UEBA และการวิเคราะห์พฤติกรรมเพื่อรับมือภัยคุกคามภายใน

การวิเคราะห์พฤติกรรมผู้ใช้และเอนทิตี (UEBA) เป็นแนวทางการวิเคราะห์ความปลอดภัยที่สร้างค่าพื้นฐานด้านพฤติกรรมของผู้ใช้และเอนทิตี เช่น อุปกรณ์ปลายทาง เซิร์ฟเวอร์ และแอปพลิเคชัน แล้วใช้แบบจำลองทางสถิติและการเรียนรู้ของเครื่องเพื่อตรวจจับพฤติกรรมผิดปกติ ต่างจากการตรวจจับตามกฎ UEBA สามารถจับภัยคุกคามที่ไม่มีรูปแบบลายเซ็นที่รู้จักได้ เช่น ผู้โจมตีที่ใช้เครื่องมือถูกต้องตามปกติ คนในที่ใช้สิทธิ์ในทางที่ผิด และบัญชีที่ถูกเจาะซึ่งทำงานอยู่ภายใต้นโยบาย แต่มีรูปแบบพฤติกรรมนอกเหนือจากปกติ

ประสิทธิผลของ UEBA ขึ้นอยู่กับ ค่าพื้นฐานด้านพฤติกรรม ที่ถูกต้อง สำหรับผู้ใช้ คุณลักษณะพื้นฐานได้แก่ ชั่วโมงเข้าสู่ระบบโดยทั่วไป ตำแหน่งต้นทางที่ใช้เป็นประจำ อุปกรณ์ที่ใช้บ่อย ปริมาณการเข้าถึงข้อมูลโดยทั่วไป และการใช้แอปพลิเคชันที่เกิดขึ้นบ่อย สำหรับเอนทิตี ค่าพื้นฐานได้แก่ รูปแบบการรับส่งข้อมูลเครือข่ายตามปกติ ขอบเขตการเข้าถึงของบัญชีบริการมาตรฐาน และพฤติกรรมของกระบวนการตามปกติ โดยทั่วไป ระบบ UEBA จะเฝ้าสังเกตสภาพแวดล้อมเป็นเวลา 2–4 สัปดาห์ก่อนสร้างคะแนนความผิดปกติที่เชื่อถือได้

แพลตฟอร์ม UEBA จะกำหนด คะแนนความเสี่ยง ให้กับความผิดปกติด้านพฤติกรรมแต่ละรายการ และรวมคะแนนเมื่อเวลาผ่านไป การเข้าสู่ระบบตอนดึกเพียงครั้งเดียวอาจมีความเสี่ยงต่ำ แต่หากเกิดร่วมกับการดาวน์โหลดข้อมูลที่ผิดปกติ การเข้าถึงไฟล์ฝ่ายบุคคลที่ละเอียดอ่อนซึ่งผู้ใช้ไม่เคยเข้าถึงมาก่อน และการใช้อุปกรณ์ใหม่ คะแนนความเสี่ยงรวมจะพุ่งเข้าสู่ระดับสูง แนวทางการรวมคะแนนนี้ช่วยจับภัยคุกคามจากคนในที่แฝงอยู่ ซึ่งเหตุการณ์ใดเหตุการณ์หนึ่งเพียงลำพังอาจไม่ทำให้เกิดการแจ้งเตือน

UEBA มีประสิทธิภาพเป็นพิเศษในการรับมือภัยคุกคามจากคนใน ซึ่งแบ่งได้หลายประเภท คนในที่มีเจตนาร้าย จงใจขโมยหรือทำลายข้อมูลเพื่อผลประโยชน์ส่วนตัวหรือการจารกรรม คนในที่ประมาทเลินเล่อ เปิดเผยข้อมูลโดยไม่ตั้งใจเนื่องจากแนวปฏิบัติที่ไม่ดี เช่น ส่งไฟล์ละเอียดอ่อนไปยังบัญชีส่วนตัวทางอีเมลหรือใช้รหัสผ่านที่เดาง่าย คนในที่ถูกเจาะ คือผู้ใช้ที่ถูกต้องตามปกติซึ่งบัญชีถูกผู้โจมตีภายนอกยึดครอง แล้วผู้โจมตีใช้สิทธิ์การเข้าถึงและความน่าเชื่อถือด้านพฤติกรรมของผู้ใช้นั้น

