Danas ćemo pružiti kratak pregled tržišta analitike ponašanja korisnika i entiteta (UEBA) na temelju najnovijih Istraživanje Gartnera. Tržište UEBA-e nalazi se na dnu "faze razočaranja" prema Gartner Hype Cycle for Threat-Facing Technologies, što ukazuje na zrelost tehnologije. Ali paradoks situacije leži u istodobnom općem rastu ulaganja u UEBA tehnologije i nestajanju tržišta neovisnih UEBA rješenja. Gartner predviđa da će UEBA postati dio funkcionalnosti povezanih rješenja informacijske sigurnosti. Izraz "UEBA" će vjerojatno izaći iz upotrebe i biti zamijenjen drugim akronimom usmjerenim na uže područje primjene (npr. "analiza ponašanja korisnika"), slično područje primjene (npr. "analiza podataka") ili jednostavno postati neki nova poštapalica (na primjer, pojam "umjetna inteligencija" [AI] izgleda zanimljivo, iako modernim UEBA proizvođačima nema smisla).

Ključni nalazi iz Gartnerove studije mogu se sažeti kako slijedi:

• Zrelost tržišta bihevioralne analitike korisnika i subjekata potvrđuje činjenica da ove tehnologije koriste segment srednjih i velikih poduzeća za rješavanje niza poslovnih problema;
• UEBA analitičke mogućnosti ugrađene su u širok raspon povezanih tehnologija informacijske sigurnosti, kao što su brokeri za sigurnost pristupa oblaku (CASB), SIEM sustavi za upravljanje i administraciju identiteta (IGA);
• Pompa oko dobavljača UEBA-e i netočna uporaba pojma "umjetna inteligencija" otežava kupcima razumijevanje stvarne razlike između tehnologija proizvođača i funkcionalnosti rješenja bez provođenja pilot projekta;
• Kupci primjećuju da vrijeme implementacije i svakodnevna uporaba UEBA rješenja mogu biti naporniji i dugotrajniji nego što proizvođač obećava, čak i kada se razmatraju samo osnovni modeli detekcije prijetnji. Dodavanje prilagođenih ili rubnih slučajeva upotrebe može biti iznimno teško i zahtijeva stručnost u znanosti o podacima i analitici.

Strateška prognoza razvoja tržišta:

• Do 2021. tržište sustava za analizu ponašanja korisnika i entiteta (UEBA) prestat će postojati kao zasebno područje i pomaknut će se prema drugim rješenjima s funkcionalnošću UEBA-e;
• Do 2020. 95% svih implementacija UEBA-e bit će dio šire sigurnosne platforme.

Definicija UEBA rješenja

UEBA rješenja koriste ugrađenu analitiku za procjenu aktivnosti korisnika i drugih entiteta (kao što su hostovi, aplikacije, mrežni promet i pohrane podataka).
Oni otkrivaju prijetnje i potencijalne incidente, koji obično predstavljaju nenormalnu aktivnost u usporedbi sa standardnim profilom i ponašanjem korisnika i entiteta u sličnim grupama tijekom određenog vremenskog razdoblja.

Najčešći slučajevi korištenja u poslovnom segmentu su detekcija i odgovor na prijetnje, kao i detekcija i odgovor na prijetnje od insajdera (uglavnom kompromitirani insajderi; ponekad interni napadači).

UEBA je kao odlukaI funkcija, ugrađen u određeni alat:

• Rješenje su proizvođači "čistih" UEBA platformi, uključujući dobavljače koji također prodaju SIEM rješenja zasebno. Usredotočen na širok raspon poslovnih problema u analitici ponašanja korisnika i entiteta.
• Ugrađeni – Proizvođači/odjeli koji integriraju UEBA funkcije i tehnologije u svoja rješenja. Obično je usmjeren na specifičniji skup poslovnih problema. U ovom slučaju UEBA se koristi za analizu ponašanja korisnika i/ili entiteta.

Gartner promatra UEBA-u u tri osi, uključujući rješavanje problema, analitiku i izvore podataka (vidi sliku).

