आज हम नवीनतम के आधार पर उपयोगकर्ता और इकाई व्यवहार विश्लेषण (यूईबीए) बाजार का एक संक्षिप्त अवलोकन प्रदान करेंगे। गार्टनर अनुसंधान. थ्रेट-फेसिंग टेक्नोलॉजीज के लिए गार्टनर हाइप साइकिल के अनुसार यूईबीए बाजार "मोहभंग चरण" के निचले स्तर पर है, जो प्रौद्योगिकी की परिपक्वता को दर्शाता है। लेकिन स्थिति का विरोधाभास यूईबीए प्रौद्योगिकियों में निवेश की एक साथ सामान्य वृद्धि और स्वतंत्र यूईबीए समाधानों के लुप्त होते बाजार में निहित है। गार्टनर का अनुमान है कि यूईबीए संबंधित सूचना सुरक्षा समाधानों की कार्यक्षमता का हिस्सा बन जाएगा। "यूईबीए" शब्द संभवतः उपयोग से बाहर हो जाएगा और इसे एक संकीर्ण अनुप्रयोग क्षेत्र (उदाहरण के लिए, "उपयोगकर्ता व्यवहार विश्लेषण"), एक समान अनुप्रयोग क्षेत्र (उदाहरण के लिए, "डेटा एनालिटिक्स") पर केंद्रित एक अन्य संक्षिप्त शब्द द्वारा प्रतिस्थापित किया जाएगा, या बस कुछ बन जाएगा। नया मूलमंत्र (उदाहरण के लिए, शब्द "कृत्रिम बुद्धिमत्ता" [एआई] दिलचस्प लगता है, हालांकि आधुनिक यूईबीए निर्माताओं के लिए इसका कोई मतलब नहीं है)।

गार्टनर अध्ययन के प्रमुख निष्कर्षों को इस प्रकार संक्षेप में प्रस्तुत किया जा सकता है:

• उपयोगकर्ताओं और संस्थाओं के व्यवहार विश्लेषण के लिए बाजार की परिपक्वता की पुष्टि इस तथ्य से होती है कि इन तकनीकों का उपयोग मध्यम और बड़े कॉर्पोरेट खंड द्वारा कई व्यावसायिक समस्याओं को हल करने के लिए किया जाता है;
• यूईबीए एनालिटिक्स क्षमताओं को संबंधित सूचना सुरक्षा प्रौद्योगिकियों की एक विस्तृत श्रृंखला में बनाया गया है, जैसे क्लाउड एक्सेस सुरक्षा ब्रोकर्स (सीएएसबी), पहचान शासन और प्रशासन (आईजीए) एसआईईएम सिस्टम;
• यूईबीए विक्रेताओं के बारे में प्रचार और "कृत्रिम बुद्धिमत्ता" शब्द का गलत उपयोग ग्राहकों के लिए पायलट प्रोजेक्ट के बिना निर्माताओं की प्रौद्योगिकियों और समाधानों की कार्यक्षमता के बीच वास्तविक अंतर को समझना मुश्किल बना देता है;
• ग्राहक ध्यान दें कि यूईबीए समाधानों का कार्यान्वयन समय और दिन-प्रतिदिन का उपयोग निर्माता के वादे से अधिक श्रम-गहन और समय लेने वाला हो सकता है, यहां तक ​​​​कि केवल बुनियादी खतरे का पता लगाने वाले मॉडल पर विचार करते समय भी। कस्टम या एज उपयोग के मामलों को जोड़ना बेहद कठिन हो सकता है और इसके लिए डेटा विज्ञान और एनालिटिक्स में विशेषज्ञता की आवश्यकता होती है।

रणनीतिक बाज़ार विकास पूर्वानुमान:

• 2021 तक, उपयोगकर्ता और इकाई व्यवहार विश्लेषण (यूईबीए) सिस्टम के लिए बाजार एक अलग क्षेत्र के रूप में अस्तित्व में नहीं रहेगा और यूईबीए कार्यक्षमता के साथ अन्य समाधानों की ओर स्थानांतरित हो जाएगा;
• 2020 तक, सभी यूईबीए तैनाती का 95% एक व्यापक सुरक्षा मंच का हिस्सा होगा।

यूईबीए समाधान की परिभाषा

यूईबीए समाधान उपयोगकर्ताओं और अन्य संस्थाओं (जैसे होस्ट, एप्लिकेशन, नेटवर्क ट्रैफ़िक और डेटा स्टोर) की गतिविधि का मूल्यांकन करने के लिए अंतर्निहित एनालिटिक्स का उपयोग करते हैं।
वे खतरों और संभावित घटनाओं का पता लगाते हैं, जो आमतौर पर समय की अवधि में समान समूहों में उपयोगकर्ताओं और संस्थाओं के मानक प्रोफ़ाइल और व्यवहार की तुलना में असामान्य गतिविधि का प्रतिनिधित्व करते हैं।

