UEBA i analiza behawioralna zagrożeń wewnętrznych

User and Entity Behavior Analytics (UEBA) to podejście do analizy bezpieczeństwa, które tworzy bazowe profile zachowań użytkowników i jednostek (punktów końcowych, serwerów oraz aplikacji), a następnie wykorzystuje modele statystyczne i uczenie maszynowe do wykrywania anomalii. W przeciwieństwie do wykrywania opartego na regułach UEBA może wykrywać zagrożenia, które nie mają znanej sygnatury — atakujących korzystających z legalnych narzędzi, pracowników nadużywających uprawnień oraz przejęte konta działające zgodnie z zasadami, lecz poza typowymi wzorcami zachowania.

Skuteczność UEBA zależy od dokładnych bazowych profili zachowań. W przypadku użytkowników atrybuty profilu bazowego obejmują: typowe godziny logowania, zwykle używane lokalizacje źródłowe, regularnie używane urządzenia, typową wielkość uzyskiwanego dostępu do danych oraz często używane aplikacje. W przypadku jednostek profile bazowe obejmują: normalne wzorce ruchu sieciowego, zakres dostępu standardowych kont usług oraz typowe zachowania procesów. Systemy UEBA zazwyczaj obserwują środowisko przez 2–4 tygodnie, zanim zaczną generować wiarygodne oceny anomalii.

Platformy UEBA przypisują oceny ryzyka poszczególnym anomaliom zachowania i agregują je w czasie. Pojedyncze logowanie późno w nocy może otrzymać ocenę niskiego ryzyka. W połączeniu z nietypowym pobraniem danych, dostępem do poufnych plików działu HR, do których użytkownik wcześniej nigdy nie uzyskiwał dostępu, oraz użyciem nowego urządzenia zagregowana ocena ryzyka gwałtownie wzrasta do poziomu wysokiego. Takie podejście do agregowania wykrywa subtelne zagrożenia wewnętrzne, których nie zasygnalizowałoby żadne pojedyncze zdarzenie.

UEBA jest szczególnie skuteczne w wykrywaniu zagrożeń wewnętrznych, które dzielą się na kilka kategorii. Umyślni sprawcy wewnętrzni celowo kradną dane lub dokonują sabotażu dla osobistych korzyści albo w ramach szpiegostwa. Niedbali użytkownicy wewnętrzni przypadkowo ujawniają dane wskutek niewłaściwych praktyk (wysyłania poufnych plików na prywatne konta, używania słabych haseł). Przejęci użytkownicy wewnętrzni to prawidłowi użytkownicy, których konta zostały przejęte przez zewnętrznych atakujących, a następnie wykorzystywane z użyciem uprawnień i typowych wzorców zachowania tych użytkowników.

UEBA wykrywa typowe zachowania związane z eksfiltracją danych, monitorując wzorce dostępu i transferu. Wskaźniki obejmują: uzyskiwanie przez użytkowników dostępu do dużej liczby dokumentów wykraczających poza ich zwykły zakres, masowe pobieranie plików z SharePoint lub OneDrive, drukowanie dużych ilości poufnych dokumentów, przesyłanie plików do prywatnej chmury (Dropbox, Google Drive) lub wysyłanie ich na prywatne adresy e-mail. UEBA koreluje te zachowania w czasie, aby stworzyć obraz celowej eksfiltracji.

Gdy atakujący kradnie prawidłowe poświadczenia użytkownika, działa pod jego tożsamością, omijając monitorowanie uwierzytelniania oparte na regułach. UEBA wykrywa takie scenariusze przejęcia konta na podstawie niespójności zachowania: konto nagle loguje się z nowego kraju, korzysta z wcześniej niewidzianego urządzenia, uzyskuje dostęp do zasobów wykraczających poza zwykły zakres użytkownika albo wykazuje niemożliwe przemieszczanie się (uwierzytelnienie w Nowym Jorku, a następnie w Tokio 30 minut później). Takie zmiany zachowania są niewidoczne dla narzędzi opartych na sygnaturach, ale wyraźnie widoczne dla bazowych profili UEBA.

