Днес ще предоставим кратък преглед на пазара за анализ на поведението на потребителите и субектите (UEBA) въз основа на най-новите Изследване на Gartner. Пазарът на UEBA е в дъното на „етапа на разочарование“ според Gartner Hype Cycle for Threat-Facing Technologies, което показва зрелостта на технологията. Но парадоксът на ситуацията се крие в едновременното общо нарастване на инвестициите в технологиите на UEBA и изчезващия пазар на независими решения на UEBA. Gartner прогнозира, че UEBA ще стане част от функционалността на свързаните решения за информационна сигурност. Терминът „UEBA“ вероятно ще излезе от употреба и ще бъде заменен от друг акроним, фокусиран върху по-тясна област на приложение (напр. „анализ на поведението на потребителите“), подобна област на приложение (напр. „анализ на данни“) или просто ще се превърне в нова модна дума (например терминът "изкуствен интелект" [AI] изглежда интересен, въпреки че няма никакъв смисъл за съвременните производители на UEBA).

Основните констатации от проучването на Gartner могат да бъдат обобщени, както следва:

• Зрелостта на пазара за поведенчески анализи на потребители и субекти се потвърждава от факта, че тези технологии се използват от средния и голям корпоративен сегмент за решаване на редица бизнес проблеми;
• Възможностите за анализ на UEBA са вградени в широк набор от свързани технологии за информационна сигурност, като брокери за сигурност на достъпа до облака (CASB), SIEM системи за управление и администриране на идентичността (IGA);
• Шумът около доставчиците на UEBA и неправилното използване на термина „изкуствен интелект“ затруднява клиентите да разберат реалната разлика между технологиите на производителите и функционалността на решенията, без да провеждат пилотен проект;
• Клиентите отбелязват, че времето за внедряване и ежедневното използване на решенията на UEBA може да бъде по-трудоемко и по-отнемащо време от обещанията на производителя, дори когато се вземат предвид само основни модели за откриване на заплахи. Добавянето на потребителски или периферни случаи на използване може да бъде изключително трудно и изисква опит в областта на науката и анализа на данните.

Стратегическа прогноза за развитие на пазара:

• До 2021 г. пазарът на системи за анализ на поведението на потребителите и субектите (UEBA) ще престане да съществува като отделна област и ще се насочи към други решения с функционалност на UEBA;
• До 2020 г. 95% от всички внедрявания на UEBA ще бъдат част от по-широка платформа за сигурност.

Дефиниция на решенията на UEBA

Решенията на UEBA използват вградени анализи за оценка на активността на потребителите и други субекти (като хостове, приложения, мрежов трафик и хранилища на данни).
Те откриват заплахи и потенциални инциденти, обикновено представляващи аномална дейност в сравнение със стандартния профил и поведение на потребители и субекти в подобни групи за определен период от време.

Най-честите случаи на употреба в корпоративния сегмент са откриване и отговор на заплахи, както и откриване и отговор на вътрешни заплахи (предимно компрометирани вътрешни лица; понякога вътрешни нападатели).

УЕБА е като решениеИ функция, вграден в конкретен инструмент:

• Решението са производители на „чисти“ UEBA платформи, включително доставчици, които също продават SIEM решения отделно. Фокусиран върху широк спектър от бизнес проблеми в поведенческия анализ както на потребители, така и на субекти.
• Вградени – производители/подразделения, които интегрират функции и технологии на UEBA в своите решения. Обикновено се фокусира върху по-специфичен набор от бизнес проблеми. В този случай UEBA се използва за анализиране на поведението на потребители и/или субекти.

Gartner разглежда UEBA по три оси, включително решения за проблеми, анализи и източници на данни (вижте фигурата).

„Чисти“ UEBA платформи срещу вградена UEBA

Gartner счита „чистата“ платформа на UEBA за решения, които:

• решаване на няколко специфични проблема, като наблюдение на привилегировани потребители или извеждане на данни извън организацията, а не само абстрактното „наблюдение на аномална потребителска активност“;
• включват използването на сложни анализи, задължително базирани на основни аналитични подходи;
• предоставят няколко опции за събиране на данни, включително както вградени механизми за източник на данни, така и от инструменти за управление на регистрационни файлове, Data lake и/или SIEM системи, без задължителната необходимост от разполагане на отделни агенти в инфраструктурата;
• могат да бъдат закупени и внедрени като самостоятелни решения, а не включени в тях
  състав на други продукти.

Таблицата по-долу сравнява двата подхода.