एंटरप्राइज़ सेगमेंट में सबसे आम उपयोग के मामले खतरे का पता लगाना और प्रतिक्रिया करना, साथ ही अंदरूनी खतरों (ज्यादातर समझौता किए गए अंदरूनी सूत्र; कभी-कभी आंतरिक हमलावर) का पता लगाना और प्रतिक्रिया देना है।

यूईबीए जैसा है निर्णयऔर функцией, एक विशिष्ट उपकरण में निर्मित:

• समाधान "शुद्ध" यूईबीए प्लेटफार्मों के निर्माता हैं, जिनमें वे विक्रेता भी शामिल हैं जो अलग से एसआईईएम समाधान भी बेचते हैं। उपयोगकर्ताओं और संस्थाओं दोनों के व्यवहार विश्लेषण में व्यावसायिक समस्याओं की एक विस्तृत श्रृंखला पर ध्यान केंद्रित किया गया।
• एंबेडेड - निर्माता/डिवीजन जो यूईबीए कार्यों और प्रौद्योगिकियों को अपने समाधान में एकीकृत करते हैं। आमतौर पर व्यावसायिक समस्याओं के अधिक विशिष्ट सेट पर ध्यान केंद्रित किया जाता है। इस मामले में, UEBA का उपयोग उपयोगकर्ताओं और/या संस्थाओं के व्यवहार का विश्लेषण करने के लिए किया जाता है।

गार्टनर यूईबीए को तीन अक्षों पर देखता है, जिसमें समस्या समाधानकर्ता, विश्लेषण और डेटा स्रोत शामिल हैं (आंकड़ा देखें)।

"शुद्ध" यूईबीए प्लेटफॉर्म बनाम अंतर्निहित यूईबीए

गार्टनर "शुद्ध" यूईबीए प्लेटफॉर्म को समाधान मानता है:

• कई विशिष्ट समस्याओं का समाधान करें, जैसे विशेषाधिकार प्राप्त उपयोगकर्ताओं की निगरानी करना या संगठन के बाहर डेटा आउटपुट करना, न कि केवल अमूर्त "विषम उपयोगकर्ता गतिविधि की निगरानी";
• आवश्यक रूप से बुनियादी विश्लेषणात्मक दृष्टिकोणों पर आधारित, जटिल विश्लेषण का उपयोग शामिल करें;
• डेटा संग्रह के लिए कई विकल्प प्रदान करें, जिसमें अंतर्निहित डेटा स्रोत तंत्र और लॉग प्रबंधन उपकरण, डेटा लेक और/या एसआईईएम सिस्टम दोनों शामिल हैं, बुनियादी ढांचे में अलग-अलग एजेंटों को तैनात करने की अनिवार्य आवश्यकता के बिना;
• इसे शामिल करने के बजाय स्टैंड-अलोन समाधान के रूप में खरीदा और तैनात किया जा सकता है
  अन्य उत्पादों की संरचना.

