Dina iki kita bakal menehi ringkesan ringkes babagan pasar User and Entity Behavioral Analytics (UEBA) adhedhasar paling anyar. riset Gartner. Pasar UEBA ana ing sisih ngisor "tataran kekecewaan" miturut Gartner Hype Cycle for Threat-Facing Technologies, sing nuduhake kedewasaan teknologi kasebut. Nanging paradoks kahanan kasebut ana ing pertumbuhan investasi umum ing teknologi UEBA lan pasar solusi UEBA independen sing ilang. Gartner prédhiksi yen UEBA bakal dadi bagean saka fungsi solusi keamanan informasi sing gegandhengan. Istilah "UEBA" kemungkinan ora bisa digunakake lan diganti karo akronim liyane sing fokus ing area aplikasi sing luwih sempit (contone, "analitik prilaku pangguna"), area aplikasi sing padha (contone, "analisis data"), utawa mung dadi sawetara. buzzword anyar (contone, istilah "intelijen buatan" [AI] katon menarik, sanajan ora ana pangertèn kanggo manufaktur UEBA modern).

Temuan utama saka panaliten Gartner bisa diringkes kaya ing ngisor iki:

• Kadewasan pasar kanggo analytics prilaku pangguna lan entitas dikonfirmasi kanthi kasunyatan manawa teknologi kasebut digunakake dening segmen perusahaan medium lan gedhe kanggo ngatasi sawetara masalah bisnis;
• Kapabilitas analytics UEBA dibangun ing macem-macem teknologi keamanan informasi sing gegandhengan, kayata makelar keamanan akses awan (CASB), tata kelola identitas lan administrasi (IGA) sistem SIEM;
• Hype ing sekitar vendor UEBA lan panggunaan istilah "intelijen buatan" sing ora bener ndadekake pelanggan angel ngerti bedane nyata antarane teknologi manufaktur lan fungsi solusi tanpa nindakake proyek pilot;
• Pelanggan nyathet yen wektu implementasine lan panggunaan saben dina saka solusi UEBA bisa dadi luwih intensif tenaga kerja lan akeh wektu tinimbang janjine pabrikan, sanajan mung nimbang model deteksi ancaman dhasar. Nambah kasus panggunaan khusus utawa pinggiran bisa dadi angel banget lan mbutuhake keahlian ing ilmu data lan analytics.

Ramalan pangembangan pasar strategis:

• Ing taun 2021, pasar kanggo sistem analisis tingkah laku pangguna lan entitas (UEBA) bakal ora ana minangka wilayah sing kapisah lan bakal pindhah menyang solusi liyane kanthi fungsi UEBA;
• Ing taun 2020, 95% kabeh panyebaran UEBA bakal dadi bagean saka platform keamanan sing luwih jembar.

Definisi solusi UEBA

Solusi UEBA nggunakake analitik sing dibangun kanggo ngevaluasi aktivitas pangguna lan entitas liyane (kayata host, aplikasi, lalu lintas jaringan lan toko data).
Dheweke ndeteksi ancaman lan kedadeyan potensial, biasane nuduhake kegiatan anomali dibandhingake karo profil standar lan prilaku pangguna lan entitas ing grup sing padha sajrone sawetara wektu.

Kasus panggunaan sing paling umum ing segmen perusahaan yaiku deteksi lan respon ancaman, uga deteksi lan nanggepi ancaman wong njero (biasane wong njero sing kompromi; kadhangkala penyerang internal).

UEBA kaya keputusanlan fungsi, dibangun ing alat tartamtu:

• Solusi kasebut yaiku produsen platform UEBA "murni", kalebu vendor sing uga ngedol solusi SIEM kanthi kapisah. Fokus ing macem-macem masalah bisnis ing analytics prilaku pangguna lan entitas.
• Embedded - Produsen / divisi sing nggabungake fungsi lan teknologi UEBA menyang solusi. Biasane fokus ing sakumpulan masalah bisnis sing luwih spesifik. Ing kasus iki, UEBA digunakake kanggo nganalisa prilaku pangguna lan/utawa entitas.

Gartner ndeleng UEBA ing telung sumbu, kalebu pemecah masalah, analytics, lan sumber data (deleng gambar).

