დღეს ჩვენ შემოგთავაზებთ მომხმარებლისა და სუბიექტების ქცევითი ანალიტიკის (UEBA) ბაზრის მოკლე მიმოხილვას უახლესზე დაყრდნობით გარტნერის კვლევა. UEBA-ს ბაზარი „იმედგაცრუების ეტაპის“ ბოლოშია Gartner Hype Cycle for Threat-Facing Technologies-ის მიხედვით, რაც მიუთითებს ტექნოლოგიის სიმწიფეზე. მაგრამ სიტუაციის პარადოქსი მდგომარეობს UEBA-ს ტექნოლოგიებში ინვესტიციების ერთდროულ ზოგად ზრდასა და UEBA-ს დამოუკიდებელი გადაწყვეტილებების ბაზრის გაქრობაში. Gartner პროგნოზირებს, რომ UEBA გახდება დაკავშირებული ინფორმაციის უსაფრთხოების გადაწყვეტილებების ფუნქციონირების ნაწილი. ტერმინი "UEBA" სავარაუდოდ გამოვა ხმარებიდან და შეიცვლება სხვა აკრონიმით, რომელიც ფოკუსირებულია უფრო ვიწრო აპლიკაციის არეალზე (მაგ., "მომხმარებლის ქცევის ანალიტიკა"), აპლიკაციის მსგავს არეალზე (მაგ. "მონაცემთა ანალიტიკა") ან უბრალოდ გახდება ზოგიერთი. ახალი ხმაურიანი სიტყვა (მაგალითად, ტერმინი "ხელოვნური ინტელექტი" [AI] საინტერესოდ გამოიყურება, თუმცა ამას არანაირი აზრი არ აქვს თანამედროვე UEBA-ს მწარმოებლებისთვის).

Gartner-ის კვლევის ძირითადი მიგნებები შეიძლება შეჯამდეს შემდეგნაირად:

• მომხმარებლების და სუბიექტების ქცევითი ანალიტიკის ბაზრის სიმწიფეს ადასტურებს ის ფაქტი, რომ ამ ტექნოლოგიებს იყენებენ საშუალო და დიდი კორპორატიული სეგმენტი მთელი რიგი ბიზნეს პრობლემების გადასაჭრელად;
• UEBA-ს ანალიტიკური შესაძლებლობები ჩაშენებულია დაკავშირებული ინფორმაციული უსაფრთხოების ტექნოლოგიების ფართო სპექტრში, როგორიცაა ღრუბლოვანი წვდომის უსაფრთხო ბროკერები (CASB), პირადობის მენეჯმენტი და ადმინისტრირება (IGA) SIEM სისტემები;
• UEBA-ს მომწოდებლების ირგვლივ აჟიოტაჟი და ტერმინი „ხელოვნური ინტელექტის“ არასწორი გამოყენება ართულებს კლიენტებს რეალური განსხვავების გაგებას მწარმოებლების ტექნოლოგიებსა და გადაწყვეტილებების ფუნქციონალურობას შორის საპილოტე პროექტის განხორციელების გარეშე;
• მომხმარებლები აღნიშნავენ, რომ UEBA-ს გადაწყვეტილებების დანერგვის დრო და ყოველდღიური გამოყენება შეიძლება იყოს უფრო შრომატევადი და შრომატევადი, ვიდრე მწარმოებელი გვპირდება, მაშინაც კი, როდესაც განიხილება მხოლოდ საფრთხის აღმოჩენის ძირითადი მოდელები. მორგებული ან ზღვრული გამოყენების შემთხვევების დამატება შეიძლება ძალიან რთული იყოს და მოითხოვს ცოდნას მონაცემთა მეცნიერებასა და ანალიტიკაში.

ბაზრის განვითარების სტრატეგიული პროგნოზი:

• 2021 წლისთვის მომხმარებელთა და ერთეულების ქცევითი ანალიტიკის სისტემების ბაზარი შეწყვეტს არსებობას, როგორც ცალკე ზონა და გადაინაცვლებს UEBA-ს ფუნქციონირების მქონე სხვა გადაწყვეტილებებისკენ;
• 2020 წლისთვის UEBA-ს ყველა განლაგების 95% იქნება უფრო ფართო უსაფრთხოების პლატფორმის ნაწილი.

UEBA-ს გადაწყვეტილებების განმარტება

UEBA-ს გადაწყვეტილებები იყენებს ჩაშენებულ ანალიტიკას მომხმარებლების და სხვა ერთეულების აქტივობის შესაფასებლად (როგორიცაა ჰოსტები, აპლიკაციები, ქსელის ტრაფიკი და მონაცემთა მაღაზიები).
ისინი აღმოაჩენენ საფრთხეებს და პოტენციურ ინციდენტებს, რომლებიც, როგორც წესი, წარმოადგენენ ანომალიურ აქტივობას მსგავსი ჯგუფების მომხმარებლებისა და ერთეულების სტანდარტულ პროფილთან და ქცევასთან შედარებით გარკვეული პერიოდის განმავლობაში.