"Čiste" UEBA platforme naspram ugrađene UEBA-e

Gartner smatra "čistu" UEBA platformu rješenjima koja:

• riješiti nekoliko specifičnih problema, kao što je praćenje povlaštenih korisnika ili ispisivanje podataka izvan organizacije, a ne samo apstraktno "nadziranje nenormalne aktivnosti korisnika";
• uključuju korištenje složene analitike, nužno temeljene na osnovnim analitičkim pristupima;
• pružiti nekoliko opcija za prikupljanje podataka, uključujući i ugrađene mehanizme izvora podataka i iz alata za upravljanje zapisima, podatkovnog jezera i/ili SIEM sustava, bez obvezne potrebe za postavljanjem zasebnih agenata u infrastrukturu;
• mogu se kupiti i implementirati kao samostalna rješenja, a ne uključiti u njih
  sastav ostalih proizvoda.

Tablica u nastavku uspoređuje dva pristupa.

Tablica 1. “Čista” UEBA rješenja u odnosu na ugrađena

Kategorija	"Čiste" UEBA platforme	Ostala rješenja s ugrađenom UEBA
Problem koji treba riješiti	Analiza ponašanja korisnika i entiteta.	Nedostatak podataka može ograničiti UEBA-u da analizira ponašanje samo korisnika ili subjekata.
Problem koji treba riješiti	Služi za rješavanje širokog spektra problema	Specijaliziran je za ograničen skup zadataka
Analitika	Otkrivanje anomalija korištenjem različitih analitičkih metoda - uglavnom putem statističkih modela i strojnog učenja, zajedno s pravilima i potpisima. Dolazi s ugrađenom analitikom za stvaranje i usporedbu aktivnosti korisnika i entiteta s njihovim profilima i profilima kolega.	Slično čistoj UEBA-i, ali analiza može biti ograničena samo na korisnike i/ili entitete.
Analitika	Napredne analitičke mogućnosti, koje nisu ograničene samo pravilima. Na primjer, algoritam klasteriranja s dinamičkim grupiranjem entiteta.	Slično "čistoj" UEBA-i, ali grupiranje entiteta u nekim ugrađenim modelima prijetnji može se promijeniti samo ručno.
Analitika	Korelacija aktivnosti i ponašanja korisnika i drugih subjekata (na primjer, pomoću Bayesovih mreža) i agregacija individualnog rizičnog ponašanja kako bi se identificirale nenormalne aktivnosti.	Slično čistoj UEBA-i, ali analiza može biti ograničena samo na korisnike i/ili entitete.
Izvori podataka	Primanje događaja o korisnicima i entitetima iz izvora podataka izravno putem ugrađenih mehanizama ili postojećih pohrana podataka, kao što su SIEM ili Data lake.	Mehanizmi za dobivanje podataka obično su samo izravni i utječu samo na korisnike i/ili druge subjekte. Nemojte koristiti alate za upravljanje zapisima / SIEM / Data lake.
Izvori podataka	Rješenje se ne bi trebalo oslanjati samo na mrežni promet kao glavni izvor podataka, niti bi se trebalo oslanjati samo na vlastite agente za prikupljanje telemetrije.	Rješenje se može fokusirati samo na mrežni promet (na primjer, NTA - analiza mrežnog prometa) i/ili koristiti svoje agente na krajnjim uređajima (na primjer, uslužni programi za praćenje zaposlenika).
Izvori podataka	Zasićivanje podataka korisnika/entiteta kontekstom. Podržava prikupljanje strukturiranih događaja u stvarnom vremenu, kao i strukturiranih/nestrukturiranih kohezivnih podataka iz IT imenika - na primjer, Active Directory (AD) ili drugih strojno čitljivih informacijskih izvora (na primjer, HR baze podataka).	Slično čistoj UEBA-i, ali opseg kontekstualnih podataka može se razlikovati od slučaja do slučaja. AD i LDAP najčešće su kontekstualne pohrane podataka koje koriste ugrađena UEBA rješenja.
dostupnost	Pruža navedene značajke kao samostalan proizvod.	Nemoguće je kupiti ugrađenu UEBA funkcionalnost bez kupnje vanjskog rješenja u koje je ona ugrađena.
Izvor: Gartner (svibanj 2019.)

