ProHoster > Blogs > interneta ziņas > UEBA tirgus ir miris ā€“ lai dzÄ«vo UEBA

UEBA tirgus ir miris ā€“ lai dzÄ«vo UEBA

UEBA tirgus ir miris ā€“ lai dzÄ«vo UEBA

Å odien mēs sniegsim Ä«su pārskatu par lietotāju un entÄ«tiju uzvedÄ«bas analÄ«zes (UEBA) tirgu, pamatojoties uz jaunākajiem Gartnera pētÄ«jums. Saskaņā ar Gartner Hype Cycle for Threat-Facing Technologies datiem UEBA tirgus ir ā€œvilÅ”anās stadijasā€ apakŔā, kas norāda uz tehnoloÄ£ijas briedumu. Taču situācijas paradokss slēpjas vienlaicÄ«gā vispārējā investÄ«ciju pieaugumā UEBA tehnoloÄ£ijās un neatkarÄ«go UEBA risinājumu tirgus izzÅ«doÅ”ajā. Gartner prognozē, ka UEBA kļūs par daļu no saistÄ«to informācijas droŔības risinājumu funkcionalitātes. Termins "UEBA", visticamāk, vairs netiks lietots un tiks aizstāts ar citu saÄ«sinājumu, kas vērsts uz Å”aurāku lietojuma jomu (piemēram, "lietotāja uzvedÄ«bas analÄ«ze"), lÄ«dzÄ«gu lietojuma jomu (piemēram, "datu analÄ«ze") vai vienkārÅ”i kļūs par kādu citu. jauns buzzword (piemēram, termins "mākslÄ«gais intelekts" [AI] izskatās interesants, lai gan mÅ«sdienu UEBA ražotājiem tam nav nekādas jēgas).

Galvenos Gartnera pētÄ«juma rezultātus var apkopot Ŕādi:

  • Lietotāju un uzņēmumu uzvedÄ«bas analÄ«zes tirgus briedumu apliecina fakts, ka Ŕīs tehnoloÄ£ijas izmanto vidēja un liela uzņēmumu segments, lai atrisinātu vairākas biznesa problēmas;
  • UEBA analÄ«tikas iespējas ir iebÅ«vētas plaŔā saistÄ«to informācijas droŔības tehnoloÄ£iju klāstā, piemēram, mākoņa piekļuves droŔības brokeros (CASB), identitātes pārvaldÄ«bas un administrÄ“Å”anas (IGA) SIEM sistēmās;
  • Ažiotāža ap UEBA pārdevējiem un termina ā€œmākslÄ«gais intelektsā€ nepareizais lietojums apgrÅ«tina klientu izpratni par patieso atŔķirÄ«bu starp ražotāju tehnoloÄ£ijām un risinājumu funkcionalitāti, neveicot pilotprojektu;
  • Klienti atzÄ«mē, ka UEBA risinājumu ievieÅ”anas laiks un ikdienas lietoÅ”ana var bÅ«t darbietilpÄ«gāka un laikietilpÄ«gāka, nekā sola ražotājs, pat ņemot vērā tikai pamata draudu noteikÅ”anas modeļus. Pielāgotu vai malu lietoÅ”anas gadÄ«jumu pievienoÅ”ana var bÅ«t ārkārtÄ«gi sarežģīta, un tai ir nepiecieÅ”amas zināŔanas datu zinātnē un analÄ«zē.

Stratēģiskā tirgus attīstības prognoze:

  • LÄ«dz 2021. gadam lietotāju un entÄ«tiju uzvedÄ«bas analÄ«tikas (UEBA) sistēmu tirgus pārstās pastāvēt kā atseviŔķa joma un pāries uz citiem risinājumiem ar UEBA funkcionalitāti;
  • LÄ«dz 2020. gadam 95% no visiem UEBA izvietojumiem bÅ«s daļa no plaŔākas droŔības platformas.

UEBA risinājumu definīcija

UEBA risinājumi izmanto iebūvēto analīzi, lai novērtētu lietotāju un citu entītiju (piemēram, saimniekdatoru, lietojumprogrammu, tīkla trafika un datu krātuves) darbību.
Tie atklāj draudus un potenciālus incidentus, kas parasti atspoguļo anomālu darbību salīdzinājumā ar lietotāju un entītiju standarta profilu un uzvedību līdzīgās grupās noteiktā laika periodā.

VisizplatÄ«tākie lietoÅ”anas gadÄ«jumi uzņēmumu segmentā ir draudu atklāŔana un reaģēŔana, kā arÄ« iekŔējās informācijas (galvenokārt uzlauztas iekŔējās personas; dažreiz iekŔējie uzbrucēji) atklāŔana un reaģēŔana uz tiem.