नीचे दी गई तालिका दोनों दृष्टिकोणों की तुलना करती है।

तालिका 1. "शुद्ध" यूईबीए समाधान बनाम अंतर्निर्मित समाधान

श्रेणी	"शुद्ध" यूईबीए प्लेटफार्म	अंतर्निहित UEBA के साथ अन्य समाधान
समस्या का समाधान करना होगा	उपयोगकर्ता के व्यवहार और संस्थाओं का विश्लेषण।	डेटा की कमी यूईबीए को केवल उपयोगकर्ताओं या संस्थाओं के व्यवहार का विश्लेषण करने के लिए सीमित कर सकती है।
समस्या का समाधान करना होगा	समस्याओं की एक विस्तृत श्रृंखला को हल करने का कार्य करता है	सीमित कार्यों में विशेषज्ञता
विश्लेषिकी	विभिन्न विश्लेषणात्मक तरीकों का उपयोग करके विसंगति का पता लगाना - मुख्य रूप से सांख्यिकीय मॉडल और मशीन लर्निंग के माध्यम से, नियमों और हस्ताक्षरों के साथ। उपयोगकर्ता और इकाई गतिविधि को उनके और सहकर्मियों की प्रोफ़ाइल बनाने और तुलना करने के लिए अंतर्निहित विश्लेषण के साथ आता है।	शुद्ध यूईबीए के समान, लेकिन विश्लेषण केवल उपयोगकर्ताओं और/या संस्थाओं तक ही सीमित हो सकता है।
विश्लेषिकी	उन्नत विश्लेषणात्मक क्षमताएं, केवल नियमों तक सीमित नहीं। उदाहरण के लिए, संस्थाओं के गतिशील समूहन के साथ एक क्लस्टरिंग एल्गोरिदम।	"शुद्ध" यूईबीए के समान, लेकिन कुछ एम्बेडेड खतरे वाले मॉडल में इकाई समूहन को केवल मैन्युअल रूप से बदला जा सकता है।
विश्लेषिकी	उपयोगकर्ताओं और अन्य संस्थाओं की गतिविधि और व्यवहार का सहसंबंध (उदाहरण के लिए, बायेसियन नेटवर्क का उपयोग करना) और असंगत गतिविधि की पहचान करने के लिए व्यक्तिगत जोखिम व्यवहार का एकत्रीकरण।	शुद्ध यूईबीए के समान, लेकिन विश्लेषण केवल उपयोगकर्ताओं और/या संस्थाओं तक ही सीमित हो सकता है।
डेटा स्रोत	अंतर्निहित तंत्र या मौजूदा डेटा स्टोर, जैसे एसआईईएम या डेटा लेक के माध्यम से सीधे डेटा स्रोतों से उपयोगकर्ताओं और संस्थाओं पर ईवेंट प्राप्त करना।	डेटा प्राप्त करने के तंत्र आमतौर पर केवल प्रत्यक्ष होते हैं और केवल उपयोगकर्ताओं और/या अन्य संस्थाओं को प्रभावित करते हैं। लॉग प्रबंधन टूल/एसआईईएम/डेटा लेक का उपयोग न करें।
डेटा स्रोत	समाधान को डेटा के मुख्य स्रोत के रूप में केवल नेटवर्क ट्रैफ़िक पर निर्भर नहीं होना चाहिए, न ही इसे टेलीमेट्री एकत्र करने के लिए केवल अपने एजेंटों पर निर्भर होना चाहिए।	समाधान केवल नेटवर्क ट्रैफ़िक पर ध्यान केंद्रित कर सकता है (उदाहरण के लिए, एनटीए - नेटवर्क ट्रैफ़िक विश्लेषण) और/या अंतिम उपकरणों पर अपने एजेंटों का उपयोग कर सकता है (उदाहरण के लिए, कर्मचारी निगरानी उपयोगिताएँ)।
डेटा स्रोत	उपयोगकर्ता/इकाई डेटा को संदर्भ से संतृप्त करना। वास्तविक समय में संरचित घटनाओं के संग्रह के साथ-साथ आईटी निर्देशिकाओं से संरचित/असंरचित समेकित डेटा का समर्थन करता है - उदाहरण के लिए, सक्रिय निर्देशिका (एडी), या अन्य मशीन-पठनीय सूचना संसाधन (उदाहरण के लिए, एचआर डेटाबेस)।	शुद्ध यूईबीए के समान, लेकिन प्रासंगिक डेटा का दायरा हर मामले में भिन्न हो सकता है। एडी और एलडीएपी एम्बेडेड यूईबीए समाधानों द्वारा उपयोग किए जाने वाले सबसे आम प्रासंगिक डेटा स्टोर हैं।
उपलब्धता	एक स्टैंडअलोन उत्पाद के रूप में सूचीबद्ध सुविधाएँ प्रदान करता है।	अंतर्निहित यूईबीए कार्यक्षमता को उस बाहरी समाधान को खरीदे बिना खरीदना असंभव है जिसमें यह बनाया गया है।
स्रोत: गार्टनर (मई 2019)

इस प्रकार, कुछ समस्याओं को हल करने के लिए, एम्बेडेड यूईबीए बुनियादी यूईबीए एनालिटिक्स (उदाहरण के लिए, सरल अनपर्यवेक्षित मशीन लर्निंग) का उपयोग कर सकता है, लेकिन साथ ही, बिल्कुल आवश्यक डेटा तक पहुंच के कारण, यह "शुद्ध" की तुलना में समग्र रूप से अधिक प्रभावी हो सकता है। यूईबीए समाधान। साथ ही, जैसा कि अपेक्षित था, "शुद्ध" यूईबीए प्लेटफॉर्म, अंतर्निहित यूईबीए टूल की तुलना में मुख्य जानकारी के रूप में अधिक जटिल विश्लेषण प्रदान करते हैं। इन परिणामों को तालिका 2 में संक्षेपित किया गया है।

