ມື້​ນີ້​ພວກ​ເຮົາ​ຈະ​ສະ​ຫນອງ​ສະ​ພາບ​ລວມ​ໂດຍ​ຫຍໍ້​ຂອງ​ການ​ວິ​ເຄາະ​ພຶດ​ຕິ​ກໍາ​ຂອງ​ຜູ້​ໃຊ້​ແລະ​ຫນ່ວຍ​ງານ (UEBA​) ຕະ​ຫຼາດ​ໂດຍ​ອີງ​ໃສ່​ຫລ້າ​ສຸດ​. ການຄົ້ນຄວ້າ Gartner. ຕະຫຼາດ UEBA ແມ່ນຢູ່ດ້ານລຸ່ມຂອງ "ຂັ້ນຕອນຂອງຄວາມບໍ່ພໍໃຈ" ອີງຕາມການ Gartner Hype Cycle for Threat-Facing Technologies, ຊີ້ໃຫ້ເຫັນເຖິງການເຕີບໃຫຍ່ຂອງເຕັກໂນໂລຢີ. ແຕ່ paradox ຂອງສະຖານະການແມ່ນຢູ່ໃນການຂະຫຍາຍຕົວທົ່ວໄປພ້ອມໆກັນຂອງການລົງທຶນໃນເຕັກໂນໂລຢີ UEBA ແລະຕະຫຼາດທີ່ຫາຍໄປຂອງການແກ້ໄຂ UEBA ທີ່ເປັນເອກະລາດ. Gartner ຄາດຄະເນວ່າ UEBA ຈະກາຍເປັນສ່ວນຫນຶ່ງຂອງການທໍາງານຂອງການແກ້ໄຂຄວາມປອດໄພຂໍ້ມູນທີ່ກ່ຽວຂ້ອງ. ຄໍາວ່າ "UEBA" ອາດຈະຫາຍໄປຈາກການນໍາໃຊ້ແລະຖືກແທນທີ່ດ້ວຍຄໍາຫຍໍ້ອື່ນທີ່ເນັ້ນໃສ່ພື້ນທີ່ຄໍາຮ້ອງສະຫມັກແຄບ (ເຊັ່ນ: "ການວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້"), ພື້ນທີ່ຄໍາຮ້ອງສະຫມັກທີ່ຄ້າຍຄືກັນ (ເຊັ່ນ: "ການວິເຄາະຂໍ້ມູນ"), ຫຼືພຽງແຕ່ກາຍເປັນບາງສ່ວນ. buzzword ໃຫມ່ (ຕົວຢ່າງ, ຄໍາວ່າ "ປັນຍາປະດິດ" [AI] ເບິ່ງຫນ້າສົນໃຈ, ເຖິງແມ່ນວ່າມັນບໍ່ມີຄວາມຫມາຍໃດໆກັບຜູ້ຜະລິດ UEBA ທີ່ທັນສະໄຫມ).

ການຄົ້ນພົບທີ່ສໍາຄັນຈາກການສຶກສາ Gartner ສາມາດສະຫຼຸບໄດ້ດັ່ງນີ້:

• ການໃຫຍ່ເຕັມຕົວຂອງຕະຫຼາດສໍາລັບການວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະຫນ່ວຍງານແມ່ນໄດ້ຮັບການຢືນຢັນໂດຍຄວາມຈິງທີ່ວ່າເຕັກໂນໂລຢີເຫຼົ່ານີ້ຖືກນໍາໃຊ້ໂດຍພາກສ່ວນບໍລິສັດຂະຫນາດກາງແລະຂະຫນາດໃຫຍ່ເພື່ອແກ້ໄຂບັນຫາທຸລະກິດຈໍານວນຫນຶ່ງ;
• ຄວາມສາມາດໃນການວິເຄາະຂອງ UEBA ຖືກສ້າງຂຶ້ນໃນຄວາມກ້ວາງຂອງເທກໂນໂລຍີຄວາມປອດໄພຂໍ້ມູນທີ່ກ່ຽວຂ້ອງ, ເຊັ່ນ: cloud access secure brokers (CASBs), ການຄຸ້ມຄອງຕົວຕົນແລະການບໍລິຫານ (IGA) ລະບົບ SIEM;
• hype ປະມານຜູ້ຂາຍ UEBA ແລະການນໍາໃຊ້ທີ່ບໍ່ຖືກຕ້ອງຂອງຄໍາວ່າ "ປັນຍາປະດິດ" ເຮັດໃຫ້ມັນຍາກສໍາລັບລູກຄ້າທີ່ຈະເຂົ້າໃຈຄວາມແຕກຕ່າງທີ່ແທ້ຈິງລະຫວ່າງເຕັກໂນໂລຢີຂອງຜູ້ຜະລິດແລະການທໍາງານຂອງການແກ້ໄຂໂດຍບໍ່ມີການດໍາເນີນໂຄງການທົດລອງ;
• ລູກຄ້າສັງເກດວ່າເວລາການປະຕິບັດແລະການນໍາໃຊ້ປະຈໍາວັນຂອງວິທີແກ້ໄຂ UEBA ສາມາດໃຊ້ແຮງງານຫຼາຍແລະໃຊ້ເວລາຫຼາຍກວ່າທີ່ຜູ້ຜະລິດສັນຍາໄວ້, ເຖິງແມ່ນວ່າຈະພິຈາລະນາພຽງແຕ່ຮູບແບບການກວດພົບໄພຂົ່ມຂູ່ຂັ້ນພື້ນຖານເທົ່ານັ້ນ. ການເພີ່ມກໍລະນີການນຳໃຊ້ແບບກຳນົດເອງ ຫຼືຂອບສາມາດເປັນເລື່ອງຍາກທີ່ສຸດ ແລະຕ້ອງການຄວາມຊ່ຽວຊານໃນວິທະຍາສາດຂໍ້ມູນ ແລະການວິເຄາະ.

ການ​ຄາດ​ຄະ​ເນ​ການ​ພັດ​ທະ​ນາ​ຕະ​ຫຼາດ​ຍຸດ​ທະ​ສາດ​:

• ໃນປີ 2021, ຕະຫຼາດສໍາລັບລະບົບການວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະນິຕິບຸກຄົນ (UEBA) ຈະຢຸດເຊົາເປັນພື້ນທີ່ແຍກຕ່າງຫາກແລະຈະປ່ຽນໄປສູ່ການແກ້ໄຂອື່ນໆທີ່ມີຫນ້າທີ່ UEBA;
• ໃນປີ 2020, 95% ຂອງການນຳໃຊ້ UEBA ທັງໝົດຈະເປັນສ່ວນຫນຶ່ງຂອງເວທີຄວາມປອດໄພທີ່ກວ້າງຂຶ້ນ.

ຄໍານິຍາມຂອງການແກ້ໄຂ UEBA

ວິທີແກ້ໄຂ UEBA ໃຊ້ການວິເຄາະໃນຕົວເພື່ອປະເມີນກິດຈະກໍາຂອງຜູ້ໃຊ້ແລະຫນ່ວຍງານອື່ນໆ (ເຊັ່ນ: ເຈົ້າພາບ, ແອັບພລິເຄຊັນ, ການຈະລາຈອນເຄືອຂ່າຍແລະບ່ອນເກັບຂໍ້ມູນ).
ພວກເຂົາເຈົ້າກວດພົບໄພຂົ່ມຂູ່ແລະເຫດການທີ່ອາດຈະເກີດຂຶ້ນ, ໂດຍປົກກະຕິເປັນຕົວແທນຂອງກິດຈະກໍາຜິດປົກກະຕິເມື່ອທຽບກັບໂປຣໄຟລ໌ມາດຕະຖານແລະພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະຫນ່ວຍງານໃນກຸ່ມທີ່ຄ້າຍຄືກັນໃນໄລຍະເວລາ.

