היום נספק סקירה קצרה של שוק ה-User and Entity Behavioral Analytics (UEBA) בהתבסס על העדכונים האחרונים מחקר של גרטנר. שוק UEBA נמצא בתחתית "שלב ההתפכחות" על פי Gartner Hype Cycle for Threat-Facing Technologies, המעיד על בשלות הטכנולוגיה. אבל הפרדוקס של המצב טמון בצמיחה הכללית בו-זמנית של השקעות בטכנולוגיות של UEBA והשוק ההולך ונעלם של פתרונות UEBA עצמאיים. גרטנר צופה ש-UEBA תהפוך לחלק מהפונקציונליות של פתרונות אבטחת מידע קשורים. סביר להניח שהמונח "UEBA" ייצא מכלל שימוש ויוחלף בראשי תיבות אחרים המתמקדים באזור יישומים מצומצם יותר (למשל, "ניתוח התנהגות משתמשים"), אזור יישומים דומה (למשל, "ניתוח נתונים"), או פשוט יהפוך לחלק מילת באז חדשה (לדוגמה, המונח "בינה מלאכותית" [AI] נראה מעניין, למרות שהוא לא הגיוני ליצרני UEBA המודרניים).

ניתן לסכם את הממצאים העיקריים ממחקר גרטנר באופן הבא:

• הבשלות של השוק לניתוח התנהגותי של משתמשים וגופים מאושרת על ידי העובדה שטכנולוגיות אלו משמשות את מגזר הארגונים הבינוני והגדול לפתרון מספר בעיות עסקיות;
• יכולות הניתוח של UEBA מובנות במגוון רחב של טכנולוגיות אבטחת מידע קשורות, כגון מתווכים באבטחת גישה לענן (CASBs), מערכות SIEM של ממשל זהויות וניהול (IGA);
• ההייפ סביב ספקי UEBA והשימוש השגוי במונח "בינה מלאכותית" מקשה על הלקוחות להבין את ההבדל האמיתי בין הטכנולוגיות של היצרנים לפונקציונליות של פתרונות מבלי לבצע פרויקט פיילוט;
• לקוחות מציינים שזמן ההטמעה והשימוש היומיומי בפתרונות UEBA יכולים להיות עתירי עבודה וזמן רב יותר ממה שהיצרן מבטיח, גם כאשר בוחנים רק מודלים בסיסיים לזיהוי איומים. הוספת מקרי שימוש מותאמים אישית או קצה עשויה להיות קשה ביותר ודורשת מומחיות במדעי נתונים וניתוח נתונים.

תחזית פיתוח שוק אסטרטגי:

• עד שנת 2021, שוק מערכות ניתוח ההתנהגות של המשתמשים והישויות (UEBA) יפסיק להתקיים כתחום נפרד ויעבור לכיוון פתרונות אחרים עם פונקציונליות של UEBA;
• עד 2020, 95% מכל הפריסות של UEBA יהיו חלק מפלטפורמת אבטחה רחבה יותר.

הגדרה של פתרונות UEBA

פתרונות UEBA משתמשים באנליטיקה מובנית כדי להעריך את הפעילות של משתמשים וישויות אחרות (כגון מארחים, אפליקציות, תעבורת רשת ומאגרי נתונים).
הם מזהים איומים ואירועים פוטנציאליים, המייצגים בדרך כלל פעילות חריגה בהשוואה לפרופיל ולהתנהגות הסטנדרטיים של משתמשים וישויות בקבוצות דומות לאורך תקופה.

מקרי השימוש הנפוצים ביותר בגזרת הארגונים הם זיהוי ותגובה של איומים, וכן זיהוי ותגובה לאיומי פנים (בעיקר גורמים פנימיים שנפגעו; לעיתים תוקפים פנימיים).

