UEBA dan Analisis Tingkah Laku untuk Ancaman Dalaman

User and Entity Behavior Analytics (UEBA) ialah pendekatan analitik keselamatan yang membina garis dasar tingkah laku untuk pengguna dan entiti (titik akhir, pelayan, aplikasi), kemudian menggunakan model statistik dan pembelajaran mesin untuk mengesan tingkah laku anomali. Berbeza daripada pengesanan berasaskan peraturan, UEBA boleh menangkap ancaman yang tidak mempunyai tandatangan yang diketahui — penyerang yang menggunakan alat sah, orang dalam yang menyalahgunakan akses, dan akaun yang terjejas yang beroperasi mengikut dasar tetapi menyimpang daripada corak tingkah laku biasa.

Keberkesanan UEBA bergantung pada garis dasar tingkah laku yang tepat. Bagi pengguna, atribut garis dasar merangkumi: waktu log masuk biasa, lokasi sumber yang lazim, peranti yang kerap digunakan, jumlah capaian data yang biasa, dan penggunaan aplikasi yang kerap. Bagi entiti, garis dasar merangkumi: corak trafik rangkaian normal, skop capaian akaun perkhidmatan standard, dan tingkah laku proses yang biasa. Sistem UEBA lazimnya memerhatikan persekitaran selama 2–4 minggu sebelum menghasilkan skor anomali yang boleh dipercayai.

Platform UEBA memberikan skor risiko kepada anomali tingkah laku individu dan mengagregatkannya dari semasa ke semasa. Satu log masuk pada lewat malam mungkin mendapat skor risiko rendah. Jika digabungkan dengan muat turun data yang luar biasa, capaian kepada fail HR sensitif yang tidak pernah diakses oleh pengguna itu sebelum ini, serta peranti baharu — skor risiko terkumpul melonjak ke tahap risiko tinggi. Pendekatan pengagregatan ini menangkap ancaman orang dalam yang halus dan tidak akan ditandai oleh mana-mana peristiwa tunggal.

UEBA amat berkesan terhadap ancaman orang dalam, yang terbahagi kepada beberapa kategori. Orang dalam berniat jahat sengaja mencuri atau mensabotaj data demi keuntungan peribadi atau pengintipan. Orang dalam cuai mendedahkan data secara tidak sengaja melalui amalan yang lemah (menghantar fail sensitif ke akaun peribadi melalui e-mel, menggunakan kata laluan yang lemah). Orang dalam yang terjejas ialah pengguna sah yang akaunnya telah diambil alih oleh penyerang luar, yang kemudiannya beroperasi menggunakan hak akses dan perlindungan tingkah laku pengguna tersebut.

UEBA mengesan tingkah laku penyeludupan data yang biasa dengan memantau corak capaian dan pemindahan. Petunjuknya termasuk: pengguna mengakses sejumlah besar dokumen di luar skop biasa mereka, memuat turun fail secara pukal daripada SharePoint atau OneDrive, mencetak dokumen sensitif dalam jumlah besar, memuat naik ke storan awan peribadi (Dropbox, Google Drive), atau menghantar fail ke alamat e-mel peribadi. UEBA menghubungkan tingkah laku ini merentas masa untuk membentuk gambaran penyeludupan yang disengajakan.

Apabila penyerang mencuri kelayakan pengguna yang sah, mereka beroperasi menggunakan identiti mangsa — sekali gus mengatasi pemantauan pengesahan berasaskan peraturan. UEBA mengesan senario akaun yang terjejas melalui ketidakselarasan tingkah laku: akaun itu tiba-tiba log masuk dari negara baharu, menggunakan peranti yang belum pernah dilihat, mengakses sumber di luar skop biasa pengguna, atau menunjukkan perjalanan mustahil (disahkan di New York, kemudian di Tokyo 30 minit selepas itu). Perubahan tingkah laku ini tidak kelihatan kepada alat berasaskan tandatangan tetapi jelas melalui garis dasar UEBA.