तालिका 2. "शुद्ध" और अंतर्निहित यूईबीए के बीच अंतर का परिणाम

श्रेणी	"शुद्ध" यूईबीए प्लेटफार्म	अंतर्निहित UEBA के साथ अन्य समाधान
विश्लेषिकी	विभिन्न व्यावसायिक समस्याओं को हल करने के लिए प्रयोज्यता का तात्पर्य अधिक जटिल विश्लेषण और मशीन लर्निंग मॉडल पर जोर देने के साथ यूईबीए कार्यों के अधिक सार्वभौमिक सेट से है।	व्यावसायिक समस्याओं के एक छोटे समूह पर ध्यान केंद्रित करने का अर्थ है अत्यधिक विशिष्ट सुविधाएँ जो सरल तर्क के साथ एप्लिकेशन-विशिष्ट मॉडल पर ध्यान केंद्रित करती हैं।
विश्लेषिकी	प्रत्येक एप्लिकेशन परिदृश्य के लिए विश्लेषणात्मक मॉडल का अनुकूलन आवश्यक है।	विश्लेषणात्मक मॉडल उस टूल के लिए पूर्व-कॉन्फ़िगर किए गए हैं जिसमें UEBA अंतर्निहित है। अंतर्निहित यूईबीए वाला एक उपकरण आम तौर पर कुछ व्यावसायिक समस्याओं को हल करने में तेजी से परिणाम प्राप्त करता है।
डेटा स्रोत	कॉर्पोरेट बुनियादी ढांचे के सभी कोनों से डेटा स्रोतों तक पहुंच।	कम डेटा स्रोत, आमतौर पर उनके लिए एजेंटों की उपलब्धता या यूईबीए फ़ंक्शन वाले टूल द्वारा सीमित होते हैं।
डेटा स्रोत	प्रत्येक लॉग में मौजूद जानकारी डेटा स्रोत द्वारा सीमित हो सकती है और इसमें केंद्रीकृत यूईबीए टूल के लिए सभी आवश्यक डेटा शामिल नहीं हो सकते हैं।	एजेंट द्वारा एकत्र किए गए और यूईबीए को प्रेषित कच्चे डेटा की मात्रा और विवरण को विशेष रूप से कॉन्फ़िगर किया जा सकता है।
आर्किटेक्चर	यह किसी संगठन के लिए संपूर्ण UEBA उत्पाद है। सिएम सिस्टम या डेटा लेक की क्षमताओं का उपयोग करके एकीकरण आसान है।	अंतर्निहित यूईबीए वाले प्रत्येक समाधान के लिए यूईबीए सुविधाओं के एक अलग सेट की आवश्यकता होती है। एंबेडेड यूईबीए समाधानों के लिए अक्सर एजेंटों को स्थापित करने और डेटा प्रबंधित करने की आवश्यकता होती है।
एकीकरण	प्रत्येक मामले में अन्य उपकरणों के साथ यूईबीए समाधान का मैन्युअल एकीकरण। किसी संगठन को "एनालॉग्स में सर्वश्रेष्ठ" दृष्टिकोण के आधार पर अपना प्रौद्योगिकी स्टैक बनाने की अनुमति देता है।	यूईबीए फ़ंक्शंस के मुख्य बंडल निर्माता द्वारा पहले से ही टूल में शामिल किए गए हैं। यूईबीए मॉड्यूल अंतर्निहित है और इसे हटाया नहीं जा सकता है, इसलिए ग्राहक इसे अपनी किसी चीज़ से प्रतिस्थापित नहीं कर सकते हैं।
स्रोत: गार्टनर (मई 2019)

एक समारोह के रूप में यूईबीए

यूईबीए एंड-टू-एंड साइबर सुरक्षा समाधानों की एक विशेषता बन रहा है जो अतिरिक्त विश्लेषण से लाभ उठा सकता है। यूईबीए इन समाधानों का आधार है, जो उपयोगकर्ता और/या इकाई व्यवहार पैटर्न के आधार पर उन्नत विश्लेषण की एक शक्तिशाली परत प्रदान करता है।

वर्तमान में बाजार में, अंतर्निहित यूईबीए कार्यक्षमता तकनीकी दायरे के आधार पर समूहीकृत निम्नलिखित समाधानों में लागू की गई है:

• डेटा-केंद्रित ऑडिट और सुरक्षा, ऐसे विक्रेता हैं जो संरचित और असंरचित डेटा भंडारण (उर्फ डीसीएपी) की सुरक्षा में सुधार पर ध्यान केंद्रित करते हैं।

  विक्रेताओं की इस श्रेणी में, अन्य बातों के अलावा, गार्टनर का कहना है, वरोनिस साइबर सुरक्षा मंच, जो विभिन्न सूचना भंडारों में असंरचित डेटा अनुमतियों, पहुंच और उपयोग में परिवर्तनों की निगरानी के लिए उपयोगकर्ता व्यवहार विश्लेषण प्रदान करता है।

• CASB सिस्टम, एक अनुकूली पहुंच नियंत्रण प्रणाली का उपयोग करके अवांछित उपकरणों, उपयोगकर्ताओं और एप्लिकेशन संस्करणों के लिए क्लाउड सेवाओं तक पहुंच को अवरुद्ध करके क्लाउड-आधारित SaaS अनुप्रयोगों में विभिन्न खतरों के खिलाफ सुरक्षा प्रदान करता है।

  सभी बाज़ार-अग्रणी CASB समाधानों में UEBA क्षमताएँ शामिल हैं।

• डीएलपी समाधान - संगठन के बाहर महत्वपूर्ण डेटा के स्थानांतरण या उसके दुरुपयोग का पता लगाने पर ध्यान केंद्रित किया गया।