Dakle, za rješavanje određenih problema ugrađena UEBA može koristiti osnovnu UEBA analitiku (primjerice, jednostavno nenadzirano strojno učenje), ali istovremeno, zbog pristupa točno potrebnim podacima, može biti sveukupno učinkovitija od “čiste” UEBA rješenje. Istovremeno, “čiste” UEBA platforme, očekivano, nude kompleksniju analitiku kao glavni know-how u odnosu na ugrađeni UEBA alat. Ovi rezultati su sažeti u tablici 2.

Tablica 2. Rezultat razlika između “čiste” i ugrađene UEBA-e

Kategorija	"Čiste" UEBA platforme	Ostala rješenja s ugrađenom UEBA
Analitika	Primjenjivost za rješavanje različitih poslovnih problema podrazumijeva univerzalniji skup UEBA funkcija s naglaskom na složeniju analitiku i modele strojnog učenja.	Fokusiranje na manji skup poslovnih problema znači visoko specijalizirane značajke koje se fokusiraju na modele specifične za aplikaciju s jednostavnijom logikom.
Analitika	Prilagodba analitičkog modela neophodna je za svaki scenarij primjene.	Analitički modeli unaprijed su konfigurirani za alat u koji je ugrađena UEBA. Alat s ugrađenom UEBA u pravilu postiže brže rezultate u rješavanju određenih poslovnih problema.
Izvori podataka	Pristup izvorima podataka iz svih kutova korporativne infrastrukture.	Manje izvora podataka, obično ograničeno dostupnošću agenata za njih ili samog alata s UEBA funkcijama.
Izvori podataka	Informacije sadržane u svakom dnevniku mogu biti ograničene izvorom podataka i možda neće sadržavati sve potrebne podatke za centralizirani UEBA alat.	Količina i pojedinosti neobrađenih podataka koje prikuplja agent i prenose UEBA-i mogu se posebno konfigurirati.
arhitektura	To je potpuni proizvod UEBA-e za organizaciju. Integracija je lakša korištenjem mogućnosti SIEM sustava ili podatkovnog jezera.	Zahtijeva zaseban skup UEBA značajki za svako rješenje koje ima ugrađenu UEBA. Ugrađena UEBA rješenja često zahtijevaju instaliranje agenata i upravljanje podacima.
integracija	Ručna integracija UEBA rješenja s drugim alatima za svaki slučaj. Omogućuje organizaciji da izgradi svoj tehnološki niz na temelju pristupa "najboljeg među analozima".	Glavni paketi UEBA funkcija već su uključeni u sam alat od strane proizvođača. UEBA modul je ugrađen i ne može se ukloniti, tako da ga kupci ne mogu zamijeniti nečim svojim.
Izvor: Gartner (svibanj 2019.)

UEBA kao funkcija

UEBA postaje značajka end-to-end rješenja kibernetičke sigurnosti koja mogu imati koristi od dodatne analitike. UEBA je temelj ovih rješenja, pružajući snažan sloj napredne analitike temeljene na obrascima ponašanja korisnika i/ili entiteta.

Trenutno na tržištu, ugrađena UEBA funkcionalnost implementirana je u sljedeća rješenja, grupirana prema tehnološkom opsegu:

• Revizija i zaštita usmjerena na podatke, dobavljači su koji su usredotočeni na poboljšanje sigurnosti strukturirane i nestrukturirane pohrane podataka (aka DCAP).

  U ovoj kategoriji dobavljača Gartner, između ostalog, napominje Varonis platforma za kibernetičku sigurnost, koji nudi analitiku ponašanja korisnika za praćenje promjena u dozvolama za nestrukturirane podatke, pristupu i korištenju u različitim spremištima informacija.

• CASB sustavi, nudeći zaštitu od raznih prijetnji u SaaS aplikacijama temeljenim na oblaku blokiranjem pristupa uslugama u oblaku za neželjene uređaje, korisnike i verzije aplikacija pomoću prilagodljivog sustava kontrole pristupa.

  Sva CASB rješenja koja su vodeća na tržištu uključuju UEBA mogućnosti.

• DLP rješenja – usmjerena na otkrivanje prijenosa kritičnih podataka izvan organizacije ili njihove zlouporabe.

  DLP napredak uvelike se temelji na razumijevanju sadržaja, s manjim fokusom na razumijevanju konteksta kao što su korisnik, aplikacija, lokacija, vrijeme, brzina događaja i drugi vanjski čimbenici. Da bi bili učinkoviti, DLP proizvodi moraju prepoznati i sadržaj i kontekst. Zbog toga mnogi proizvođači počinju integrirati UEBA funkcionalnost u svoja rješenja.

