのベースラインでは明確に捉えられます。

UEBAはユーザーだけでなく、サーバー、アプリケーション、サービスアカウントなどのエンティティも監視対象にします。サービスアカウントは広範な権限を持つことが多く、その活動がほとんど確認されないため、価値の高い標的です。UEBAは、各サービスアカウントが通常どのような動作をするか、つまりどのサーバーにアクセスし、何時に実行され、どのプロセスを起動するかをベースライン化します。データベースのサービスアカウントが突然認証サーバーにクエリを実行するといった逸脱は、盗まれたサービスアカウントの認証情報を使ったラテラルムーブメントの可能性を示します。

UEBAプラットフォームは、完全な行動プロファイルを構築するために、幅広いデータソースを取り込みます。重要なソースには、アイデンティティおよび認証ログ（Active Directory、Okta）、エンドポイントテレメトリ（プロセスの作成、ファイルアクセス）、ネットワークログ（DNS、プロキシ、ファイアウォール）、DLPソリューション（メールおよびクラウドファイルの監視）、HRシステム（役職、部署、退職日）、物理アクセスログ（バッジリーダーのイベント）が含まれます。HRデータを統合すると、リスクのある従業員（PIP中または最近退職した従業員）に対する監視を自動的に強化できます。

UEBAプラットフォームはいくつかのML手法を使用します。教師なしクラスタリングは、行動プロファイルが類似するユーザーをグループ化し、同僚グループから外れたユーザーにフラグを付けます。時系列異常検知は、過去のパターンからの逸脱を特定します。教師あり分類（ラベル付きの内部脅威データを利用できる場合）では、特定の脅威シナリオを認識するようにモデルをトレーニングします。ほとんどのUEBAシステムは、単一の手法による誤検知を減らすために複数のモデルを組み合わせます。

同僚グループ分析では、ユーザーの行動を同じ部署、役職、またはチームの他のユーザーと比較します。営業担当者全員が1日に約50件のドキュメントをダウンロードしているのに、1人だけが5,000件をダウンロードしている場合、1日5,000件のダウンロード自体では絶対値のしきい値アラートが発生しなくても、その外れ値となる行動が調査のきっかけになります。同僚との比較により、絶対値のしきい値では見逃される、役割に応じた大量利用の悪用を検出できます。

UEBAが高リスクアラートを生成した場合、通常は次のような対応ワークフローになります。ユーザーのタイムライン（コンテキストを含むすべての異常イベント）のアナリストによるレビュー、HRまたは上司への確認（ユーザーはPIP中か、最近退職届を提出したか）、対象を絞った証拠収集（メールのエクスポート、DLPによる取得データ）、そして必要に応じてアカウントの停止とHRまたは法執行機関へのエスカレーションです。UEBAのリスクスコアをConditional Accessと統合し、ユーザーのスコアがしきい値を超えたときに追加認証を自動的に要求することもできます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、UEBAがユーザーやエンティティの行動ベースラインを構築することで、既知のシグネチャがなくても異常なアクティビティを検出できること、リスクスコアの集約によって弱いシグナルを組み合わせ、内部脅威に対する信頼度の高いアラートを生成できること、そして同僚グループとの比較とMLモデルによって、絶対値のしきい値では見逃される役割固有の悪用を検出できることを学びました。次は、インジェクションの脆弱性を防ぐ安全なコーディング手法である、入力検証と出力エンコーディングについて学びます。