UEBA ir kā lēmumuUn funkcija, iebūvēts konkrētā rīkā:

  • Risinājums ir ā€œtÄ«roā€ UEBA platformu ražotāji, tostarp pārdevēji, kuri arÄ« pārdod SIEM risinājumus atseviŔķi. Koncentrēts uz plaÅ”u biznesa problēmu loku gan lietotāju, gan entÄ«tiju uzvedÄ«bas analÄ«zē.
  • Embedded ā€” ražotāji/nodaļas, kas savos risinājumos integrē UEBA funkcijas un tehnoloÄ£ijas. Parasti koncentrējas uz konkrētāku biznesa problēmu kopumu. Å ajā gadÄ«jumā UEBA izmanto, lai analizētu lietotāju un/vai entÄ«tiju uzvedÄ«bu.

Gartner apskata UEBA pa trim asīm, tostarp problēmu risinātājus, analīzi un datu avotus (skatiet attēlu).

UEBA tirgus ir miris ā€“ lai dzÄ«vo UEBA

"Tīras" UEBA platformas pret iebūvēto UEBA

Gartner uzskata ā€œtÄ«ruā€ UEBA platformu par risinājumiem, kas:

  • atrisināt vairākas specifiskas problēmas, piemēram, priviliģētu lietotāju uzraudzÄ«bu vai datu izvadÄ«Å”anu ārpus organizācijas, nevis tikai abstraktu ā€œanomālu lietotāju darbÄ«bu uzraudzÄ«buā€;
  • ietver sarežģītas analÄ«tikas izmantoÅ”anu, kas obligāti balstās uz pamata analÄ«tiskām pieejām;
  • nodroÅ”ināt vairākas datu vākÅ”anas iespējas, tostarp gan iebÅ«vētos datu avotu mehānismus, gan žurnālu pārvaldÄ«bas rÄ«kus, Data Lake un/vai SIEM sistēmas, bez obligātas nepiecieÅ”amÄ«bas infrastruktÅ«rā izvietot atseviŔķus aÄ£entus;
  • var iegādāties un izvietot kā atseviŔķus risinājumus, nevis iekļaut tajos
    citu produktu sastāvs.

Tālāk esoŔajā tabulā ir salīdzinātas abas pieejas.

1. tabula. ā€œTÄ«riā€ UEBA risinājumi salÄ«dzinājumā ar iebÅ«vētajiem

kategorija "Tīras" UEBA platformas Citi risinājumi ar iebūvētu UEBA
Problēma, kas jāatrisina Lietotāju uzvedības un entītiju analīze. Datu trūkums var ierobežot UEBA analizēt tikai lietotāju vai vienību uzvedību.
Problēma, kas jāatrisina Kalpo dažādu problēmu risināŔanai Specializējas ierobežotā uzdevumu komplektā
Analytics Anomāliju noteikÅ”ana, izmantojot dažādas analÄ«tiskās metodes ā€” galvenokārt izmantojot statistikas modeļus un maŔīnmācÄ«Å”anos, kā arÄ« noteikumus un parakstus. Nāk ar iebÅ«vētu analÄ«zi, lai izveidotu un salÄ«dzinātu lietotāju un entÄ«tiju darbÄ«bas ar viņu un kolēģu profiliem. LÄ«dzÄ«gi kā tÄ«rā UEBA, taču analÄ«zi var ierobežot tikai ar lietotājiem un/vai entÄ«tijām.
Analytics Uzlabotas analÄ«tiskās iespējas, kuras neierobežo tikai noteikumi. Piemēram, klasterizācijas algoritms ar entÄ«tiju dinamisku grupÄ“Å”anu. LÄ«dzÄ«gi kā ā€œtÄ«rajāā€ UEBA, taču vienÄ«bu grupÄ“Å”anu dažos iegultos draudu modeļos var mainÄ«t tikai manuāli.
Analytics Lietotāju un citu vienÄ«bu darbÄ«bas un uzvedÄ«bas korelācija (piemēram, izmantojot Bajesa tÄ«klus) un individuālās riska uzvedÄ«bas apkopoÅ”ana, lai identificētu anomālu darbÄ«bu. LÄ«dzÄ«gi kā tÄ«rā UEBA, taču analÄ«zi var ierobežot tikai ar lietotājiem un/vai entÄ«tijām.
Datu avoti Lietotāju un entÄ«tiju notikumu saņemÅ”ana no datu avotiem tieÅ”i, izmantojot iebÅ«vētos mehānismus vai esoÅ”os datu krātuvjus, piemēram, SIEM vai Data Lake. Datu iegÅ«Å”anas mehānismi parasti ir tikai tieÅ”i un ietekmē tikai lietotājus un/vai citas vienÄ«bas. Neizmantojiet žurnālu pārvaldÄ«bas rÄ«kus / SIEM / Data Lake.
Datu avoti Risinājumam nevajadzētu paļauties tikai uz tÄ«kla trafiku kā galveno datu avotu, kā arÄ« tam nevajadzētu paļauties tikai uz saviem aÄ£entiem telemetrijas datu vākÅ”anai. Risinājums var koncentrēties tikai uz tÄ«kla trafiku (piemēram, NTA - tÄ«kla trafika analÄ«ze) un/vai izmantot savus aÄ£entus gala ierÄ«cēs (piemēram, darbinieku uzraudzÄ«bas utilÄ«tas).
Datu avoti Lietotāja/vienÄ«bas datu piesātināŔana ar kontekstu. Atbalsta strukturētu notikumu vākÅ”anu reāllaikā, kā arÄ« strukturētu/nestrukturētu saskaņotu datu apkopoÅ”anu no IT direktorijiem ā€“ piemēram, Active Directory (AD) vai citiem maŔīnlasāmiem informācijas resursiem (piemēram, HR datubāzēm). LÄ«dzÄ«gi kā tÄ«rā UEBA, taču kontekstuālo datu apjoms katrā gadÄ«jumā var atŔķirties. AD un LDAP ir visizplatÄ«tākie kontekstuālie datu krātuves, ko izmanto iegultie UEBA risinājumi.
PieejamÄ«ba NodroÅ”ina uzskaitÄ«tās funkcijas kā atseviŔķu produktu. Nav iespējams iegādāties iebÅ«vēto UEBA funkcionalitāti, neiegādājoties ārēju risinājumu, kurā tā ir iebÅ«vēta.
Avots: Gartner (2019. gada maijs)

