今日は、最新の情報に基づいてユーザーおよびエンティティ行動分析 (UEBA) 市場の概要を説明します。 ガートナー調査。 Gartner の脅威に直面するテクノロジーに関するハイプ サイクルによれば、UEBA 市場は「幻滅段階」の底にあり、テクノロジーの成熟度を示しています。 しかし、状況の矛盾は、UEBA テクノロジーへの投資の一般的な増加と、独立した UEBA ソリューションの市場の消滅が同時に起こっていることにあります。 Gartner は、UEBA が関連する情報セキュリティ ソリューションの機能の一部になると予測しています。 「UEBA」という用語はおそらく使用されなくなり、より狭いアプリケーション領域 (例: 「ユーザー行動分析」) や同様のアプリケーション領域 (例: 「データ分析」) に焦点を当てた別の頭字語に置き換えられるか、単に一部の用語に置き換えられる可能性があります。新しい流行語（たとえば、「人工知能」[AI] という用語は興味深いものに見えますが、現代の UEBA メーカーにとっては意味がありません）。

Gartner の調査で得られた主な結果は次のように要約できます。

• ユーザーとエンティティの行動分析市場の成熟度は、これらのテクノロジーが多くのビジネス上の問題を解決するために中規模および大規模企業部門で使用されているという事実によって確認されます。
• UEBA 分析機能は、クラウド アクセス セキュリティ ブローカー (CASB)、アイデンティティ ガバナンスおよび管理 (IGA) SIEM システムなど、幅広い関連情報セキュリティ テクノロジに組み込まれています。
• UEBA ベンダーに関する誇大広告と「人工知能」という用語の誤った使用により、顧客はパイロット プロジェクトを実施しない限り、メーカーのテクノロジーとソリューションの機能の本当の違いを理解することが困難になっています。
• 基本的な脅威検出モデルだけを考慮した場合でも、UEBA ソリューションの実装時間と日常的な使用は、メーカーが約束しているよりも多くの労力と時間がかかる可能性があることに顧客は注目しています。 カスタムまたはエッジのユースケースを追加することは非常に困難な場合があり、データ サイエンスと分析の専門知識が必要です。

戦略的な市場開発予測:

• 2021 年までに、ユーザーおよびエンティティ行動分析 (UEBA) システムの市場は別個の領域として存在しなくなり、UEBA 機能を備えた他のソリューションに移行するでしょう。
• 2020 年までに、すべての UEBA 導入の 95% が、より広範なセキュリティ プラットフォームの一部となるでしょう。

UEBA ソリューションの定義

UEBA ソリューションは、組み込みの分析を使用して、ユーザーおよびその他のエンティティ (ホスト、アプリケーション、ネットワーク トラフィック、データ ストアなど) のアクティビティを評価します。
これらは、一定期間にわたる同様のグループ内のユーザーおよびエンティティの標準的なプロファイルおよび動作と比較した異常なアクティビティを表す、脅威および潜在的なインシデントを検出します。

エンタープライズ分野での最も一般的な使用例は、脅威の検出と対応、および内部関係者の脅威 (ほとんどの場合、侵害された内部関係者、場合によっては内部攻撃者) の検出と対応です。

ウエバはこんな感じ 決断によってと функцией、特定のツールに組み込まれています。

• ソリューションは、SIEM ソリューションを個別に販売するベンダーを含む、「純粋な」UEBA プラットフォームのメーカーです。 ユーザーとエンティティの両方の行動分析における幅広いビジネス上の問題に焦点を当てています。
• 組み込み – UEBA の機能とテクノロジーをソリューションに統合するメーカー/部門。 通常は、より具体的な一連のビジネス上の問題に焦点を当てます。 この場合、UEBA はユーザーやエンティティの動作を分析するために使用されます。

Gartner は、問題解決ツール、分析、データ ソースを含む XNUMX つの軸に沿って UEBA を捉えています (図を参照)。

「純粋な」UEBA プラットフォームと組み込み UEBA の比較

Gartner は、「純粋な」UEBA プラットフォームとは次のようなソリューションであると考えています。

• 抽象的な「異常なユーザー活動の監視」だけでなく、特権ユーザーの監視や組織外へのデータ出力など、いくつかの具体的な問題を解決します。
• 必然的に基本的な分析アプローチに基づく複雑な分析の使用が含まれます。
• インフラストラクチャに個別のエージェントを導入する必要がなく、組み込みのデータ ソース メカニズムとログ管理ツール、データ レイク、SIEM システムの両方からのデータ収集オプションをいくつか提供します。
• に含まれるのではなく、スタンドアロン ソリューションとして購入して展開できます。
  他の製品の構成。