ກໍລະນີທີ່ໃຊ້ທົ່ວໄປທີ່ສຸດໃນພາກສ່ວນວິສາຫະກິດແມ່ນການກວດຫາໄພຂົ່ມຂູ່ແລະການຕອບໂຕ້, ເຊັ່ນດຽວກັນກັບການກວດພົບແລະການຕອບສະຫນອງຕໍ່ໄພຂົ່ມຂູ່ພາຍໃນ (ສ່ວນຫຼາຍແມ່ນຜູ້ໂຈມຕີພາຍໃນ; ບາງຄັ້ງການໂຈມຕີພາຍໃນ).

UEBA ແມ່ນຄ້າຍຄື ໂດຍການຕັດສິນໃຈ, ແລະ ໜ້າ ທີ່, ສ້າງຂຶ້ນໃນເຄື່ອງມືສະເພາະ:

• ການແກ້ໄຂແມ່ນຜູ້ຜະລິດແພລະຕະຟອມ UEBA "ບໍລິສຸດ", ລວມທັງຜູ້ຂາຍທີ່ຍັງຂາຍວິທີແກ້ໄຂ SIEM ແຍກຕ່າງຫາກ. ໄດ້ສຸມໃສ່ບັນຫາທຸລະກິດທີ່ກວ້າງຂວາງໃນການວິເຄາະພຶດຕິກໍາຂອງທັງຜູ້ໃຊ້ແລະຫນ່ວຍງານ.
• ຝັງ - ຜູ້ຜະລິດ / ພະແນກທີ່ປະສົມປະສານຫນ້າທີ່ແລະເຕັກໂນໂລຢີຂອງ UEBA ເຂົ້າໃນການແກ້ໄຂຂອງພວກເຂົາ. ໂດຍປົກກະຕິໄດ້ສຸມໃສ່ຊຸດບັນຫາທາງທຸລະກິດສະເພາະຫຼາຍຂຶ້ນ. ໃນກໍລະນີນີ້, UEBA ຖືກນໍາໃຊ້ເພື່ອວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະ / ຫຼືຫນ່ວຍງານ.

Gartner ເບິ່ງ UEBA ຕາມສາມແກນ, ລວມທັງຕົວແກ້ໄຂບັນຫາ, ການວິເຄາະ, ແລະແຫຼ່ງຂໍ້ມູນ (ເບິ່ງຮູບ).

ແພລະຕະຟອມ UEBA "ບໍລິສຸດ" ທຽບກັບ UEBA ທີ່ມີໃນຕົວ

Gartner ພິຈາລະນາເວທີ UEBA ທີ່ "ບໍລິສຸດ" ເພື່ອເປັນການແກ້ໄຂທີ່:

• ແກ້ໄຂບັນຫາສະເພາະຈໍານວນຫນຶ່ງ, ເຊັ່ນ: ການຕິດຕາມຜູ້ໃຊ້ສິດທິພິເສດຫຼືການສົ່ງອອກຂໍ້ມູນພາຍນອກອົງການຈັດຕັ້ງ, ແລະບໍ່ພຽງແຕ່ "ການຕິດຕາມກິດຈະກໍາຂອງຜູ້ໃຊ້ຜິດປົກກະຕິ";
• ກ່ຽວຂ້ອງກັບການນໍາໃຊ້ການວິເຄາະທີ່ຊັບຊ້ອນ, ມີຄວາມຈໍາເປັນໂດຍອີງໃສ່ວິທີການວິເຄາະພື້ນຖານ;
• ສະຫນອງທາງເລືອກຫຼາຍສໍາລັບການລວບລວມຂໍ້ມູນ, ລວມທັງກົນໄກແຫຼ່ງຂໍ້ມູນທີ່ສ້າງຂຶ້ນໃນຕົວແລະຈາກເຄື່ອງມືການຄຸ້ມຄອງບັນທຶກ, Data lake ແລະ / ຫຼືລະບົບ SIEM, ໂດຍບໍ່ຈໍາເປັນຕ້ອງມີການບັງຄັບໃຊ້ຕົວແທນແຍກຕ່າງຫາກໃນໂຄງສ້າງພື້ນຖານ;
• ສາມາດໄດ້ຮັບການຊື້ແລະນໍາໃຊ້ເປັນການແກ້ໄຂແບບຢືນຢູ່ຄົນດຽວແທນທີ່ຈະລວມຢູ່ໃນ
  ອົງປະກອບຂອງຜະລິດຕະພັນອື່ນໆ.

ຕາຕະລາງຂ້າງລຸ່ມນີ້ປຽບທຽບສອງວິທີການ.