UEBA ตรวจจับ พฤติกรรมการลักลอบนำข้อมูลออก ที่พบได้ทั่วไปโดยติดตามรูปแบบการเข้าถึงและการถ่ายโอนข้อมูล ตัวบ่งชี้ได้แก่ ผู้ใช้เข้าถึงเอกสารจำนวนมากนอกขอบเขตปกติของตน ดาวน์โหลดไฟล์เป็นจำนวนมาก จาก SharePoint หรือ OneDrive พิมพ์เอกสารละเอียดอ่อนจำนวนมาก อัปโหลดไปยัง พื้นที่จัดเก็บข้อมูลบนคลาวด์ส่วนตัว เช่น Dropbox หรือ Google Drive หรือส่งไฟล์ไปยัง ที่อยู่อีเมลส่วนตัว UEBA จะเชื่อมโยงพฤติกรรมเหล่านี้ข้ามช่วงเวลาเพื่อสร้างภาพรวมของการลักลอบนำข้อมูลออกโดยเจตนา

เมื่อผู้โจมตีขโมยข้อมูลประจำตัวที่ถูกต้องของผู้ใช้ ผู้โจมตีจะทำงานภายใต้ตัวตนของเหยื่อ ทำให้การตรวจสอบการยืนยันตัวตนตามกฎรับมือได้ยาก UEBA ตรวจจับ สถานการณ์บัญชีที่ถูกเจาะ ผ่านความไม่สอดคล้องด้านพฤติกรรม เช่น บัญชีเข้าสู่ระบบจากประเทศใหม่กะทันหัน ใช้อุปกรณ์ที่ไม่เคยพบมาก่อน เข้าถึงทรัพยากรนอกขอบเขตปกติของผู้ใช้ หรือแสดง การเดินทางที่เป็นไปไม่ได้ เช่น ยืนยันตัวตนที่นิวยอร์ก แล้วไปโตเกียวในอีก 30 นาทีต่อมา การเปลี่ยนแปลงด้านพฤติกรรมเหล่านี้มองไม่เห็นด้วยเครื่องมือที่อาศัยลายเซ็น แต่เห็นได้ชัดจากค่าพื้นฐานของ UEBA

UEBA ขยายการตรวจสอบจากผู้ใช้ไปยัง เอนทิตี ได้แก่ เซิร์ฟเวอร์ แอปพลิเคชัน และบัญชีบริการ บัญชีบริการเป็นเป้าหมายที่มีมูลค่าสูง เพราะมักมีสิทธิ์กว้างขวางและแทบไม่ได้รับการตรวจสอบกิจกรรม UEBA จะสร้างค่าพื้นฐานว่าบัญชีบริการแต่ละบัญชีทำอะไรตามปกติบ้าง เช่น เข้าถึงเซิร์ฟเวอร์ใด ทำงานเวลาใด และเรียกใช้กระบวนการใด การเบี่ยงเบน เช่น บัญชีบริการฐานข้อมูลเริ่มสอบถามเซิร์ฟเวอร์ตรวจสอบสิทธิ์กะทันหัน บ่งชี้ความเป็นไปได้ของการเคลื่อนที่ด้านข้างโดยใช้ข้อมูลประจำตัวของบัญชีบริการที่ถูกขโมย

แพลตฟอร์ม UEBA นำเข้าข้อมูลจากแหล่งต่าง ๆ อย่างหลากหลายเพื่อสร้างโปรไฟล์พฤติกรรมที่ครบถ้วน แหล่งข้อมูลสำคัญ ได้แก่ บันทึกข้อมูลประจำตัวและการตรวจสอบสิทธิ์ (Active Directory, Okta), ข้อมูลการทำงานของปลายทาง (การสร้างกระบวนการ การเข้าถึงไฟล์), บันทึกเครือข่าย (DNS, พร็อกซี ไฟร์วอลล์), โซลูชัน DLP (การตรวจสอบอีเมลและไฟล์บนคลาวด์), ระบบ HR (บทบาท แผนก วันที่สิ้นสุดการจ้างงาน) และ บันทึกการเข้าถึงสถานที่จริง (เหตุการณ์จากเครื่องอ่านบัตร) การผสานรวมข้อมูล HR ช่วยให้สามารถเพิ่มระดับการตรวจสอบพนักงานที่มีความเสี่ยงโดยอัตโนมัติ (ผู้ที่อยู่ใน PIP หรือเพิ่งสิ้นสุดการจ้างงาน)