• Praćenje zaposlenika je mogućnost snimanja i reprodukcije radnji zaposlenika, obično u formatu podataka prikladnom za pravne postupke (ako je potrebno).

  Konstantno nadziranje korisnika često stvara ogromnu količinu podataka koji zahtijevaju ručno filtriranje i ljudsku analizu. Stoga se UEBA koristi unutar sustava nadzora kako bi se poboljšala izvedba ovih rješenja i otkrili samo visokorizični incidenti.

• Sigurnost krajnje točke – Rješenja za otkrivanje i odgovor krajnjih točaka (EDR) i platforme za zaštitu krajnjih točaka (EPP) pružaju moćnu instrumentaciju i telemetriju operativnog sustava za
  krajnji uređaji.

  Takva telemetrija povezana s korisnikom može se analizirati kako bi se osigurala ugrađena UEBA funkcionalnost.

• Online prijevara – Mrežna rješenja za otkrivanje prijevara otkrivaju devijantnu aktivnost koja ukazuje na kompromitaciju korisničkog računa lažiranjem, zlonamjernim softverom ili iskorištavanjem nezaštićenih veza/presretanja prometa preglednika.

  Većina rješenja za prijevare koristi bit UEBA-e, analizu transakcija i mjerenje uređaja, s naprednijim sustavima koji ih nadopunjuju usklađivanjem odnosa u bazi podataka identiteta.

• IAM i kontrola pristupa – Gartner primjećuje evolucijski trend među dobavljačima sustava kontrole pristupa da se integriraju s čistim dobavljačima i ugrade neke UEBA funkcije u svoje proizvode.
• IAM i Identity Governance and Administration (IGA) sustavi koristite UEBA za pokrivanje scenarija analize ponašanja i identiteta kao što su otkrivanje anomalija, analiza dinamičkog grupiranja sličnih entiteta, analiza prijave i analiza politike pristupa.
• IAM i upravljanje povlaštenim pristupom (PAM) – Zbog uloge praćenja korištenja administrativnih računa, PAM rješenja imaju telemetriju koja pokazuje kako, zašto, kada i gdje su korišteni administrativni računi. Ovi se podaci mogu analizirati pomoću ugrađene funkcionalnosti UEBA-e na prisustvo nenormalnog ponašanja administratora ili zlonamjerne namjere.
• NTA proizvođača (analiza mrežnog prometa) – koristite kombinaciju strojnog učenja, napredne analitike i detekcije temeljene na pravilima za prepoznavanje sumnjivih aktivnosti na korporativnim mrežama.

  NTA alati kontinuirano analiziraju izvorni promet i/ili zapise toka (npr. NetFlow) kako bi izgradili modele koji odražavaju normalno ponašanje mreže, prvenstveno se fokusirajući na analitiku ponašanja entiteta.

• siem – mnogi dobavljači SIEM-a sada imaju naprednu funkcionalnost analize podataka ugrađenu u SIEM ili kao zasebni UEBA modul. Tijekom 2018. i do sada u 2019. dolazi do kontinuiranog zamagljivanja granica između SIEM i UEBA funkcionalnosti, kao što je objašnjeno u članku "Uvid u tehnologiju za moderni SIEM". SIEM sustavi postali su bolji u radu s analitikom i nude složenije scenarije primjene.

Scenariji UEBA prijave

UEBA rješenja mogu riješiti širok raspon problema. Međutim, klijenti Gartnera slažu se da primarni slučaj upotrebe uključuje otkrivanje različitih kategorija prijetnji, što se postiže prikazivanjem i analizom čestih korelacija između ponašanja korisnika i drugih entiteta:

• neovlašteni pristup i kretanje podataka;
• sumnjivo ponašanje privilegiranih korisnika, zlonamjerne ili neovlaštene aktivnosti zaposlenika;
• nestandardni pristup i korištenje resursa u oblaku;
• itd.