ຕາຕະລາງ 1. ການແກ້ໄຂ UEBA “ບໍລິສຸດ” ທຽບກັບອັນທີ່ສ້າງມາ

ປະເພດ	ເວທີ UEBA "ບໍລິສຸດ".	ວິທີແກ້ໄຂອື່ນໆທີ່ມີ UEBA ໃນຕົວ
ບັນຫາທີ່ຈະແກ້ໄຂ	ການວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະຫນ່ວຍງານ.	ການຂາດຂໍ້ມູນອາດຈະຈໍາກັດ UEBA ໃນການວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ຫຼືຫນ່ວຍງານເທົ່ານັ້ນ.
ບັນຫາທີ່ຈະແກ້ໄຂ	ຮັບ​ຜິດ​ຊອບ​ໃນ​ການ​ແກ້​ໄຂ​ລະ​ດັບ​ຄວາມ​ກ​້​ວາງ​ຂອງ​ບັນ​ຫາ​	ຊ່ຽວຊານໃນຊຸດຂອງວຽກງານທີ່ຈໍາກັດ
Analytics	ການກວດຫາຄວາມຜິດປົກກະຕິໂດຍໃຊ້ວິທີການວິເຄາະຕ່າງໆ - ສ່ວນໃຫຍ່ແມ່ນຜ່ານຕົວແບບສະຖິຕິແລະການຮຽນຮູ້ເຄື່ອງຈັກ, ພ້ອມກັບກົດລະບຽບແລະລາຍເຊັນ. ມາພ້ອມກັບການວິເຄາະໃນຕົວເພື່ອສ້າງ ແລະປຽບທຽບການເຄື່ອນໄຫວຂອງຜູ້ໃຊ້ ແລະນິຕິບຸກຄົນກັບໂປຣໄຟລ໌ຂອງເຂົາເຈົ້າ ແລະເພື່ອນຮ່ວມງານ.	ຄ້າຍຄືກັນກັບ UEBA ບໍລິສຸດ, ແຕ່ການວິເຄາະສາມາດຈໍາກັດພຽງແຕ່ຜູ້ໃຊ້ແລະ / ຫຼືຫນ່ວຍງານເທົ່ານັ້ນ.
Analytics	ຄວາມສາມາດໃນການວິເຄາະຂັ້ນສູງ, ບໍ່ຈໍາກັດພຽງແຕ່ກົດລະບຽບ. ຕົວຢ່າງ, ຂັ້ນຕອນການຈັດກຸ່ມທີ່ມີການຈັດກຸ່ມແບບເຄື່ອນໄຫວຂອງຫົວໜ່ວຍ.	ຄ້າຍຄືກັນກັບ UEBA “ບໍລິສຸດ”, ແຕ່ການຈັດກຸ່ມນິຕິບຸກຄົນໃນບາງຕົວແບບໄພຂົ່ມຂູ່ທີ່ຝັງຕົວສາມາດປ່ຽນແປງໄດ້ດ້ວຍຕົນເອງເທົ່ານັ້ນ.
Analytics	ຄວາມສໍາພັນຂອງກິດຈະກໍາແລະພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະຫນ່ວຍງານອື່ນໆ (ຕົວຢ່າງເຊັ່ນການນໍາໃຊ້ເຄືອຂ່າຍ Bayesian) ແລະການລວບລວມພຶດຕິກໍາຄວາມສ່ຽງສ່ວນບຸກຄົນເພື່ອກໍານົດກິດຈະກໍາທີ່ຜິດປົກກະຕິ.	ຄ້າຍຄືກັນກັບ UEBA ບໍລິສຸດ, ແຕ່ການວິເຄາະສາມາດຈໍາກັດພຽງແຕ່ຜູ້ໃຊ້ແລະ / ຫຼືຫນ່ວຍງານເທົ່ານັ້ນ.
ແຫຼ່ງຂໍ້ມູນ	ການຮັບເຫດການກ່ຽວກັບຜູ້ໃຊ້ແລະຫນ່ວຍງານຈາກແຫຼ່ງຂໍ້ມູນໂດຍກົງຜ່ານກົນໄກທີ່ສ້າງຂຶ້ນໃນຕົວຫຼືບ່ອນເກັບຂໍ້ມູນທີ່ມີຢູ່ແລ້ວເຊັ່ນ SIEM ຫຼື Data lake.	ກົນໄກສໍາລັບການໄດ້ຮັບຂໍ້ມູນປົກກະຕິແລ້ວພຽງແຕ່ໂດຍກົງແລະມີຜົນກະທົບພຽງແຕ່ຜູ້ໃຊ້ແລະ / ຫຼືຫນ່ວຍງານອື່ນໆ. ຢ່າໃຊ້ເຄື່ອງມືຄຸ້ມຄອງບັນທຶກ / SIEM / Data lake.
ແຫຼ່ງຂໍ້ມູນ	ການແກ້ໄຂບໍ່ຄວນອີງໃສ່ພຽງແຕ່ການຈາລະຈອນເຄືອຂ່າຍເປັນແຫລ່ງຂໍ້ມູນຕົ້ນຕໍ, ແລະບໍ່ຄວນອີງໃສ່ພຽງແຕ່ຕົວແທນຂອງຕົນເອງເພື່ອເກັບກໍາຂໍ້ມູນ telemetry.	ການແກ້ໄຂສາມາດສຸມໃສ່ການຈາລະຈອນໃນເຄືອຂ່າຍເທົ່ານັ້ນ (ຕົວຢ່າງ, NTA - ການວິເຄາະການຈະລາຈອນເຄືອຂ່າຍ) ແລະ / ຫຼືນໍາໃຊ້ຕົວແທນຂອງມັນຢູ່ໃນອຸປະກອນສຸດທ້າຍ (ຕົວຢ່າງ, ເຄື່ອງມືຕິດຕາມກວດກາພະນັກງານ).
ແຫຼ່ງຂໍ້ມູນ	ການອີ່ມຕົວຂອງຂໍ້ມູນຜູ້ໃຊ້/ນິຕິບຸກຄົນດ້ວຍບໍລິບົດ. ສະຫນັບສະຫນູນການລວບລວມເຫດການທີ່ມີໂຄງສ້າງໃນເວລາທີ່ແທ້ຈິງ, ເຊັ່ນດຽວກັນກັບຂໍ້ມູນທີ່ມີໂຄງສ້າງ / ບໍ່ມີໂຄງສ້າງຈາກໄດເລກະທໍລີ IT - ຕົວຢ່າງ, Active Directory (AD), ຫຼືຊັບພະຍາກອນຂໍ້ມູນທີ່ເຄື່ອງສາມາດອ່ານໄດ້ອື່ນໆ (ຕົວຢ່າງ, ຖານຂໍ້ມູນ HR).	ຄ້າຍຄືກັນກັບ UEBA ບໍລິສຸດ, ແຕ່ຂອບເຂດຂອງຂໍ້ມູນບໍລິບົດອາດແຕກຕ່າງກັນໄປແຕ່ລະກໍລະນີ. AD ແລະ LDAP ແມ່ນບ່ອນເກັບຂໍ້ມູນບໍລິບົດທົ່ວໄປທີ່ສຸດທີ່ໃຊ້ໂດຍການແກ້ໄຂ UEBA ທີ່ຝັງໄວ້.
Availability	ສະໜອງຄຸນສົມບັດທີ່ລະບຸໄວ້ເປັນຜະລິດຕະພັນແບບດ່ຽວ.	ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຊື້ການທໍາງານຂອງ UEBA ທີ່ມີການກໍ່ສ້າງໂດຍບໍ່ມີການຊື້ການແກ້ໄຂພາຍນອກທີ່ມັນຖືກສ້າງຂຶ້ນ.
ທີ່ມາ: Gartner (ພຶດສະພາ 2019)

ດັ່ງນັ້ນ, ເພື່ອແກ້ໄຂບັນຫາບາງຢ່າງ, UEBA ທີ່ຝັງໄວ້ສາມາດນໍາໃຊ້ການວິເຄາະ UEBA ພື້ນຖານ (ຕົວຢ່າງ, ການຮຽນຮູ້ເຄື່ອງຈັກແບບງ່າຍດາຍທີ່ບໍ່ມີການຄວບຄຸມ), ແຕ່ໃນເວລາດຽວກັນ, ເນື່ອງຈາກການເຂົ້າເຖິງຂໍ້ມູນທີ່ຈໍາເປັນຢ່າງແທ້ຈິງ, ມັນສາມາດມີປະສິດທິພາບຫຼາຍກ່ວາ "ບໍລິສຸດ". ການແກ້ໄຂ UEBA. ໃນເວລາດຽວກັນ, ເວທີ UEBA "ບໍລິສຸດ", ຕາມທີ່ຄາດໄວ້, ສະເຫນີການວິເຄາະທີ່ສັບສົນຫຼາຍເປັນຄວາມຮູ້ຕົ້ນຕໍເມື່ອທຽບກັບເຄື່ອງມື UEBA ທີ່ສ້າງຂຶ້ນ. ຜົນໄດ້ຮັບເຫຼົ່ານີ້ແມ່ນໄດ້ສະຫຼຸບໃນຕາຕະລາງ 2.