Platform UEBA "murni" versus UEBA sing dibangun

Gartner nganggep platform UEBA "murni" minangka solusi sing:

• ngrampungake sawetara masalah tartamtu, kayata ngawasi pangguna sing duwe hak istimewa utawa ngasilake data ing njaba organisasi, lan ora mung "ngawasi aktivitas pangguna anomali" sing abstrak;
• ndherek nggunakake analytics Komplek, kudu adhedhasar pendekatan analitis dhasar;
• nyedhiyakake sawetara opsi kanggo nglumpukake data, kalebu mekanisme sumber data sing dibangun lan saka piranti manajemen log, Data lake lan/utawa sistem SIEM, tanpa prentah kanggo masang agen kapisah ing infrastruktur;
• bisa dituku lan disebarake minangka solusi mandiri tinimbang kalebu ing
  komposisi produk liyane.

Tabel ing ngisor iki mbandhingake loro pendekatan kasebut.

Tabel 1. "Pure" solusi UEBA vs dibangun ing

kategori	Platform UEBA "murni".	Solusi liyane karo built-in UEBA
Masalah sing kudu ditanggulangi	Analisis prilaku pangguna lan entitas.	Kurang data bisa mbatesi UEBA kanggo nganalisa prilaku mung pangguna utawa entitas.
Masalah sing kudu ditanggulangi	Serves kanggo ngatasi macem-macem masalah	Spesialisasi ing sawetara tugas sing winates
Analytics	Deteksi anomali nggunakake macem-macem cara analitis - utamane liwat model statistik lan pembelajaran mesin, bebarengan karo aturan lan tanda tangan. Dilengkapi analytics sing dibangun kanggo nggawe lan mbandhingake kegiatan pangguna lan entitas menyang profil lan kanca-kancane.	Kaya UEBA murni, nanging analisis bisa diwatesi mung kanggo pangguna lan/utawa entitas.
Analytics	Kapabilitas analitis majeng, ora mung diwatesi dening aturan. Contone, algoritma clustering kanthi pengelompokan entitas dinamis.	Kaya UEBA "murni", nanging klompok entitas ing sawetara model ancaman sing ditempelake mung bisa diganti kanthi manual.
Analytics	Korelasi aktivitas lan prilaku pangguna lan entitas liyane (contone, nggunakake jaringan Bayesian) lan agregasi prilaku risiko individu kanggo ngenali aktivitas anomali.	Kaya UEBA murni, nanging analisis bisa diwatesi mung kanggo pangguna lan/utawa entitas.
Sumber data	Nampa acara ing pangguna lan entitas saka sumber data langsung liwat mekanisme sing dibangun utawa nyimpen data sing wis ana, kayata SIEM utawa Data lake.	Mekanisme kanggo njupuk data biasane mung langsung lan mung mengaruhi pangguna lan / utawa entitas liyane. Aja nggunakake piranti manajemen log / SIEM / Data lake.
Sumber data	Solusi kasebut ora mung kudu ngandelake lalu lintas jaringan minangka sumber data utama, uga ora mung gumantung marang agen dhewe kanggo ngumpulake telemetri.	Solusi kasebut mung bisa fokus ing lalu lintas jaringan (contone, NTA - analisis lalu lintas jaringan) lan / utawa nggunakake agen kasebut ing piranti pungkasan (contone, utilitas ngawasi karyawan).
Sumber data	Data pangguna / entitas jenuh kanthi konteks. Ndhukung koleksi acara terstruktur ing wektu nyata, uga data kohesif terstruktur/ora terstruktur saka direktori IT - contone, Active Directory (AD), utawa sumber informasi sing bisa diwaca mesin liyane (contone, database HR).	Mirip karo UEBA murni, nanging ruang lingkup data kontekstual bisa uga beda-beda saben kasus. AD lan LDAP minangka toko data kontekstual sing paling umum digunakake dening solusi UEBA sing dipasang.
Kasedhiyan	Nyedhiyakake fitur sing kadhaptar minangka produk mandiri.	Ora bisa tuku fungsi UEBA sing dibangun tanpa tuku solusi eksternal sing dibangun.
Sumber: Gartner (Mei 2019)

Mangkono, kanggo ngatasi masalah tartamtu, UEBA sing dipasang bisa nggunakake analytics UEBA dhasar (contone, learning machine tanpa pengawasan sing prasaja), nanging ing wektu sing padha, amarga akses menyang data sing dibutuhake, bisa luwih efektif tinimbang "murni". solusi UEBA. Ing wektu sing padha, platform UEBA "murni", kaya sing dikarepake, nawakake analytics sing luwih rumit minangka kawruh utama dibandhingake karo alat UEBA sing dibangun. Asil kasebut diringkes ing Tabel 2.