საწარმოს სეგმენტში გამოყენების ყველაზე გავრცელებული შემთხვევებია საფრთხის გამოვლენა და რეაგირება, ასევე გამოვლენა და რეაგირება ინსაიდერულ საფრთხეებზე (ძირითადად კომპრომეტირებული ინსაიდერები; ზოგჯერ შიდა თავდამსხმელები).

UEBA ჰგავს გადაწყვეტილებადა ფუნქცია, ჩაშენებული კონკრეტულ ინსტრუმენტში:

• გამოსავალი არის "სუფთა" UEBA პლატფორმების მწარმოებლები, მათ შორის, გამყიდველები, რომლებიც ასევე ყიდიან SIEM გადაწყვეტილებებს ცალკე. ფოკუსირებულია ბიზნეს პრობლემების ფართო სპექტრზე როგორც მომხმარებლების, ასევე სუბიექტების ქცევითი ანალიტიკაში.
• ჩაშენებული – მწარმოებლები/განყოფილებები, რომლებიც აერთიანებენ UEBA-ს ფუნქციებსა და ტექნოლოგიებს თავიანთ გადაწყვეტილებებში. როგორც წესი, ორიენტირებულია ბიზნეს პრობლემების უფრო კონკრეტულ ჯგუფზე. ამ შემთხვევაში, UEBA გამოიყენება მომხმარებლების ან/და ერთეულების ქცევის გასაანალიზებლად.

Gartner ათვალიერებს UEBA-ს სამი ღერძის გასწვრივ, მათ შორის პრობლემების გადამწყვეტები, ანალიტიკა და მონაცემთა წყაროები (იხ. სურათი).

"სუფთა" UEBA პლატფორმები ჩაშენებული UEBA-ს წინააღმდეგ

Gartner მიიჩნევს, რომ "სუფთა" UEBA პლატფორმა არის გადაწყვეტილებები, რომლებიც:

• რამდენიმე კონკრეტული პრობლემის გადაჭრა, როგორიცაა პრივილეგირებული მომხმარებლების მონიტორინგი ან ორგანიზაციის გარეთ მონაცემების გამოტანა, და არა მხოლოდ აბსტრაქტული „მომხმარებლების ანომალიური აქტივობის მონიტორინგი“;
• მოიცავს კომპლექსური ანალიტიკის გამოყენებას, რომელიც აუცილებლად ეფუძნება ძირითად ანალიტიკურ მიდგომებს;
• უზრუნველყოს მონაცემთა შეგროვების რამდენიმე ვარიანტი, მათ შორის მონაცემთა წყაროს ჩაშენებული მექანიზმები და ჟურნალის მართვის ხელსაწყოები, მონაცემთა ტბა და/ან SIEM სისტემები, ინფრასტრუქტურაში ცალკე აგენტების განლაგების სავალდებულო საჭიროების გარეშე;
• შეიძლება იყოს შეძენილი და განლაგებული, როგორც დამოუკიდებელი გადაწყვეტილებები, ვიდრე შეტანილი
  სხვა პროდუქტების შემადგენლობა.

ქვემოთ მოცემული ცხრილი ადარებს ორ მიდგომას.