ຕາຕະລາງ 2. ຜົນຂອງຄວາມແຕກຕ່າງລະຫວ່າງ "ບໍລິສຸດ" ແລະ UEBA ທີ່ມີໃນຕົວ

ປະເພດ	ເວທີ UEBA "ບໍລິສຸດ".	ວິທີແກ້ໄຂອື່ນໆທີ່ມີ UEBA ໃນຕົວ
Analytics	ຄວາມສາມາດນຳໃຊ້ເພື່ອແກ້ໄຂບັນຫາທຸລະກິດທີ່ຫຼາກຫຼາຍໝາຍເຖິງຊຸດໜ້າທີ່ຂອງ UEBA ທົ່ວໄປຫຼາຍຂຶ້ນ ໂດຍເນັ້ນໃສ່ການວິເຄາະທີ່ຊັບຊ້ອນ ແລະຮູບແບບການຮຽນຮູ້ຂອງເຄື່ອງຈັກ.	ການສຸມໃສ່ບັນຫາທຸລະກິດທີ່ນ້ອຍກວ່ານັ້ນຫມາຍເຖິງລັກສະນະພິເສດທີ່ເນັ້ນໃສ່ຮູບແບບສະເພາະຂອງແອັບພລິເຄຊັນທີ່ມີເຫດຜົນງ່າຍກວ່າ.
Analytics	ການປັບແຕ່ງຕົວແບບການວິເຄາະແມ່ນມີຄວາມຈໍາເປັນສໍາລັບແຕ່ລະສະຖານະການຄໍາຮ້ອງສະຫມັກ.	ຮູບແບບການວິເຄາະແມ່ນໄດ້ຖືກຕັ້ງຄ່າໄວ້ກ່ອນສໍາລັບເຄື່ອງມືທີ່ມີ UEBA ສ້າງຂຶ້ນໃນມັນ. ເຄື່ອງມືທີ່ມີ UEBA ໃນຕົວໂດຍທົ່ວໄປແລ້ວບັນລຸຜົນໄດ້ຮັບໄວຂຶ້ນໃນການແກ້ໄຂບັນຫາທຸລະກິດບາງຢ່າງ.
ແຫຼ່ງຂໍ້ມູນ	ການເຂົ້າເຖິງແຫຼ່ງຂໍ້ມູນຈາກທຸກມຸມຂອງໂຄງສ້າງພື້ນຖານຂອງບໍລິສັດ.	ແຫຼ່ງຂໍ້ມູນຫນ້ອຍລົງ, ປົກກະຕິແລ້ວຈໍາກັດໂດຍການມີຕົວແທນສໍາລັບພວກເຂົາຫຼືເຄື່ອງມືຕົວມັນເອງທີ່ມີຟັງຊັນ UEBA.
ແຫຼ່ງຂໍ້ມູນ	ຂໍ້​ມູນ​ທີ່​ມີ​ຢູ່​ໃນ​ແຕ່​ລະ​ບັນ​ທຶກ​ອາດ​ຈະ​ຖືກ​ຈໍາ​ກັດ​ໂດຍ​ແຫຼ່ງ​ຂໍ້​ມູນ​ແລະ​ອາດ​ຈະ​ບໍ່​ມີ​ຂໍ້​ມູນ​ທັງ​ຫມົດ​ທີ່​ຈໍາ​ເປັນ​ສໍາ​ລັບ​ເຄື່ອງ​ມື UEBA ສູນ​ກາງ​.	ຈໍານວນແລະລາຍລະອຽດຂອງຂໍ້ມູນດິບທີ່ເກັບກໍາໂດຍຕົວແທນແລະຖືກສົ່ງໄປຫາ UEBA ສາມາດຖືກກໍານົດໂດຍສະເພາະ.
ຖາປັດຕະຍະ	ມັນເປັນຜະລິດຕະພັນ UEBA ທີ່ສົມບູນແບບສໍາລັບອົງການຈັດຕັ້ງ. ການເຊື່ອມໂຍງແມ່ນງ່າຍຂຶ້ນໂດຍໃຊ້ຄວາມສາມາດຂອງລະບົບ SIEM ຫຼື Data lake.	ຮຽກຮ້ອງໃຫ້ມີຊຸດຄຸນສົມບັດ UEBA ແຍກຕ່າງຫາກສໍາລັບແຕ່ລະວິທີແກ້ໄຂທີ່ມີ UEBA ຢູ່ໃນຕົວ. ການແກ້ໄຂ UEBA ທີ່ຖືກຝັງມັກຈະຕ້ອງການການຕິດຕັ້ງຕົວແທນແລະການຄຸ້ມຄອງຂໍ້ມູນ.
ການເຊື່ອມໂຍງ	ການເຊື່ອມໂຍງຄູ່ມືຂອງການແກ້ໄຂ UEBA ກັບເຄື່ອງມືອື່ນໆໃນແຕ່ລະກໍລະນີ. ອະ​ນຸ​ຍາດ​ໃຫ້​ອົງ​ການ​ຈັດ​ຕັ້ງ​ການ​ສ້າງ stack ເຕັກ​ໂນ​ໂລ​ຊີ​ຂອງ​ຕົນ​ໂດຍ​ອີງ​ໃສ່ "ທີ່​ດີ​ທີ່​ສຸດ​ໃນ​ບັນ​ດາ​ການ​ປຽບ​ທຽບ​" ວິ​ທີ​ການ​.	ຊຸດຫຼັກຂອງຟັງຊັນ UEBA ແມ່ນລວມຢູ່ໃນເຄື່ອງມືຂອງຜູ້ຜະລິດເອງແລ້ວ. ໂມດູນ UEBA ມີຢູ່ໃນຕົວແລະບໍ່ສາມາດເອົາອອກໄດ້, ດັ່ງນັ້ນລູກຄ້າບໍ່ສາມາດປ່ຽນມັນດ້ວຍບາງສິ່ງບາງຢ່າງຂອງຕົນເອງ.
ທີ່ມາ: Gartner (ພຶດສະພາ 2019)

UEBA ເປັນຫນ້າທີ່

UEBA ກໍາລັງກາຍມາເປັນຄຸນສົມບັດຂອງການແກ້ໄຂຄວາມປອດໄພທາງອິນເຕີເນັດແບບສິ້ນສຸດເຖິງຈຸດຈົບທີ່ສາມາດໄດ້ຮັບຜົນປະໂຫຍດຈາກການວິເຄາະເພີ່ມເຕີມ. UEBA ເນັ້ນໃສ່ການແກ້ໄຂເຫຼົ່ານີ້, ສະຫນອງຊັ້ນທີ່ມີປະສິດທິພາບຂອງການວິເຄາະຂັ້ນສູງໂດຍອີງໃສ່ຮູບແບບພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະ / ຫຼືຫນ່ວຍງານ.

ໃນປັດຈຸບັນຢູ່ໃນຕະຫຼາດ, ຫນ້າທີ່ສ້າງໃນ UEBA ໄດ້ຖືກປະຕິບັດໃນການແກ້ໄຂຕໍ່ໄປນີ້, ຈັດກຸ່ມຕາມຂອບເຂດເຕັກໂນໂລຢີ:

• ການກວດສອບ ແລະການປົກປ້ອງທີ່ສຸມໃສ່ຂໍ້ມູນ, ແມ່ນຜູ້ຂາຍທີ່ສຸມໃສ່ການປັບປຸງຄວາມປອດໄພຂອງການເກັບຮັກສາຂໍ້ມູນທີ່ມີໂຄງສ້າງແລະບໍ່ມີໂຄງສ້າງ (aka DCAP).

  ໃນປະເພດຂອງຜູ້ຂາຍນີ້, Gartner ສັງເກດເຫັນ, ໃນບັນດາສິ່ງອື່ນໆ, ເວທີຄວາມປອດໄພທາງອິນເຕີເນັດ Varonis, ເຊິ່ງສະຫນອງການວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ເພື່ອຕິດຕາມການປ່ຽນແປງການອະນຸຍາດຂໍ້ມູນທີ່ບໍ່ມີໂຄງສ້າງ, ການເຂົ້າເຖິງແລະການນໍາໃຊ້ໃນທົ່ວຮ້ານຂໍ້ມູນທີ່ແຕກຕ່າງກັນ.

• ລະບົບ CASB, ສະເຫນີການປົກປ້ອງໄພຂົ່ມຂູ່ຕ່າງໆໃນແອັບພລິເຄຊັນ SaaS ທີ່ອີງໃສ່ຄລາວໂດຍການຂັດຂວາງການເຂົ້າເຖິງການບໍລິການຄລາວສໍາລັບອຸປະກອນທີ່ບໍ່ຕ້ອງການ, ຜູ້ໃຊ້ແລະເວີຊັນແອັບພລິເຄຊັນໂດຍໃຊ້ລະບົບການຄວບຄຸມການເຂົ້າເຖິງແບບປັບຕົວ.

  ວິທີແກ້ໄຂ CASB ຊັ້ນນໍາຂອງຕະຫຼາດທັງຫມົດປະກອບມີຄວາມສາມາດ UEBA.

• ວິທີແກ້ໄຂ DLP – ສຸມໃສ່ການກວດສອບການໂອນຂໍ້ມູນທີ່ສໍາຄັນຢູ່ນອກອົງການຫຼືການລ່ວງລະເມີດຂອງມັນ.

  ຄວາມກ້າວຫນ້າຂອງ DLP ສ່ວນໃຫຍ່ແມ່ນອີງໃສ່ຄວາມເຂົ້າໃຈຂອງເນື້ອຫາ, ໂດຍເນັ້ນໃສ່ຄວາມເຂົ້າໃຈຫນ້ອຍລົງໃນສະພາບການເຊັ່ນ: ຜູ້ໃຊ້, ແອັບພລິເຄຊັນ, ສະຖານທີ່, ເວລາ, ຄວາມໄວຂອງເຫດການແລະປັດໃຈພາຍນອກອື່ນໆ. ເພື່ອໃຫ້ມີປະສິດທິພາບ, ຜະລິດຕະພັນ DLP ຕ້ອງຮັບຮູ້ທັງເນື້ອຫາແລະສະພາບການ. ນີ້ແມ່ນເຫດຜົນທີ່ຜູ້ຜະລິດຫຼາຍຄົນເລີ່ມປະສົມປະສານການເຮັດວຽກຂອງ UEBA ເຂົ້າໃນການແກ້ໄຂຂອງພວກເຂົາ.