UEBA wykracza poza monitorowanie użytkowników i obejmuje również jednostki — serwery, aplikacje oraz konta usług. Konta usług są cennymi celami, ponieważ często mają szerokie uprawnienia, a ich aktywność rzadko jest przeglądana. UEBA tworzy profil typowego działania każdego konta usługi: serwerów, do których uzyskuje dostęp, godzin uruchamiania oraz procesów, które tworzy. Odchylenia — na przykład sytuacja, w której konto usługi bazy danych nagle wysyła zapytania do serwera uwierzytelniania — wskazują na potencjalne poruszanie się w poprzek sieci z użyciem skradzionych danych konta usługi.

Platformy UEBA pobierają dane z szerokiego zakresu źródeł, aby tworzyć kompletne profile zachowań. Do kluczowych źródeł należą: logi tożsamości i uwierzytelniania (Active Directory, Okta), telemetria punktów końcowych (tworzenie procesów, dostęp do plików), logi sieciowe (DNS, proxy, zapora sieciowa), rozwiązania DLP (monitorowanie poczty e-mail i plików w chmurze), systemy HR (rola, dział, daty rozwiązania umowy) oraz logi dostępu fizycznego (zdarzenia z czytników kart). Integracja danych HR umożliwia automatyczne objęcie podwyższonym monitoringiem pracowników podwyższonego ryzyka (osoby objęte PIP lub niedawno zwolnione).

Platformy UEBA wykorzystują kilka technik ML. Klasteryzacja nienadzorowana grupuje użytkowników o podobnych profilach zachowań i oznacza tych, którzy odbiegają od swojej grupy porównawczej. Wykrywanie anomalii w szeregach czasowych identyfikuje odchylenia od wzorców historycznych. Klasyfikacja nadzorowana (gdy dostępne są oznaczone dane dotyczące zagrożeń wewnętrznych) służy do trenowania modeli rozpoznających konkretne scenariusze zagrożeń. Większość systemów UEBA łączy wiele modeli, aby ograniczyć liczbę fałszywych alarmów wynikających z zastosowania tylko jednego podejścia.

Analiza grupy porównawczej zestawia zachowanie użytkownika z zachowaniem innych osób w tym samym dziale, na tym samym stanowisku lub w tym samym zespole. Jeśli każdy pracownik działu sprzedaży pobiera około 50 dokumentów dziennie, a jedna osoba pobiera ich 5000, takie odstępstwo uruchamia dochodzenie — nawet jeśli 5000 pobrań dziennie nie spowodowałoby alertu opartego na bezwzględnym progu. Porównywanie z grupą porównawczą wykrywa nadużycia związane z wolumenem właściwym dla danej roli, których nie wykrywają progi bezwzględne.

Gdy UEBA wygeneruje alert o wysokim ryzyku, proces reagowania zazwyczaj obejmuje: analizę przeprowadzoną przez analityka na podstawie osi czasu użytkownika (wszystkie anomalne zdarzenia w odpowiednim kontekście), konsultację z działem HR lub przełożonym (czy użytkownik jest objęty PIP? czy niedawno złożył wypowiedzenie?), ukierunkowane gromadzenie dowodów (eksporty wiadomości e-mail, przechwycone dane DLP), a w uzasadnionych przypadkach zawieszenie konta i eskalację do działu HR lub organów ścigania. Wyniki oceny ryzyka UEBA można również zintegrować z Conditional Access, aby automatycznie wymagać dodatkowego uwierzytelnienia, gdy wynik użytkownika przekroczy określony próg.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: UEBA tworzy bazowe profile zachowań użytkowników i jednostek, aby wykrywać anomalne działania bez znanych sygnatur; agregowanie wyników oceny ryzyka łączy słabe sygnały w alerty o wysokiej wiarygodności dotyczące zagrożeń wewnętrznych; a porównywanie z grupą porównawczą i modele ML wykrywają nadużycia charakterystyczne dla danej roli, których nie wychwytują progi bezwzględne. W następnej części omówimy walidację danych wejściowych i kodowanie danych wyjściowych — praktyki bezpiecznego programowania, które zapobiegają podatnościom na ataki typu injection.