UEBA זה כמו החלטהו - функцией, מובנה בכלי ספציפי:

• הפתרון הוא יצרנים של פלטפורמות UEBA "טהורות", כולל ספקים שמוכרים גם פתרונות SIEM בנפרד. התמקד במגוון רחב של בעיות עסקיות בניתוח התנהגותי של משתמשים וגם של גופים.
• Embedded – יצרנים/חטיבות המשלבות פונקציות וטכנולוגיות של UEBA בפתרונות שלהם. מתמקד בדרך כלל בקבוצה ספציפית יותר של בעיות עסקיות. במקרה זה, UEBA משמש לניתוח התנהגות המשתמשים ו/או הישויות.

גרטנר רואה את UEBA לאורך שלושה צירים, כולל פותרי בעיות, ניתוח ומקורות נתונים (ראה איור).

פלטפורמות UEBA "טהורות" לעומת UEBA מובנית

גרטנר רואה בפלטפורמת UEBA "טהורה" פתרונות ש:

• לפתור מספר בעיות ספציפיות, כגון ניטור משתמשים מורשים או הוצאת נתונים מחוץ לארגון, ולא רק "ניטור מופשט של פעילות משתמשים חריגה";
• כרוך בשימוש באנליטיקה מורכבת, המבוססת בהכרח על גישות אנליטיות בסיסיות;
• לספק מספר אפשרויות לאיסוף נתונים, כולל מנגנוני מקור נתונים מובנים ומכלי ניהול יומנים, Data Lake ו/או מערכות SIEM, ללא צורך חובה לפרוס סוכנים נפרדים בתשתית;
• ניתן לרכוש ולפרוס כפתרונות עצמאיים במקום לכלול אותם
  הרכב מוצרים אחרים.

הטבלה שלהלן משווה בין שתי הגישות.

טבלה 1. פתרונות UEBA "טהורים" לעומת מובנים

קטגוריה	פלטפורמות UEBA "טהורות".	פתרונות אחרים עם UEBA מובנית
בעיה שצריך לפתור	ניתוח התנהגות המשתמש וישויות.	חוסר בנתונים עלול להגביל את UEBA לנתח את ההתנהגות של משתמשים או ישויות בלבד.
בעיה שצריך לפתור	משמש לפתרון מגוון רחב של בעיות	מתמחה במערך מצומצם של משימות
Analytics	איתור אנומליות בשיטות אנליטיות שונות - בעיקר באמצעות מודלים סטטיסטיים ולמידת מכונה, יחד עם כללים וחתימות. מגיע עם ניתוח מובנה כדי ליצור ולהשוות את פעילות המשתמשים והישות לפרופילים שלהם ושל עמיתים.	דומה ל-UEBA הטהור, אך ניתן להגביל את הניתוח למשתמשים ו/או גופים בלבד.
Analytics	יכולות אנליטיות מתקדמות, שאינן מוגבלות רק על ידי כללים. לדוגמה, אלגוריתם אשכולות עם קיבוץ דינמי של ישויות.	בדומה ל-UEBA ה"טהורה", אך ניתן לשנות את קיבוץ הישויות בחלק ממודלים של איומים משובצים באופן ידני בלבד.
Analytics	מתאם של פעילות והתנהגות של משתמשים וגופים אחרים (לדוגמה, שימוש ברשתות בייסיאניות) וצבירה של התנהגות סיכון אינדיבידואלית על מנת לזהות פעילות חריגה.	דומה ל-UEBA הטהור, אך ניתן להגביל את הניתוח למשתמשים ו/או גופים בלבד.
מקורות מידע	קבלת אירועים על משתמשים וישויות ממקורות נתונים ישירות דרך מנגנונים מובנים או מאגרי נתונים קיימים, כגון SIEM או Data lake.	מנגנוני השגת נתונים הם בדרך כלל ישירים בלבד ומשפיעים רק על משתמשים ו/או גורמים אחרים. אל תשתמש בכלי ניהול יומנים / SIEM / Data Lake.
מקורות מידע	הפתרון לא צריך להסתמך רק על תעבורת רשת כמקור הנתונים העיקרי, וגם לא להסתמך רק על הסוכנים שלו כדי לאסוף טלמטריה.	הפתרון יכול להתמקד רק בתעבורת רשת (לדוגמה, NTA - ניתוח תעבורת רשת) ו/או להשתמש בסוכנים שלו במכשירי קצה (לדוגמה, כלי עזר לניטור עובדים).
מקורות מידע	הרוויה של נתוני משתמש/ישות עם הקשר. תומך באיסוף אירועים מובנים בזמן אמת, כמו גם נתונים מלוכדים מובנים/לא מובנים מספריות IT - למשל, Active Directory (AD), או משאבי מידע אחרים הניתנים לקריאה במכונה (לדוגמה, מסדי נתונים של משאבי אנוש).	דומה ל-UEBA הטהור, אך היקף הנתונים ההקשריים עשוי להיות שונה ממקרה למקרה. AD ו-LDAP הם מאגרי הנתונים ההקשריים הנפוצים ביותר שבהם משתמשים פתרונות UEBA משובצים.
זמינות	מספק את התכונות המפורטות כמוצר עצמאי.	אי אפשר לקנות פונקציונליות מובנית של UEBA מבלי לרכוש פתרון חיצוני שבו היא בנויה.
מקור: גרטנר (מאי 2019)