• ການຕິດຕາມພະນັກງານ ແມ່ນຄວາມສາມາດໃນການບັນທຶກ ແລະຫຼິ້ນຄືນການກະທຳຂອງພະນັກງານ, ປົກກະຕິແລ້ວໃນຮູບແບບຂໍ້ມູນທີ່ເໝາະສົມກັບການດຳເນີນຄະດີຕາມກົດໝາຍ (ຖ້າຈຳເປັນ).

  ການຕິດຕາມຜູ້ໃຊ້ຢ່າງຕໍ່ເນື່ອງມັກຈະສ້າງຂໍ້ມູນຈໍານວນຫຼວງຫຼາຍທີ່ຕ້ອງການການກັ່ນຕອງຄູ່ມືແລະການວິເຄາະຂອງມະນຸດ. ດັ່ງນັ້ນ, UEBA ຖືກນໍາໃຊ້ພາຍໃນລະບົບການຕິດຕາມເພື່ອປັບປຸງການປະຕິບັດການແກ້ໄຂເຫຼົ່ານີ້ແລະກວດພົບພຽງແຕ່ເຫດການທີ່ມີຄວາມສ່ຽງສູງ.

• ຄວາມປອດໄພຈຸດສິ້ນສຸດ - ການ​ແກ້​ໄຂ​ການ​ກວດ​ສອບ​ແລະ​ການ​ຕອບ​ສະ​ຫນອງ (EDR​) ແລະ​ເວ​ທີ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​ຈຸດ​ສິ້ນ​ສຸດ (EPP​) ໃຫ້​ອຸ​ປະ​ກອນ​ທີ່​ມີ​ອໍາ​ນາດ​ແລະ telemetry ລະ​ບົບ​ປະ​ຕິ​ບັດ​ການ​.
  ອຸປະກອນສິ້ນສຸດ.

  telemetry ທີ່ກ່ຽວຂ້ອງກັບຜູ້ໃຊ້ດັ່ງກ່າວສາມາດຖືກວິເຄາະເພື່ອສະຫນອງການທໍາງານຂອງ UEBA ໃນຕົວ.

• ການສໍ້ໂກງອອນໄລນ໌ – ວິທີແກ້ໄຂການຊອກຄົ້ນຫາການສໍ້ໂກງອອນໄລນ໌ກວດພົບການເຄື່ອນໄຫວທີ່ບ່ຽງເບນທີ່ຊີ້ບອກເຖິງການປະນີປະນອມຂອງບັນຊີຂອງລູກຄ້າໂດຍຜ່ານການຫຼອກລວງ, ມັລແວ, ຫຼືການຂູດຮີດການເຊື່ອມຕໍ່ທີ່ບໍ່ປອດໄພ/ການຂັດຂວາງການຈະລາຈອນຂອງຕົວທ່ອງເວັບ.

  ການແກ້ໄຂການສໍ້ໂກງສ່ວນໃຫຍ່ໃຊ້ຄວາມສໍາຄັນຂອງ UEBA, ການວິເຄາະການເຮັດທຸລະກໍາແລະການວັດແທກອຸປະກອນ, ໂດຍມີລະບົບທີ່ກ້າວຫນ້າທາງດ້ານຫຼາຍທີ່ປະສົມປະສານໃຫ້ເຂົາເຈົ້າໂດຍການຈັບຄູ່ຄວາມສໍາພັນໃນຖານຂໍ້ມູນຕົວຕົນ.

• IAM ແລະການຄວບຄຸມການເຂົ້າເຖິງ - Gartner ສັງເກດເຫັນທ່າອ່ຽງວິວັດທະນາການລະຫວ່າງຜູ້ຂາຍລະບົບການຄວບຄຸມການເຂົ້າເຖິງເພື່ອປະສົມປະສານກັບຜູ້ຂາຍທີ່ບໍລິສຸດແລະສ້າງບາງຫນ້າທີ່ UEBA ເຂົ້າໄປໃນຜະລິດຕະພັນຂອງພວກເຂົາ.
• IAM ແລະລະບົບການຄຸ້ມຄອງແລະການກໍານົດຕົວຕົນ (IGA). ໃຊ້ UEBA ເພື່ອກວມເອົາສະຖານະການການວິເຄາະພຶດຕິກໍາແລະຕົວຕົນເຊັ່ນ: ການກວດສອບຄວາມຜິດປົກກະຕິ, ການວິເຄາະການຈັດກຸ່ມແບບເຄື່ອນໄຫວຂອງຫນ່ວຍງານທີ່ຄ້າຍຄືກັນ, ການວິເຄາະເຂົ້າສູ່ລະບົບ, ແລະການວິເຄາະນະໂຍບາຍການເຂົ້າເຖິງ.
• IAM ແລະການຄຸ້ມຄອງການເຂົ້າເຖິງສິດທິພິເສດ (PAM) - ເນື່ອງຈາກບົດບາດຂອງການຕິດຕາມການນໍາໃຊ້ບັນຊີບໍລິຫານ, ວິທີແກ້ໄຂ PAM ມີ telemetry ເພື່ອສະແດງວິທີການ, ເປັນຫຍັງ, ເວລາແລະບ່ອນທີ່ບັນຊີບໍລິຫານຖືກນໍາໃຊ້. ຂໍ້​ມູນ​ນີ້​ສາ​ມາດ​ໄດ້​ຮັບ​ການ​ວິ​ເຄາະ​ໂດຍ​ການ​ນໍາ​ໃຊ້​ການ​ທໍາ​ງານ​ຂອງ​ຕົວ​ຂອງ UEBA ສໍາ​ລັບ​ການ​ມີ​ພຶດ​ຕິ​ກໍາ​ຜິດ​ປົກ​ກະ​ຕິ​ຂອງ​ຜູ້​ບໍ​ລິ​ຫານ​ຫຼື​ຄວາມ​ຕັ້ງ​ໃຈ​ທີ່​ເປັນ​ອັນ​ຕະ​ລາຍ​.
• ຜູ້ຜະລິດ NTA (ການວິເຄາະການຈະລາຈອນເຄືອຂ່າຍ) - ໃຊ້ການປະສົມປະສານຂອງການຮຽນຮູ້ຂອງເຄື່ອງຈັກ, ການວິເຄາະຂັ້ນສູງ ແລະການກວດຫາກົດລະບຽບເພື່ອລະບຸການເຄື່ອນໄຫວທີ່ໜ້າສົງໄສໃນເຄືອຂ່າຍອົງກອນ.

  ເຄື່ອງມື NTA ສືບຕໍ່ວິເຄາະການຈາລະຈອນແຫຼ່ງທີ່ມາ ແລະ/ຫຼື ບັນທຶກການໄຫຼເຂົ້າ (ເຊັ່ນ: NetFlow) ເພື່ອສ້າງຕົວແບບທີ່ສະທ້ອນເຖິງພຶດຕິກໍາເຄືອຂ່າຍປົກກະຕິ, ຕົ້ນຕໍແມ່ນສຸມໃສ່ການວິເຄາະພຶດຕິກໍາຂອງຫົວໜ່ວຍ.

• ເຊມ - ຜູ້ຂາຍ SIEM ຫຼາຍຄົນໃນປັດຈຸບັນມີຫນ້າທີ່ການວິເຄາະຂໍ້ມູນຂັ້ນສູງທີ່ສ້າງຂຶ້ນໃນ SIEM, ຫຼືເປັນໂມດູນ UEBA ແຍກຕ່າງຫາກ. ຕະຫຼອດປີ 2018 ແລະມາຮອດປັດຈຸບັນໃນປີ 2019, ມີການມົວຢ່າງຕໍ່ເນື່ອງຂອງຂອບເຂດຊາຍແດນລະຫວ່າງການທໍາງານຂອງ SIEM ແລະ UEBA, ດັ່ງທີ່ໄດ້ສົນທະນາໃນບົດຄວາມ. "ຄວາມເຂົ້າໃຈດ້ານເຕັກໂນໂລຢີສໍາລັບ SIEM ທີ່ທັນສະໄຫມ". ລະບົບ SIEM ໄດ້ກາຍເປັນທີ່ດີກວ່າໃນການເຮັດວຽກກັບການວິເຄາະແລະສະເຫນີສະຖານະການຄໍາຮ້ອງສະຫມັກທີ່ສັບສົນຫຼາຍ.