Таблица 1. „Чисти“ решения на UEBA срещу вградени

Категория	„Чисти“ UEBA платформи	Други решения с вграден UEBA
Проблем за разрешаване	Анализ на потребителското поведение и обекти.	Липсата на данни може да ограничи UEBA да анализира поведението само на потребители или субекти.
Проблем за разрешаване	Служи за решаване на широк кръг от проблеми	Специализира в ограничен набор от задачи
Анализ	Откриване на аномалии чрез различни аналитични методи - главно чрез статистически модели и машинно обучение, заедно с правила и сигнатури. Предлага се с вградени анализи за създаване и сравняване на активността на потребители и субекти с техните профили и профили на колеги.	Подобно на чистата UEBA, но анализът може да бъде ограничен само до потребители и/или субекти.
Анализ	Разширени аналитични възможности, които не са ограничени само от правила. Например алгоритъм за групиране с динамично групиране на обекти.	Подобно на „чистата“ UEBA, но групирането на обекти в някои вградени модели на заплахи може да се променя само ръчно.
Анализ	Корелация на дейността и поведението на потребители и други субекти (например използване на байесови мрежи) и обобщаване на индивидуалното рисково поведение с цел идентифициране на аномална дейност.	Подобно на чистата UEBA, но анализът може да бъде ограничен само до потребители и/или субекти.
Източници на данни	Получаване на събития за потребители и обекти от източници на данни директно чрез вградени механизми или съществуващи хранилища на данни, като SIEM или Data lake.	Механизмите за получаване на данни обикновено са само преки и засягат само потребители и/или други субекти. Не използвайте инструменти за управление на журнали / SIEM / Data lake.
Източници на данни	Решението не трябва да разчита само на мрежовия трафик като основен източник на данни, нито трябва да разчита единствено на собствените си агенти за събиране на телеметрия.	Решението може да се фокусира само върху мрежовия трафик (например NTA - анализ на мрежовия трафик) и/или да използва своите агенти на крайни устройства (например помощни програми за наблюдение на служители).
Източници на данни	Насищане на потребителски/субектни данни с контекст. Поддържа събирането на структурирани събития в реално време, както и структурирани/неструктурирани сплотени данни от ИТ директории - например Active Directory (AD) или други машинночетими информационни ресурси (например HR бази данни).	Подобно на чистата UEBA, но обхватът на контекстните данни може да се различава в зависимост от случая. AD и LDAP са най-често срещаните хранилища за контекстни данни, използвани от вградените решения на UEBA.
наличност	Предоставя изброените функции като самостоятелен продукт.	Невъзможно е да закупите вградена функционалност на UEBA, без да закупите външно решение, в което е вградена.
Източник: Gartner (май 2019 г.)

По този начин, за решаване на определени проблеми, вградената UEBA може да използва основни UEBA анализи (например просто неконтролирано машинно обучение), но в същото време, поради достъпа до точно необходимите данни, може да бъде като цяло по-ефективна от „чистата“ Решение на UEBA. В същото време „чистите“ платформи на UEBA, както се очаква, предлагат по-сложни анализи като основно ноу-хау в сравнение с вградения инструмент на UEBA. Тези резултати са обобщени в таблица 2.

Таблица 2. Резултатът от разликите между „чист“ и вграден UEBA

Категория	„Чисти“ UEBA платформи	Други решения с вграден UEBA
Анализ	Приложимостта за решаване на различни бизнес проблеми предполага по-универсален набор от функции на UEBA с акцент върху по-сложни модели за анализ и машинно обучение.	Фокусирането върху по-малък набор от бизнес проблеми означава силно специализирани функции, които се фокусират върху специфични за приложението модели с по-проста логика.
Анализ	Персонализирането на аналитичния модел е необходимо за всеки сценарий на приложение.	Аналитичните модели са предварително конфигурирани за инструмента, в който е вграден UEBA. Инструмент с вграден UEBA по принцип постига по-бързи резултати при решаването на определени бизнес проблеми.
Източници на данни	Достъп до източници на данни от всички ъгли на корпоративната инфраструктура.	По-малко източници на данни, обикновено ограничени от наличието на агенти за тях или самия инструмент с функции на UEBA.
Източници на данни	Информацията, съдържаща се във всеки дневник, може да бъде ограничена от източника на данни и може да не съдържа всички необходими данни за централизирания инструмент на UEBA.	Количеството и детайлите на необработените данни, събрани от агента и предадени на UEBA, могат да бъдат специално конфигурирани.
архитектура	Това е цялостен продукт на UEBA за организация. Интегрирането е по-лесно с помощта на възможностите на SIEM система или Data lake.	Изисква отделен набор от функции на UEBA за всяко от решенията, които имат вграден UEBA. Вградените решения на UEBA често изискват инсталиране на агенти и управление на данни.
интеграция	Ръчно интегриране на решението на UEBA с други инструменти във всеки случай. Позволява на организацията да изгради своя технологичен стек въз основа на подхода „най-добрият сред аналозите“.	Основните пакети от функции на UEBA вече са включени в самия инструмент от производителя. Модулът UEBA е вграден и не се премахва, така че клиентите не могат да го заменят с нещо свое.
Източник: Gartner (май 2019 г.)

