UEBA och beteendeanalys för insiderhot

UEBA-plattformar tilldelar riskpoäng till enskilda beteendeavvikelser och aggregerar dem över tid. En enstaka inloggning sent på kvällen kan ge låg risk. I kombination med en ovanlig nedladdning av data, åtkomst till känsliga HR-filer som användaren aldrig tidigare har öppnat och en ny enhet skjuter den aggregerade riskpoängen upp till en hög risknivå. Denna aggregeringsmetod upptäcker subtila insiderhot som ingen enskild händelse skulle ha flaggat.

UEBA är särskilt effektivt mot insiderhot, som kan delas in i flera kategorier. Skadliga insiders stjäl eller saboterar avsiktligt data för personlig vinning eller spionage. Oaktsamma insiders exponerar av misstag data genom bristande rutiner (skickar känsliga filer till privata konton eller använder svaga lösenord). Komprometterade insiders är legitima användare vars konton har tagits över av externa angripare, som därefter agerar med användarens åtkomsträttigheter och bakom dennes normala beteendemönster.

UEBA upptäcker vanliga beteenden vid dataexfiltrering genom att övervaka åtkomst- och överföringsmönster. Indikatorer omfattar användare som öppnar ett stort antal dokument utanför sitt normala åtkomstområde, massnedladdning av filer från SharePoint eller OneDrive, utskrift av stora mängder känsliga dokument, uppladdning till privat molnlagring (Dropbox eller Google Drive) eller att filer skickas till privata e-postadresser. UEBA korrelerar dessa beteenden över tid för att skapa en bild av avsiktlig exfiltrering.

När en angripare stjäl giltiga användarautentiseringsuppgifter agerar angriparen under offrets identitet, vilket kringgår regelbaserad övervakning av autentisering. UEBA upptäcker dessa scenarier med komprometterade konton genom beteendeinkonsekvens: kontot loggar plötsligt in från ett nytt land, använder en enhet som aldrig tidigare har setts, öppnar resurser utanför användarens normala åtkomstområde eller uppvisar omöjlig resa (autentiserad i New York och sedan i Tokyo 30 minuter senare). Dessa beteendeförändringar är osynliga för signaturbaserade verktyg men tydliga i UEBA:s baslinjer.

UEBA omfattar mer än användare och övervakar även entiteter — servrar, applikationer och tjänstekonton. Tjänstekonton är värdefulla mål eftersom de ofta har omfattande behörigheter och deras aktivitet sällan granskas. UEBA skapar en baslinje för vad varje tjänstekonto normalt gör: vilka servrar det öppnar, när det körs och vilka processer det startar. Avvikelser — till exempel att ett databastjänstekonto plötsligt frågar en autentiseringsserver — tyder på möjlig lateral förflyttning med stulna autentiseringsuppgifter för tjänstekontot.

UEBA-plattformar samlar in ett brett urval av datakällor för att bygga kompletta beteendeprofiler. Viktiga källor är bland annat: identitets- och autentiseringsloggar (Active Directory, Okta), telemetri från slutpunkter (processkapande, filåtkomst), nätverksloggar (DNS, proxy, brandvägg), DLP-lösningar (övervakning av e-post och molnfiler), HR-system (roll, avdelning, datum för avslut), samt loggar över fysisk åtkomst (händelser från passerläsare). Genom att integrera HR-data kan man automatiskt införa förstärkt övervakning av riskutsatta medarbetare (personer som omfattas av en PIP eller nyligen har sagts upp).

UEBA-plattformar använder flera ML-tekniker. Oövervakad klustring grupperar användare med liknande beteendeprofiler och markerar dem som avviker från sin jämförelsegrupp. Anomalidetektering i tidsserier identifierar avvikelser från historiska mönster. Övervakad klassificering (när märkta data om insiderhot finns tillgängliga) tränar modeller att känna igen specifika hotscenarier. De flesta UEBA-system kombinerar flera modeller för att minska antalet falska positiva resultat från en enskild metod.

Analys av jämförelsegrupper jämför en användares beteende med beteendet hos andra i samma avdelning, roll eller team. Om alla säljare laddar ner ungefär 50 dokument per dag men en person laddar ner 5 000, utlöser detta avvikande beteende en utredning — även om 5 000 nedladdningar per dag inte skulle utlösa en varning baserad på ett absolut tröskelvärde. Jämförelser med andra i samma roll upptäcker volymmissbruk som är anpassat till rollen, men som absoluta tröskelvärden inte fångar upp.

När UEBA genererar en varning med hög risk omfattar arbetsflödet vanligtvis: analytikerns granskning av användarens tidslinje (alla avvikande händelser i sitt sammanhang), samråd med HR eller chef (omfattas användaren av en PIP? Har personen nyligen sagt upp sig?), riktad insamling av bevis (exporterade e-postmeddelanden, DLP-fångster) och, om det är motiverat, avstängning av kontot samt eskalering till HR eller brottsbekämpande myndigheter. UEBA:s riskpoäng kan även integreras med Conditional Access för att automatiskt kräva förstärkt autentisering när en användares poäng överskrider ett tröskelvärde.

I den här lektionen har ni lärt er att: UEBA bygger beteendebaslinjer för användare och entiteter för att upptäcka avvikande aktivitet utan kända signaturer, aggregering av riskpoäng kombinerar svaga signaler till varningar med hög tillförlitlighet om insiderhot, och jämförelser med jämförelsegrupper samt ML-modeller fångar upp rollspecifikt missbruk som absoluta tröskelvärden inte upptäcker. Härnäst utforskar vi indatavalidering och kodning av utdata — säkra kodningsmetoder som förhindrar injektionssårbarheter.