以下の表は XNUMX つのアプローチを比較しています。

表 1. 「純粋な」UEBA ソリューションと組み込みソリューション

カテゴリ	「純粋な」UEBA プラットフォーム	UEBAを内蔵したその他のソリューション
解決すべき問題	ユーザーの行動とエンティティの分析。	データが不足していると、UEBA がユーザーまたはエンティティのみの行動を分析することが制限される可能性があります。
解決すべき問題	幅広い問題の解決に役立ちます	限られたタスクに特化する
分析論	さまざまな分析手法を使用した異常検出 - 主に統計モデルと機械学習、およびルールとシグネチャを使用します。 ユーザーとエンティティのアクティビティを作成し、そのアクティビティとその同僚のプロファイルと比較するための分析機能が組み込まれています。	純粋な UEBA と似ていますが、分析をユーザーおよび/またはエンティティのみに限定できます。
分析論	ルールだけに制限されない高度な分析機能。 たとえば、エンティティを動的にグループ化するクラスタリング アルゴリズムです。	「純粋な」UEBA に似ていますが、一部の組み込み脅威モデルのエンティティ グループ化は手動でのみ変更できます。
分析論	異常なアクティビティを特定するための、ユーザーおよび他のエンティティのアクティビティと行動の相関関係 (ベイジアン ネットワークなどを使用)、および個々のリスク行動の集約。	純粋な UEBA と似ていますが、分析をユーザーおよび/またはエンティティのみに限定できます。
データソース	組み込みメカニズムまたは既存のデータ ストア (SIEM やデータ レイクなど) を介して、データ ソースからユーザーおよびエンティティに関するイベントを直接受信します。	データを取得するメカニズムは通常、直接的なもののみであり、ユーザーおよび/または他のエンティティにのみ影響します。 ログ管理ツール/SIEM/データレイクは使用しないでください。
データソース	ソリューションは、主なデータ ソースとしてネットワーク トラフィックのみに依存する必要はなく、また、テレメトリを収集するために独自のエージェントのみに依存するべきでもありません。	このソリューションは、ネットワーク トラフィック (NTA - ネットワーク トラフィック分析など) のみに焦点を当てることも、エンド デバイス上のエージェントを使用することもできます (従業員監視ユーティリティなど)。
データソース	ユーザー/エンティティ データをコンテキストで満たす。 リアルタイムでの構造化イベントの収集と、IT ディレクトリ (たとえば、Active Directory (AD) やその他の機械可読情報リソース (たとえば、HR データベース)) からの構造化/非構造化のまとまったデータの収集をサポートします。	純粋な UEBA に似ていますが、コンテキスト データの範囲はケースごとに異なる場合があります。 AD と LDAP は、組み込み UEBA ソリューションで使用される最も一般的なコンテキスト データ ストアです。
可用性	リストされている機能をスタンドアロン製品として提供します。	組み込みの UEBA 機能を購入するには、それが組み込まれている外部ソリューションを購入する必要があります。
出典: Gartner (2019 年 XNUMX 月)

したがって、特定の問題を解決するために、組み込み UEBA は基本的な UEBA 分析 (たとえば、単純な教師なし機械学習) を使用できますが、同時に必要なデータに正確にアクセスできるため、全体として「純粋な」分析よりも効果的になる可能性があります。 UEBA ソリューション。 同時に、「純粋な」UEBA プラットフォームは、予想どおり、組み込みの UEBA ツールと比較して、より複雑な分析を主要なノウハウとして提供します。 これらの結果を表 2 にまとめます。

