UEBA en gedragsanalyse voor insider threats

User and Entity Behavior Analytics (UEBA) is een aanpak voor beveiligingsanalyse die gedragsmatige basislijnen voor gebruikers en entiteiten (eindpunten, servers en toepassingen) opstelt en statistische modellen en machine learning gebruikt om afwijkend gedrag te detecteren. In tegenstelling tot detectie op basis van regels kan UEBA bedreigingen herkennen waarvoor geen bekende handtekening bestaat — aanvallers die legitieme hulpmiddelen gebruiken, medewerkers die hun toegangsrechten misbruiken en gecompromitteerde accounts die binnen het beleid maar buiten normale gedragspatronen opereren.

De effectiviteit van UEBA hangt af van nauwkeurige gedragsmatige basislijnen. Voor gebruikers omvatten kenmerken van de basislijn onder andere: gebruikelijke inlogtijden, normale bronlocaties, regelmatig gebruikte apparaten, gebruikelijke hoeveelheden geraadpleegde gegevens en vaak gebruikte toepassingen. Voor entiteiten omvatten basislijnen onder andere: normale patronen van netwerkverkeer, het normale toegangsbereik van serviceaccounts en regulier procesgedrag. UEBA-systemen observeren de omgeving meestal 2 tot 4 weken voordat ze betrouwbare anomaliescores produceren.

UEBA-platformen kennen risicoscores toe aan afzonderlijke gedragsafwijkingen en voegen die in de loop van de tijd samen. Eén late inlogpoging kan een laag risico krijgen. In combinatie met een ongebruikelijke gegevensdownload, toegang tot gevoelige HR-bestanden die de gebruiker nooit eerder heeft geraadpleegd en een nieuw apparaat schiet de geaggregeerde risicoscore omhoog naar een hoog risiconiveau. Met deze aggregatie kunnen subtiele bedreigingen van binnenuit worden gedetecteerd die door geen enkele afzonderlijke gebeurtenis zouden worden gemarkeerd.

UEBA is bijzonder effectief tegen bedreigingen van binnenuit, die in verschillende categorieën vallen. Kwaadwillende insiders stelen of saboteren opzettelijk gegevens voor persoonlijk gewin of spionage. Onzorgvuldige insiders brengen per ongeluk gegevens in gevaar door slechte werkwijzen (gevoelige bestanden naar persoonlijke accounts e-mailen of zwakke wachtwoorden gebruiken). Gecompromitteerde insiders zijn legitieme gebruikers van wie de accounts door externe aanvallers zijn overgenomen. Die aanvallers handelen vervolgens met de toegangsrechten en de gedragsmatige dekmantel van de gebruiker.

UEBA detecteert veelvoorkomend gedrag rond gegevensexfiltratie door toegangs- en overdrachtspatronen te bewaken. Aanwijzingen zijn onder andere: gebruikers die grote aantallen documenten buiten hun normale bereik raadplegen, bestanden in bulk downloaden van SharePoint of OneDrive, grote hoeveelheden gevoelige documenten afdrukken, uploaden naar persoonlijke cloudopslag (Dropbox en Google Drive), of bestanden verzenden naar persoonlijke e-mailadressen. UEBA brengt dit gedrag in de loop van de tijd met elkaar in verband om een beeld van opzettelijke exfiltratie op te bouwen.

Wanneer een aanvaller geldige gebruikersgegevens steelt, handelt die onder de identiteit van het slachtoffer — en omzeilt daarmee bewaking van authenticatie op basis van regels. UEBA detecteert deze scenario's met gecompromitteerde accounts aan de hand van gedragsinconsistenties: het account logt plotseling in vanuit een nieuw land, gebruikt een apparaat dat nooit eerder is gezien, raadpleegt bronnen buiten het normale bereik van de gebruiker of vertoont onmogelijke verplaatsingen (geauthenticeerd in New York en 30 minuten later in Tokio). Deze gedragsveranderingen zijn onzichtbaar voor hulpmiddelen op basis van handtekeningen, maar duidelijk zichtbaar in UEBA-basislijnen.