Tabel 2. Asil saka beda antarane "murni" lan dibangun ing UEBA

kategori	Platform UEBA "murni".	Solusi liyane karo built-in UEBA
Analytics	Aplikasi kanggo ngrampungake macem-macem masalah bisnis nuduhake sakumpulan fungsi UEBA sing luwih universal kanthi penekanan ing model analytics lan machine learning sing luwih rumit.	Fokus ing sakumpulan masalah bisnis sing luwih cilik tegese fitur khusus sing fokus ing model khusus aplikasi kanthi logika sing luwih prasaja.
Analytics	Kustomisasi model analitis perlu kanggo saben skenario aplikasi.	Model analitis wis dikonfigurasi kanggo alat sing wis dibangun UEBA. Alat sing dibangun ing UEBA umume entuk asil sing luwih cepet kanggo ngrampungake masalah bisnis tartamtu.
Sumber data	Akses menyang sumber data saka kabeh sudhut infrastruktur perusahaan.	Sumber data sing luwih sithik, biasane diwatesi dening kasedhiyan agen kanggo dheweke utawa alat kasebut kanthi fungsi UEBA.
Sumber data	Informasi sing ana ing saben log bisa diwatesi dening sumber data lan bisa uga ora ngemot kabeh data sing dibutuhake kanggo alat UEBA sing terpusat.	Jumlah lan rincian data mentah sing diklumpukake dening agen lan dikirim menyang UEBA bisa diatur khusus.
arsitektur	Iku produk UEBA lengkap kanggo organisasi. Integrasi luwih gampang nggunakake kemampuan sistem SIEM utawa Data lake.	Mbutuhake sakumpulan fitur UEBA sing kapisah kanggo saben solusi sing wis dibangun ing UEBA. Solusi UEBA sing dipasang asring mbutuhake agen nginstal lan ngatur data.
Integrasi	Integrasi manual solusi UEBA karo alat liyane ing saben kasus. Ngidini organisasi mbangun tumpukan teknologi adhedhasar pendekatan "paling apik ing antarane analog".	Bundel utama fungsi UEBA wis kalebu ing alat kasebut dhewe dening pabrikan. Modul UEBA wis dibangun lan ora bisa dibusak, supaya pelanggan ora bisa ngganti karo soko dhewe.
Sumber: Gartner (Mei 2019)

UEBA minangka fungsi

UEBA dadi fitur saka solusi cybersecurity end-to-end sing bisa entuk manfaat saka analytics tambahan. UEBA ndasari solusi kasebut, nyedhiyakake lapisan analisis canggih sing kuat adhedhasar pola prilaku pangguna lan/utawa entitas.

Saiki ing pasar, fungsi UEBA sing dibangun dileksanakake ing solusi ing ngisor iki, diklompokake miturut ruang lingkup teknologi:

• Audit lan pangayoman sing fokus data, minangka vendor sing fokus kanggo ningkatake keamanan panyimpenan data terstruktur lan ora terstruktur (alias DCAP).

  Ing kategori vendor iki, Gartner nyathet, antara liya, Platform keamanan siber Varonis, sing nawakake analytics prilaku pangguna kanggo ngawasi owah-owahan ing ijin, akses, lan panggunaan data sing ora terstruktur ing macem-macem toko informasi.

• Sistem CASB, nawakake perlindungan marang macem-macem ancaman ing aplikasi SaaS berbasis awan kanthi ngalangi akses menyang layanan awan kanggo piranti, pangguna lan versi aplikasi sing ora dikarepake nggunakake sistem kontrol akses adaptif.

  Kabeh solusi CASB sing unggul ing pasar kalebu kapabilitas UEBA.

• solusi DLP – fokus kanggo ndeteksi transfer data kritis ing njaba organisasi utawa penyalahgunaan.