ສະຖານະການຄໍາຮ້ອງສະຫມັກ UEBA

ການແກ້ໄຂຂອງ UEBA ສາມາດແກ້ໄຂບັນຫາໄດ້ຢ່າງກວ້າງຂວາງ. ຢ່າງໃດກໍຕາມ, ລູກຄ້າ Gartner ຕົກລົງເຫັນດີວ່າກໍລະນີການນໍາໃຊ້ຕົ້ນຕໍກ່ຽວຂ້ອງກັບການກວດສອບປະເພດຕ່າງໆຂອງໄພຂົ່ມຂູ່, ບັນລຸໄດ້ໂດຍການສະແດງແລະການວິເຄາະການພົວພັນເລື້ອຍໆລະຫວ່າງພຶດຕິກໍາຂອງຜູ້ໃຊ້ແລະຫນ່ວຍງານອື່ນໆ:

• ການເຂົ້າເຖິງແລະການເຄື່ອນໄຫວຂອງຂໍ້ມູນໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດ;
• ພຶດຕິກໍາທີ່ຫນ້າສົງໄສຂອງຜູ້ໃຊ້ທີ່ໄດ້ຮັບສິດທິພິເສດ, ກິດຈະກໍາທີ່ເປັນອັນຕະລາຍຫຼືບໍ່ໄດ້ຮັບອະນຸຍາດຂອງພະນັກງານ;
• ການເຂົ້າເຖິງບໍ່ໄດ້ມາດຕະຖານແລະການນໍາໃຊ້ຊັບພະຍາກອນຟັງ;
• ແລະອື່ນໆ.

ຍັງມີຈໍານວນກໍລະນີການນໍາໃຊ້ຄວາມປອດໄພທາງອິນເຕີເນັດທີ່ບໍ່ປົກກະຕິ, ເຊັ່ນ: ການສໍ້ໂກງຫຼືການຕິດຕາມພະນັກງານ, ເຊິ່ງ UEBA ອາດຈະເປັນເຫດຜົນ. ຢ່າງໃດກໍ່ຕາມ, ພວກເຂົາມັກຈະຕ້ອງການແຫຼ່ງຂໍ້ມູນພາຍນອກຂອງ IT ແລະຄວາມປອດໄພຂອງຂໍ້ມູນ, ຫຼືແບບຈໍາລອງການວິເຄາະສະເພາະທີ່ມີຄວາມເຂົ້າໃຈເລິກເຊິ່ງກ່ຽວກັບພື້ນທີ່ນີ້. ຫ້າສະຖານະການຕົ້ນຕໍແລະຄໍາຮ້ອງສະຫມັກທີ່ທັງຜູ້ຜະລິດ UEBA ແລະລູກຄ້າຂອງພວກເຂົາຕົກລົງແມ່ນໄດ້ອະທິບາຍຂ້າງລຸ່ມນີ້.

"ຄົນພາຍໃນທີ່ເປັນອັນຕະລາຍ"

ຜູ້ໃຫ້ບໍລິການແກ້ໄຂ UEBA ທີ່ກວມເອົາສະຖານະການນີ້ພຽງແຕ່ຕິດຕາມກວດກາພະນັກງານແລະຜູ້ຮັບເຫມົາທີ່ເຊື່ອຖືໄດ້ສໍາລັບພຶດຕິກໍາທີ່ຜິດປົກກະຕິ, "ບໍ່ດີ" ຫຼືເປັນອັນຕະລາຍ. ຜູ້ຂາຍໃນຂົງເຂດຄວາມຊ່ຽວຊານນີ້ບໍ່ໄດ້ຕິດຕາມຫຼືວິເຄາະພຶດຕິກໍາຂອງບັນຊີການບໍລິການຫຼືຫນ່ວຍງານອື່ນໆທີ່ບໍ່ແມ່ນມະນຸດ. ສ່ວນໃຫຍ່ຍ້ອນເຫດຜົນນີ້, ພວກເຂົາບໍ່ໄດ້ສຸມໃສ່ການກວດພົບໄພຂົ່ມຂູ່ຂັ້ນສູງທີ່ແຮກເກີຍຶດເອົາບັນຊີທີ່ມີຢູ່ແລ້ວ. ແທນທີ່ຈະ, ພວກເຂົາມີຈຸດປະສົງເພື່ອກໍານົດພະນັກງານທີ່ກ່ຽວຂ້ອງກັບກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ.

ໂດຍພື້ນຖານແລ້ວ, ແນວຄວາມຄິດຂອງ "ພາຍໃນທີ່ເປັນອັນຕະລາຍ" ແມ່ນມາຈາກຜູ້ໃຊ້ທີ່ເຊື່ອຖືໄດ້ທີ່ມີຄວາມຕັ້ງໃຈທີ່ເປັນອັນຕະລາຍທີ່ຊອກຫາວິທີທີ່ຈະເຮັດໃຫ້ເກີດຄວາມເສຍຫາຍຕໍ່ນາຍຈ້າງຂອງພວກເຂົາ. ເນື່ອງຈາກຄວາມຕັ້ງໃຈທີ່ເປັນອັນຕະລາຍແມ່ນຍາກທີ່ຈະວັດແທກໄດ້, ຜູ້ຂາຍທີ່ດີທີ່ສຸດໃນປະເພດນີ້ວິເຄາະຂໍ້ມູນພຶດຕິກໍາຂອງສະພາບການທີ່ບໍ່ສາມາດໃຊ້ໄດ້ງ່າຍໃນບັນທຶກການກວດສອບ.

ຜູ້ໃຫ້ບໍລິການແກ້ໄຂໃນຊ່ອງນີ້ຍັງເພີ່ມແລະວິເຄາະຂໍ້ມູນທີ່ບໍ່ມີໂຄງສ້າງໄດ້ດີທີ່ສຸດ, ເຊັ່ນ: ເນື້ອຫາອີເມວ, ບົດລາຍງານການຜະລິດ, ຫຼືຂໍ້ມູນສື່ມວນຊົນສັງຄົມ, ເພື່ອສະຫນອງສະພາບການສໍາລັບພຶດຕິກໍາ.

ໄພຂົ່ມຂູ່ຈາກພາຍໃນ ແລະບຸກລຸກ

ສິ່ງທ້າທາຍແມ່ນການກວດສອບແລະວິເຄາະພຶດຕິກໍາ "ບໍ່ດີ" ຢ່າງໄວວາເມື່ອຜູ້ໂຈມຕີໄດ້ເຂົ້າເຖິງອົງການຈັດຕັ້ງແລະເລີ່ມຕົ້ນການເຄື່ອນຍ້າຍພາຍໃນໂຄງສ້າງພື້ນຖານ IT.
ໄພຂົ່ມຂູ່ທີ່ຢືນຢັນ (APTs), ເຊັ່ນໄພຂົ່ມຂູ່ທີ່ບໍ່ຮູ້ຈັກ ຫຼືຍັງບໍ່ທັນເຂົ້າໃຈໄດ້ຢ່າງຄົບຖ້ວນ, ເປັນການຍາກທີ່ຈະກວດພົບ ແລະມັກຈະເຊື່ອງຢູ່ເບື້ອງຫຼັງການເຄື່ອນໄຫວ ຫຼືບັນຊີບໍລິການທີ່ຖືກຕ້ອງຂອງຜູ້ນຳໃຊ້. ໄພຂົ່ມຂູ່ດັ່ງກ່າວປົກກະຕິແລ້ວມີຮູບແບບການດໍາເນີນງານທີ່ສັບສົນ (ເບິ່ງ, ຕົວຢ່າງ, ບົດຄວາມ " ການແກ້ໄຂ Cyber ​​​​Kill Chain") ຫຼືພຶດຕິກໍາຂອງພວກເຂົາຍັງບໍ່ທັນໄດ້ຮັບການປະເມີນວ່າເປັນອັນຕະລາຍ. ນີ້ເຮັດໃຫ້ພວກເຂົາມີຄວາມຫຍຸ້ງຍາກໃນການກວດສອບໂດຍໃຊ້ການວິເຄາະແບບງ່າຍໆ (ເຊັ່ນ: ການຈັບຄູ່ໂດຍຮູບແບບ, ຂອບເຂດ, ຫຼືກົດລະບຽບການເຊື່ອມໂຍງ).