แพลตฟอร์ม UEBA ใช้เทคนิค ML หลายรูปแบบ การจัดกลุ่มแบบไม่มีผู้สอน จัดกลุ่มผู้ใช้ที่มีโปรไฟล์พฤติกรรมคล้ายกัน และระบุผู้ที่มีพฤติกรรมนอกกลุ่มเพื่อนร่วมงานของตน การตรวจจับความผิดปกติของอนุกรมเวลา ระบุความเบี่ยงเบนจากรูปแบบในอดีต การจำแนกประเภทแบบมีผู้สอน (เมื่อมีข้อมูลภัยคุกคามจากบุคคลภายในที่ติดป้ายกำกับ) ฝึกโมเดลให้รู้จำสถานการณ์ภัยคุกคามเฉพาะ ระบบ UEBA ส่วนใหญ่ผสานหลายโมเดลเข้าด้วยกันเพื่อลดผลบวกลวงจากแนวทางใดแนวทางหนึ่งเพียงอย่างเดียว

การวิเคราะห์กลุ่มเพื่อนร่วมงาน เปรียบเทียบพฤติกรรมของผู้ใช้กับบุคคลอื่นในแผนก บทบาท หรือทีมเดียวกัน หากพนักงานฝ่ายขายทุกคนดาวน์โหลดเอกสารประมาณ 50 รายการต่อวัน แต่มีคนหนึ่งดาวน์โหลดถึง 5,000 รายการ พฤติกรรมที่ผิดไปจากกลุ่มนี้จะกระตุ้นให้ตรวจสอบ แม้ว่าการดาวน์โหลด 5,000 รายการต่อวันจะไม่ทำให้เกิดการแจ้งเตือนจากเกณฑ์สัมบูรณ์ก็ตาม การเปรียบเทียบกับกลุ่มเพื่อนร่วมงานช่วยตรวจจับการใช้ปริมาณงานในทางที่ไม่เหมาะสมซึ่งสอดคล้องกับบทบาท แต่เกณฑ์สัมบูรณ์ตรวจไม่พบ

เมื่อ UEBA สร้างการแจ้งเตือนความเสี่ยงสูง ขั้นตอนการตอบสนองโดยทั่วไปจะประกอบด้วย: การตรวจสอบโดยนักวิเคราะห์ ไทม์ไลน์ของผู้ใช้ (เหตุการณ์ผิดปกติทั้งหมดตามบริบท), การปรึกษา HR หรือ Manager (ผู้ใช้อยู่ใน PIP หรือเพิ่งแจ้งลาออกหรือไม่), การรวบรวมหลักฐานแบบเจาะจง (การส่งออกอีเมล ข้อมูลที่ DLP บันทึกไว้) และหากเห็นสมควร การระงับบัญชี และการส่งต่อให้ HR หรือหน่วยงานบังคับใช้กฎหมาย นอกจากนี้ คะแนนความเสี่ยงของ UEBA ยังสามารถผสานรวมกับ Conditional Access เพื่อกำหนดให้ต้องยืนยันตัวตนเพิ่มเติมโดยอัตโนมัติเมื่อคะแนนของผู้ใช้เกินเกณฑ์

ในบทเรียนนี้ คุณได้เรียนรู้ว่า UEBA สร้างค่าพื้นฐานด้านพฤติกรรม สำหรับผู้ใช้และเอนทิตีเพื่อช่วยตรวจจับกิจกรรมผิดปกติโดยไม่ต้องอาศัยลายเซ็นที่รู้จัก การรวมคะแนนความเสี่ยง ผสานสัญญาณอ่อนหลายรายการให้เป็นการแจ้งเตือนภัยคุกคามจากบุคคลภายในที่มีความมั่นใจสูง และ การเปรียบเทียบกลุ่มเพื่อนร่วมงานกับโมเดล ML ช่วยตรวจจับการใช้งานในทางที่ไม่เหมาะสมเฉพาะบทบาทซึ่งเกณฑ์สัมบูรณ์ตรวจไม่พบ บทถัดไปจะกล่าวถึงการตรวจสอบความถูกต้องของข้อมูลนำเข้าและการเข้ารหัสข้อมูลส่งออก ซึ่งเป็นแนวทางการเขียนโค้ดอย่างปลอดภัยที่ช่วยป้องกันช่องโหว่การแทรกคำสั่ง