μ€λμ UEBA(μ¬μ©μ λ° κ°μ²΄ νλ λΆμ) μμ₯μ λν κ°λ΅ν κ°μλ₯Ό μ 곡νκ² μ΅λλ€.
Gartner μ°κ΅¬μ μ£Όμ κ²°κ³Όλ λ€μκ³Ό κ°μ΄ μμ½λ μ μμ΅λλ€.
- μ¬μ©μ λ° κ°μ²΄μ νλ λΆμ μμ₯μ μ±μλλ μ΄λ¬ν κΈ°μ μ΄ μ€κ²¬κΈ°μ λ° λκΈ°μ λΆλ¬Έμμ λ€μν λΉμ¦λμ€ λ¬Έμ λ₯Ό ν΄κ²°νλ λ° μ¬μ©λλ€λ μ¬μ€λ‘ νμΈλ©λλ€.
- UEBA λΆμ κΈ°λ₯μ CASB(ν΄λΌμ°λ μ‘μΈμ€ 보μ λΈλ‘컀), IGA(ID κ±°λ²λμ€ λ° κ΄λ¦¬) SIEM μμ€ν κ³Ό κ°μ κ΄λ²μν κ΄λ ¨ μ 보 보μ κΈ°μ μ λ΄μ₯λμ΄ μμ΅λλ€.
- UEBA 곡κΈμ 체μ λν κ³Όλ κ΄κ³ μ "μΈκ³΅ μ§λ₯"μ΄λΌλ μ©μ΄μ μλͺ»λ μ¬μ©μΌλ‘ μΈν΄ κ³ κ°μ νμΌλΏ νλ‘μ νΈλ₯Ό μννμ§ μκ³ λ μ μ‘°μ 체 κΈ°μ κ³Ό μ루μ κΈ°λ₯ κ°μ μ€μ μ°¨μ΄μ μ μ΄ν΄νκΈ° μ΄λ ΅μ΅λλ€.
- κ³ κ°μ κΈ°λ³Έμ μΈ μν νμ§ λͺ¨λΈλ§ κ³ λ €νλλΌλ UEBA μ루μ μ ꡬν μκ°κ³Ό μΌμμ μΈ μ¬μ©μ΄ μ μ‘°μ μ²΄κ° μ½μν κ²λ³΄λ€ λ λ Έλ μ§μ½μ μ΄κ³ μκ°μ΄ λ§μ΄ 걸릴 μ μλ€λ μ μ μ£Όλͺ©ν©λλ€. λ§μΆ€ν λλ μ£μ§ μ¬μ© μ¬λ‘λ₯Ό μΆκ°νλ κ²μ λ§€μ° μ΄λ €μΈ μ μμΌλ©° λ°μ΄ν° κ³Όν λ° λΆμμ λν μ λ¬Έ μ§μμ΄ νμν©λλ€.
μ λ΅μ μμ₯ κ°λ° μμΈ‘:
- 2021λ κΉμ§ UEBA(μ¬μ©μ λ° κ°μ²΄ νλ λΆμ) μμ€ν μμ₯μ λ μ΄μ λ³λμ μμμΌλ‘ μ‘΄μ¬νμ§ μκ³ UEBA κΈ°λ₯μ κ°μΆ λ€λ₯Έ μ루μ μΌλ‘ μ νλ κ²μ λλ€.
- 2020λ κΉμ§ λͺ¨λ UEBA λ°°ν¬μ 95%κ° λ κ΄λ²μν 보μ νλ«νΌμ μΌλΆκ° λ κ²μ λλ€.
UEBA μ루μ μ μ μ
UEBA μ루μ
μ λ΄μ₯λ λΆμμ μ¬μ©νμ¬ μ¬μ©μ λ° κΈ°ν κ°μ²΄(μ: νΈμ€νΈ, μ ν리μΌμ΄μ
, λ€νΈμν¬ νΈλν½, λ°μ΄ν° μ μ₯μ)μ νλμ νκ°ν©λλ€.
μ΄λ μΌλ°μ μΌλ‘ μΌμ κΈ°κ° λμ μ μ¬ν κ·Έλ£Ήμ μν μ¬μ©μ λ° μν°ν°μ νμ€ νλ‘ν λ° νλκ³Ό λΉκ΅νμ¬ λΉμ μμ μΈ νλμ λνλ΄λ μν λ° μ μ¬μ μ¬κ³ λ₯Ό νμ§ν©λλ€.
μν°νλΌμ΄μ¦ λΆλ¬Έμμ κ°μ₯ μΌλ°μ μΈ μ¬μ© μ¬λ‘λ μν νμ§ λ° λμλΏ μλλΌ λ΄λΆμ μν(μ£Όλ‘ μμλ λ΄λΆμ, λλ‘λ λ΄λΆ 곡격μ)μ λν νμ§ λ° λμμ λλ€.
UEBAλ λ§μΉ κ²°μ κ³Ό ν¨μ, νΉμ λꡬμ λ΄μ₯:
- μ루μ μ SIEM μ루μ μ λ³λλ‘ ν맀νλ 곡κΈμ 체λ₯Ό ν¬ν¨νμ¬ "μμν" UEBA νλ«νΌ μ μ‘°μ 체μ λλ€. μ¬μ©μμ μν°ν° λͺ¨λμ νλ λΆμμμ κ΄λ²μν λΉμ¦λμ€ λ¬Έμ μ μ€μ μ λ‘λλ€.
- μλ² λλ β UEBA κΈ°λ₯κ³Ό κΈ°μ μ μ루μ μ ν΅ν©νλ μ μ‘°μ 체/λΆμμ λλ€. μΌλ°μ μΌλ‘ λ³΄λ€ κ΅¬μ²΄μ μΈ λΉμ¦λμ€ λ¬Έμ μ μ€μ μ λ‘λλ€. μ΄ κ²½μ° UEBAλ μ¬μ©μ λ°/λλ μν°ν°μ λμμ λΆμνλ λ° μ¬μ©λ©λλ€.
Gartnerλ UEBAλ₯Ό λ¬Έμ ν΄κ²°μ¬, λΆμ, λ°μ΄ν° μμ€ λ± μΈ κ°μ§ μΆμΌλ‘ λ΄ λλ€(κ·Έλ¦Ό μ°Έμ‘°).