  डीएलपी की प्रगति काफी हद तक सामग्री को समझने पर आधारित है, जिसमें उपयोगकर्ता, एप्लिकेशन, स्थान, समय, घटनाओं की गति और अन्य बाहरी कारकों जैसे संदर्भ को समझने पर कम ध्यान दिया जाता है। प्रभावी होने के लिए, डीएलपी उत्पादों को सामग्री और संदर्भ दोनों को पहचानना होगा। यही कारण है कि कई निर्माता अपने समाधानों में यूईबीए कार्यक्षमता को एकीकृत करना शुरू कर रहे हैं।

• कर्मचारी निगरानी आमतौर पर कानूनी कार्यवाही (यदि आवश्यक हो) के लिए उपयुक्त डेटा प्रारूप में कर्मचारी कार्यों को रिकॉर्ड करने और दोबारा चलाने की क्षमता है।

  उपयोगकर्ताओं की लगातार निगरानी करने से अक्सर भारी मात्रा में डेटा उत्पन्न होता है जिसके लिए मैन्युअल फ़िल्टरिंग और मानव विश्लेषण की आवश्यकता होती है। इसलिए, इन समाधानों के प्रदर्शन को बेहतर बनाने और केवल उच्च जोखिम वाली घटनाओं का पता लगाने के लिए निगरानी प्रणालियों के अंदर यूईबीए का उपयोग किया जाता है।

• समापन बिंदु सुरक्षा - एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR) सॉल्यूशंस और एंडपॉइंट प्रोटेक्शन प्लेटफॉर्म (EPP) शक्तिशाली इंस्ट्रूमेंटेशन और ऑपरेटिंग सिस्टम टेलीमेट्री प्रदान करते हैं
  अंतिम उपकरण.

  अंतर्निहित यूईबीए कार्यक्षमता प्रदान करने के लिए ऐसे उपयोगकर्ता-संबंधित टेलीमेट्री का विश्लेषण किया जा सकता है।

• ऑनलाइन धोखाधड़ी - ऑनलाइन धोखाधड़ी का पता लगाने वाले समाधान विचलित गतिविधि का पता लगाते हैं जो स्पूफ, मैलवेयर या असुरक्षित कनेक्शन/ब्राउज़र ट्रैफ़िक अवरोधन के माध्यम से ग्राहक के खाते से समझौता करने का संकेत देता है।

  अधिकांश धोखाधड़ी समाधान यूईबीए, लेनदेन विश्लेषण और डिवाइस माप के सार का उपयोग करते हैं, अधिक उन्नत सिस्टम पहचान डेटाबेस में संबंधों का मिलान करके उन्हें पूरक करते हैं।

• IAM और अभिगम नियंत्रण - गार्टनर शुद्ध विक्रेताओं के साथ एकीकृत होने और अपने उत्पादों में कुछ यूईबीए कार्यक्षमता बनाने के लिए एक्सेस कंट्रोल सिस्टम विक्रेताओं के बीच एक विकासवादी प्रवृत्ति को नोट करता है।
• आईएएम और आइडेंटिटी गवर्नेंस एंड एडमिनिस्ट्रेशन (आईजीए) सिस्टम विसंगति का पता लगाना, समान संस्थाओं का गतिशील समूहीकरण विश्लेषण, लॉगिन विश्लेषण और पहुंच नीति विश्लेषण जैसे व्यवहार और पहचान विश्लेषण परिदृश्यों को कवर करने के लिए यूईबीए का उपयोग करें।
• IAM और प्रिविलेज्ड एक्सेस मैनेजमेंट (PAM) - प्रशासनिक खातों के उपयोग की निगरानी की भूमिका के कारण, PAM समाधानों में यह दिखाने के लिए टेलीमेट्री होती है कि प्रशासनिक खातों का उपयोग कैसे, क्यों, कब और कहाँ किया गया था। प्रशासकों के असामान्य व्यवहार या दुर्भावनापूर्ण इरादे की उपस्थिति के लिए यूईबीए की अंतर्निहित कार्यक्षमता का उपयोग करके इस डेटा का विश्लेषण किया जा सकता है।
• निर्माता एनटीए (नेटवर्क ट्रैफ़िक विश्लेषण) - कॉर्पोरेट नेटवर्क पर संदिग्ध गतिविधि की पहचान करने के लिए मशीन लर्निंग, उन्नत विश्लेषण और नियम-आधारित पहचान के संयोजन का उपयोग करें।

  एनटीए उपकरण सामान्य नेटवर्क व्यवहार को प्रतिबिंबित करने वाले मॉडल बनाने के लिए स्रोत ट्रैफ़िक और/या प्रवाह रिकॉर्ड (जैसे नेटफ़्लो) का लगातार विश्लेषण करते हैं, मुख्य रूप से इकाई व्यवहार विश्लेषण पर ध्यान केंद्रित करते हैं।