  Kemajuan DLP umume adhedhasar pangerten konten, kanthi kurang fokus ing pangerten konteks kayata pangguna, aplikasi, lokasi, wektu, kecepatan acara, lan faktor eksternal liyane. Supaya efektif, produk DLP kudu ngenali isi lan konteks. Mulane akeh manufaktur sing miwiti nggabungake fungsi UEBA menyang solusi.

• Pemantauan karyawan iku kemampuan kanggo ngrekam lan muter maneh tumindak karyawan, biasane ing format data cocok kanggo proses legal (yen perlu).

  Ngawasi pangguna sing terus-terusan asring ngasilake data sing akeh banget sing mbutuhake nyaring manual lan analisis manungsa. Mula, UEBA digunakake ing njero sistem pemantauan kanggo nambah kinerja solusi kasebut lan mung ndeteksi kedadeyan sing beresiko dhuwur.

• Keamanan Endpoint - Solusi deteksi lan respon titik (EDR) lan platform perlindungan titik pungkasan (EPP) nyedhiyakake instrumentasi lan telemetri sistem operasi sing kuat kanggo
  piranti pungkasan.

  Telemetri sing gegandhengan karo pangguna kasebut bisa dianalisis kanggo nyedhiyakake fungsi UEBA sing dibangun.

• Penipuan online - Solusi deteksi penipuan online ndeteksi kegiatan nyimpang sing nuduhake kompromi akun pelanggan liwat spoof, malware, utawa eksploitasi sambungan sing ora aman / intersepsi lalu lintas browser.

  Umume solusi penipuan nggunakake inti saka UEBA, analisis transaksi lan pangukuran piranti, kanthi sistem sing luwih maju sing nglengkapi karo hubungan sing cocog ing basis data identitas.

• IAM lan kontrol akses - Gartner nyathet tren evolusi ing antarane vendor sistem kontrol akses kanggo nggabungake karo vendor murni lan mbangun sawetara fungsi UEBA menyang produke.
• IAM lan Identity Governance and Administration (IGA) sistem gunakake UEBA kanggo nyakup skenario analisis prilaku lan identitas kayata deteksi anomali, analisis pengelompokan dinamis saka entitas sing padha, analisis login, lan analisis kebijakan akses.
• IAM lan Privileged Access Management (PAM) - Amarga peran ngawasi panggunaan akun administratif, solusi PAM duwe telemetri kanggo nuduhake carane, ngapa, kapan lan ing ngendi akun administratif digunakake. Data iki bisa dianalisis nggunakake fungsi UEBA sing dibangun kanggo anané prilaku anomali administrator utawa maksud jahat.
• Produsen NTA (Network Traffic Analysis) - nggunakake kombinasi learning machine, analytics majeng lan deteksi adhedhasar aturan kanggo ngenali aktivitas curiga ing jaringan perusahaan.

  Piranti NTA terus-terusan nganalisa lalu lintas sumber lan / utawa cathetan aliran (eg NetFlow) kanggo mbangun model sing nggambarake prilaku jaringan normal, utamane fokus ing analytics prilaku entitas.

• siem - akeh vendor SIEM saiki duwe fungsi analisis data canggih sing dibangun ing SIEM, utawa minangka modul UEBA sing kapisah. Saindhenging 2018 lan nganti saiki ing 2019, terus-terusan kabur wates antarane fungsi SIEM lan UEBA, kaya sing wis dibahas ing artikel kasebut. "Wawasan Teknologi kanggo SIEM Modern". Sistem SIEM wis dadi luwih apik kanggo nggarap analytics lan nawakake skenario aplikasi sing luwih rumit.

Skenario Aplikasi UEBA

Solusi UEBA bisa ngatasi macem-macem masalah. Nanging, klien Gartner setuju yen kasus panggunaan utama kalebu ndeteksi macem-macem kategori ancaman, sing digayuh kanthi nampilake lan nganalisa korélasi sing kerep antara prilaku pangguna lan entitas liyane:

• akses ora sah lan gerakan data;
• prilaku curiga pangguna sing duwe hak istimewa, kegiatan karyawan sing ala utawa ora sah;
• akses non-standar lan nggunakake sumber daya maya;
• lan liyane.