УЕБА като функция

UEBA се превръща в характеристика на решенията за киберсигурност от край до край, които могат да се възползват от допълнителни анализи. UEBA е в основата на тези решения, предоставяйки мощен слой от усъвършенствани анализи, базирани на модели на поведение на потребителите и/или лицата.

В момента на пазара вградената UEBA функционалност е реализирана в следните решения, групирани по технологичен обхват:

• Одит и защита, фокусирани върху данните, са доставчици, които са фокусирани върху подобряването на сигурността на структурирано и неструктурирано съхранение на данни (известен още като DCAP).

  В тази категория доставчици Gartner отбелязва, наред с други неща, Платформа за киберсигурност Varonis, който предлага анализ на поведението на потребителите за наблюдение на промените в разрешенията за неструктурирани данни, достъпа и използването в различни хранилища на информация.

• CASB системи, предлагащ защита срещу различни заплахи в облачно базирани SaaS приложения чрез блокиране на достъпа до облачни услуги за нежелани устройства, потребители и версии на приложения с помощта на адаптивна система за контрол на достъпа.

  Всички водещи на пазара CASB решения включват възможности на UEBA.

• DLP решения – фокусирани върху откриване на трансфер на критични данни извън организацията или злоупотреба с тях.

  Напредъкът на DLP до голяма степен се основава на разбирането на съдържанието, с по-малко внимание върху разбирането на контекста като потребител, приложение, местоположение, време, скорост на събитията и други външни фактори. За да бъдат ефективни, DLP продуктите трябва да разпознават както съдържание, така и контекст. Ето защо много производители започват да интегрират функционалността на UEBA в своите решения.

• Мониторинг на служителите е способността да се записват и възпроизвеждат действията на служителите, обикновено във формат на данни, подходящ за съдебни процедури (ако е необходимо).

  Постоянното наблюдение на потребителите често генерира огромно количество данни, което изисква ръчно филтриране и човешки анализ. Следователно UEBA се използва в системите за наблюдение, за да подобри ефективността на тези решения и да открива само високорискови инциденти.

• Сигурност на крайната точка – Решенията за откриване и реагиране на крайни точки (EDR) и платформите за защита на крайни точки (EPP) осигуряват мощно оборудване и телеметрия на операционната система за
  крайни устройства.

  Такава свързана с потребителя телеметрия може да бъде анализирана, за да осигури вградена функционалност на UEBA.

• Онлайн измама – Решенията за откриване на онлайн измами откриват девиантна дейност, която показва компрометиране на акаунта на клиент чрез измама, злонамерен софтуер или използване на незащитени връзки/прихващане на трафик на браузър.

  Повечето решения за измами използват същността на UEBA, анализ на транзакции и измерване на устройства, като по-усъвършенствани системи ги допълват чрез съпоставяне на връзки в базата данни за самоличност.

• IAM и контрол на достъпа – Gartner отбелязва еволюционна тенденция сред доставчиците на системи за контрол на достъпа да се интегрират с чисти доставчици и да вграждат някои функции на UEBA в техните продукти.
• IAM и системи за управление и администриране на идентичност (IGA). използвайте UEBA за покриване на сценарии за анализ на поведението и самоличността, като откриване на аномалии, анализ на динамично групиране на подобни обекти, анализ на влизане и анализ на политики за достъп.
• IAM и управление на привилегирован достъп (PAM) – Поради ролята на наблюдение на използването на административни акаунти, PAM решенията имат телеметрия, за да покажат как, защо, кога и къде са използвани административни акаунти. Тези данни могат да бъдат анализирани с помощта на вградената функционалност на UEBA за наличие на аномално поведение на администраторите или злонамерени намерения.
• NTA на производителите (анализ на мрежовия трафик) – използвайте комбинация от машинно обучение, усъвършенствани анализи и базирано на правила откриване, за да идентифицирате подозрителна дейност в корпоративните мрежи.