Postoji i niz atipičnih slučajeva upotrebe koji nisu povezani s kibernetičkom sigurnošću, poput prijevare ili praćenja zaposlenika, za koje UEBA može biti opravdana. Međutim, često zahtijevaju izvore podataka izvan IT-a i informacijske sigurnosti ili specifične analitičke modele s dubokim razumijevanjem ovog područja. U nastavku je opisano pet glavnih scenarija i aplikacija oko kojih se slažu proizvođači UEBA-e i njihovi kupci.

"Zlonamjerni insajder"

Pružatelji rješenja UEBA-e koji pokrivaju ovaj scenarij samo nadziru zaposlenike i pouzdane izvođače radi neuobičajenog, "lošeg" ili zlonamjernog ponašanja. Dobavljači u ovom području stručnosti ne prate niti analiziraju ponašanje računa usluga ili drugih ne-ljudskih entiteta. Uglavnom zbog toga nisu usredotočeni na otkrivanje naprednih prijetnji u kojima hakeri preuzimaju postojeće račune. Umjesto toga, usmjereni su na identifikaciju zaposlenika uključenih u štetne aktivnosti.

U biti, koncept "zlonamjernog insajdera" proizlazi iz pouzdanih korisnika sa zlonamjernim namjerama koji traže načine da nanesu štetu svom poslodavcu. Budući da je zlonamjernu namjeru teško izmjeriti, najbolji dobavljači u ovoj kategoriji analiziraju kontekstualne podatke o ponašanju koji nisu lako dostupni u revizijskim zapisnicima.

Pružatelji rješenja u ovom prostoru također optimalno dodaju i analiziraju nestrukturirane podatke, poput sadržaja e-pošte, izvješća o produktivnosti ili informacija društvenih medija, kako bi pružili kontekst za ponašanje.

Ugrožene unutarnje i nametljive prijetnje

Izazov je brzo otkriti i analizirati "loše" ponašanje nakon što napadač dobije pristup organizaciji i počne se kretati unutar IT infrastrukture.
Asertivne prijetnje (APT), poput nepoznatih ili još neu potpunosti shvaćenih prijetnji, iznimno je teško otkriti i često se skrivaju iza legitimnih korisničkih aktivnosti ili računa usluga. Takve prijetnje obično imaju složen operativni model (vidi, na primjer, članak “ Rješavanje Cyber ​​​​lanca ubojstava") ili njihovo ponašanje još nije ocijenjeno štetnim. Zbog toga ih je teško otkriti korištenjem jednostavne analitike (kao što je podudaranje prema uzorcima, pragovima ili pravilima korelacije).

Međutim, mnoge od ovih nametljivih prijetnji rezultiraju nestandardnim ponašanjem, često uključujući korisnike ili entitete koji ništa ne sumnjaju (poznati i kao kompromitirani insajderi). UEBA tehnike nude nekoliko zanimljivih prilika za otkrivanje takvih prijetnji, poboljšanje omjera signala i šuma, konsolidaciju i smanjenje količine obavijesti, određivanje prioriteta preostalih upozorenja i olakšavanje učinkovitog odgovora na incidente i istrage.

Dobavljači UEBA-e koji ciljaju ovo problematično područje često imaju dvosmjernu integraciju sa SIEM sustavima organizacije.

Eksfiltracija podataka

Zadatak je u ovom slučaju otkriti činjenicu da se podaci prenose izvan organizacije.
Dobavljači usredotočeni na ovaj izazov obično iskorištavaju DLP ili DAG mogućnosti s otkrivanjem anomalija i naprednom analitikom, čime se poboljšava omjer signala i šuma, konsolidira glasnoća obavijesti i daje prioritet preostalim okidačima. Za dodatni kontekst, dobavljači se obično više oslanjaju na mrežni promet (kao što su web proxyji) i podatke o krajnjim točkama, budući da analiza tih izvora podataka može pomoći u istragama o krađi podataka.

Detekcija eksfiltracije podataka koristi se za hvatanje insajdera i vanjskih hakera koji prijete organizaciji.

Identifikacija i upravljanje povlaštenim pristupom

Proizvođači neovisnih UEBA rješenja u ovom području stručnosti promatraju i analiziraju ponašanje korisnika u pozadini već formiranog sustava prava kako bi identificirali prekomjerne privilegije ili nepravilan pristup. Ovo se odnosi na sve vrste korisnika i računa, uključujući privilegirane i servisne račune. Organizacije također koriste UEBA-u kako bi se riješile neaktivnih računa i korisničkih privilegija koje su veće od potrebnih.