ცხრილი 1. UEBA-ს „სუფთა“ გადაწყვეტილებები ჩაშენებულის წინააღმდეგ

კატეგორია	"სუფთა" UEBA პლატფორმები	სხვა გადაწყვეტილებები ჩაშენებული UEBA-ით
გადასაჭრელი პრობლემა	მომხმარებლის ქცევისა და სუბიექტების ანალიზი.	მონაცემთა ნაკლებობამ შეიძლება შეზღუდოს UEBA-ს მხოლოდ მომხმარებლების ან სუბიექტების ქცევის ანალიზი.
გადასაჭრელი პრობლემა	ემსახურება პრობლემების ფართო სპექტრის გადაჭრას	სპეციალიზირებულია დავალებების შეზღუდულ კომპლექტში
ანალიტიკა	ანომალიის გამოვლენა სხვადასხვა ანალიტიკური მეთოდების გამოყენებით - ძირითადად სტატისტიკური მოდელების და მანქანური სწავლების მეშვეობით, წესებთან და ხელმოწერებთან ერთად. მოყვება ჩაშენებული ანალიტიკა მომხმარებლისა და ერთეულის აქტივობის შესაქმნელად და შესადარებლად მათი და კოლეგების პროფილებთან.	წმინდა UEBA-ს მსგავსად, მაგრამ ანალიზი შეიძლება შემოიფარგლოს მხოლოდ მომხმარებლებით და/ან პირებით.
ანალიტიკა	გაფართოებული ანალიტიკური შესაძლებლობები, არ შემოიფარგლება მხოლოდ წესებით. მაგალითად, კლასტერიზაციის ალგორითმი ერთეულების დინამიური დაჯგუფებით.	„სუფთა“ UEBA-ს მსგავსად, მაგრამ ერთეულების დაჯგუფება ზოგიერთ ჩაშენებულ საფრთხის მოდელში შეიძლება შეიცვალოს მხოლოდ ხელით.
ანალიტიკა	მომხმარებელთა და სხვა სუბიექტების აქტივობისა და ქცევის კორელაცია (მაგალითად, ბაიესის ქსელების გამოყენება) და ინდივიდუალური რისკის ქცევის აგრეგაცია ანომალიური აქტივობის დასადგენად.	წმინდა UEBA-ს მსგავსად, მაგრამ ანალიზი შეიძლება შემოიფარგლოს მხოლოდ მომხმარებლებით და/ან პირებით.
Მონაცემთა წყაროები	მომხმარებლებზე და ერთეულებზე მოვლენების მიღება მონაცემთა წყაროებიდან უშუალოდ ჩაშენებული მექანიზმების ან არსებული მონაცემთა მაღაზიების მეშვეობით, როგორიცაა SIEM ან Data lake.	მონაცემების მოპოვების მექანიზმები, როგორც წესი, მხოლოდ პირდაპირია და გავლენას ახდენს მხოლოდ მომხმარებლებზე და/ან სხვა ერთეულებზე. არ გამოიყენოთ ჟურნალის მართვის ინსტრუმენტები / SIEM / მონაცემთა ტბა.
Მონაცემთა წყაროები	გამოსავალი არ უნდა ეყრდნობოდეს მხოლოდ ქსელურ ტრაფიკს, როგორც მონაცემთა ძირითად წყაროს, და არც მხოლოდ საკუთარ აგენტებს უნდა დაეყრდნოს ტელემეტრიის შეგროვებას.	გამოსავალს შეუძლია ფოკუსირება მხოლოდ ქსელის ტრაფიკზე (მაგალითად, NTA - ქსელის ტრაფიკის ანალიზი) და/ან გამოიყენოს მისი აგენტები ბოლო მოწყობილობებზე (მაგალითად, თანამშრომლების მონიტორინგის კომუნალური საშუალებები).
Მონაცემთა წყაროები	მომხმარებლის/ერთეულის მონაცემების კონტექსტით გაჯერება. მხარს უჭერს რეალურ დროში სტრუქტურირებული მოვლენების შეგროვებას, ისევე როგორც სტრუქტურირებული/არასტრუქტურირებული შეკრული მონაცემები IT დირექტორიებიდან - მაგალითად, Active Directory (AD) ან სხვა მანქანით წაკითხვადი საინფორმაციო რესურსები (მაგალითად, HR მონაცემთა ბაზები).	წმინდა UEBA-ს მსგავსად, მაგრამ კონტექსტური მონაცემების ფარგლები შეიძლება განსხვავდებოდეს შემთხვევიდან შემთხვევაში. AD და LDAP არის ყველაზე გავრცელებული კონტექსტური მონაცემთა მაღაზიები, რომლებსაც იყენებენ ჩაშენებული UEBA გადაწყვეტილებები.
ხელმისაწვდომობა	გთავაზობთ ჩამოთვლილ ფუნქციებს, როგორც დამოუკიდებელი პროდუქტი.	შეუძლებელია ჩაშენებული UEBA ფუნქციის ყიდვა გარე გადაწყვეტის შეძენის გარეშე, რომელშიც ის არის ჩაშენებული.
წყარო: Gartner (2019 წლის მაისი)

ამრიგად, გარკვეული პრობლემების გადასაჭრელად, ჩაშენებულ UEBA-ს შეუძლია გამოიყენოს ძირითადი UEBA ანალიტიკა (მაგალითად, მარტივი უკონტროლო მანქანური სწავლება), მაგრამ ამავე დროს, ზუსტად საჭირო მონაცემებზე წვდომის გამო, ის შეიძლება იყოს მთლიანობაში უფრო ეფექტური, ვიდრე „სუფთა“ UEBA გადაწყვეტა. ამავდროულად, UEBA-ს „სუფთა“ პლატფორმები, როგორც მოსალოდნელი იყო, გვთავაზობს უფრო რთულ ანალიტიკას, როგორც ძირითად ნოუ-ჰაუს, ჩაშენებულ UEBA ინსტრუმენტთან შედარებით. ეს შედეგები შეჯამებულია ცხრილში 2.