UEBA gaat verder dan gebruikers en bewaakt ook entiteiten — servers, toepassingen en serviceaccounts. Serviceaccounts zijn waardevolle doelwitten omdat ze vaak ruime machtigingen hebben en hun activiteit zelden wordt beoordeeld. UEBA legt vast wat elk serviceaccount normaal doet: tot welke servers het toegang heeft, op welke tijden het wordt uitgevoerd en welke processen het start. Afwijkingen — zoals een databaseserviceaccount dat plotseling een authenticatieserver bevraagt — wijzen op mogelijke laterale beweging met gestolen referenties van een serviceaccount.

UEBA-platforms nemen gegevens uit een breed scala aan bronnen op om volledige gedragsprofielen op te bouwen. Belangrijke bronnen zijn onder andere: identiteits- en authenticatielogboeken (Active Directory, Okta), telemetrie van eindpunten (procescreatie, bestandstoegang), netwerkelogboeken (DNS, proxy, firewall), DLP-oplossingen (bewaking van e-mail en cloudbestanden), HR-systemen (rol, afdeling, einddatums van dienstverbanden) en logboeken van fysieke toegang (gebeurtenissen van badgelezers). Door HR-gegevens te integreren, kunnen werknemers met een verhoogd risico automatisch extra worden gemonitord (werknemers met een PIP of werknemers die onlangs uit dienst zijn gegaan).

UEBA-platforms gebruiken verschillende ML-technieken. Ongecontroleerd clusteren groepeert gebruikers met vergelijkbare gedragsprofielen en markeert gebruikers die buiten hun vergelijkingsgroep vallen. Detectie van afwijkingen in tijdreeksen identificeert afwijkingen van historische patronen. Gecontroleerde classificatie (wanneer gelabelde gegevens over bedreigingen van binnenuit beschikbaar zijn) traint modellen om specifieke dreigingsscenario's te herkennen. De meeste UEBA-systemen combineren meerdere modellen om het aantal fout-positieven van één afzonderlijke aanpak te verminderen.

Analyse van vergelijkingsgroepen vergelijkt het gedrag van een gebruiker met dat van anderen binnen dezelfde afdeling, rol of hetzelfde team. Als elke verkoper ongeveer 50 documenten per dag downloadt, maar één verkoper er 5.000 downloadt, leidt dat afwijkende gedrag tot een onderzoek — zelfs als 5.000 downloads per dag geen waarschuwing op basis van een absolute drempel zouden activeren. Vergelijking met collega's brengt misbruik van volumes die bij een rol passen aan het licht, terwijl absolute drempels dat missen.

Wanneer UEBA een waarschuwing met een hoog risico genereert, omvat het responsproces doorgaans: beoordeling door een analist van de tijdlijn van de gebruiker (alle afwijkende gebeurtenissen in hun context), overleg met HR of de manager (heeft de gebruiker een PIP? Heeft die onlangs ontslag genomen?), gerichte verzameling van bewijsmateriaal (e-mailexports, DLP-opnamen) en, indien gerechtvaardigd, opschorting van het account en escalatie naar HR of de politie. UEBA-risicoscores kunnen ook worden geïntegreerd met Conditional Access om automatisch sterkere authenticatie te vereisen wanneer de score van een gebruiker een drempel overschrijdt.

In deze les heb je geleerd dat UEBA gedragsbaselines opbouwt voor gebruikers en entiteiten om afwijkende activiteiten zonder bekende signatures te detecteren, dat aggregatie van risicoscores zwakke signalen combineert tot zeer betrouwbare waarschuwingen voor bedreigingen van binnenuit, en dat vergelijking met vergelijkingsgroepen en ML-modellen rolspecifiek misbruik detecteren dat absolute drempels missen. Hierna behandelen we invoervalidatie en uitvoercodering — veilige codeerpraktijken die injectiekwetsbaarheden voorkomen.