"μμν" UEBA νλ«νΌκ³Ό λ΄μ₯ν UEBA λΉκ΅
Gartnerλ "μμν" UEBA νλ«νΌμ λ€μκ³Ό κ°μ μ루μ μΌλ‘ κ°μ£Όν©λλ€.
- μΆμμ μΈ "λΉμ μμ μΈ μ¬μ©μ νλ λͺ¨λν°λ§"λΏλ§ μλλΌ κΆν μλ μ¬μ©μ λͺ¨λν°λ§ λλ μ‘°μ§ μΈλΆλ‘ λ°μ΄ν° μΆλ ₯κ³Ό κ°μ λͺ κ°μ§ νΉμ λ¬Έμ λ₯Ό ν΄κ²°ν©λλ€.
- λ°λμ κΈ°λ³Έ λΆμ μ κ·Ό λ°©μμ κΈ°λ°μΌλ‘ νλ 볡μ‘ν λΆμμ μ¬μ©ν©λλ€.
- μΈνλΌμ λ³λμ μμ΄μ νΈλ₯Ό λ°°ν¬ν νμ μμ΄ λ΄μ₯λ λ°μ΄ν° μμ€ λ©μ»€λμ¦κ³Ό λ‘κ·Έ κ΄λ¦¬ λꡬ, λ°μ΄ν° λ μ΄ν¬ λ°/λλ SIEM μμ€ν μ ν¬ν¨νμ¬ λ°μ΄ν° μμ§μ μν μ¬λ¬ μ΅μ μ μ 곡ν©λλ€.
- μ νμ ν¬ν¨λμ§ μκ³ λ
립ν μ루μ
μΌλ‘ ꡬ맀 λ° λ°°ν¬ κ°λ₯
λ€λ₯Έ μ νμ ꡬμ±.
μλ νμμλ λ κ°μ§ μ κ·Ό λ°©μμ λΉκ΅ν©λλ€.
ν 1. "μμν" UEBA μ루μ κ³Ό λ΄μ₯ν μ루μ λΉκ΅
λ²μ£Ό | "μμν" UEBA νλ«νΌ | UEBAκ° λ΄μ₯λ κΈ°ν μ루μ |
ν΄κ²°ν΄μΌ ν λ¬Έμ | μ¬μ©μ νλ λ° μν°ν° λΆμ. | λ°μ΄ν°κ° λΆμ‘±νλ©΄ UEBAκ° μ¬μ©μλ μν°ν°μ λμλ§ λΆμνλ λ° μ νμ΄ μμ μ μμ΅λλ€. |
ν΄κ²°ν΄μΌ ν λ¬Έμ | λ€μν λ¬Έμ λ₯Ό ν΄κ²°νλ μν μ ν©λλ€. | μ νλ μμ μΈνΈλ₯Ό μ λ¬ΈμΌλ‘ ν©λλ€. |
μΉ λ‘κ·Έ λΆμ | μ£Όλ‘ ν΅κ³ λͺ¨λΈ, κΈ°κ³ νμ΅, κ·μΉ λ° μκ·Έλμ²λ₯Ό ν΅ν΄ λ€μν λΆμ λ°©λ²μ μ¬μ©νμ¬ μ΄μ μ§νλ₯Ό νμ§ν©λλ€. μ¬μ©μ λ° μν°ν° νλμ μμ±νκ³ ν΄λΉ μ¬μ©μ λ° λλ£μ νλ‘νκ³Ό λΉκ΅ν μ μλ λΆμ κΈ°λ₯μ΄ λ΄μ₯λμ΄ μμ΅λλ€. | μμ UEBAμ μ μ¬νμ§λ§ λΆμμ μ¬μ©μ λ°/λλ μν°ν°λ‘λ§ μ νλ μ μμ΅λλ€. |
μΉ λ‘κ·Έ λΆμ | κ·μΉμλ§ κ΅νλμ§ μλ κ³ κΈ λΆμ κΈ°λ₯. μλ₯Ό λ€μ΄ μν°ν°λ₯Ό λμ μΌλ‘ κ·Έλ£Ήννλ ν΄λ¬μ€ν°λ§ μκ³ λ¦¬μ¦μ΄ μμ΅λλ€. | "μμν" UEBAμ μ μ¬νμ§λ§ μΌλΆ λ΄μ₯λ μν λͺ¨λΈμ μν°ν° κ·Έλ£Ήνλ μλμΌλ‘λ§ λ³κ²½ν μ μμ΅λλ€. |
μΉ λ‘κ·Έ λΆμ | λΉμ μμ μΈ νλμ μλ³νκΈ° μν΄ μ¬μ©μ λ° κΈ°ν μν°ν°(μ: λ² μ΄μ§μ λ€νΈμν¬ μ¬μ©)μ νλκ³Ό νλμ μκ΄ κ΄κ³ λ° κ°λ³ μν νλμ μ§κ³. | μμ UEBAμ μ μ¬νμ§λ§ λΆμμ μ¬μ©μ λ°/λλ μν°ν°λ‘λ§ μ νλ μ μμ΅λλ€. |
λ°μ΄ν° μμ€ | λ΄μ₯λ λ©μ»€λμ¦μ΄λ SIEM λλ Data Lakeμ κ°μ κΈ°μ‘΄ λ°μ΄ν° μ μ₯μλ₯Ό ν΅ν΄ μ§μ λ°μ΄ν° μμ€λ‘λΆν° μ¬μ©μ λ° μν°ν°μ λν μ΄λ²€νΈλ₯Ό μμ ν©λλ€. | λ°μ΄ν°λ₯Ό νλνλ λ©μ»€λμ¦μ μΌλ°μ μΌλ‘ μ§μ μ μ΄λ©° μ¬μ©μ λ°/λλ κΈ°ν μν°ν°μλ§ μν₯μ λ―ΈμΉ©λλ€. λ‘κ·Έ κ΄λ¦¬ λꡬ/SIEM/λ°μ΄ν° λ μ΄ν¬λ₯Ό μ¬μ©νμ§ λ§μΈμ. |