• सिएम - कई एसआईईएम विक्रेताओं के पास अब एसआईईएम में या एक अलग यूईबीए मॉड्यूल के रूप में उन्नत डेटा एनालिटिक्स कार्यक्षमता है। 2018 के दौरान और अब तक 2019 में, एसआईईएम और यूईबीए कार्यक्षमता के बीच की सीमाएं लगातार धुंधली हो रही हैं, जैसा कि लेख में चर्चा की गई है। "आधुनिक सिएम के लिए प्रौद्योगिकी अंतर्दृष्टि". सिएम सिस्टम एनालिटिक्स के साथ काम करने और अधिक जटिल एप्लिकेशन परिदृश्य पेश करने में बेहतर हो गए हैं।

यूईबीए आवेदन परिदृश्य

यूईबीए समाधान कई प्रकार की समस्याओं का समाधान कर सकते हैं। हालाँकि, गार्टनर के ग्राहक इस बात से सहमत हैं कि प्राथमिक उपयोग के मामले में खतरों की विभिन्न श्रेणियों का पता लगाना शामिल है, जो उपयोगकर्ता के व्यवहार और अन्य संस्थाओं के बीच लगातार सहसंबंधों को प्रदर्शित और विश्लेषण करके प्राप्त किया जाता है:

• डेटा की अनधिकृत पहुंच और संचलन;
• विशेषाधिकार प्राप्त उपयोगकर्ताओं का संदिग्ध व्यवहार, कर्मचारियों की दुर्भावनापूर्ण या अनधिकृत गतिविधि;
• क्लाउड संसाधनों की गैर-मानक पहुंच और उपयोग;
• आदि

धोखाधड़ी या कर्मचारी निगरानी जैसे कई असामान्य गैर-साइबर सुरक्षा उपयोग के मामले भी हैं, जिनके लिए यूईबीए को उचित ठहराया जा सकता है। हालाँकि, उन्हें अक्सर ऐसे डेटा स्रोतों की आवश्यकता होती है जो आईटी और सूचना सुरक्षा से संबंधित नहीं होते हैं, या इस क्षेत्र की गहरी समझ वाले विशिष्ट विश्लेषणात्मक मॉडल की आवश्यकता होती है। पांच मुख्य परिदृश्य और अनुप्रयोग जिन पर यूईबीए निर्माता और उनके ग्राहक दोनों सहमत हैं, नीचे वर्णित हैं।

"दुर्भावनापूर्ण अंदरूनी सूत्र"

इस परिदृश्य को कवर करने वाले यूईबीए समाधान प्रदाता केवल असामान्य, "खराब" या दुर्भावनापूर्ण व्यवहार के लिए कर्मचारियों और विश्वसनीय ठेकेदारों की निगरानी करते हैं। विशेषज्ञता के इस क्षेत्र में विक्रेता सेवा खातों या अन्य गैर-मानवीय संस्थाओं के व्यवहार की निगरानी या विश्लेषण नहीं करते हैं। मोटे तौर पर इस वजह से, वे उन्नत खतरों का पता लगाने पर ध्यान केंद्रित नहीं करते हैं जहां हैकर्स मौजूदा खातों पर कब्जा कर लेते हैं। इसके बजाय, उनका उद्देश्य हानिकारक गतिविधियों में शामिल कर्मचारियों की पहचान करना है।

मूलतः, "दुर्भावनापूर्ण अंदरूनी सूत्र" की अवधारणा दुर्भावनापूर्ण इरादे वाले विश्वसनीय उपयोगकर्ताओं से उत्पन्न होती है जो अपने नियोक्ता को नुकसान पहुंचाने के तरीके खोजते हैं। क्योंकि दुर्भावनापूर्ण इरादे को मापना मुश्किल है, इस श्रेणी के सर्वश्रेष्ठ विक्रेता प्रासंगिक व्यवहार डेटा का विश्लेषण करते हैं जो ऑडिट लॉग में आसानी से उपलब्ध नहीं है।

इस क्षेत्र में समाधान प्रदाता व्यवहार के लिए संदर्भ प्रदान करने के लिए ईमेल सामग्री, उत्पादकता रिपोर्ट या सोशल मीडिया जानकारी जैसे असंरचित डेटा को भी इष्टतम रूप से जोड़ते और विश्लेषण करते हैं।