לפיכך, כדי לפתור בעיות מסוימות, UEBA משובצת יכולה להשתמש באנליטיקה בסיסית של UEBA (לדוגמה, למידת מכונה פשוטה ללא פיקוח), אך יחד עם זאת, בשל גישה בדיוק לנתונים הדרושים, היא יכולה להיות יעילה יותר מ"טהורה" פתרון של UEBA. יחד עם זאת, פלטפורמות UEBA "טהורות", כצפוי, מציעות אנליטיקה מורכבת יותר כידע העיקרי בהשוואה לכלי UEBA המובנה. תוצאות אלו מסוכמות בטבלה 2.

טבלה 2. תוצאת ההבדלים בין UEBA "טהור" למובנה

קטגוריה	פלטפורמות UEBA "טהורות".	פתרונות אחרים עם UEBA מובנית
Analytics	ישימות לפתרון מגוון בעיות עסקיות מרמזת על מערך אוניברסלי יותר של פונקציות של UEBA עם דגש על מודלים מורכבים יותר של ניתוח ולמידת מכונה.	התמקדות בקבוצה קטנה יותר של בעיות עסקיות פירושה תכונות מיוחדות ביותר המתמקדות במודלים ספציפיים ליישום עם היגיון פשוט יותר.
Analytics	התאמה אישית של המודל האנליטי הכרחית עבור כל תרחיש יישום.	מודלים אנליטיים מוגדרים מראש עבור הכלי ש-UEBA מובנה בתוכו. כלי עם UEBA מובנה בדרך כלל משיג תוצאות מהירות יותר בפתרון בעיות עסקיות מסוימות.
מקורות מידע	גישה למקורות נתונים מכל פינות התשתית הארגונית.	פחות מקורות נתונים, בדרך כלל מוגבלים על ידי הזמינות של סוכנים עבורם או הכלי עצמו עם פונקציות UEBA.
מקורות מידע	המידע הכלול בכל יומן עשוי להיות מוגבל על ידי מקור הנתונים וייתכן שלא יכיל את כל הנתונים הדרושים לכלי ה-UEBA המרכזי.	ניתן להגדיר באופן ספציפי את הכמות והפירוט של הנתונים הגולמיים שנאספו על ידי הסוכן והועברו ל-UEBA.
אדריכלות	זהו מוצר UEBA שלם עבור ארגון. האינטגרציה קלה יותר באמצעות היכולות של מערכת SIEM או Data Lake.	דורש קבוצה נפרדת של תכונות UEBA עבור כל אחד מהפתרונות שיש להם UEBA מובנה. פתרונות UEBA משובצים דורשים לעתים קרובות התקנת סוכנים וניהול נתונים.
Интеграция	שילוב ידני של פתרון UEBA עם כלים אחרים בכל מקרה. מאפשר לארגון לבנות את ערימת הטכנולוגיה שלו בהתבסס על גישת "הטוב מבין האנלוגים".	החבילות העיקריות של פונקציות UEBA כבר כלולות בכלי עצמו על ידי היצרן. מודול UEBA מובנה ולא ניתן להסירו, כך שלקוחות לא יכולים להחליף אותו במשהו משלהם.
מקור: גרטנר (מאי 2019)