ცხრილი 2. „სუფთა“ და ჩაშენებულ UEBA-ს შორის განსხვავებების შედეგი

კატეგორია	"სუფთა" UEBA პლატფორმები	სხვა გადაწყვეტილებები ჩაშენებული UEBA-ით
ანალიტიკა	გამოყენებადობა სხვადასხვა ბიზნეს პრობლემების გადასაჭრელად გულისხმობს UEBA ფუნქციების უფრო უნივერსალურ კომპლექტს, აქცენტით უფრო რთულ ანალიტიკასა და მანქანათმცოდნეობის მოდელებზე.	ბიზნეს პრობლემების მცირე კომპლექტზე ფოკუსირება ნიშნავს მაღალ სპეციალიზებულ ფუნქციებს, რომლებიც ფოკუსირებულია აპლიკაციის სპეციფიკურ მოდელებზე უფრო მარტივი ლოგიკით.
ანალიტიკა	ანალიტიკური მოდელის მორგება აუცილებელია თითოეული აპლიკაციის სცენარისთვის.	ანალიტიკური მოდელები წინასწარ არის კონფიგურირებული ინსტრუმენტისთვის, რომელსაც აქვს ჩაშენებული UEBA. ჩაშენებული UEBA-ს მქონე ხელსაწყო ზოგადად უფრო სწრაფ შედეგებს აღწევს გარკვეული ბიზნეს პრობლემების გადაჭრაში.
Მონაცემთა წყაროები	მონაცემთა წყაროებზე წვდომა კორპორატიული ინფრასტრუქტურის ყველა კუთხიდან.	მონაცემთა ნაკლები წყარო, ჩვეულებრივ შეზღუდულია მათთვის აგენტების ხელმისაწვდომობით ან თავად ხელსაწყოს UEBA ფუნქციებით.
Მონაცემთა წყაროები	თითოეულ ჟურნალში შემავალი ინფორმაცია შეიძლება შეზღუდული იყოს მონაცემთა წყაროთი და არ შეიცავდეს ყველა საჭირო მონაცემს ცენტრალიზებული UEBA ინსტრუმენტისთვის.	აგენტის მიერ შეგროვებული და UEBA-სთვის გადაცემული ნედლეულის ოდენობა და დეტალი შეიძლება იყოს კონკრეტულად კონფიგურირებული.
არქიტექტურა	ეს არის სრული UEBA პროდუქტი ორგანიზაციისთვის. ინტეგრაცია უფრო ადვილია SIEM სისტემის ან მონაცემთა ტბის შესაძლებლობების გამოყენებით.	მოითხოვს UEBA ფუნქციების ცალკეულ კომპლექტს თითოეული გადაწყვეტილებისთვის, რომელსაც აქვს ჩაშენებული UEBA. ჩაშენებული UEBA გადაწყვეტილებები ხშირად მოითხოვს აგენტების დაყენებას და მონაცემთა მართვას.
ინტეგრაცია	UEBA-ს გადაწყვეტის მექანიკური ინტეგრაცია სხვა ინსტრუმენტებთან თითოეულ შემთხვევაში. საშუალებას აძლევს ორგანიზაციას შექმნას თავისი ტექნოლოგიური წყობა „საუკეთესო ანალოგებს შორის“ მიდგომის საფუძველზე.	UEBA ფუნქციების ძირითადი პაკეტები უკვე შედის მწარმოებლის მიერ თავად ინსტრუმენტში. UEBA მოდული ჩაშენებულია და მისი ამოღება შეუძლებელია, ამიტომ მომხმარებელს არ შეუძლია შეცვალოს იგი თავისით.
წყარო: Gartner (2019 წლის მაისი)

UEBA, როგორც ფუნქცია

UEBA ხდება კიბერუსაფრთხოების საბოლოო გადაწყვეტილებების მახასიათებელი, რომელსაც შეუძლია ისარგებლოს დამატებითი ანალიტიკით. UEBA საფუძვლად უდევს ამ გადაწყვეტილებებს, რომელიც უზრუნველყოფს მოწინავე ანალიტიკის მძლავრ ფენას, რომელიც დაფუძნებულია მომხმარებლის და/ან ერთეულის ქცევის შაბლონებზე.

ამჟამად ბაზარზე, ჩაშენებული UEBA ფუნქციონირება ხორციელდება შემდეგ გადაწყვეტილებებში, დაჯგუფებული ტექნოლოგიური სფეროს მიხედვით:

• მონაცემებზე ორიენტირებული აუდიტი და დაცვა, არის მომწოდებლები, რომლებიც ორიენტირებულია სტრუქტურირებული და არასტრუქტურირებული მონაცემთა შენახვის უსაფრთხოების გაუმჯობესებაზე (aka DCAP).

  გამყიდველების ამ კატეგორიაში, Gartner აღნიშნავს, სხვა საკითხებთან ერთად, ვარონისის კიბერუსაფრთხოების პლატფორმა, რომელიც გთავაზობთ მომხმარებლის ქცევის ანალიტიკას არასტრუქტურირებული მონაცემების ნებართვების, წვდომისა და გამოყენების ცვლილებების მონიტორინგისთვის სხვადასხვა ინფორმაციის მაღაზიებში.

• CASB სისტემები, გთავაზობთ ღრუბელზე დაფუძნებულ SaaS აპლიკაციებში სხვადასხვა საფრთხისგან დაცვას არასასურველი მოწყობილობებისთვის, მომხმარებლებისთვის და აპლიკაციის ვერსიებისთვის ღრუბლოვან სერვისებზე წვდომის დაბლოკვით ადაპტაციური წვდომის კონტროლის სისტემის გამოყენებით.

  ბაზრის წამყვანი CASB გადაწყვეტილებები მოიცავს UEBA-ს შესაძლებლობებს.

• DLP გადაწყვეტილებები – ორიენტირებულია ორგანიზაციის გარეთ კრიტიკული მონაცემების გადაცემის ან მისი ბოროტად გამოყენების აღმოჩენაზე.