अंदरूनी सूत्रों और घुसपैठ की धमकियों से समझौता किया गया

एक बार जब हमलावर संगठन तक पहुंच प्राप्त कर लेता है और आईटी बुनियादी ढांचे के भीतर जाना शुरू कर देता है तो चुनौती "खराब" व्यवहार का तुरंत पता लगाना और उसका विश्लेषण करना है।
अज्ञात या अभी तक पूरी तरह से न समझे गए खतरों की तरह, मुखर खतरों (एपीटी) का पता लगाना बेहद मुश्किल होता है और वे अक्सर वैध उपयोगकर्ता गतिविधि या सेवा खातों के पीछे छिप जाते हैं। ऐसे खतरों में आमतौर पर एक जटिल ऑपरेटिंग मॉडल होता है (उदाहरण के लिए, लेख देखें) साइबर किल चेन को संबोधित करना") या उनके व्यवहार का अभी तक हानिकारक मूल्यांकन नहीं किया गया है। इससे सरल विश्लेषण (जैसे पैटर्न, थ्रेशोल्ड या सहसंबंध नियमों द्वारा मिलान) का उपयोग करके उनका पता लगाना मुश्किल हो जाता है।

हालाँकि, इनमें से कई घुसपैठ की धमकियों के परिणामस्वरूप गैर-मानक व्यवहार होता है, जिसमें अक्सर बिना सोचे-समझे उपयोगकर्ता या संस्थाएँ (उर्फ समझौता किए गए अंदरूनी सूत्र) शामिल होते हैं। यूईबीए तकनीक ऐसे खतरों का पता लगाने, सिग्नल-टू-शोर अनुपात में सुधार करने, अधिसूचना मात्रा को समेकित करने और कम करने, शेष अलर्ट को प्राथमिकता देने और प्रभावी घटना प्रतिक्रिया और जांच की सुविधा प्रदान करने के लिए कई दिलचस्प अवसर प्रदान करती है।

इस समस्या क्षेत्र को लक्षित करने वाले यूईबीए विक्रेताओं का अक्सर संगठन के एसआईईएम सिस्टम के साथ द्वि-दिशात्मक एकीकरण होता है।

डेटा निष्कासन

इस मामले में कार्य इस तथ्य का पता लगाना है कि डेटा को संगठन के बाहर स्थानांतरित किया जा रहा है।
इस चुनौती पर ध्यान केंद्रित करने वाले विक्रेता आमतौर पर विसंगति का पता लगाने और उन्नत विश्लेषण के साथ डीएलपी या डीएजी क्षमताओं का लाभ उठाते हैं, जिससे सिग्नल-टू-शोर अनुपात में सुधार होता है, अधिसूचना मात्रा को समेकित किया जाता है, और शेष ट्रिगर्स को प्राथमिकता दी जाती है। अतिरिक्त संदर्भ के लिए, विक्रेता आमतौर पर नेटवर्क ट्रैफ़िक (जैसे वेब प्रॉक्सी) और एंडपॉइंट डेटा पर अधिक भरोसा करते हैं, क्योंकि इन डेटा स्रोतों का विश्लेषण डेटा एक्सफ़िल्ट्रेशन जांच में सहायता कर सकता है।

डेटा घुसपैठ का पता लगाने का उपयोग संगठन को धमकी देने वाले अंदरूनी और बाहरी हैकरों को पकड़ने के लिए किया जाता है।

विशेषाधिकार प्राप्त पहुंच की पहचान और प्रबंधन

विशेषज्ञता के इस क्षेत्र में स्वतंत्र यूईबीए समाधान के निर्माता अत्यधिक विशेषाधिकारों या असामान्य पहुंच की पहचान करने के लिए अधिकारों की पहले से गठित प्रणाली की पृष्ठभूमि के खिलाफ उपयोगकर्ता के व्यवहार का निरीक्षण और विश्लेषण करते हैं। यह विशेषाधिकार प्राप्त और सेवा खातों सहित सभी प्रकार के उपयोगकर्ताओं और खातों पर लागू होता है। संगठन यूईबीए का उपयोग निष्क्रिय खातों और आवश्यकता से अधिक उपयोगकर्ता विशेषाधिकारों से छुटकारा पाने के लिए भी करते हैं।

घटना प्राथमिकता

इस कार्य का लक्ष्य उनके प्रौद्योगिकी स्टैक में समाधानों द्वारा उत्पन्न सूचनाओं को प्राथमिकता देना है ताकि यह समझा जा सके कि किन घटनाओं या संभावित घटनाओं को पहले संबोधित किया जाना चाहिए। यूईबीए पद्धतियां और उपकरण उन घटनाओं की पहचान करने में उपयोगी हैं जो किसी दिए गए संगठन के लिए विशेष रूप से असामान्य या विशेष रूप से खतरनाक हैं। इस मामले में, यूईबीए तंत्र न केवल गतिविधि के आधार स्तर और खतरे के मॉडल का उपयोग करता है, बल्कि कंपनी की संगठनात्मक संरचना (उदाहरण के लिए, महत्वपूर्ण संसाधन या भूमिकाएं और कर्मचारियों के पहुंच स्तर) के बारे में जानकारी के साथ डेटा को संतृप्त करता है।