λ°μ΄ν° μμ€ | μ루μ μ λ°μ΄ν°μ μ£Όμ μμ€λ‘ λ€νΈμν¬ νΈλν½μλ§ μμ‘΄ν΄μλ μ λλ©°, μ격 λΆμμ μμ§νκΈ° μν΄ μ체 μμ΄μ νΈμλ§ μμ‘΄ν΄μλ μ λ©λλ€. | μ루μ μ λ€νΈμν¬ νΈλν½(μ: NTA - λ€νΈμν¬ νΈλν½ λΆμ)μλ§ μ§μ€νκ±°λ μ΅μ’ μ₯μΉ(μ: μ§μ λͺ¨λν°λ§ μ νΈλ¦¬ν°)μμ μμ΄μ νΈλ₯Ό μ¬μ©ν μ μμ΅λλ€. |
λ°μ΄ν° μμ€ | μ¬μ©μ/μν°ν° λ°μ΄ν°λ₯Ό 컨ν μ€νΈλ‘ ν¬νμν΅λλ€. IT λλ ν°λ¦¬(μ: AD(Active Directory) λλ κΈ°ν κΈ°κ³μμ μ½μ μ μλ μ 보 리μμ€(μ: HR λ°μ΄ν°λ² μ΄μ€))μ ꡬ쑰μ /λΉκ΅¬μ‘°μ κ²°ν© λ°μ΄ν°λ λ¬Όλ‘ κ΅¬μ‘°νλ μ΄λ²€νΈμ μ€μκ° μμ§μ μ§μν©λλ€. | μμ UEBAμ μ μ¬νμ§λ§ μν©λ³ λ°μ΄ν°μ λ²μλ κ²½μ°μ λ°λΌ λ€λ₯Ό μ μμ΅λλ€. AD λ° LDAPλ μλ² λλ UEBA μ루μ μμ μ¬μ©λλ κ°μ₯ μΌλ°μ μΈ μν©λ³ λ°μ΄ν° μ μ₯μμ λλ€. |
κ°μ©μ± | λμ΄λ κΈ°λ₯μ λ 립ν μ νμΌλ‘ μ 곡ν©λλ€. | UEBA κΈ°λ₯μ΄ λ΄μ₯λ μΈλΆ μ루μ μ ꡬ맀νμ§ μκ³ λ΄μ₯ UEBA κΈ°λ₯μ ꡬ맀νλ κ²μ λΆκ°λ₯ν©λλ€. |
μΆμ²: Gartner(2019λ XNUMXμ) |
λ°λΌμ νΉμ λ¬Έμ λ₯Ό ν΄κ²°νκΈ° μν΄ μλ² λλ UEBAλ κΈ°λ³Έ UEBA λΆμ(μ: κ°λ¨ν λΉμ§λ λ¨Έμ λ¬λ)μ μ¬μ©ν μ μμ§λ§ λμμ νμν λ°μ΄ν°μ μ ννκ² μ κ·Όν μ μκΈ° λλ¬Έμ μ 체μ μΌλ‘ "μμν" UEBAλ³΄λ€ λ ν¨κ³Όμ μΌ μ μμ΅λλ€. UEBA μ루μ . λμμ "μμν" UEBA νλ«νΌμ μμλλ‘ λ΄μ₯λ UEBA λꡬμ λΉν΄ λ 볡μ‘ν λΆμμ μ£Όμ λ Ένμ°λ‘ μ 곡ν©λλ€. μ΄λ¬ν κ²°κ³Όλ ν 2μ μμ½λμ΄ μμ΅λλ€.
ν 2. 'μμ' UEBAμ λ΄μ₯ν UEBAμ μ°¨μ΄μ κ²°κ³Ό
λ²μ£Ό | "μμν" UEBA νλ«νΌ | UEBAκ° λ΄μ₯λ κΈ°ν μ루μ |
μΉ λ‘κ·Έ λΆμ | λ€μν λΉμ¦λμ€ λ¬Έμ λ₯Ό ν΄κ²°νκΈ° μν μ μ© κ°λ₯μ±μ λ³΄λ€ λ³΅μ‘ν λΆμ λ° κΈ°κ³ νμ΅ λͺ¨λΈμ μ€μ μ λ λ³΄λ€ λ³΄νΈμ μΈ UEBA κΈ°λ₯ μΈνΈλ₯Ό μλ―Έν©λλ€. | λ μμ κ·λͺ¨μ λΉμ¦λμ€ λ¬Έμ μ μ΄μ μ λ§μΆλ€λ κ²μ λ κ°λ¨ν λ Όλ¦¬λ₯Ό μ¬μ©νμ¬ μ ν리μΌμ΄μ λ³ λͺ¨λΈμ μ΄μ μ λ§μΆ κ³ λλ‘ μ λ¬Ένλ κΈ°λ₯μ μλ―Έν©λλ€. |
μΉ λ‘κ·Έ λΆμ | κ° μ ν리μΌμ΄μ μλ리μ€λ§λ€ λΆμ λͺ¨λΈμ μ¬μ©μ μ μκ° νμν©λλ€. | λΆμ λͺ¨λΈμ UEBAκ° λ΄μ₯λ λꡬμ λν΄ μ¬μ ꡬμ±λμ΄ μμ΅λλ€. UEBAκ° λ΄μ₯λ λꡬλ μΌλ°μ μΌλ‘ νΉμ λΉμ¦λμ€ λ¬Έμ λ₯Ό ν΄κ²°νλ λ° μμ΄ λ λΉ λ₯Έ κ²°κ³Όλ₯Ό μ»μ΅λλ€. |
λ°μ΄ν° μμ€ | κΈ°μ μΈνλΌμ λͺ¨λ λΆλΆμμ λ°μ΄ν° μμ€μ μ‘μΈμ€ν©λλ€. | λ°μ΄ν° μμ€ μκ° μ μΌλ©° μΌλ°μ μΌλ‘ ν΄λΉ μμ΄μ νΈ λλ UEBA κΈ°λ₯μ΄ μλ λꡬ μ체μ κ°μ©μ±μΌλ‘ μΈν΄ μ νλ©λλ€. |