表 2. 「純粋な」UEBA と組み込み UEBA の違いの結果

カテゴリ	「純粋な」UEBA プラットフォーム	UEBAを内蔵したその他のソリューション
分析論	さまざまなビジネス上の問題を解決するための適用性は、より複雑な分析および機械学習モデルに重点を置いた、より汎用的な UEBA 機能のセットを意味します。	より小規模なビジネス上の問題に焦点を当てるということは、より単純なロジックを備えたアプリケーション固有のモデルに焦点を当てた、高度に特殊化された機能を意味します。
分析論	アプリケーションシナリオごとに分析モデルのカスタマイズが必要です。	分析モデルは、UEBA が組み込まれたツール用に事前構成されています。 一般に、UEBA が組み込まれたツールは、特定のビジネス上の問題を解決する際に、より迅速な結果をもたらします。
データソース	企業インフラのあらゆる場所からデータ ソースにアクセスします。	データ ソースが少なく、通常はそれらのエージェントの可用性、または UEBA 機能を備えたツール自体によって制限されます。
データソース	各ログに含まれる情報はデータ ソースによって制限される場合があり、集中型 UEBA ツールに必要なデータがすべて含まれていない場合があります。	エージェントによって収集され、UEBA に送信される生データの量と詳細は、具体的に構成できます。
アーキテクチャ	これは、組織向けの完全な UEBA 製品です。 SIEM システムまたはデータ レイクの機能を使用すると、統合がより簡単になります。	UEBA が組み込まれているソリューションごとに、個別の UEBA 機能のセットが必要です。 組み込み UEBA ソリューションでは、多くの場合、エージェントのインストールとデータの管理が必要です。
Интеграция	それぞれのケースで、UEBA ソリューションと他のツールを手動で統合します。 組織は「アナログの中で最高のもの」アプローチに基づいてテクノロジー スタックを構築できます。	UEBA 機能の主要なバンドルは、メーカーによってツール自体にすでに組み込まれています。 UEBA モジュールは内蔵されており取り外しできないため、お客様が独自のものに交換することはできません。
出典: Gartner (2019 年 XNUMX 月)

機能としてのUEBA

UEBA は、追加の分析から恩恵を受けることができるエンドツーエンドのサイバーセキュリティ ソリューションの機能になりつつあります。 UEBA はこれらのソリューションの基盤となり、ユーザーやエンティティの行動パターンに基づいた高度な分析の強力なレイヤーを提供します。

現在市場では、組み込みの UEBA 機能は、技術範囲ごとにグループ化された次のソリューションに実装されています。

• データに重点​​を置いた監査と保護は、構造化データ ストレージおよび非構造化データ ストレージ (別名 DCAP) のセキュリティの向上に重点を置いているベンダーです。

  Gartner は、このカテゴリのベンダーについて、とりわけ次のように指摘しています。 Varonis サイバーセキュリティ プラットフォームは、さまざまなインフォメーション ストアにわたる非構造化データのアクセス許可、アクセス、および使用状況の変化を監視するためのユーザー行動分析を提供します。

• CASB システム、適応型アクセス制御システムを使用して、不要なデバイス、ユーザー、アプリケーション バージョンのクラウド サービスへのアクセスをブロックすることで、クラウド ベースの SaaS アプリケーションのさまざまな脅威に対する保護を提供します。

  市場をリードするすべての CASB ソリューションには UEBA 機能が含まれています。

• DLP ソリューション – 重要なデータの組織外への転送またはその悪用の検出に重点を置きます。

  DLP の進歩は主にコンテンツの理解に基づいており、ユーザー、アプリケーション、場所、時間、イベントの速度、その他の外部要因などのコンテキストの理解にはあまり重点が置かれていません。 DLP 製品が効果的であるためには、コンテンツとコンテキストの両方を認識する必要があります。 このため、多くのメーカーが UEBA 機能を自社のソリューションに統合し始めています。

• 従業員の監視 通常、（必要に応じて）法的手続きに適したデータ形式で、従業員の行動を記録および再生する機能です。

  ユーザーを継続的に監視すると、手動によるフィルタリングや人間による分析が必要となる膨大な量のデータが生成されることがよくあります。 したがって、UEBA は監視システム内で使用され、これらのソリューションのパフォーマンスを向上させ、高リスクのインシデントのみを検出します。

• エンドポイントセキュリティ – エンドポイント検出および応答 (EDR) ソリューションとエンドポイント保護プラットフォーム (EPP) は、強力な計測とオペレーティング システム テレメトリを提供します。
  エンドデバイス。

  このようなユーザー関連のテレメトリを分析して、組み込みの UEBA 機能を提供できます。

• オンライン詐欺 – オンライン詐欺検出ソリューションは、なりすまし、マルウェア、または安全でない接続/ブラウザ トラフィックの傍受の悪用による顧客のアカウントの侵害を示す逸脱したアクティビティを検出します。

  ほとんどの不正行為ソリューションは、UEBA の本質であるトランザクション分析とデバイス測定を使用しており、より高度なシステムは ID データベース内の関係を照合することでそれらを補完します。

• IAMとアクセス制御 – Gartner は、アクセス制御システム ベンダーが純粋なベンダーと統合し、一部の UEBA 機能を自社の製品に組み込む進化傾向にあると指摘しています。
• IAM および ID ガバナンスおよび管理 (IGA) システム UEBA を使用して、異常検出、類似エンティティの動的グループ化分析、ログイン分析、アクセス ポリシー分析などの行動およびアイデンティティ分析シナリオをカバーします。
• IAM と特権アクセス管理 (PAM) – 管理アカウントの使用を監視する役割のため、PAM ソリューションには、管理アカウントがどのように、なぜ、いつ、どこで使用されたかを示すテレメトリが備わっています。 このデータは、管理者の異常な動作や悪意の存在について、UEBA の組み込み機能を使用して分析できます。
• メーカー NTA (ネットワークトラフィック分析) – 機械学習、高度な分析、ルールベースの検出を組み合わせて使用​​し、企業ネットワーク上の不審なアクティビティを特定します。