  Инструментите на NTA непрекъснато анализират изходния трафик и/или записите на потока (напр. NetFlow), за да изградят модели, които отразяват нормалното поведение на мрежата, като се фокусират основно върху анализа на поведението на обекта.

• Сием – много доставчици на SIEM вече имат разширена функционалност за анализ на данни, вградена в SIEM или като отделен UEBA модул. През цялата 2018 г. и досега през 2019 г. имаше непрекъснато размиване на границите между функционалността на SIEM и UEBA, както се обсъжда в статията „Технологична информация за модерния SIEM“. Системите SIEM станаха по-добри в работата с анализи и предлагат по-сложни сценарии за приложения.

Сценарии за кандидатстване на UEBA

Решенията на UEBA могат да решат широк кръг от проблеми. Клиентите на Gartner обаче са съгласни, че основният случай на употреба включва откриване на различни категории заплахи, постигнати чрез показване и анализиране на честите корелации между поведението на потребителите и други обекти:

• неоторизиран достъп и движение на данни;
• подозрително поведение на привилегировани потребители, злонамерена или неразрешена дейност на служители;
• нестандартен достъп и използване на облачни ресурси;
• и др.

Съществуват и редица нетипични случаи на използване, които не са свързани с киберсигурността, като измама или наблюдение на служители, за които UEBA може да бъде оправдано. Те обаче често изискват източници на данни извън ИТ и информационната сигурност или специфични аналитични модели с дълбоко разбиране на тази област. Петте основни сценария и приложения, за които производителите на UEBA и техните клиенти са съгласни, са описани по-долу.

„Злонамерен вътрешен човек“

Доставчиците на решения на UEBA, които покриват този сценарий, наблюдават само служители и доверени изпълнители за необичайно, „лошо“ или злонамерено поведение. Доставчиците в тази област на експертиза не наблюдават или анализират поведението на акаунти за услуги или други нечовешки субекти. До голяма степен поради това те не са фокусирани върху откриването на напреднали заплахи, при които хакерите поемат съществуващи акаунти. Вместо това те са насочени към идентифициране на служители, участващи във вредни дейности.

По същество концепцията за „злонамерен вътрешен човек“ произтича от доверени потребители със злонамерени намерения, които търсят начини да причинят щети на своя работодател. Тъй като злонамереното намерение е трудно за измерване, най-добрите доставчици в тази категория анализират данни за контекстно поведение, които не са лесно достъпни в журналите за проверка.

Доставчиците на решения в това пространство също оптимално добавят и анализират неструктурирани данни, като съдържание на имейли, отчети за продуктивност или информация от социални медии, за да осигурят контекст за поведение.

Компрометирани вътрешни и натрапчиви заплахи

Предизвикателството е бързо да се открие и анализира „лошото“ поведение, след като нападателят получи достъп до организацията и започне да се движи в ИТ инфраструктурата.
Асертивните заплахи (APT), като неизвестни или все още неразбрани заплахи, са изключително трудни за откриване и често се крият зад легитимни потребителски дейности или акаунти за услуги. Такива заплахи обикновено имат сложен оперативен модел (вижте например статията „ Обръщане към Cyber ​​​​Kill Chain“) или тяхното поведение все още не е оценено като вредно. Това ги прави трудни за откриване с помощта на прости анализи (като съвпадение по шаблони, прагове или правила за корелация).

Много от тези натрапчиви заплахи обаче водят до нестандартно поведение, често включващо нищо неподозиращи потребители или субекти (известни още като компрометирани вътрешни лица). Техниките на UEBA предлагат няколко интересни възможности за откриване на такива заплахи, подобряване на съотношението сигнал/шум, консолидиране и намаляване на обема на известията, приоритизиране на оставащите сигнали и улесняване на ефективна реакция и разследване на инциденти.

Доставчиците на UEBA, насочени към тази проблемна област, често имат двупосочна интеграция със SIEM системите на организацията.

Ексфилтрация на данни

Задачата в този случай е да се открие фактът, че данните се прехвърлят извън организацията.
Доставчиците, фокусирани върху това предизвикателство, обикновено използват DLP или DAG възможности с откриване на аномалии и усъвършенствани анализи, като по този начин подобряват съотношението сигнал/шум, консолидират обема на известията и приоритизират оставащите тригери. За допълнителен контекст доставчиците обикновено разчитат в по-голяма степен на мрежов трафик (като уеб прокси сървъри) и данни за крайни точки, тъй като анализът на тези източници на данни може да помогне при разследвания за кражба на данни.