ຢ່າງໃດກໍ່ຕາມ, ຫຼາຍໆໄພຂົ່ມຂູ່ທີ່ລ່ວງລະເມີດເຫຼົ່ານີ້ສົ່ງຜົນໃຫ້ພຶດຕິກໍາທີ່ບໍ່ໄດ້ມາດຕະຖານ, ມັກຈະກ່ຽວຂ້ອງກັບຜູ້ໃຊ້ຫຼືຫນ່ວຍງານທີ່ບໍ່ສົງໃສ (aka ພາຍໃນທີ່ຖືກທໍາລາຍ). ເຕັກນິກ UEBA ສະເຫນີໂອກາດທີ່ຫນ້າສົນໃຈຫຼາຍໃນການກວດສອບໄພຂົ່ມຂູ່ດັ່ງກ່າວ, ປັບປຸງອັດຕາສ່ວນສັນຍານຕໍ່ສຽງ, ລວບລວມແລະຫຼຸດຜ່ອນປະລິມານການແຈ້ງເຕືອນ, ຈັດລໍາດັບຄວາມສໍາຄັນຂອງການແຈ້ງເຕືອນທີ່ຍັງເຫຼືອ, ແລະອໍານວຍຄວາມສະດວກໃນການຕອບສະຫນອງແລະການສືບສວນເຫດການທີ່ມີປະສິດທິພາບ.

ຜູ້ຂາຍ UEBA ເປົ້າຫມາຍພື້ນທີ່ບັນຫານີ້ມັກຈະມີການເຊື່ອມໂຍງສອງທິດທາງກັບລະບົບ SIEM ຂອງອົງການ.

ການຂູດຂໍ້ມູນ

ວຽກງານໃນກໍລະນີນີ້ແມ່ນເພື່ອກວດພົບຄວາມຈິງທີ່ວ່າຂໍ້ມູນຖືກໂອນຢູ່ນອກອົງການ.
ຜູ້ຂາຍໄດ້ສຸມໃສ່ການທ້າທາຍນີ້ໂດຍປົກກະຕິໃຊ້ຄວາມສາມາດຂອງ DLP ຫຼື DAG ດ້ວຍການກວດພົບຄວາມຜິດປົກກະຕິແລະການວິເຄາະຂັ້ນສູງ, ດັ່ງນັ້ນການປັບປຸງອັດຕາສ່ວນສັນຍານຕໍ່ສິ່ງລົບກວນ, ການລວມປະລິມານການແຈ້ງເຕືອນ, ແລະຈັດລໍາດັບຄວາມສໍາຄັນທີ່ຍັງເຫຼືອ. ສໍາລັບສະພາບການເພີ່ມເຕີມ, ໂດຍທົ່ວໄປແລ້ວຜູ້ຂາຍຈະອີງໃສ່ການຈາລະຈອນເຄືອຂ່າຍຫຼາຍຂື້ນ (ເຊັ່ນ: ຕົວແທນເວັບ) ແລະຂໍ້ມູນຈຸດສິ້ນສຸດ, ຍ້ອນວ່າການວິເຄາະແຫຼ່ງຂໍ້ມູນເຫຼົ່ານີ້ສາມາດຊ່ວຍໃນການສືບສວນການຂູດຂໍ້ມູນ.

ການກວດສອບການຂູດຂໍ້ມູນຖືກໃຊ້ເພື່ອຈັບຄົນພາຍໃນ ແລະແຮກເກີພາຍນອກທີ່ຂົ່ມຂູ່ອົງກອນ.

ການກໍານົດແລະການຄຸ້ມຄອງການເຂົ້າເຖິງສິດທິພິເສດ

ຜູ້ຜະລິດວິທີແກ້ໄຂ UEBA ທີ່ເປັນເອກະລາດໃນຂົງເຂດນີ້ຜູ້ຊ່ຽວຊານສັງເກດເຫັນແລະວິເຄາະພຶດຕິກໍາຂອງຜູ້ໃຊ້ຕໍ່ກັບຄວາມເປັນມາຂອງລະບົບສິດທິທີ່ຖືກສ້າງຕັ້ງຂຶ້ນແລ້ວເພື່ອກໍານົດສິດທິພິເສດຫຼາຍເກີນໄປຫຼືການເຂົ້າເຖິງຜິດປົກກະຕິ. ນີ້ໃຊ້ກັບທຸກປະເພດຂອງຜູ້ໃຊ້ແລະບັນຊີ, ລວມທັງບັນຊີສິດທິພິເສດແລະການບໍລິການ. ອົງການຈັດຕັ້ງຍັງໃຊ້ UEBA ເພື່ອກໍາຈັດບັນຊີທີ່ພັກເຊົາແລະສິດທິຂອງຜູ້ໃຊ້ທີ່ສູງກວ່າທີ່ຕ້ອງການ.

ການຈັດລໍາດັບເຫດການ

ເປົ້າຫມາຍຂອງວຽກງານນີ້ແມ່ນເພື່ອຈັດລໍາດັບຄວາມສໍາຄັນຂອງການແຈ້ງເຕືອນທີ່ສ້າງຂຶ້ນໂດຍວິທີແກ້ໄຂໃນ stack ເຕັກໂນໂລຢີຂອງພວກເຂົາເພື່ອເຂົ້າໃຈວ່າເຫດການໃດຫຼືເຫດການທີ່ອາດຈະເກີດຂື້ນຄວນຖືກແກ້ໄຂກ່ອນ. ວິທີການແລະເຄື່ອງມືຂອງ UEBA ແມ່ນເປັນປະໂຫຍດໃນການກໍານົດເຫດການທີ່ຜິດປົກກະຕິຫຼືເປັນອັນຕະລາຍໂດຍສະເພາະສໍາລັບອົງການຈັດຕັ້ງໃດຫນຶ່ງ. ໃນກໍລະນີນີ້, ກົນໄກ UEBA ບໍ່ພຽງແຕ່ໃຊ້ລະດັບພື້ນຖານຂອງກິດຈະກໍາແລະຮູບແບບໄພຂົ່ມຂູ່ເທົ່ານັ້ນ, ແຕ່ຍັງເຮັດໃຫ້ຂໍ້ມູນທີ່ມີຂໍ້ມູນກ່ຽວກັບໂຄງສ້າງຂອງບໍລິສັດ (ຕົວຢ່າງ, ຊັບພະຍາກອນທີ່ສໍາຄັນຫຼືບົດບາດແລະລະດັບການເຂົ້າເຖິງຂອງພະນັກງານ).

ບັນຫາການປະຕິບັດການແກ້ໄຂ UEBA

ຄວາມເຈັບປວດໃນຕະຫຼາດຂອງການແກ້ໄຂ UEBA ແມ່ນລາຄາທີ່ສູງຂອງພວກເຂົາ, ການປະຕິບັດທີ່ສັບສົນ, ການຮັກສາແລະການນໍາໃຊ້. ໃນຂະນະທີ່ບໍລິສັດກໍາລັງຕໍ່ສູ້ກັບຈໍານວນປະຕູພາຍໃນທີ່ແຕກຕ່າງກັນ, ພວກເຂົາກໍາລັງໄດ້ຮັບ console ອື່ນ. ຂະຫນາດຂອງການລົງທຶນຂອງເວລາແລະຊັບພະຍາກອນໃນເຄື່ອງມືໃຫມ່ແມ່ນຂຶ້ນກັບວຽກງານທີ່ມີຢູ່ໃນມືແລະປະເພດຂອງການວິເຄາະທີ່ຈໍາເປັນເພື່ອແກ້ໄຂພວກມັນ, ແລະສ່ວນຫຼາຍແມ່ນຕ້ອງການການລົງທຶນຂະຫນາດໃຫຍ່.