  DLP-ის მიღწევები ძირითადად დაფუძნებულია შინაარსის გაგებაზე, ნაკლები კონტექსტის გაგებაზე, როგორიცაა მომხმარებელი, აპლიკაცია, მდებარეობა, დრო, მოვლენების სიჩქარე და სხვა გარე ფაქტორები. ეფექტური რომ იყოს, DLP პროდუქტებმა უნდა აღიარონ როგორც შინაარსი, ასევე კონტექსტი. სწორედ ამიტომ ბევრი მწარმოებელი იწყებს UEBA ფუნქციების ინტეგრირებას მათ გადაწყვეტილებებში.

• თანამშრომლების მონიტორინგი ეს არის თანამშრომლის ქმედებების ჩაწერის და ხელახალი დაკვრის შესაძლებლობა, როგორც წესი, მონაცემთა ფორმატში, რომელიც შესაფერისია სასამართლო პროცესისთვის (საჭიროების შემთხვევაში).

  მომხმარებლების მუდმივი მონიტორინგი ხშირად წარმოქმნის უამრავ მონაცემს, რაც მოითხოვს ხელით ფილტრაციას და ადამიანურ ანალიზს. აქედან გამომდინარე, UEBA გამოიყენება მონიტორინგის სისტემებში ამ გადაწყვეტილებების მუშაობის გასაუმჯობესებლად და მხოლოდ მაღალი რისკის ინციდენტების გამოსავლენად.

• ბოლო წერტილის უსაფრთხოება – ბოლო წერტილის აღმოჩენისა და რეაგირების (EDR) გადაწყვეტილებები და ბოლო წერტილის დაცვის პლატფორმები (EPP) უზრუნველყოფს მძლავრ ინსტრუმენტაციას და ოპერაციული სისტემის ტელემეტრიას
  ბოლო მოწყობილობები.

  მომხმარებელთან დაკავშირებული ასეთი ტელემეტრია შეიძლება გაანალიზდეს ჩაშენებული UEBA ფუნქციონირების უზრუნველსაყოფად.

• ონლაინ თაღლითობა – ონლაინ თაღლითობის აღმოჩენის გადაწყვეტილებები აღმოაჩენს დევიანტურ აქტივობას, რომელიც მიუთითებს მომხმარებლის ანგარიშის კომპრომისზე თაღლითობის, მავნე პროგრამის ან დაუცველი კავშირების/ბრაუზერის ტრაფიკის ჩარევის გზით.

  თაღლითობის გადაწყვეტილებების უმეტესობა იყენებს UEBA-ს არსს, ტრანზაქციის ანალიზს და მოწყობილობების გაზომვას, უფრო მოწინავე სისტემებით, რომლებიც ავსებენ მათ იდენტიფიკაციის მონაცემთა ბაზაში შესაბამისი ურთიერთობებით.

• IAM და წვდომის კონტროლი – Gartner აღნიშნავს წვდომის კონტროლის სისტემების მომწოდებლებს შორის ევოლუციურ ტენდენციას, რათა ინტეგრირდნენ სუფთა მომწოდებლებთან და ააშენონ UEBA-ს გარკვეული ფუნქციონირება მათ პროდუქტებში.
• IAM და იდენტობის მმართველობის და ადმინისტრირების (IGA) სისტემები გამოიყენეთ UEBA ქცევითი და იდენტობის ანალიტიკის სცენარების დასაფარად, როგორიცაა ანომალიების გამოვლენა, მსგავსი ერთეულების დინამიური დაჯგუფების ანალიზი, შესვლის ანალიზი და წვდომის პოლიტიკის ანალიზი.
• IAM და პრივილეგირებული წვდომის მენეჯმენტი (PAM) – ადმინისტრაციული ანგარიშების გამოყენების მონიტორინგის როლიდან გამომდინარე, PAM გადაწყვეტილებებს გააჩნია ტელემეტრია, რათა აჩვენოს, როგორ, რატომ, როდის და სად იქნა გამოყენებული ადმინისტრაციული ანგარიშები. ეს მონაცემები შეიძლება გაანალიზდეს UEBA-ს ჩაშენებული ფუნქციონირების გამოყენებით ადმინისტრატორების ანომალიური ქცევის ან მავნე განზრახვის არსებობისთვის.
• Manufacturers NTA (ქსელის ტრაფიკის ანალიზი) – გამოიყენეთ მანქანათმცოდნეობის, მოწინავე ანალიტიკისა და წესებზე დაფუძნებული გამოვლენის კომბინაცია კორპორატიულ ქსელებში საეჭვო აქტივობის დასადგენად.

  NTA ინსტრუმენტები განუწყვეტლივ აანალიზებენ წყაროს ტრაფიკს და/ან ნაკადის ჩანაწერებს (მაგ. NetFlow) მოდელების შესაქმნელად, რომლებიც ასახავს ქსელის ნორმალურ ქცევას, პირველ რიგში ფოკუსირებულია ერთეულის ქცევის ანალიტიკაზე.