Откриването на ексфилтриране на данни се използва за залавяне на вътрешни и външни хакери, заплашващи организацията.

Идентифициране и управление на привилегирован достъп

Производителите на независими решения на UEBA в тази област на експертиза наблюдават и анализират поведението на потребителите на фона на вече формирана система от права, за да идентифицират прекомерни привилегии или аномален достъп. Това се отнася за всички типове потребители и акаунти, включително привилегировани и сервизни акаунти. Организациите също използват UEBA, за да се отърват от пасивни акаунти и потребителски привилегии, които са по-високи от изискваните.

Приоритетизиране на инциденти

Целта на тази задача е да се приоритизират известията, генерирани от решения в техния технологичен стек, за да се разбере кои инциденти или потенциални инциденти трябва да бъдат разгледани първи. Методологиите и инструментите на UEBA са полезни при идентифицирането на инциденти, които са особено необичайни или особено опасни за дадена организация. В този случай механизмът на UEBA не само използва базовото ниво на активност и модели на заплахи, но също така насища данните с информация за организационната структура на компанията (например критични ресурси или роли и нива на достъп на служителите).

Проблеми при прилагането на решенията на UEBA

Пазарната болка на решенията на UEBA е тяхната висока цена, сложна реализация, поддръжка и използване. Докато компаниите се борят с броя на различните вътрешни портали, те получават друга конзола. Размерът на инвестицията на време и ресурси в нов инструмент зависи от предизвикателствата и типовете анализи, които са необходими за решаването им, и най-често изисква големи инвестиции.

Противно на това, което твърдят много производители, UEBA не е инструмент „настройте и забравете“, който след това може да работи непрекъснато дни наред.
Клиентите на Gartner, например, отбелязват, че са необходими от 3 до 6 месеца, за да се стартира инициатива на UEBA от нулата, за да се получат първите резултати от решаването на проблемите, за които е приложено това решение. За по-сложни задачи, като идентифициране на вътрешни заплахи в дадена организация, периодът се увеличава до 18 месеца.

Фактори, влияещи върху трудността при прилагането на UEBA и бъдещата ефективност на инструмента:

• Сложност на организационната архитектура, мрежова топология и политики за управление на данни
• Наличие на точните данни на правилното ниво на детайлност
• Сложността на алгоритмите за анализ на доставчика – например използването на статистически модели и машинно обучение срещу прости модели и правила.
• Количеството включени предварително конфигурирани анализи – т.е. разбирането на производителя какви данни трябва да бъдат събрани за всяка задача и какви променливи и атрибути са най-важни за извършване на анализа.
• Колко лесно е за производителя да се интегрира автоматично с необходимите данни.

  Например:

  • Ако решение на UEBA използва SIEM система като основен източник на своите данни, SIEM събира ли информация от необходимите източници на данни?
  • Могат ли необходимите регистрационни файлове за събития и данни за организационния контекст да бъдат насочени към решение на UEBA?
  • Ако системата SIEM все още не събира и контролира източниците на данни, необходими на решението на UEBA, тогава как могат да бъдат прехвърлени там?

• Колко важен е сценарият на приложение за организацията, колко източници на данни изисква и доколко тази задача се припокрива с областта на експертизата на производителя.
• Каква степен на организационна зрялост и участие се изисква – например създаване, развитие и усъвършенстване на правила и модели; присвояване на тегла на променливи за оценка; или коригиране на прага за оценка на риска.
• Колко мащабируеми са решението на доставчика и неговата архитектура в сравнение с текущия размер на организацията и нейните бъдещи изисквания.
• Време е за изграждане на основни модели, профили и ключови групи. Производителите често изискват поне 30 дни (а понякога и до 90 дни), за да извършат анализ, преди да могат да дефинират „нормални“ концепции. Еднократното зареждане на исторически данни може да ускори обучението на модела. Някои от интересните случаи могат да бъдат идентифицирани по-бързо с помощта на правила, отколкото с помощта на машинно обучение с невероятно малко количество първоначални данни.
• Нивото на усилие, необходимо за изграждане на динамично групиране и профилиране на акаунт (услуга/човек), може да варира значително между решенията.

Източник: www.habr.com