Ana uga sawetara kasus panggunaan non-cybersecurity sing ora khas, kayata penipuan utawa ngawasi karyawan, sing bisa ditrapake UEBA. Nanging, dheweke asring mbutuhake sumber data ing njaba IT lan keamanan informasi, utawa model analitis tartamtu kanthi pemahaman sing jero babagan wilayah iki. Lima skenario lan aplikasi utama sing disepakati dening pabrikan UEBA lan para pelanggan diterangake ing ngisor iki.

"Malicious Insider"

Penyedhiya solusi UEBA sing nyakup skenario iki mung ngawasi karyawan lan kontraktor sing dipercaya kanggo tumindak sing ora biasa, "ala," utawa ala. Vendor ing bidang keahlian iki ora ngawasi utawa nganalisa prilaku akun layanan utawa entitas non-manungsa liyane. Umume amarga iki, dheweke ora fokus kanggo ndeteksi ancaman lanjut ing ngendi peretas njupuk akun sing wis ana. Nanging, tujuane kanggo ngenali karyawan sing melu kegiatan sing mbebayani.

Ateges, konsep "wong njero angkoro" asale saka pangguna sing dipercaya kanthi niat jahat sing golek cara kanggo nyebabake karusakan marang majikane. Amarga niat jahat angel diukur, vendor paling apik ing kategori iki nganalisa data prilaku kontekstual sing ora gampang kasedhiya ing log audit.

Penyedhiya solusi ing papan iki uga nambah lan nganalisa data sing ora terstruktur kanthi optimal, kayata konten email, laporan produktivitas, utawa informasi media sosial, kanggo nyedhiyakake konteks prilaku.

Wong njero kompromi lan ancaman intrusif

Tantangan kasebut yaiku kanthi cepet ndeteksi lan nganalisa prilaku "ala" sawise panyerang entuk akses menyang organisasi lan wiwit pindhah ing infrastruktur IT.
Ancaman asertif (APT), kaya ancaman sing ora dingerteni utawa durung dimangerteni kanthi lengkap, angel banget dideteksi lan asring ndhelikake aktivitas pangguna utawa akun layanan sing sah. Ancaman kasebut biasane duwe model operasi sing kompleks (ndeleng, contone, artikel " Ngatasi Cyber ​​​​Kill Chain") utawa prilaku dheweke durung dianggep mbebayani. Iki nggawe angel dideteksi nggunakake analytics sing prasaja (kayata cocog karo pola, ambang, utawa aturan korelasi).

Nanging, akeh ancaman intrusif iki nyebabake prilaku sing ora standar, asring nglibatake pangguna utawa entitas sing ora curiga (alias wong njero sing kompromi). Teknik UEBA nawakake sawetara kesempatan sing menarik kanggo ndeteksi ancaman kasebut, nambah rasio sinyal-kanggo-noise, nggabungake lan nyuda volume kabar, menehi prioritas tandha sing isih ana, lan nggampangake respon lan investigasi kedadeyan sing efektif.

Vendor UEBA sing nargetake area masalah iki asring duwe integrasi bi-arah karo sistem SIEM organisasi.

Eksfiltrasi Data

Tugas ing kasus iki yaiku ndeteksi kasunyatan manawa data ditransfer ing njaba organisasi.
Vendor fokus ing tantangan iki biasane nggunakake kemampuan DLP utawa DAG kanthi deteksi anomali lan analitik canggih, saéngga ningkatake rasio sinyal-kanggo-noise, nggabungake volume kabar, lan prioritas pemicu sing isih ana. Kanggo konteks tambahan, vendor biasane luwih ngandelake lalu lintas jaringan (kayata proxy web) lan data endpoint, amarga analisis sumber data kasebut bisa mbantu investigasi eksfiltrasi data.

Deteksi exfiltrasi data digunakake kanggo nyekel wong njero lan peretas eksternal sing ngancam organisasi kasebut.

Identifikasi lan manajemen akses istimewa

Produsen solusi UEBA independen ing bidang keahlian iki mirsani lan nganalisa prilaku pangguna ing latar mburi sistem hak sing wis dibentuk kanggo ngenali hak istimewa sing berlebihan utawa akses anomali. Iki ditrapake kanggo kabeh jinis pangguna lan akun, kalebu akun hak istimewa lan layanan. Organisasi uga nggunakake UEBA kanggo nyingkirake akun dormant lan hak istimewa pangguna sing luwih dhuwur tinimbang sing dibutuhake.