• siem – SIEM-ის ბევრ მომწოდებელს ახლა აქვს მონაცემთა ანალიტიკის გაფართოებული ფუნქცია ჩაშენებული SIEM-ში, ან როგორც ცალკე UEBA მოდული. 2018 წლის განმავლობაში და 2019 წელს, SIEM და UEBA ფუნქციებს შორის საზღვრების მუდმივი ბუნდოვანი იყო, როგორც ეს განხილულია სტატიაში. "ტექნოლოგიური ინსაითი თანამედროვე SIEM-ისთვის". SIEM სისტემები უკეთესად მუშაობენ ანალიტიკასთან და სთავაზობენ უფრო რთულ აპლიკაციების სცენარებს.

UEBA განაცხადის სცენარები

UEBA-ს გადაწყვეტილებებს შეუძლია პრობლემების ფართო სპექტრის გადაჭრა. თუმცა, Gartner-ის კლიენტები თანხმდებიან, რომ პირველადი გამოყენების შემთხვევა მოიცავს სხვადასხვა კატეგორიის საფრთხეების გამოვლენას, რაც მიიღწევა მომხმარებლის ქცევასა და სხვა ერთეულებს შორის ხშირი კორელაციების ჩვენებითა და ანალიზით:

• მონაცემთა უნებართვო წვდომა და გადაადგილება;
• პრივილეგირებული მომხმარებლების საეჭვო ქცევა, თანამშრომლების მავნე ან არასანქცირებული საქმიანობა;
• ღრუბლოვანი რესურსების არასტანდარტული წვდომა და გამოყენება;
• ა.შ.

ასევე არსებობს ატიპიური არა-კიბერუსაფრთხოების გამოყენების შემთხვევები, როგორიცაა თაღლითობა ან თანამშრომლების მონიტორინგი, რისთვისაც UEBA შეიძლება გამართლებული იყოს. თუმცა, ისინი ხშირად საჭიროებენ მონაცემთა წყაროებს, რომლებიც არ არის დაკავშირებული IT და ინფორმაციულ უსაფრთხოებასთან, ან კონკრეტულ ანალიტიკურ მოდელებს ამ სფეროს ღრმა გაგებით. ხუთი ძირითადი სცენარი და პროგრამა, რომლებზეც UEBA-ს მწარმოებლები და მათი მომხმარებლები თანხმდებიან, აღწერილია ქვემოთ.

"მავნე ინსაიდერი"

UEBA-ს გადაწყვეტილებების პროვაიდერები, რომლებიც მოიცავს ამ სცენარს, მხოლოდ აკვირდებიან თანამშრომლებს და სანდო კონტრაქტორებს უჩვეულო, „ცუდი“ ან მავნე ქცევისთვის. ექსპერტიზის ამ სფეროში გამყიდველები არ ახორციელებენ მონიტორინგს ან აანალიზებენ მომსახურების ანგარიშების ან სხვა არაადამიანური პირების ქცევას. ძირითადად ამის გამო, ისინი არ არიან ორიენტირებულნი მოწინავე საფრთხეების აღმოჩენაზე, სადაც ჰაკერები იკავებენ არსებულ ანგარიშებს. ამის ნაცვლად, ისინი მიზნად ისახავს მავნე საქმიანობაში ჩართული თანამშრომლების იდენტიფიცირებას.

არსებითად, „მავნე ინსაიდერის“ კონცეფცია მომდინარეობს სანდო მომხმარებლებისგან მავნე განზრახვით, რომლებიც ეძებენ გზებს ზიანი მიაყენონ თავიანთ დამსაქმებელს. იმის გამო, რომ მავნე განზრახვის გაზომვა რთულია, ამ კატეგორიის საუკეთესო მომწოდებლები აანალიზებენ კონტექსტური ქცევის მონაცემებს, რომლებიც ადვილად ხელმისაწვდომი არ არის აუდიტის ჟურნალებში.

გადაწყვეტილებების პროვაიდერები ამ სივრცეში ასევე ოპტიმალურად ამატებენ და აანალიზებენ არასტრუქტურირებულ მონაცემებს, როგორიცაა ელ.ფოსტის შინაარსი, პროდუქტიულობის ანგარიშები ან სოციალური მედიის ინფორმაცია, რათა უზრუნველყონ ქცევის კონტექსტი.

კომპრომეტირებული ინსაიდერი და ინტრუზიული საფრთხეები

გამოწვევაა „ცუდი“ ქცევის სწრაფად გამოვლენა და ანალიზი მას შემდეგ, რაც თავდამსხმელი მოიპოვებს წვდომას ორგანიზაციაში და დაიწყებს მოძრაობას IT ინფრასტრუქტურაში.
დამამტკიცებელი საფრთხეები (APT), ისევე როგორც უცნობი ან ჯერ კიდევ ბოლომდე გაუგებარი საფრთხეები, ძალზედ ძნელია ამოცნობა და ხშირად დამალულია მომხმარებლის კანონიერი აქტივობის ან სერვისის ანგარიშების მიღმა. ასეთ საფრთხეებს, როგორც წესი, აქვთ რთული ოპერაციული მოდელი (იხილეთ, მაგალითად, სტატია " კიბერ მკვლელობის ჯაჭვის მისამართით„) ან მათი ქცევა ჯერ არ არის შეფასებული, როგორც მავნე. ეს ართულებს მათ გამოვლენას მარტივი ანალიტიკის გამოყენებით (როგორიცაა შაბლონების, ზღურბლების ან კორელაციის წესების მიხედვით).