  NTA ツールは、ソース トラフィックやフロー レコード (NetFlow など) を継続的に分析し、主にエンティティの動作分析に焦点を当てて、通常のネットワーク動作を反映するモデルを構築します。

• SIEM – 多くの SIEM ベンダーは現在、高度なデータ分析機能を SIEM に、または別個の UEBA モジュールとして組み込んでいます。 この記事で説明したように、2018 年を通じて、そして 2019 年のこれまでのところ、SIEM と UEBA の機能の間の境界は継続的に曖昧になってきました。 「最新の SIEM のテクノロジーに関する洞察」。 SIEM システムは、分析との連携が向上し、より複雑なアプリケーション シナリオを提供できるようになりました。

UEBA アプリケーション シナリオ

UEBA ソリューションは幅広い問題を解決できます。 ただし、ガートナーのクライアントは、主な使用例には、ユーザーの行動と他のエンティティの間の頻繁な相関関係を表示および分析することによって達成される、さまざまなカテゴリの脅威の検出が含まれることに同意しています。

• 不正なアクセスとデータの移動。
• 特権ユーザーの不審な行動、従業員の悪意のある活動または不正な活動。
• 非標準的なアクセスとクラウド リソースの使用。
• ら。

また、詐欺や従業員の監視など、サイバーセキュリティ以外の非典型的なユースケースも数多くあり、それらに対して UEBA が正当化される可能性があります。 ただし、多くの場合、IT および情報セキュリティ以外のデータ ソース、またはこの分野を深く理解した特定の分析モデルが必要になります。 UEBA メーカーとその顧客の両方が同意する XNUMX つの主要なシナリオとアプリケーションを以下に説明します。

「悪意のあるインサイダー」

このシナリオをカバーする UEBA ソリューション プロバイダーは、従業員と信頼できる請負業者の異常な、「悪い」、または悪意のある行為のみを監視します。 この専門分野のベンダーは、サービス アカウントやその他の人間以外のエンティティの動作を監視または分析しません。 このことが主な理由で、ハッカーが既存のアカウントを乗っ取る高度な脅威の検出に重点を置いていません。 代わりに、有害な活動に関与している従業員を特定することを目的としています。

基本的に、「悪意のあるインサイダー」の概念は、雇用主に損害を与える方法を模索する、悪意のある信頼できるユーザーから生じています。 悪意のある意図は測定が難しいため、このカテゴリの優れたベンダーは、監査ログでは簡単に入手できない状況に応じた動作データを分析します。

この分野のソリューション プロバイダーは、電子メールのコンテンツ、生産性レポート、ソーシャル メディア情報などの非構造化データを最適に追加および分析して、行動のコンテキストを提供します。

侵害された内部関係者および侵入者の脅威

課題は、攻撃者が組織にアクセスして IT インフラストラクチャ内を移動し始めたときに、「悪い」動作を迅速に検出して分析することです。
アサーティブ脅威 (APT) は、未知の脅威やまだ十分に理解されていない脅威と同様、検出が非常に難しく、正規のユーザー アクティビティやサービス アカウントの背後に隠れていることがよくあります。 このような脅威には通常、複雑な運用モデルがあります (たとえば、記事「 サイバーキルチェーンへの対処")、またはその行動がまだ有害であるとは評価されていません。 そのため、単純な分析 (パターン、しきい値、相関ルールによるマッチングなど) を使用してそれらを検出することが困難になります。

ただし、これらの侵入的な脅威の多くは非標準的な動作を引き起こし、多くの場合、無防備なユーザーやエンティティ (別名、侵害された内部関係者) が関与します。 UEBA 技術は、このような脅威の検出、信号対雑音比の改善、通知量の統合と削減、残りのアラートの優先順位付け、効果的なインシデント対応と調査の促進など、いくつかの興味深い機会を提供します。