UEBA כפונקציה

UEBA הופכת למאפיין של פתרונות אבטחת סייבר מקצה לקצה שיכולים להפיק תועלת מניתוח נוסף. UEBA עומדת בבסיס הפתרונות הללו, ומספקת שכבה רבת עוצמה של ניתוח מתקדם המבוסס על דפוסי התנהגות של משתמשים ו/או ישות.

כיום בשוק, הפונקציונליות המובנית של UEBA מיושמת בפתרונות הבאים, מקובצים לפי היקף טכנולוגי:

• ביקורת והגנה ממוקדת נתונים, הם ספקים המתמקדים בשיפור האבטחה של אחסון נתונים מובנה ובלתי מובנה (המכונה DCAP).

  בקטגוריה זו של ספקים, מציינת גרטנר, בין היתר, פלטפורמת אבטחת סייבר של Varonis, שמציעה ניתוח התנהגות משתמשים כדי לנטר שינויים בהרשאות נתונים לא מובנים, גישה ושימוש בחנויות מידע שונות.

• מערכות CASB, המציע הגנה מפני איומים שונים ביישומי SaaS מבוססי ענן על ידי חסימת גישה לשירותי ענן עבור מכשירים לא רצויים, משתמשים וגרסאות יישומים באמצעות מערכת בקרת גישה אדפטיבית.

  כל פתרונות CASB המובילים בשוק כוללים יכולות UEBA.

• פתרונות DLP – מתמקד באיתור העברת נתונים קריטיים מחוץ לארגון או שימוש לרעה בו.

  התקדמות DLP מבוססת במידה רבה על הבנת תוכן, עם פחות התמקדות בהבנת הקשר כגון משתמש, אפליקציה, מיקום, זמן, מהירות אירועים וגורמים חיצוניים אחרים. כדי להיות אפקטיביים, מוצרי DLP חייבים להכיר גם בתוכן וגם בהקשר. זו הסיבה שיצרנים רבים מתחילים לשלב פונקציונליות של UEBA בפתרונות שלהם.

• ניטור עובדים היא היכולת להקליט ולהשמיע מחדש פעולות עובדים, לרוב בפורמט נתונים המתאים להליכים משפטיים (במידת הצורך).

  ניטור מתמיד של משתמשים מייצר לעתים קרובות כמות עצומה של נתונים הדורשים סינון ידני וניתוח אנושי. לכן, נעשה שימוש ב-UEBA בתוך מערכות ניטור כדי לשפר את הביצועים של פתרונות אלו ולאתר רק תקריות בסיכון גבוה.

• אבטחת נקודות קצה - פתרונות זיהוי ותגובה של נקודות קצה (EDR) ופלטפורמות הגנה על נקודות קצה (EPP) מספקות מכשור רב עוצמה וטלמטריה של מערכת הפעלה ל
  מכשירי קצה.

  ניתן לנתח טלמטריה כזו הקשורה למשתמש כדי לספק פונקציונליות מובנית של UEBA.

• הונאה באינטרנט - פתרונות גילוי הונאה מקוונים מזהים פעילות חריגה המעידה על פגיעה בחשבון של לקוח באמצעות זיוף, תוכנה זדונית או ניצול של חיבורים לא מאובטחים/יירוט תעבורת דפדפן.

  רוב פתרונות ההונאה משתמשים במהות של UEBA, ניתוח עסקאות ומדידת מכשירים, כאשר מערכות מתקדמות יותר משלימות אותם על ידי התאמת מערכות יחסים במסד הנתונים של הזהויות.

