UEBA og atferdsanalyse for interne trusler

User and Entity Behavior Analytics (UEBA) er en tilnærming til sikkerhetsanalyse som bygger atferdsmessige grunnlinjer for brukere og enheter (endepunkter, servere og applikasjoner), og bruker statistiske modeller og maskinlæring til å oppdage avvikende atferd. I motsetning til regelbasert deteksjon kan UEBA fange opp trusler uten kjent signatur – angripere som bruker legitime verktøy, innsidere som misbruker tilganger, og kompromitterte kontoer som opererer innenfor retningslinjene, men utenfor normale atferdsmønstre.

Hvor effektivt UEBA er, avhenger av nøyaktige atferdsmessige grunnlinjer. For brukere omfatter grunnlinjeegenskaper vanlig innloggingstid, vanlige kildelokasjoner, enheter som brukes regelmessig, typiske datamengder med tilgang til og hyppig bruk av applikasjoner. For enheter omfatter grunnlinjer normale nettverkstrafikkmønstre, tjenestekontoenes vanlige tilgangsomfang og normal prosessatferd. UEBA-systemer observerer vanligvis miljøet i 2–4 uker før de produserer pålitelige avvikspoeng.

UEBA-plattformer tildeler risikopoeng til individuelle atferdsavvik og aggregerer dem over tid. Én innlogging sent på kvelden kan gi lav risiko. Kombinert med en uvanlig data-nedlasting, tilgang til sensitive HR-filer som brukeren aldri tidligere har åpnet, og en ny enhet, kan det samlede risikopoenget øke kraftig til et høyrisikonivå. Denne aggregeringstilnærmingen fanger opp subtile innsidetrusler som ingen enkeltstående hendelse ville ha utløst et varsel om.

UEBA er særlig effektivt mot innsidetrusler, som kan deles inn i flere kategorier. Ondsinnede innsidere stjeler eller saboterer data med vilje for personlig vinning eller spionasje. Uaktsomme innsidere eksponerer utilsiktet data gjennom dårlige rutiner (sender sensitive filer til private kontoer eller bruker svake passord). Kompromitterte innsidere er legitime brukere hvis kontoer er overtatt av eksterne angripere, som deretter opererer med brukerens tilgangsrettigheter og atferdsmessige dekke.

UEBA oppdager vanlig dataeksfiltrering ved å overvåke tilgangs- og overføringsmønstre. Indikatorer omfatter: brukere som åpner store mengder dokumenter utenfor sitt normale område, massenedlasting av filer fra SharePoint eller OneDrive, utskrift av store mengder sensitive dokumenter, opplasting til personlig skylagring (Dropbox eller Google Drive), eller sending av filer til private e-postadresser. UEBA korrelerer denne atferden over tid for å danne et bilde av tilsiktet dataeksfiltrering.

Når en angriper stjeler gyldig brukerlegitimasjon, opererer angriperen under offerets identitet, og omgår dermed regelbasert overvåking av autentisering. UEBA oppdager slike scenarier med kompromitterte kontoer gjennom atferdsmessig inkonsistens: Kontoen logger plutselig inn fra et nytt land, bruker en enhet som aldri er sett før, åpner ressurser utenfor brukerens normale område eller viser umulig reise (autentisert i New York og deretter i Tokyo 30 minutter senere). Slike atferdsskifter er usynlige for signaturbaserte verktøy, men tydelige i UEBA-grunnlinjer.

UEBA omfatter mer enn brukere og overvåker også enheter – servere, applikasjoner og tjenestekontoer. Tjenestekontoer er attraktive mål fordi de ofte har brede tillatelser, og aktiviteten deres sjelden blir gjennomgått. UEBA lager en grunnlinje for hva hver tjenestekonto normalt gjør: hvilke servere den har tilgang til, når den kjører og hvilke prosesser den starter. Avvik – som at en databasetjenestekonto plutselig spør mot en autentiseringsserver – tyder på mulig lateral bevegelse ved bruk av stjålne tjenestekontoopplysninger.

UEBA-plattformer samler inn et bredt spekter av datakilder for å bygge fullstendige atferdsprofiler. Viktige kilder omfatter: logger for identitet og autentisering (Active Directory, Okta), telemetri fra endepunkter (prosessoppretting, filtilgang), nettverkslogger (DNS, proxy, brannmur), DLP-løsninger (overvåking av e-post og filer i skyen), HR-systemer (rolle, avdeling, datoer for fratredelse) og logger over fysisk tilgang (hendelser fra adgangskortlesere). Integrering av HR-data gjør det mulig å øke overvåkingen automatisk for ansatte med forhøyet risiko (personer på en PIP eller som nylig er sagt opp).

UEBA-plattformer bruker flere ML-teknikker. Uovervåket klyngedannelse grupperer brukere med lignende atferdsprofiler og markerer dem som faller utenfor gruppen av kolleger. Anomalideteksjon i tidsserier identifiserer avvik fra historiske mønstre. Overvåket klassifisering (når merkede data om interne trusler er tilgjengelige) trener modeller til å gjenkjenne bestemte trusselscenarioer. De fleste UEBA-systemer kombinerer flere modeller for å redusere falske positiver fra én enkelt tilnærming.

Analyse av kollegagrupper sammenligner en brukers atferd med andre i samme avdeling, rolle eller team. Hvis alle selgere laster ned omtrent 50 dokumenter per dag, mens én selger laster ned 5 000, utløser denne avvikende atferden en undersøkelse – selv om 5 000 nedlastinger per dag ikke ville utløst et varsel basert på en absolutt terskel. Sammenligning med kolleger avdekker misbruk av volumer som er tilpasset rollen, men som absolutte terskler ikke fanger opp.

Når UEBA genererer et høyrisikovarsel, omfatter responsarbeidsflyten vanligvis: analytikergjennomgang av brukerens tidslinje (alle avvikende hendelser i kontekst), konsultasjon med HR eller leder (er brukeren på en PIP? Har vedkommende nylig sagt opp?), målrettet innsamling av bevis (eksporterte e-poster, DLP-registreringer) og, når det er berettiget, suspendering av kontoen og eskalering til HR eller politiet. UEBA-risikoscore kan også integreres med Conditional Access for automatisk å kreve trinnvis autentisering når brukerens score overskrider en terskel.

I denne leksjonen lærte du at UEBA bygger atferdsmessige grunnlinjer for brukere og enheter for å oppdage avvikende aktivitet uten kjente signaturer, at aggregering av risikoscore kombinerer svake signaler til varsler med høy sikkerhet for interne trusler, og at sammenligning med kollegagrupper og ML-modeller fanger opp rollebasert misbruk som absolutte terskler ikke oppdager. Neste tema er validering av inndata og koding av utdata – sikker programmeringspraksis som forhindrer injeksjonssårbarheter.