Prioritet incidenta

Cilj ovog zadatka je odrediti prioritete obavijesti koje generiraju rješenja u njihovom tehnološkom nizu kako bi se razumjelo koje incidente ili potencijalne incidente treba prvo riješiti. Metodologije i alati UEBA-e korisni su u identificiranju incidenata koji su posebno nepravilni ili posebno opasni za određenu organizaciju. U ovom slučaju mehanizam UEBA ne samo da koristi osnovnu razinu aktivnosti i modele prijetnji, već i zasićuje podatke informacijama o organizacijskoj strukturi tvrtke (na primjer, kritičnim resursima ili ulogama i razinama pristupa zaposlenika).

Problemi implementacije UEBA rješenja

Tržišna boljka UEBA rješenja je njihova visoka cijena, složena implementacija, održavanje i korištenje. Dok se tvrtke muče s brojem različitih internih portala, dobivaju još jednu konzolu. Veličina ulaganja vremena i resursa u novi alat ovisi o postavljenim zadacima i vrsti analitike koja je potrebna za njihovo rješavanje, a najčešće zahtijeva velika ulaganja.

Suprotno onome što mnogi proizvođači tvrde, UEBA nije alat "postavi i zaboravi" koji može raditi neprekidno danima.
Klijenti Gartnera, primjerice, napominju da je potrebno od 3 do 6 mjeseci da se UEBA-ina inicijativa pokrene od nule da bi se dobili prvi rezultati rješavanja problema za koje je ovo rješenje implementirano. Za složenije zadatke, kao što je prepoznavanje unutarnjih prijetnji u organizaciji, razdoblje se povećava na 18 mjeseci.

Čimbenici koji utječu na težinu implementacije UEBA-e i buduću učinkovitost alata:

• Složenost organizacijske arhitekture, mrežne topologije i politike upravljanja podacima
• Dostupnost pravih podataka na pravoj razini detalja
• Složenost analitičkih algoritama dobavljača—na primjer, upotreba statističkih modela i strojnog učenja u odnosu na jednostavne obrasce i pravila.
• Količina uključene unaprijed konfigurirane analitike—to jest, proizvođačevo razumijevanje o tome koje podatke je potrebno prikupiti za svaki zadatak i koje su varijable i atributi najvažniji za izvođenje analize.
• Koliko je jednostavno za proizvođača da se automatski integrira sa potrebnim podacima.

  Na primjer:

  • Ako UEBA rješenje koristi SIEM sustav kao glavni izvor svojih podataka, prikuplja li SIEM informacije iz potrebnih izvora podataka?
  • Mogu li se potrebni zapisnici događaja i podaci o organizacijskom kontekstu preusmjeriti na UEBA rješenje?
  • Ako SIEM sustav još ne prikuplja i ne kontrolira izvore podataka potrebne UEBA rješenju, kako ih onda tamo prenijeti?

• Koliko je scenarij primjene važan za organizaciju, koliko izvora podataka zahtijeva i koliko se ovaj zadatak preklapa s područjem stručnosti proizvođača.
• Koji je stupanj organizacijske zrelosti i uključenosti potreban – na primjer, stvaranje, razvoj i usavršavanje pravila i modela; dodjeljivanje težine varijablama za procjenu; ili prilagođavanje praga procjene rizika.
• Koliko je rješenje dobavljača i njegova arhitektura skalabilno u usporedbi s trenutnom veličinom organizacije i njezinim budućim zahtjevima.
• Vrijeme je za izradu osnovnih modela, profila i ključnih grupa. Proizvođačima je često potrebno najmanje 30 dana (a ponekad i do 90 dana) za provođenje analize prije nego što mogu definirati "normalne" koncepte. Jednokratno učitavanje povijesnih podataka može ubrzati obuku modela. Neki od zanimljivih slučajeva mogu se identificirati brže korištenjem pravila nego korištenjem strojnog učenja s nevjerojatno malom količinom početnih podataka.
• Razina napora potrebna za izgradnju dinamičkog grupiranja i profiliranja računa (usluga/osoba) može se uvelike razlikovati od rješenja do rješenja.

Izvor: www.habr.com