この問題領域を対象とする UEBA ベンダーは、多くの場合、組織の SIEM システムと双方向の統合を行っています。

データの引き出し

この場合のタスクは、データが組織外に転送されているという事実を検出することです。
この課題に焦点を当てたベンダーは通常、異常検出と高度な分析を備えた DLP または DAG 機能を活用し、それによって S/N 比を改善し、通知量を統合し、残りのトリガーに優先順位を付けます。 追加のコンテキストとして、ベンダーは通常、ネットワーク トラフィック (Web プロキシなど) とエンドポイント データに大きく依存します。これらのデータ ソースの分析はデータ漏洩の調査に役立つためです。

データ漏洩の検出は、組織を脅かす内部関係者や外部のハッカーを捕捉するために使用されます。

特権アクセスの識別と管理

この専門分野における独立系 UEBA ソリューションのメーカーは、過剰な特権や異常なアクセスを特定するために、すでに形成された権利システムを背景にユーザーの行動を観察および分析します。 これは、特権アカウントやサービス アカウントを含む、すべての種類のユーザーとアカウントに適用されます。 組織は、休止アカウントや必要以上に高いユーザー権限を削除するために UEBA も使用します。

インシデントの優先順位付け

このタスクの目標は、テクノロジー スタック内のソリューションによって生成された通知に優先順位を付けて、どのインシデントまたは潜在的なインシデントに最初に対処する必要があるかを理解することです。 UEBA の方法論とツールは、特定の組織にとって特に異常な、または特に危険なインシデントを特定するのに役立ちます。 この場合、UEBA メカニズムは、基本レベルのアクティビティおよび脅威モデルを使用するだけでなく、会社の組織構造に関する情報 (たとえば、重要なリソースや従業員の役割とアクセス レベル) をデータに飽和させます。

UEBA ソリューションの実装の問題

UEBA ソリューションの市場の悩みは、価格が高く、実装、メンテナンス、使用が複雑であることです。 企業はさまざまな社内ポータルの数に苦労している一方で、別のコンソールを入手しています。 新しいツールへの時間とリソースの投資の規模は、当面のタスクと、それらを解決するために必要な分析の種類によって異なり、ほとんどの場合、多額の投資が必要になります。

多くのメーカーの主張に反して、UEBA は「設定したら後は忘れる」ツールではなく、何日も続けて実行できます。
たとえば、Gartner のクライアントは、UEBA イニシアチブをゼロから立ち上げて、このソリューションが実装された問題の解決の最初の結果を得るまでに 3 ～ 6 か月かかると指摘しています。 組織内の内部関係者による脅威の特定など、より複雑なタスクの場合、期間は 18 か月に増加します。

UEBA の実装の難しさとツールの将来の有効性に影響を与える要因:

• 組織アーキテクチャ、ネットワーク トポロジ、データ管理ポリシーの複雑さ
• 適切な詳細レベルでの適切なデータの可用性
• ベンダーの分析アルゴリズムの複雑さ。たとえば、統計モデルや機械学習の使用と単純なパターンやルールの使用。
• 含まれる事前構成された分析の量、つまり、各タスクでどのようなデータを収集する必要があるか、分析を実行するためにどの変数と属性が最も重要であるかについてのメーカーの理解です。
• メーカーにとって、必要なデータと自動的に統合することがいかに簡単であるか。

  たとえば、次のように

  • UEBA ソリューションがデータの主なソースとして SIEM システムを使用している場合、SIEM は必要なデータ ソースから情報を収集しますか?
  • 必要なイベント ログと組織コンテキスト データを UEBA ソリューションにルーティングできますか?
  • SIEM システムが UEBA ソリューションに必要なデータ ソースをまだ収集および制御していない場合、どうすればデータ ソースをそこに転送できるでしょうか?

• 組織にとってアプリケーション シナリオがどの程度重要か、それに必要なデータ ソースの数はどれくらいか、このタスクはメーカーの専門分野とどの程度重複しているか。
• どの程度の組織の成熟度と関与が必要か – たとえば、ルールやモデルの作成、開発、改良。 評価のために変数に重みを割り当てる。 またはリスク評価のしきい値を調整します。
• 組織の現在の規模と将来の要件と比較して、ベンダーのソリューションとそのアーキテクチャはどの程度スケーラビリティがあるか。
• 基本的なモデル、プロファイル、キー グループを構築します。 多くの場合、製造業者は「正常な」概念を定義できるようになるまでに、分析の実施に少なくとも 30 日 (場合によっては最大 90 日) を要します。 履歴データを一度ロードすると、モデルのトレーニングを高速化できます。 興味深いケースの中には、非常に少量の初期データで機械学習を使用するよりも、ルールを使用することでより速く特定できるものがあります。
• 動的なグループ化とアカウント プロファイリング (サービス/個人) を構築するために必要な労力のレベルは、ソリューションによって大きく異なる場合があります。

出所： habr.com