यूईबीए समाधान लागू करने की समस्याएं

यूईबीए समाधानों का बाज़ार संकट उनकी उच्च कीमत, जटिल कार्यान्वयन, रखरखाव और उपयोग है। जबकि कंपनियां विभिन्न आंतरिक पोर्टलों की संख्या से जूझ रही हैं, उन्हें एक और कंसोल मिल रहा है। एक नए टूल में समय और संसाधनों के निवेश का आकार हाथ में मौजूद कार्यों और उन्हें हल करने के लिए आवश्यक विश्लेषण के प्रकार पर निर्भर करता है, और अक्सर बड़े निवेश की आवश्यकता होती है।

कई निर्माताओं के दावे के विपरीत, यूईबीए "इसे सेट करो और भूल जाओ" उपकरण नहीं है जो कई दिनों तक लगातार चल सकता है।
उदाहरण के लिए, गार्टनर के ग्राहक ध्यान दें कि जिन समस्याओं के लिए यह समाधान लागू किया गया था, उनके समाधान के पहले परिणाम प्राप्त करने के लिए यूईबीए पहल को शुरू से शुरू करने में 3 से 6 महीने लगते हैं। अधिक जटिल कार्यों के लिए, जैसे किसी संगठन में अंदरूनी खतरों की पहचान करना, अवधि बढ़कर 18 महीने हो जाती है।

यूईबीए को लागू करने की कठिनाई और उपकरण की भविष्य की प्रभावशीलता को प्रभावित करने वाले कारक:

• संगठन वास्तुकला, नेटवर्क टोपोलॉजी और डेटा प्रबंधन नीतियों की जटिलता
• विवरण के सही स्तर पर सही डेटा की उपलब्धता
• विक्रेता के एनालिटिक्स एल्गोरिदम की जटिलता - उदाहरण के लिए, सांख्यिकीय मॉडल और मशीन लर्निंग बनाम सरल पैटर्न और नियमों का उपयोग।
• पूर्व-कॉन्फ़िगर किए गए विश्लेषण की मात्रा शामिल है - अर्थात, निर्माता की समझ कि प्रत्येक कार्य के लिए कौन सा डेटा एकत्र करने की आवश्यकता है और विश्लेषण करने के लिए कौन से चर और विशेषताएँ सबसे महत्वपूर्ण हैं।
• निर्माता के लिए आवश्यक डेटा के साथ स्वचालित रूप से एकीकृत करना कितना आसान है।

  उदाहरण के लिए:

  • यदि कोई यूईबीए समाधान अपने डेटा के मुख्य स्रोत के रूप में एसआईईएम प्रणाली का उपयोग करता है, तो क्या एसआईईएम आवश्यक डेटा स्रोतों से जानकारी एकत्र करता है?
  • क्या आवश्यक ईवेंट लॉग और संगठनात्मक संदर्भ डेटा को यूईबीए समाधान पर भेजा जा सकता है?
  • यदि एसआईईएम प्रणाली अभी तक यूईबीए समाधान के लिए आवश्यक डेटा स्रोतों को एकत्र और नियंत्रित नहीं करती है, तो उन्हें वहां कैसे स्थानांतरित किया जा सकता है?

• संगठन के लिए एप्लिकेशन परिदृश्य कितना महत्वपूर्ण है, इसके लिए कितने डेटा स्रोतों की आवश्यकता है, और यह कार्य निर्माता की विशेषज्ञता के क्षेत्र के साथ कितना ओवरलैप करता है।
• किस स्तर की संगठनात्मक परिपक्वता और भागीदारी की आवश्यकता है - उदाहरण के लिए, नियमों और मॉडलों का निर्माण, विकास और परिशोधन; मूल्यांकन के लिए चरों को भार निर्दिष्ट करना; या जोखिम मूल्यांकन सीमा को समायोजित करना।
• संगठन के वर्तमान आकार और उसकी भविष्य की आवश्यकताओं की तुलना में विक्रेता का समाधान और उसकी वास्तुकला कितनी मापनीय है।
• बुनियादी मॉडल, प्रोफाइल और प्रमुख समूह बनाने का समय। निर्माताओं को "सामान्य" अवधारणाओं को परिभाषित करने से पहले विश्लेषण करने के लिए अक्सर कम से कम 30 दिन (और कभी-कभी 90 दिन तक) की आवश्यकता होती है। ऐतिहासिक डेटा को एक बार लोड करने से मॉडल प्रशिक्षण में तेजी आ सकती है। अविश्वसनीय रूप से कम मात्रा में प्रारंभिक डेटा के साथ मशीन लर्निंग का उपयोग करने की तुलना में कुछ दिलचस्प मामलों को नियमों का उपयोग करके तेजी से पहचाना जा सकता है।
• गतिशील समूहीकरण और खाता प्रोफ़ाइलिंग (सेवा/व्यक्ति) बनाने के लिए आवश्यक प्रयास का स्तर समाधानों के बीच काफी भिन्न हो सकता है।

स्रोत: www.habr.com