• IAM ובקרת גישה - גרטנר מציינת מגמה אבולוציונית בקרב ספקי מערכות בקרת גישה להשתלב עם ספקים טהורים ולבנות פונקציונליות מסוימת של UEBA במוצרים שלהם.
• IAM ומערכות ממשל וניהול זהות (IGA). השתמש ב-UEBA כדי לכסות תרחישים של ניתוח התנהגות וזהות כגון זיהוי חריגות, ניתוח קיבוץ דינמי של ישויות דומות, ניתוח התחברות וניתוח מדיניות גישה.
• IAM וניהול גישה מורשות (PAM) – בשל התפקיד של ניטור השימוש בחשבונות ניהוליים, לפתרונות PAM יש טלמטריה כדי להראות כיצד, מדוע, מתי והיכן נעשה שימוש בחשבונות ניהוליים. ניתן לנתח נתונים אלה באמצעות הפונקציונליות המובנית של UEBA עבור נוכחות של התנהגות חריגה של מנהלי מערכת או כוונת זדון.
• יצרנים NTA (ניתוח תנועה ברשת) - השתמש בשילוב של למידת מכונה, ניתוח מתקדם וזיהוי מבוסס כללים כדי לזהות פעילות חשודה ברשתות ארגוניות.

  כלי NTA מנתחים באופן רציף תעבורת מקור ו/או רשומות זרימה (למשל NetFlow) כדי לבנות מודלים המשקפים התנהגות רשת נורמלית, בעיקר תוך התמקדות בניתוח התנהגות של ישות.

• SIEM - לספקי SIEM רבים יש כעת פונקציונליות מתקדמת של ניתוח נתונים מובנית ב-SIEM, או כמודול UEBA נפרד. במהלך 2018 ועד כה ב-2019, חל טשטוש מתמשך של הגבולות בין פונקציונליות SIEM ו-UEBA, כפי שנדון במאמר "תובנות טכנולוגיות עבור ה-SIEM המודרני". מערכות SIEM הפכו טובות יותר בעבודה עם אנליטיקה ולהציע תרחישי יישומים מורכבים יותר.

תרחישי יישום של UEBA

פתרונות UEBA יכולים לפתור מגוון רחב של בעיות. עם זאת, לקוחות Gartner מסכימים כי מקרה השימוש העיקרי כולל זיהוי קטגוריות שונות של איומים, המושגים על ידי הצגה וניתוח של מתאמים תכופים בין התנהגות המשתמש לבין ישויות אחרות:

• גישה ותנועה בלתי מורשית של נתונים;
• התנהגות חשודה של משתמשים מורשים, פעילות זדונית או בלתי מורשית של עובדים;
• גישה לא סטנדרטית ושימוש במשאבי ענן;
• וכו '

ישנם גם מספר מקרי שימוש לא טיפוסיים שאינם באבטחת סייבר, כגון הונאה או ניטור עובדים, שעבורם UEBA עשויה להיות מוצדקת. עם זאת, לעתים קרובות הם דורשים מקורות נתונים מחוץ ל-IT ואבטחת מידע, או מודלים אנליטיים ספציפיים עם הבנה מעמיקה של תחום זה. חמשת התרחישים והיישומים העיקריים שעליהם מסכימים גם יצרני UEBA וגם הלקוחות שלהם מתוארים להלן.

"פנימי זדוני"

ספקי פתרונות של UEBA המכסים תרחיש זה עוקבים רק אחר עובדים וקבלנים מהימנים על התנהגות חריגה, "רעה" או זדונית. ספקים בתחום התמחות זה אינם מפקחים או מנתחים את ההתנהגות של חשבונות שירות או ישויות אחרות שאינן אנושיות. בעיקר בגלל זה, הם לא מתמקדים באיתור איומים מתקדמים שבהם האקרים משתלטים על חשבונות קיימים. במקום זאת, הם מכוונים לזהות עובדים המעורבים בפעילויות מזיקות.

בעיקרו של דבר, המושג "פנימי זדוני" נובע ממשתמשים מהימנים עם כוונת זדון המחפשים דרכים לגרום נזק למעסיק שלהם. מכיוון שקשה למדוד כוונות זדוניות, הספקים הטובים ביותר בקטגוריה זו מנתחים נתוני התנהגות הקשריים שאינם זמינים בקלות ביומני ביקורת.