λ°μ΄ν° μμ€ | κ° λ‘κ·Έμ ν¬ν¨λ μ 보λ λ°μ΄ν° μμ€μ μν΄ μ νλ μ μμΌλ©° μ€μ μ§μ€μ UEBA λꡬμ νμν λͺ¨λ λ°μ΄ν°λ₯Ό ν¬ν¨νμ§ μμ μ μμ΅λλ€. | μμ΄μ νΈκ° μμ§νμ¬ UEBAλ‘ μ μ‘νλ μμ λ°μ΄ν°μ μκ³Ό μΈλΆ μ¬νμ ꡬ체μ μΌλ‘ ꡬμ±ν μ μμ΅λλ€. |
ꡬ쑰 | μ‘°μ§μ μν μλ²½ν UEBA μ νμ λλ€. SIEM μμ€ν λλ λ°μ΄ν° λ μ΄ν¬μ κΈ°λ₯μ μ¬μ©νλ©΄ ν΅ν©μ΄ λ μ¬μμ§λλ€. | UEBAκ° λ΄μ₯λ κ° μ루μ μ λν΄ λ³λμ UEBA κΈ°λ₯ μΈνΈκ° νμν©λλ€. μλ² λλ UEBA μ루μ μλ μμ΄μ νΈ μ€μΉ λ° λ°μ΄ν° κ΄λ¦¬κ° νμν κ²½μ°κ° λ§μ΅λλ€. |
ΠΠ½ΡΠ΅Π³ΡΠ°ΡΠΈΡ | κ°κ°μ κ²½μ° UEBA μ루μ μ λ€λ₯Έ λꡬμ μλμΌλ‘ ν΅ν©ν©λλ€. μ‘°μ§μ΄ "μλ λ‘κ·Έ μ€ μ΅κ³ " μ κ·Ό λ°©μμ κΈ°λ°μΌλ‘ κΈ°μ μ€νμ ꡬμΆν μ μμ΅λλ€. | UEBA κΈ°λ₯μ μ£Όμ λ²λ€μ μ΄λ―Έ μ μ‘°μ 체μμ λꡬ μ체μ ν¬ν¨λμ΄ μμ΅λλ€. UEBA λͺ¨λμ λ΄μ₯λμ΄ μμ΄ μ κ±°κ° λΆκ°λ₯νλ―λ‘ κ³ κ°μ΄ μ§μ κ΅μ²΄ν μ μμ΅λλ€. |
μΆμ²: Gartner(2019λ XNUMXμ) |
κΈ°λ₯μΌλ‘μμ UEBA
UEBAλ μΆκ° λΆμμ μ΄μ μ λ릴 μ μλ μλν¬μλ μ¬μ΄λ² 보μ μ루μ μ κΈ°λ₯μ΄ λκ³ μμ΅λλ€. UEBAλ μ΄λ¬ν μ루μ μ κΈ°λ°μ΄ λμ΄ μ¬μ©μ λ°/λλ μν°ν° νλ ν¨ν΄μ κΈ°λ°μΌλ‘ νλ κ°λ ₯ν κ³ κΈ λΆμ κ³μΈ΅μ μ 곡ν©λλ€.
νμ¬ μμ₯μ μΆμλ λ΄μ₯ UEBA κΈ°λ₯μ κΈ°μ λ²μλ³λ‘ κ·Έλ£Ήνλ λ€μ μ루μ μμ ꡬνλ©λλ€.
- λ°μ΄ν° μ€μ¬ κ°μ¬ λ° λ³΄νΈλ μ ν λ° λΉμ ν λ°μ΄ν° μ€ν 리μ§(μΌλͺ
DCAP)μ 보μμ ν₯μνλ λ° μ£Όλ ₯νλ 곡κΈμ
체μ
λλ€.
Gartnerλ μ΄ κ³΅κΈμ 체 λ²μ£Όμμ 무μ보λ€λ λ€μκ³Ό κ°μ΄ μ§μ ν©λλ€.
Varonis μ¬μ΄λ² 보μ νλ«νΌ λ λ€μν μ 보 μ μ₯μμμ ꡬ쑰νλμ§ μμ λ°μ΄ν° κΆν, μ‘μΈμ€ λ° μ¬μ©μ λ³νλ₯Ό λͺ¨λν°λ§νκΈ° μν΄ μ¬μ©μ νλ λΆμμ μ 곡ν©λλ€. - CASB μμ€ν
, μ μν μ‘μΈμ€ μ μ΄ μμ€ν
μ μ¬μ©νμ¬ μμΉ μλ μ₯μΉ, μ¬μ©μ λ° μ ν리μΌμ΄μ
λ²μ μ λν ν΄λΌμ°λ μλΉμ€ μ‘μΈμ€λ₯Ό μ°¨λ¨ν¨μΌλ‘μ¨ ν΄λΌμ°λ κΈ°λ° SaaS μ ν리μΌμ΄μ
μ λ€μν μνμΌλ‘λΆν° 보νΈν©λλ€.
μμ₯μ μ λνλ λͺ¨λ CASB μ루μ μλ UEBA κΈ°λ₯μ΄ ν¬ν¨λμ΄ μμ΅λλ€.
- DLP μ루μ
β μ€μν λ°μ΄ν°κ° μ‘°μ§ μΈλΆλ‘ μ μ‘λκ±°λ λ¨μ©λλ κ²μ νμ§νλ λ° μ€μ μ λ‘λλ€.
DLPμ λ°μ μ μ£Όλ‘ μ½ν μΈ μ΄ν΄μ κΈ°λ°μ λκ³ μμΌλ©°, μ¬μ©μ, μ ν리μΌμ΄μ , μμΉ, μκ°, μ΄λ²€νΈ μλ λ° κΈ°ν μΈλΆ μμΈκ³Ό κ°μ 컨ν μ€νΈ μ΄ν΄μλ λ μ€μ μ λκ³ μμ΅λλ€. DLP μ νμ΄ ν¨κ³Όμ μ΄λ €λ©΄ μ½ν μΈ μ λ§₯λ½μ λͺ¨λ μΈμν΄μΌ ν©λλ€. μ΄κ²μ΄ λ°λ‘ λ§μ μ μ‘°μ μ²΄κ° UEBA κΈ°λ₯μ μ루μ μ ν΅ν©νκΈ° μμν μ΄μ μ λλ€.