თუმცა, ამ ინტრუზიული საფრთხეებიდან ბევრი იწვევს არასტანდარტულ ქცევას, რომელიც ხშირად მოიცავს არასაეჭვო მომხმარებლებს ან ერთეულებს (ანუ კომპრომეტირებული ინსაიდერები). UEBA-ს ტექნიკა გვთავაზობს რამდენიმე საინტერესო შესაძლებლობას ამგვარი საფრთხის აღმოსაჩენად, გააუმჯობესოს სიგნალი-ხმაურის თანაფარდობა, შეაერთოს და შეამციროს შეტყობინებების მოცულობა, პრიორიტეტულად მიენიჭოს დარჩენილი სიგნალიზაცია და ხელი შეუწყოს ინციდენტების ეფექტურ რეაგირებას და გამოძიებას.

UEBA მომწოდებლებს, რომლებიც მიზნად ისახავს ამ პრობლემურ სფეროს, ხშირად აქვთ ორმხრივი ინტეგრაცია ორგანიზაციის SIEM სისტემებთან.

მონაცემთა ექსფილტრაცია

ამოცანა ამ შემთხვევაში არის აღმოაჩინოს ის ფაქტი, რომ მონაცემები გადადის ორგანიზაციის გარეთ.
ამ გამოწვევაზე ორიენტირებული გამყიდველები, როგორც წესი, იყენებენ DLP-ის ან DAG-ის შესაძლებლობებს ანომალიების გამოვლენით და მოწინავე ანალიტიკით, რითაც აუმჯობესებენ სიგნალ-ხმაურს თანაფარდობას, ახდენენ შეტყობინებების მოცულობის კონსოლიდაციას და პრიორიტეტულ ტრიგერების დარჩენილ ფაქტორებს. დამატებითი კონტექსტისთვის, გამყიდველები, როგორც წესი, უფრო მეტად ეყრდნობიან ქსელის ტრაფიკს (როგორიცაა ვებ პროქსი) და საბოლოო წერტილის მონაცემებს, რადგან ამ მონაცემთა წყაროების ანალიზს შეუძლია დაეხმაროს მონაცემთა ექსფილტრაციის გამოკვლევებს.

მონაცემთა ექსფილტრაციის გამოვლენა გამოიყენება ინსაიდერებისა და გარე ჰაკერების დასაჭერად, რომლებიც ემუქრებიან ორგანიზაციას.

პრივილეგირებული წვდომის იდენტიფიკაცია და მართვა

UEBA-ს დამოუკიდებელი გადაწყვეტილებების მწარმოებლები ამ ექსპერტიზის სფეროში აკვირდებიან და აანალიზებენ მომხმარებლის ქცევას უკვე ჩამოყალიბებული უფლებების სისტემის ფონზე, რათა დაადგინონ ზედმეტი პრივილეგიები ან ანომალიური წვდომა. ეს ეხება ყველა ტიპის მომხმარებელს და ანგარიშს, მათ შორის პრივილეგირებულ და სერვისულ ანგარიშებს. ორგანიზაციები ასევე იყენებენ UEBA-ს, რათა თავიდან აიცილონ მიძინებული ანგარიშები და მომხმარებლის პრივილეგიები, რომლებიც საჭიროზე მაღალია.

ინციდენტების პრიორიტეტიზაცია

ამ ამოცანის მიზანია პრიორიტეტულად მიენიჭოს შეტყობინებები, რომლებიც წარმოიქმნება გადაწყვეტილებებით მათ ტექნოლოგიურ დასტაში, რათა გავიგოთ, რომელ ინციდენტებს ან პოტენციურ ინციდენტებს უნდა მიმართოთ პირველ რიგში. UEBA-ს მეთოდოლოგიები და ინსტრუმენტები სასარგებლოა იმ ინციდენტების იდენტიფიცირებისთვის, რომლებიც განსაკუთრებით ანომალიური ან განსაკუთრებით საშიშია მოცემული ორგანიზაციისთვის. ამ შემთხვევაში, UEBA მექანიზმი არა მხოლოდ იყენებს აქტივობის საბაზისო დონეს და საფრთხის მოდელებს, არამედ აჯერებს ინფორმაციას კომპანიის ორგანიზაციული სტრუქტურის შესახებ (მაგალითად, კრიტიკული რესურსები ან როლები და თანამშრომლების წვდომის დონეები).