UEBA melangkaui pengguna dengan memantau entiti — pelayan, aplikasi dan akaun perkhidmatan. Akaun perkhidmatan ialah sasaran bernilai tinggi kerana akaun ini sering mempunyai keizinan yang luas dan aktivitinya jarang disemak. UEBA membina garis dasar perkara yang biasanya dilakukan oleh setiap akaun perkhidmatan: pelayan yang diakses, waktu ia dijalankan dan proses yang dilancarkannya. Penyimpangan — seperti akaun perkhidmatan pangkalan data yang tiba-tiba menyoal pelayan pengesahan — menunjukkan kemungkinan pergerakan sisi menggunakan kelayakan akaun perkhidmatan yang dicuri.

Platform UEBA mengambil data daripada pelbagai sumber untuk membina profil tingkah laku yang lengkap. Sumber kritikal termasuk: log identiti dan pengesahan (Direktori Aktif, Okta), telemetri titik akhir (penciptaan proses, akses fail), log rangkaian (DNS, proksi, tembok api), penyelesaian DLP (pemantauan e-mel dan fail awan), sistem HR (peranan, jabatan, tarikh penamatan), serta log akses fizikal (peristiwa pembaca lencana). Penyepaduan data HR membolehkan pemantauan dipertingkat secara automatik terhadap pekerja berisiko (mereka yang mengikuti pelan peningkatan prestasi atau baru ditamatkan perkhidmatan).

Platform UEBA menggunakan beberapa teknik ML. Pengelompokan tanpa penyeliaan mengumpulkan pengguna yang mempunyai profil tingkah laku serupa dan menandakan mereka yang berada di luar kumpulan rakan setara. Pengesanan anomali siri masa mengenal pasti penyimpangan daripada corak sejarah. Pengelasan berpenyeliaan (apabila data ancaman dalaman berlabel tersedia) melatih model untuk mengenali senario ancaman tertentu. Kebanyakan sistem UEBA menggabungkan beberapa model bagi mengurangkan positif palsu daripada mana-mana pendekatan tunggal.

Analisis kumpulan rakan setara membandingkan tingkah laku seseorang pengguna dengan pengguna lain dalam jabatan, peranan atau pasukan yang sama. Jika setiap jurujual memuat turun kira-kira 50 dokumen sehari tetapi seorang memuat turun 5,000, tingkah laku terpencil itu mencetuskan siasatan — walaupun 5,000 muat turun sehari tidak akan mencetuskan amaran ambang mutlak. Perbandingan rakan setara mengesan penyalahgunaan volum yang bersesuaian dengan peranan, yang terlepas daripada ambang mutlak.

Apabila UEBA menjana amaran berisiko tinggi, aliran kerja tindak balas lazimnya melibatkan: semakan penganalisis terhadap garis masa pengguna (semua peristiwa anomali dalam konteks), perundingan dengan HR atau pengurus (adakah pengguna sedang mengikuti pelan peningkatan prestasi? Baru memberikan notis?), pengumpulan bukti bersasar (eksport e-mel, tangkapan DLP), dan jika wajar, penggantungan akaun serta peningkatan kepada HR atau penguat kuasa undang-undang. Skor risiko UEBA juga boleh disepadukan dengan Akses Bersyarat untuk secara automatik mewajibkan pengesahan tambahan apabila skor pengguna melepasi ambang.

Dalam pelajaran ini, anda telah mempelajari bahawa: UEBA membina garis asas tingkah laku untuk pengguna dan entiti bagi mengesan aktiviti anomali tanpa tandatangan yang diketahui, pengagregatan skor risiko menggabungkan isyarat lemah menjadi amaran berkeyakinan tinggi terhadap ancaman dalaman, dan perbandingan kumpulan rakan setara serta model ML mengesan penyalahgunaan khusus peranan yang terlepas daripada ambang mutlak. Seterusnya, kita akan meneroka pengesahan input dan pengekodan output — amalan pengekodan selamat yang mencegah kerentanan suntikan.