- μ§μ λͺ¨λν°λ§ μΌλ°μ μΌλ‘ λ²μ μ μ°¨μ μ ν©ν λ°μ΄ν° νμμΌλ‘ μ§μμ νλμ κΈ°λ‘νκ³ μ¬μν μ μλ κΈ°λ₯μ
λλ€(νμν κ²½μ°).
μ¬μ©μλ₯Ό μ§μμ μΌλ‘ λͺ¨λν°λ§νλ©΄ μλ νν°λ§κ³Ό μ¬λμ λΆμμ΄ νμν μμ²λ μμ λ°μ΄ν°κ° μμ±λλ κ²½μ°κ° λ§μ΅λλ€. λ°λΌμ UEBAλ λͺ¨λν°λ§ μμ€ν λ΄λΆμμ μ΄λ¬ν μ루μ μ μ±λ₯μ ν₯μνκ³ μνλκ° λμ μ¬κ³ λ§ κ°μ§νλ λ° μ¬μ©λ©λλ€.
- μλν¬μΈνΈ 보μ β EDR(μλν¬μΈνΈ νμ§ λ° λμ) μ루μ
κ³Ό EPP(μλν¬μΈνΈ λ³΄νΈ νλ«νΌ)λ κ°λ ₯ν κ³μΈ‘ λ° μ΄μ 체μ μ격 μΈ‘μ μ μ 곡ν©λλ€.
μ΅μ’ μ₯μΉ.μ΄λ¬ν μ¬μ©μ κ΄λ ¨ μ격 μΈ‘μ μ λΆμνμ¬ λ΄μ₯λ UEBA κΈ°λ₯μ μ 곡ν μ μμ΅λλ€.
- μ¨λΌμΈ μ¬κΈ° β μ¨λΌμΈ μ¬κΈ° νμ§ μ루μ
μ μ€νΈν, 맬μ¨μ΄ λλ 보μλμ§ μμ μ°κ²° μ
μ©/λΈλΌμ°μ νΈλν½ κ°λ‘μ±κΈ°λ₯Ό ν΅ν΄ κ³ κ° κ³μ μ΄ μμλμμμ λνλ΄λ λΉμ μμ μΈ νλμ νμ§ν©λλ€.
λλΆλΆμ μ¬κΈ° μ루μ μ UEBA, κ±°λ λΆμ λ° μ₯μΉ μΈ‘μ μ λ³Έμ§μ μ¬μ©νλ©°, μ μ λ°μ΄ν°λ² μ΄μ€μ κ΄κ³λ₯Ό μΌμΉμμΌ μ΄λ₯Ό 보μνλ κ³ κΈ μμ€ν μ μ¬μ©ν©λλ€.
- IAM λ° μ‘μΈμ€ μ μ΄ β Gartnerλ μμ 곡κΈμ 체μ ν΅ν©νκ³ ν΄λΉ μ νμ μΌλΆ UEBA κΈ°λ₯μ ꡬμΆνλ μ‘μΈμ€ μ μ΄ μμ€ν 곡κΈμ 체 κ°μ μ§ν μΆμΈμ μ£Όλͺ©ν©λλ€.
- IAM λ° IGA(Identity Governance and Administration) μμ€ν UEBAλ₯Ό μ¬μ©νμ¬ μ΄μ νμ§, μ μ¬ν μν°ν°μ λμ κ·Έλ£Ήν λΆμ, λ‘κ·ΈμΈ λΆμ, μ‘μΈμ€ μ μ± λΆμκ³Ό κ°μ νλ λ° ID λΆμ μλ리μ€λ₯Ό μ²λ¦¬ν©λλ€.
- IAM λ° κΆν μλ μ‘μΈμ€ κ΄λ¦¬(PAM) β κ΄λ¦¬ κ³μ μ¬μ©μ λͺ¨λν°λ§νλ μν λ‘ μΈν΄ PAM μ루μ μλ κ΄λ¦¬ κ³μ μ΄ μ¬μ©λ λ°©λ², μ΄μ , μκΈ° λ° μμΉλ₯Ό 보μ¬μ£Όλ μ격 μΈ‘μ κΈ°λ₯μ΄ μμ΅λλ€. μ΄ λ°μ΄ν°λ UEBAμ λ΄μ₯λ κΈ°λ₯μ μ΄μ©ν΄ κ΄λ¦¬μμ μ΄μ νμλ μ μμ μΈ μλκ° μλμ§ λΆμν μ μμ΅λλ€.
- μ μ‘°μ
체 NTA(λ€νΈμν¬ νΈλν½ λΆμ) β κΈ°κ³ νμ΅, κ³ κΈ λΆμ λ° κ·μΉ κΈ°λ° νμ§λ₯Ό κ²°ν©νμ¬ κΈ°μ
λ€νΈμν¬μμ μμ¬μ€λ¬μ΄ νλμ μλ³ν©λλ€.
NTA λꡬλ μμ€ νΈλν½ λ°/λλ νλ¦ κΈ°λ‘(μ: NetFlow)μ μ§μμ μΌλ‘ λΆμνμ¬ μ£Όλ‘ μν°ν° λμ λΆμμ μ€μ μ λκ³ μ μμ μΈ λ€νΈμν¬ λμμ λ°μνλ λͺ¨λΈμ ꡬμΆν©λλ€.
- SIEM β μ΄μ λ§μ SIEM 곡κΈμ
μ²΄κ° SIEMμ λ΄μ₯λκ±°λ λ³λμ UEBA λͺ¨λλ‘ κ³ κΈ λ°μ΄ν° λΆμ κΈ°λ₯μ κ°μΆκ³ μμ΅λλ€. κΈ°μ¬μμ μ€λͺ
ν κ²μ²λΌ 2018λ
λΆν° 2019λ
νμ¬κΉμ§ SIEMκ³Ό UEBA κΈ°λ₯ κ°μ κ²½κ³κ° μ§μμ μΌλ‘ λͺ¨νΈν΄μ‘μ΅λλ€.