UEBA-ს გადაწყვეტილებების დანერგვის პრობლემები

UEBA-ს გადაწყვეტილებების ბაზრის ტკივილი არის მათი მაღალი ფასი, კომპლექსური განხორციელება, შენარჩუნება და გამოყენება. მიუხედავად იმისა, რომ კომპანიები ებრძვიან სხვადასხვა შიდა პორტალების რაოდენობას, ისინი იღებენ სხვა კონსოლს. ახალ ინსტრუმენტში დროისა და რესურსების ინვესტიციის ზომა დამოკიდებულია დავალებებსა და ანალიტიკის ტიპებზე, რომლებიც საჭიროა მათი გადასაჭრელად და ყველაზე ხშირად მოითხოვს დიდ ინვესტიციებს.

ბევრი მწარმოებლის მტკიცების საპირისპიროდ, UEBA არ არის „დააყენე და დაივიწყე“ ინსტრუმენტი, რომელიც შემდეგ შეიძლება უწყვეტად იმუშაოს დღის განმავლობაში.
მაგალითად, Gartner-ის კლიენტები აღნიშნავენ, რომ UEBA-ს ინიციატივის ნულიდან დაწყებას სჭირდება 3-დან 6 თვემდე, რათა მიიღონ პრობლემების გადაჭრის პირველი შედეგები, რისთვისაც ეს გადაწყვეტა განხორციელდა. უფრო რთული ამოცანებისთვის, როგორიცაა ორგანიზაციაში შიდა საფრთხეების იდენტიფიცირება, პერიოდი იზრდება 18 თვემდე.

UEBA-ს დანერგვის სირთულეზე და ინსტრუმენტის სამომავლო ეფექტურობაზე გავლენის ფაქტორები:

• ორგანიზაციის არქიტექტურის, ქსელის ტოპოლოგიისა და მონაცემთა მართვის პოლიტიკის სირთულე
• სწორი მონაცემების ხელმისაწვდომობა დეტალების სწორ დონეზე
• გამყიდველის ანალიტიკური ალგორითმების სირთულე - მაგალითად, სტატისტიკური მოდელების გამოყენება და მანქანური სწავლება მარტივი შაბლონებისა და წესების წინააღმდეგ.
• ჩართული წინასწარ კონფიგურირებული ანალიტიკის ოდენობა - ეს არის მწარმოებლის გაგება იმის შესახებ, თუ რა მონაცემები უნდა შეგროვდეს თითოეული ამოცანისთვის და რომელი ცვლადები და ატრიბუტებია ყველაზე მნიშვნელოვანი ანალიზის შესასრულებლად.
• რამდენად მარტივია მწარმოებლისთვის საჭირო მონაცემებთან ავტომატურად ინტეგრირება.

  მაგალითად:

  • თუ UEBA-ს გადაწყვეტა იყენებს SIEM სისტემას, როგორც მონაცემთა ძირითად წყაროს, აგროვებს თუ არა SIEM ინფორმაციას მონაცემთა საჭირო წყაროებიდან?
  • შესაძლებელია თუ არა საჭირო მოვლენის ჟურნალები და ორგანიზაციული კონტექსტის მონაცემები UEBA-ს გადაწყვეტაში?
  • თუ SIEM სისტემა ჯერ არ აგროვებს და აკონტროლებს UEBA-ს გადაწყვეტისთვის საჭირო მონაცემთა წყაროებს, მაშინ როგორ შეიძლება მათი გადატანა იქ?

• რამდენად მნიშვნელოვანია განაცხადის სცენარი ორგანიზაციისთვის, რამდენ მონაცემთა წყაროს მოითხოვს იგი და რამდენად ემთხვევა ეს ამოცანა მწარმოებლის ექსპერტიზის სფეროს.
• ორგანიზაციული სიმწიფის და ჩართულობის რა ხარისხია საჭირო – მაგალითად, წესებისა და მოდელების შექმნა, განვითარება და დახვეწა; ცვლადებისთვის წონების მინიჭება შეფასებისთვის; ან რისკის შეფასების ზღვრის კორექტირება.
• რამდენად მასშტაბურია გამყიდველის გადაწყვეტა და მისი არქიტექტურა ორგანიზაციის ამჟამინდელ ზომასა და მის მომავალ მოთხოვნებთან შედარებით.
• დროა შევქმნათ ძირითადი მოდელები, პროფილები და ძირითადი ჯგუფები. მწარმოებლებს ხშირად სჭირდებათ მინიმუმ 30 დღე (და ზოგჯერ 90 დღემდე) ანალიზის ჩასატარებლად, სანამ მათ შეუძლიათ განსაზღვრონ "ნორმალური" ცნებები. ისტორიული მონაცემების ერთხელ ჩატვირთვამ შეიძლება დააჩქაროს მოდელის ტრენინგი. ზოგიერთი საინტერესო შემთხვევის იდენტიფიცირება შესაძლებელია უფრო სწრაფად წესების გამოყენებით, ვიდრე მანქანური სწავლების გამოყენებით წარმოუდგენლად მცირე საწყისი მონაცემებით.
• დინამიური დაჯგუფებისა და ანგარიშის პროფილირებისთვის საჭირო ძალისხმევის დონე (მომსახურება/ადამიანი) შეიძლება მნიშვნელოვნად განსხვავდებოდეს გადაწყვეტილებებს შორის.

წყარო: www.habr.com