ספקי פתרונות בתחום זה גם מוסיפים ומנתחים נתונים לא מובנים בצורה אופטימלית, כגון תוכן דואר אלקטרוני, דוחות פרודוקטיביות או מידע על מדיה חברתית, כדי לספק הקשר להתנהגות.

איומים פנימיים שנפגעו ואיומים חודרניים

האתגר הוא לזהות ולנתח במהירות התנהגות "רעה" ברגע שהתוקף השיג גישה לארגון ומתחיל לנוע בתוך תשתית ה-IT.
איומים אסרטיביים (APTs), כמו איומים לא ידועים או שעדיין לא מובנים במלואם, קשים ביותר לזיהוי ולעתים קרובות מסתתרים מאחורי פעילות משתמשים לגיטימית או חשבונות שירות. לאיומים כאלה יש בדרך כלל מודל פעולה מורכב (ראה, למשל, המאמר " טיפול בשרשרת Cyber ​​​​Kill") או שהתנהגותם עדיין לא הוערכה כמזיקה. זה מקשה על זיהוים באמצעות ניתוח פשוט (כגון התאמה לפי דפוסים, ספים או כללי מתאם).

עם זאת, רבים מהאיומים הפולשניים הללו מביאים להתנהגות לא סטנדרטית, שלעתים קרובות מעורבים משתמשים או ישויות תמימים (המכונה גם מקורבים שנפגעו). טכניקות UEBA מציעות מספר הזדמנויות מעניינות לזהות איומים כאלה, לשפר את יחס האות לרעש, לגבש ולהפחית את נפח ההתראות, לתעדף את ההתראות הנותרות ולהקל על תגובה וחקירה יעילה לאירועים.

ספקי UEBA המכוונים לאזור בעיה זה יש לרוב אינטגרציה דו-כיוונית עם מערכות ה-SIEM של הארגון.

חילוץ נתונים

המשימה במקרה זה היא לזהות את העובדה שהנתונים מועברים מחוץ לארגון.
ספקים המתמקדים באתגר זה ממנפים בדרך כלל יכולות DLP או DAG עם זיהוי חריגות וניתוחים מתקדמים, ובכך משפרים את יחס האות לרעש, מאחדים את נפח ההתראות ומתן עדיפות לטריגרים הנותרים. להקשר נוסף, הספקים בדרך כלל מסתמכים יותר על תעבורת רשת (כגון פרוקסי אינטרנט) ונתוני נקודות קצה, שכן ניתוח של מקורות נתונים אלה יכול לסייע בחקירות חילוץ נתונים.

זיהוי פליטת נתונים משמש כדי לתפוס גורמים פנימיים והאקרים חיצוניים המאיימים על הארגון.

זיהוי וניהול של גישה מועדפת

יצרנים של פתרונות עצמאיים של UEBA בתחום התמחות זה צופים ומנתחים את התנהגות המשתמש על רקע מערכת זכויות שכבר נוצרה על מנת לזהות הרשאות מופרזות או גישה חריגה. זה חל על כל סוגי המשתמשים והחשבונות, כולל חשבונות מורשים וחשבונות שירות. ארגונים משתמשים גם ב-UEBA כדי להיפטר מחשבונות רדומים והרשאות משתמש גבוהות מהנדרש.

תעדוף לאירועים

המטרה של משימה זו היא לתת עדיפות להודעות שנוצרו על ידי פתרונות בערימת הטכנולוגיה שלהם כדי להבין באילו אירועים או אירועים פוטנציאליים יש לטפל קודם. מתודולוגיות וכלים של UEBA שימושיים בזיהוי אירועים חריגים במיוחד או מסוכנים במיוחד עבור ארגון נתון. במקרה זה, מנגנון ה-UEBA לא רק משתמש ברמת הבסיס של מודלים של פעילות ואיומים, אלא גם מרווה את הנתונים במידע על המבנה הארגוני של החברה (לדוגמה, משאבים או תפקידים קריטיים ורמות גישה של עובדים).