"νλ SIEMμ μν κΈ°μ ν΅μ°°λ ₯" . SIEM μμ€ν μ λΆμ μμ κ³Ό λ³΄λ€ λ³΅μ‘ν μ ν리μΌμ΄μ μλλ¦¬μ€ μ 곡μ λ λ₯μν΄μ‘μ΅λλ€.
UEBA μ ν리μΌμ΄μ μλ리μ€
UEBA μ루μ μ κ΄λ²μν λ¬Έμ λ₯Ό ν΄κ²°ν μ μμ΅λλ€. κ·Έλ¬λ Gartner κ³ κ°μ κΈ°λ³Έ μ¬μ© μ¬λ‘μ μ¬μ©μ νλκ³Ό λ€λ₯Έ μν°ν° κ°μ λΉλ²ν μκ΄ κ΄κ³λ₯Ό νμνκ³ λΆμνμ¬ λ¬μ±λλ λ€μν λ²μ£Όμ μν νμ§κ° ν¬ν¨λλ€λ λ° λμν©λλ€.
- λ¬΄λ¨ μ κ·Ό λ° λ°μ΄ν° μ΄λ;
- κΆνμ΄ μλ μ¬μ©μμ μμ¬μ€λ¬μ΄ νλ, μ§μμ μ μμ μ΄κ±°λ μΉμΈλμ§ μμ νλ;
- λΉνμ€ μ‘μΈμ€ λ° ν΄λΌμ°λ 리μμ€ μ¬μ©
- κΈ°ν
UEBAκ° μ λΉνλ μ μλ μ¬κΈ° λλ μ§μ λͺ¨λν°λ§κ³Ό κ°μ λΉμ νμ μΈ λΉμ¬μ΄λ² 보μ μ¬μ© μ¬λ‘λ λ§μ΄ μμ΅λλ€. κ·Έλ¬λ IT λ° μ 보 보μ μΈλΆμ λ°μ΄ν° μμ€λ μ΄ μμμ λν κΉμ μ΄ν΄κ° μλ νΉμ λΆμ λͺ¨λΈμ΄ νμν κ²½μ°κ° λ§μ΅λλ€. UEBA μ μ‘°μ 체μ κ³ κ° λͺ¨λκ° λμνλ XNUMXκ°μ§ μ£Όμ μλ리μ€μ μ ν리μΌμ΄μ μ μλμ μ€λͺ λμ΄ μμ΅λλ€.
"μ μμ μΈ λ΄λΆμ"
μ΄ μλ리μ€λ₯Ό λ€λ£¨λ UEBA μ루μ μ 곡μ 체λ μ§μκ³Ό μ λ’°ν μ μλ κ³μ½μμκ² λΉμ μμ μ΄κ±°λ "λμ" λλ μ μμ μΈ νλλ§ λͺ¨λν°λ§ν©λλ€. μ΄ μ λ¬Έ λΆμΌμ 곡κΈμ 체λ μλΉμ€ κ³μ μ΄λ κΈ°ν μΈκ°μ΄ μλ κ°μ²΄μ λμμ λͺ¨λν°λ§νκ±°λ λΆμνμ§ μμ΅λλ€. μ΄λ‘ μΈν΄ ν΄μ»€κ° κΈ°μ‘΄ κ³μ μ νμ·¨νλ μ§λ₯ν μνμ νμ§νλ λ° μ€μ μ λμ§ μμ΅λλ€. λμ , μ ν΄ν νλμ μ°λ£¨λ μ§μμ μλ³νλ κ²μ λͺ©νλ‘ ν©λλ€.
λ³Έμ§μ μΌλ‘ "μ μμ μΈ λ΄λΆμ"λΌλ κ°λ μ κ³ μ©μ£Όμκ² νΌν΄λ₯Ό μ ν λ°©λ²μ λͺ¨μνλ μ μμ μΈ μλλ₯Ό κ°μ§ μ λ’°ν μ μλ μ¬μ©μμκ²μ λΉλ‘―λ©λλ€. μ μμ μΈ μλλ μΈ‘μ νκΈ° μ΄λ ΅κΈ° λλ¬Έμ μ΄ λ²μ£Όμ μ΅κ³ μ 곡κΈμ 체λ κ°μ¬ λ‘κ·Έμμ μ½κ² νμΈν μ μλ μν©λ³ λμ λ°μ΄ν°λ₯Ό λΆμν©λλ€.
λν μ΄ λΆμΌμ μ루μ μ 곡μ 체λ μ΄λ©μΌ μ½ν μΈ , μμ°μ± λ³΄κ³ μ, μμ λ―Έλμ΄ μ 보 λ± κ΅¬μ‘°νλμ§ μμ λ°μ΄ν°λ₯Ό μ΅μ μΌλ‘ μΆκ°νκ³ λΆμνμ¬ νλμ λν λ§₯λ½μ μ 곡ν©λλ€.
μΉ¨ν΄λ λ΄λΆμ λ° μΉ¨ν΄μ μν
λ¬Έμ λ 곡격μκ° μ‘°μ§μ μ κ·Όνκ³ IT μΈνλΌ λ΄μμ μ΄λνκΈ° μμνλ©΄ "λμ" νλμ μ μνκ² νμ§νκ³ λΆμνλ κ²μ
λλ€.
APT(곡격μ μν)λ μλ €μ§μ§ μμκ±°λ μμ§ μμ ν μ΄ν΄λμ§ μμ μνκ³Ό λ§μ°¬κ°μ§λ‘ νμ§νκΈ°κ° λ§€μ° μ΄λ €μ°λ©° μ λ²ν μ¬μ©μ νλμ΄λ μλΉμ€ κ³μ λ€μ μ¨μ΄ μλ κ²½μ°κ° λ§μ΅λλ€. μ΄λ¬ν μνμ μΌλ°μ μΌλ‘ 볡μ‘ν μ΄μ λͺ¨λΈμ κ°μ§κ³ μμ΅λλ€(μλ₯Ό λ€μ΄ "
κ·Έλ¬λ μ΄λ¬ν μΉ¨ν΄μ μν μ€ λ€μλ λΉνμ€μ μΈ νλμ μ΄λνλ©° μ’ μ’ μμ¬νμ§ μλ μ¬μ©μλ μν°ν°(μμλ λ΄λΆμλΌκ³ λ ν¨)λ₯Ό ν¬ν¨ν©λλ€. UEBA κΈ°μ μ μ΄λ¬ν μνμ νμ§νκ³ , μ νΈ λ μ‘μλΉλ₯Ό κ°μ νκ³ , μλ¦Ό λ³Όλ₯¨μ ν΅ν© λ° μ€μ΄κ³ , λλ¨Έμ§ κ²½κ³ μ μ°μ μμλ₯Ό μ§μ νκ³ , ν¨κ³Όμ μΈ μ¬κ³ λμ λ° μ‘°μ¬λ₯Ό μ΄μ§ν μ μλ λͺ κ°μ§ ν₯λ―Έλ‘μ΄ κΈ°νλ₯Ό μ 곡ν©λλ€.