ກົງກັນຂ້າມກັບສິ່ງທີ່ຜູ້ຜະລິດຫຼາຍຄົນອ້າງ, UEBA ບໍ່ແມ່ນ "ຕັ້ງມັນແລະລືມມັນ" ເຄື່ອງມືທີ່ສາມາດດໍາເນີນການຢ່າງຕໍ່ເນື່ອງສໍາລັບມື້ສຸດທ້າຍ.
ສໍາລັບຕົວຢ່າງ, ລູກຄ້າຂອງ Gartner, ສັງເກດວ່າມັນໃຊ້ເວລາຈາກ 3 ຫາ 6 ເດືອນເພື່ອເປີດຕົວການລິເລີ່ມ UEBA ຕັ້ງແຕ່ເລີ່ມຕົ້ນເພື່ອໃຫ້ໄດ້ຜົນທໍາອິດຂອງການແກ້ໄຂບັນຫາທີ່ການແກ້ໄຂນີ້ໄດ້ຖືກປະຕິບັດ. ສໍາລັບວຽກງານທີ່ສັບສົນຫຼາຍ, ເຊັ່ນ: ການກໍານົດໄພຂົ່ມຂູ່ພາຍໃນໃນອົງການຈັດຕັ້ງ, ໄລຍະເວລາເພີ່ມຂຶ້ນເປັນ 18 ເດືອນ.

ປັດໄຈທີ່ມີອິດທິພົນຕໍ່ຄວາມຫຍຸ້ງຍາກໃນການປະຕິບັດ UEBA ແລະປະສິດທິຜົນໃນອະນາຄົດຂອງເຄື່ອງມື:

• ຄວາມຊັບຊ້ອນຂອງສະຖາປັດຕະຍະກໍາຂອງອົງການຈັດຕັ້ງ, topology ເຄືອຂ່າຍແລະນະໂຍບາຍການຄຸ້ມຄອງຂໍ້ມູນ
• ການມີຂໍ້ມູນທີ່ຖືກຕ້ອງໃນລະດັບທີ່ຖືກຕ້ອງຂອງລາຍລະອຽດ
• ຄວາມຊັບຊ້ອນຂອງຂັ້ນຕອນການວິເຄາະຂອງຜູ້ຂາຍ—ຕົວຢ່າງ, ການນໍາໃຊ້ຕົວແບບສະຖິຕິ ແລະການຮຽນຮູ້ເຄື່ອງຈັກທຽບກັບຮູບແບບ ແລະກົດລະບຽບທີ່ງ່າຍດາຍ.
• ຈໍານວນການວິເຄາະທີ່ກໍານົດໄວ້ກ່ອນລວມ - ນັ້ນແມ່ນ, ຄວາມເຂົ້າໃຈຂອງຜູ້ຜະລິດກ່ຽວກັບສິ່ງທີ່ຕ້ອງການເກັບກໍາຂໍ້ມູນສໍາລັບແຕ່ລະຫນ້າວຽກແລະສິ່ງທີ່ຕົວແປແລະຄຸນລັກສະນະທີ່ສໍາຄັນທີ່ສຸດໃນການວິເຄາະ.
• ມັນງ່າຍປານໃດທີ່ຜູ້ຜະລິດຈະປະສົມປະສານກັບຂໍ້ມູນທີ່ຕ້ອງການໂດຍອັດຕະໂນມັດ.

  ຕົວຢ່າງ:

  • ຖ້າການແກ້ໄຂ UEBA ໃຊ້ລະບົບ SIEM ເປັນແຫຼ່ງຕົ້ນຕໍຂອງຂໍ້ມູນຂອງມັນ, SIEM ເກັບຂໍ້ມູນຈາກແຫຼ່ງຂໍ້ມູນທີ່ຕ້ອງການບໍ?
  • ບັນທຶກເຫດການທີ່ຈໍາເປັນ ແລະຂໍ້ມູນບໍລິບົດຂອງອົງກອນສາມາດສົ່ງໄປຫາການແກ້ໄຂ UEBA ໄດ້ບໍ?
  • ຖ້າລະບົບ SIEM ຍັງບໍ່ທັນເກັບກໍາແລະຄວບຄຸມແຫຼ່ງຂໍ້ມູນທີ່ຕ້ອງການໂດຍການແກ້ໄຂ UEBA, ພວກເຂົາຈະໂອນໄປບ່ອນນັ້ນໄດ້ແນວໃດ?

• ສະຖານະການຄໍາຮ້ອງສະຫມັກສໍາລັບອົງການຈັດຕັ້ງມີຄວາມສໍາຄັນແນວໃດ, ຈໍານວນຂໍ້ມູນຕ້ອງການ, ແລະວຽກງານນີ້ຊ້ໍາກັນກັບພື້ນທີ່ຜູ້ຊ່ຽວຊານຂອງຜູ້ຜະລິດ.
• ລະດັບການໃຫຍ່ເຕັມຕົວຂອງການຈັດຕັ້ງ ແລະ ການມີສ່ວນຮ່ວມແມ່ນຕ້ອງການ - ຕົວຢ່າງ, ການສ້າງ, ພັດທະນາ ແລະປັບປຸງກົດລະບຽບ ແລະ ຮູບແບບ; ການມອບຫມາຍນ້ໍາຫນັກໃຫ້ກັບຕົວແປສໍາລັບການປະເມີນຜົນ; ຫຼືປັບລະດັບການປະເມີນຄວາມສ່ຽງ.
• ການແກ້ໄຂຂອງຜູ້ຂາຍແລະສະຖາປັດຕະຍະກໍາສາມາດຂະຫຍາຍໄດ້ຫຼາຍປານໃດເມື່ອປຽບທຽບກັບຂະຫນາດໃນປະຈຸບັນຂອງອົງການຈັດຕັ້ງແລະຄວາມຕ້ອງການໃນອະນາຄົດຂອງມັນ.
• ເວລາທີ່ຈະສ້າງແບບຈໍາລອງພື້ນຖານ, ໂປຼໄຟລ໌ແລະກຸ່ມທີ່ສໍາຄັນ. ຜູ້ຜະລິດມັກຈະຕ້ອງການຢ່າງຫນ້ອຍ 30 ມື້ (ແລະບາງຄັ້ງເຖິງ 90 ມື້) ເພື່ອດໍາເນີນການວິເຄາະກ່ອນທີ່ພວກເຂົາສາມາດກໍານົດແນວຄວາມຄິດ "ປົກກະຕິ". ການໂຫຼດຂໍ້ມູນປະຫວັດສາດຄັ້ງດຽວສາມາດເລັ່ງການຝຶກອົບຮົມແບບຈໍາລອງ. ບາງກໍລະນີທີ່ຫນ້າສົນໃຈສາມາດຖືກກໍານົດໄດ້ໄວຂຶ້ນໂດຍໃຊ້ກົດລະບຽບຫຼາຍກ່ວາການນໍາໃຊ້ການຮຽນຮູ້ຂອງເຄື່ອງຈັກທີ່ມີຂໍ້ມູນເບື້ອງຕົ້ນຈໍານວນຫນ້ອຍທີ່ບໍ່ຫນ້າເຊື່ອ.
• ລະດັບຄວາມພະຍາຍາມທີ່ຈະສ້າງກຸ່ມແບບເຄື່ອນໄຫວ ແລະການສ້າງໂປຣໄຟລ໌ບັນຊີ (ການບໍລິການ/ຄົນ) ສາມາດແຕກຕ່າງກັນຢ່າງຫຼວງຫຼາຍລະຫວ່າງການແກ້ໄຂ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com