בעיות ביישום פתרונות UEBA

כאב השוק של פתרונות UEBA הוא המחיר הגבוה, ההטמעה, התחזוקה והשימוש המורכבים שלהם. בעוד שחברות נאבקות עם מספר הפורטלים הפנימיים השונים, הן משיגות קונסולה נוספת. גודל ההשקעה של זמן ומשאבים בכלי חדש תלוי באתגרים העומדים על הפרק ובסוגי האנליטיקה הדרושים לפתרון אותם, ולרוב דורשים השקעות גדולות.

בניגוד למה שיצרנים רבים טוענים, UEBA אינה כלי "קבע את זה ושכח מזה" שיכול לפעול ברציפות במשך ימים שלמים.
לקוחות גרטנר, למשל, מציינים שלוקח בין 3 ל-6 חודשים להשיק יוזמת UEBA מאפס כדי להשיג את התוצאות הראשונות של פתרון הבעיות שבגינן יושם פתרון זה. למשימות מורכבות יותר, כמו זיהוי איומים פנימיים בארגון, התקופה גדלה ל-18 חודשים.

גורמים המשפיעים על הקושי ביישום UEBA ועל האפקטיביות העתידית של הכלי:

• מורכבות של ארכיטקטורת ארגון, טופולוגיית רשת ומדיניות ניהול נתונים
• זמינות הנתונים הנכונים ברמת הפירוט הנכונה
• המורכבות של האלגוריתמים האנליטיים של הספק - למשל, השימוש במודלים סטטיסטיים ולמידת מכונה לעומת דפוסים וכללים פשוטים.
• כמות הניתוחים המוגדרים מראש הכלולים - כלומר, ההבנה של היצרן לגבי אילו נתונים יש לאסוף עבור כל משימה ואילו משתנים ותכונות חשובים ביותר לביצוע הניתוח.
• כמה קל ליצרן להשתלב אוטומטית עם הנתונים הנדרשים.

  לדוגמה:

  • אם פתרון UEBA משתמש במערכת SIEM כמקור העיקרי לנתונים שלו, האם ה-SIEM אוסף מידע ממקורות הנתונים הנדרשים?
  • האם ניתן לנתב את יומני האירועים הדרושים ונתוני ההקשר הארגוניים לפתרון של UEBA?
  • אם מערכת SIEM עדיין לא אוספת ושולטת במקורות הנתונים הדרושים לפתרון UEBA, אז איך ניתן להעביר אותם לשם?

• כמה חשוב תרחיש היישום עבור הארגון, כמה מקורות נתונים הוא דורש, ועד כמה משימה זו חופפת לתחום ההתמחות של היצרן.
• מהי מידת הבשלות והמעורבות הארגונית הנדרשת – למשל, יצירה, פיתוח ושכלול כללים ומודלים; הקצאת משקלים למשתנים לצורך הערכה; או התאמת סף הערכת הסיכונים.
• עד כמה ניתן להרחבה הפתרון של הספק והארכיטקטורה שלו בהשוואה לגודל הנוכחי של הארגון ולדרישות העתידיות שלו.
• הגיע הזמן לבנות מודלים בסיסיים, פרופילים וקבוצות מפתח. לעתים קרובות יצרנים דורשים לפחות 30 יום (ולפעמים עד 90 יום) כדי לבצע ניתוח לפני שהם יכולים להגדיר מושגים "נורמליים". טעינת נתונים היסטוריים פעם אחת יכולה להאיץ את אימון המודלים. חלק מהמקרים המעניינים ניתנים לזיהוי מהיר יותר באמצעות כללים מאשר שימוש בלמידת מכונה עם כמות קטנה להפליא של נתונים ראשוניים.
• רמת המאמץ הנדרשת לבניית קיבוץ דינמי ופרופיל חשבונות (שירות/אדם) יכולה להשתנות מאוד בין הפתרונות.

מקור: www.habr.com