μ΄ λ¬Έμ μμμ λμμΌλ‘ νλ UEBA 곡κΈμ 체λ μ‘°μ§μ SIEM μμ€ν κ³Ό μλ°©ν₯ ν΅ν©μ μννλ κ²½μ°κ° λ§μ΅λλ€.
λ°μ΄ν° μ μΆ
μ΄ κ²½μ°μ μ무λ λ°μ΄ν°κ° μ‘°μ§ μΈλΆλ‘ μ μ‘λκ³ μλ€λ μ¬μ€μ κ°μ§νλ κ²μ
λλ€.
μ΄ κ³Όμ μ μ΄μ μ λ§μΆ 곡κΈμ
체λ μΌλ°μ μΌλ‘ μ΄μ νμ§ λ° κ³ κΈ λΆμκ³Ό ν¨κ» DLP λλ DAG κΈ°λ₯μ νμ©νμ¬ μ νΈ λ μ‘μλΉλ₯Ό κ°μ νκ³ μλ¦Ό λ³Όλ₯¨μ ν΅ν©νλ©° λλ¨Έμ§ νΈλ¦¬κ±°μ μ°μ μμλ₯Ό μ§μ ν©λλ€. μΆκ° 컨ν
μ€νΈλ₯Ό μν΄ κ³΅κΈμ
체λ μΌλ°μ μΌλ‘ λ€νΈμν¬ νΈλν½(μ: μΉ νλ‘μ) λ° μλν¬μΈνΈ λ°μ΄ν°μ λ λ§μ΄ μμ‘΄ν©λλ€. μ΄λ¬ν λ°μ΄ν° μμ€λ₯Ό λΆμνλ©΄ λ°μ΄ν° μ μΆ μ‘°μ¬μ λμμ΄ λ μ μκΈ° λλ¬Έμ
λλ€.
λ°μ΄ν° μ μΆ νμ§λ μ‘°μ§μ μννλ λ΄λΆμ λ° μΈλΆ ν΄μ»€λ₯Ό μ‘λ λ° μ¬μ©λ©λλ€.
κΆν μλ μ‘μΈμ€ μλ³ λ° κ΄λ¦¬
μ΄ μ λ¬Έ λΆμΌμ λ 립 UEBA μ루μ μ μ‘°μ 체λ κ³Όλν κΆνμ΄λ λΉμ μμ μΈ μ‘μΈμ€λ₯Ό μλ³νκΈ° μν΄ μ΄λ―Έ νμ±λ κΆλ¦¬ μμ€ν μ λ°°κ²½μΌλ‘ μ¬μ©μ νλμ κ΄μ°°νκ³ λΆμν©λλ€. μ΄λ κΆν μλ κ³μ κ³Ό μλΉμ€ κ³μ μ ν¬ν¨νμ¬ λͺ¨λ μ νμ μ¬μ©μ λ° κ³μ μ μ μ©λ©λλ€. λν μ‘°μ§μμλ UEBAλ₯Ό μ¬μ©νμ¬ νμλ³΄λ€ λμ ν΄λ©΄ κ³μ κ³Ό μ¬μ©μ κΆνμ μ κ±°ν©λλ€.
μ¬κ³ μ°μ μμ
μ΄ μμ μ λͺ©νλ κΈ°μ μ€νμ μ루μ μμ μμ±λ μλ¦Όμ μ°μ μμλ₯Ό μ§μ νμ¬ λ¨Όμ ν΄κ²°ν΄μΌ ν μ¬κ³ λλ μ μ¬μ μ¬κ³ λ₯Ό μ΄ν΄νλ κ²μ λλ€. UEBA λ°©λ²λ‘ κ³Ό λꡬλ νΉμ μ‘°μ§μμ νΉν λ³μΉμ μ΄κ±°λ νΉν μνν μ¬κ³ λ₯Ό μλ³νλ λ° μ μ©ν©λλ€. μ΄ κ²½μ° UEBA λ©μ»€λμ¦μ κΈ°λ³Έ μμ€μ νλ λ° μν λͺ¨λΈμ μ¬μ©ν λΏλ§ μλλΌ νμ¬μ μ‘°μ§ κ΅¬μ‘°μ λν μ 보(μ: μ€μν 리μμ€ λλ μν , μ§μμ μ‘μΈμ€ μμ€)λ‘ λ°μ΄ν°λ₯Ό ν¬νμν΅λλ€.
UEBA μ루μ ꡬν λ¬Έμ
UEBA μ루μ μ μμ₯ λ¬Έμ μ μ λμ κ°κ²©, 볡μ‘ν ꡬν, μ μ§ κ΄λ¦¬ λ° μ¬μ©μ λλ€. κΈ°μ μ΄ λ€μν λ΄λΆ ν¬νΈ μλ‘ μΈν΄ μ΄λ €μμ κ²ͺκ³ μλ λμ λ λ€λ₯Έ μ½μμ ν보νκ³ μμ΅λλ€. μλ‘μ΄ λꡬμ ν¬μνλ μκ°κ³Ό μμμ κ·λͺ¨λ λΉλ©΄ κ³Όμ μ μ΄λ₯Ό ν΄κ²°νλ λ° νμν λΆμ μ νμ λ°λΌ λ¬λΌμ§λ©°, λλΆλΆ λκ·λͺ¨ ν¬μκ° νμν κ²½μ°κ° λ§μ΅λλ€.