Prioritas kedadeyan

Tujuan saka tugas iki yaiku kanggo menehi prioritas kabar sing digawe dening solusi ing tumpukan teknologi kanggo ngerti kedadeyan utawa kedadeyan potensial sing kudu ditangani luwih dhisik. Metodologi lan alat UEBA migunani kanggo ngenali kedadeyan sing anomali utawa mbebayani kanggo organisasi tartamtu. Ing kasus iki, mekanisme UEBA ora mung nggunakake tingkat dhasar saka kegiatan lan model ancaman, nanging uga saturates data karo informasi babagan struktur organisasi perusahaan (contone, sumber daya kritis utawa peran lan tingkat akses karyawan).

Masalah implementasine solusi UEBA

Nyeri pasar solusi UEBA yaiku rega dhuwur, implementasine rumit, pangopènan lan panggunaan. Nalika perusahaan berjuang karo macem-macem portal internal, dheweke entuk konsol liyane. Ukuran investasi wektu lan sumber daya ing alat anyar gumantung ing tugas ing tangan lan jinis analytics sing dibutuhake kanggo ngatasi, lan paling asring mbutuhake investasi gedhe.

Beda karo sing diklaim akeh manufaktur, UEBA dudu alat "nyetel lan lali" sing banjur bisa terus-terusan nganti pirang-pirang dina.
Klien Gartner, contone, nyathet yen butuh 3 nganti 6 sasi kanggo miwiti inisiatif UEBA saka awal kanggo entuk asil pisanan kanggo ngrampungake masalah sing ditindakake solusi iki. Kanggo tugas sing luwih rumit, kayata ngenali ancaman wong njero ing organisasi, wektu kasebut mundhak dadi 18 wulan.

Faktor-faktor sing mengaruhi kesulitan ngleksanakake UEBA lan efektifitas alat kasebut ing mangsa ngarep:

• Kompleksitas arsitektur organisasi, topologi jaringan lan kabijakan manajemen data
• Kasedhiyan data sing tepat ing tingkat rinci sing tepat
• Kerumitan algoritma analytics vendor-contone, panggunaan model statistik lan pembelajaran mesin lawan pola lan aturan sing prasaja.
• Jumlah analytics sing wis dikonfigurasi kalebu-yaiku, pangerten pabrikan babagan data apa sing kudu dikumpulake kanggo saben tugas lan variabel lan atribut apa sing paling penting kanggo nindakake analisis.
• Gampang banget kanggo pabrikan kanthi otomatis nggabungake data sing dibutuhake.

  Contone:

  • Yen solusi UEBA nggunakake sistem SIEM minangka sumber utama data, SIEM ngumpulake informasi saka sumber data sing dibutuhake?
  • Apa log acara sing dibutuhake lan data konteks organisasi bisa dialihake menyang solusi UEBA?
  • Yen sistem SIEM durung ngumpulake lan ngontrol sumber data sing dibutuhake dening solusi UEBA, banjur kepiye carane bisa ditransfer ing kana?

• Sepira pentinge skenario aplikasi kanggo organisasi, pira sumber data sing dibutuhake, lan sepira tugas iki tumpang tindih karo wilayah keahlian pabrikan.
• Apa tingkat kadewasan lan keterlibatan organisasi sing dibutuhake - umpamane, nggawe, ngembangake lan nyempurnakake aturan lan model; nemtokake bobot kanggo variabel kanggo evaluasi; utawa nyetel ambang pambiji risiko.
• Kepiye ukuran solusi vendor lan arsitekture dibandhingake karo ukuran organisasi saiki lan syarat sing bakal teka.
• Wektu kanggo mbangun model dhasar, profil lan grup kunci. Produsen asring mbutuhake paling sethithik 30 dina (lan kadhangkala nganti 90 dina) kanggo nganakake analisis sadurunge bisa nemtokake konsep "normal". Loading data sajarah sapisan bisa nyepetake latihan model. Sawetara kasus sing menarik bisa diidentifikasi luwih cepet nggunakake aturan tinimbang nggunakake learning machine kanthi jumlah data awal sing luar biasa cilik.
• Tingkat gaweyan sing dibutuhake kanggo mbangun klompok dinamis lan profil akun (layanan/wong) bisa beda-beda ing antarane solusi.

Source: www.habr.com