λ§μ μ μ‘°μ
μ²΄κ° μ£Όμ₯νλ κ²κ³Όλ λ¬λ¦¬ UEBAλ λ©°μΉ λμ κ³μν΄μ μ€νν μ μλ "μ€μ νκ³ μμ΄λ²λ¦¬λ" λκ΅¬κ° μλλλ€.
μλ₯Ό λ€μ΄ Gartner κ³ κ°μ UEBA μ΄λμ
ν°λΈλ₯Ό μ²μλΆν° μμνμ¬ μ΄ μ루μ
μ΄ κ΅¬νλ λ¬Έμ λ₯Ό ν΄κ²°νλ 첫 λ²μ§Έ κ²°κ³Όλ₯Ό μ»λ λ° 3~6κ°μμ΄ κ±Έλ¦°λ€λ μ μ μ§μ ν©λλ€. μ‘°μ§ λ΄ λ΄λΆμ μν μλ³κ³Ό κ°μ λ³΄λ€ λ³΅μ‘ν μμ
μ κ²½μ° κΈ°κ°μ΄ 18κ°μλ‘ λμ΄λ©λλ€.
UEBA ꡬνμ μ΄λ €μκ³Ό λꡬμ ν₯ν ν¨μ¨μ±μ μν₯μ λ―ΈμΉλ μμ:
- μ‘°μ§ μν€ν μ², λ€νΈμν¬ ν ν΄λ‘μ§, λ°μ΄ν° κ΄λ¦¬ μ μ± μ 볡μ‘μ±
- μ μ ν μΈλΆ μμ€μμ μ¬λ°λ₯Έ λ°μ΄ν°μ κ°μ©μ±
- 곡κΈμ 체 λΆμ μκ³ λ¦¬μ¦μ 볡μ‘μ±(μ: ν΅κ³ λͺ¨λΈ λ° λ¨Έμ λ¬λ μ¬μ©κ³Ό λ¨μν ν¨ν΄ λ° κ·μΉ μ¬μ©).
- μ¬μ ꡬμ±λ λΆμμ μ, μ¦ κ° μμ μ λν΄ μμ§ν΄μΌ νλ λ°μ΄ν°μ λΆμμ μννλ λ° κ°μ₯ μ€μν λ³μ λ° μμ±μ λν μ μ‘°μ 체μ μ΄ν΄κ° ν¬ν¨λ©λλ€.
- μ μ‘°μ
μ²΄κ° νμν λ°μ΄ν°μ μλμΌλ‘ ν΅ν©νλ κ²μ΄ μΌλ§λ μ¬μ΄κ°μ?
μλ₯Ό λ€λ©΄ λ€μκ³Ό κ°μ΅λλ€
- UEBA μ루μ μ΄ SIEM μμ€ν μ λ°μ΄ν°μ κΈ°λ³Έ μμ€λ‘ μ¬μ©νλ κ²½μ° SIEMμ νμν λ°μ΄ν° μμ€μμ μ 보λ₯Ό μμ§ν©λκΉ?
- νμν μ΄λ²€νΈ λ‘κ·Έμ μ‘°μ§ μ»¨ν μ€νΈ λ°μ΄ν°λ₯Ό UEBA μ루μ μΌλ‘ λΌμ°ν ν μ μμ΅λκΉ?
- SIEM μμ€ν μ΄ μμ§ UEBA μ루μ μ νμν λ°μ΄ν° μμ€λ₯Ό μμ§νκ³ μ μ΄νμ§ λͺ»νλ€λ©΄ μ΄λ₯Ό μ΄λ»κ² SIEM μμ€ν μΌλ‘ μ μ‘ν μ μμ΅λκΉ?
- μ‘°μ§μ μ ν리μΌμ΄μ μλ리μ€κ° μΌλ§λ μ€μνμ§, μΌλ§λ λ§μ λ°μ΄ν° μμ€κ° νμνμ§, μ΄ μμ μ΄ μ μ‘°μ 체μ μ λ¬Έ λΆμΌμ μΌλ§λ κ²ΉμΉλμ§.
- μ΄λ μ λμ μ‘°μ§ μ±μλμ μ°Έμ¬κ° μꡬλ©λκΉ? μλ₯Ό λ€μ΄ κ·μΉκ³Ό λͺ¨λΈμ μμ±, κ°λ° λ° κ°μ μ΄ νμν©λλ€. νκ°λ₯Ό μν΄ λ³μμ κ°μ€μΉλ₯Ό ν λΉν©λλ€. λλ μν νκ° μκ³κ°μ μ‘°μ ν©λλ€.
- νμ¬ μ‘°μ§ κ·λͺ¨μ λ―Έλ μꡬ μ¬νμ λΉν΄ 곡κΈμ 체μ μ루μ κ³Ό μν€ν μ²μ νμ₯μ±μ μΌλ§λ λ©λκΉ?
- κΈ°λ³Έ λͺ¨λΈ, νλ‘ν λ° μ£Όμ κ·Έλ£Ήμ ꡬμΆν μκ°μ λλ€. μ μ‘°μ 체λ "μ μμ μΈ" κ°λ μ μ μνκΈ° μ μ λΆμμ μννλ λ° μ΅μ 30μΌ(λλ‘λ μ΅λ 90μΌ)μ΄ νμν κ²½μ°κ° λ§μ΅λλ€. κΈ°λ‘ λ°μ΄ν°λ₯Ό ν λ² λ‘λνλ©΄ λͺ¨λΈ νμ΅ μλλ₯Ό λμΌ μ μμ΅λλ€. μΌλΆ ν₯λ―Έλ‘μ΄ μ¬λ‘λ μμ²λκ² μ μ μμ μ΄κΈ° λ°μ΄ν°λ‘ κΈ°κ³ νμ΅μ μ¬μ©νλ κ²λ³΄λ€ κ·μΉμ μ¬μ©νμ¬ λ λΉ λ₯΄κ² μλ³ν μ μμ΅λλ€.
- λμ κ·Έλ£Ήν λ° κ³μ νλ‘νμΌλ§(μλΉμ€/μ¬λ)μ ꡬμΆνλ λ° νμν λ Έλ ₯ μμ€μ μ루μ λ§λ€ ν¬κ² λ€λ₯Ό μ μμ΅λλ€.
μΆμ² : habr.com