Tādējādi, lai atrisinātu noteiktas problēmas, iegultā UEBA var izmantot pamata UEBA analÄ«zi (piemēram, vienkārÅ”u bezuzraudzÄ«tu maŔīnmācÄ«Å”anos), taču tajā paŔā laikā, pateicoties piekļuvei tieÅ”i nepiecieÅ”amajiem datiem, tā kopumā var bÅ«t efektÄ«vāka nekā ā€œtÄ«raā€ UEBA risinājums. Tajā paŔā laikā ā€œtÄ«rāsā€ UEBA platformas, kā paredzēts, piedāvā sarežģītāku analÄ«zi kā galveno zinātÄ«bu, salÄ«dzinot ar iebÅ«vēto UEBA rÄ«ku. Å ie rezultāti ir apkopoti 2. tabulā.

2. tabula. ā€œtÄ«rāsā€ un iebÅ«vētās UEBA atŔķirÄ«bu rezultāts

kategorija "Tīras" UEBA platformas Citi risinājumi ar iebūvētu UEBA
Analytics PiemērojamÄ«ba dažādu biznesa problēmu risināŔanai nozÄ«mē universālāku UEBA funkciju kopumu, uzsvaru liekot uz sarežģītākiem analÄ«tikas un maŔīnmācÄ«Å”anās modeļiem. KoncentrÄ“Å”anās uz mazāku biznesa problēmu kopumu nozÄ«mē ļoti specializētus lÄ«dzekļus, kas koncentrējas uz lietojumprogrammām specifiskiem modeļiem ar vienkārŔāku loÄ£iku.
Analytics AnalÄ«tiskā modeļa pielāgoÅ”ana ir nepiecieÅ”ama katram lietojumprogrammas scenārijam. AnalÄ«tiskie modeļi ir iepriekÅ” konfigurēti rÄ«kam, kurā ir iebÅ«vēta UEBA. RÄ«ks ar iebÅ«vētu UEBA parasti sasniedz ātrākus rezultātus noteiktu biznesa problēmu risināŔanā.
Datu avoti Piekļuve datu avotiem no visiem korporatīvās infrastruktūras stūriem. Mazāk datu avotu, ko parasti ierobežo aģentu pieejamība tiem vai pats rīks ar UEBA funkcijām.
Datu avoti Katrā žurnālā ietverto informāciju var ierobežot datu avots, un tā var nesaturēt visus centralizētajam UEBA rÄ«kam nepiecieÅ”amos datus. AÄ£enta savākto un UEBA pārsÅ«tÄ«to neapstrādāto datu apjomu un detalizāciju var Ä«paÅ”i konfigurēt.
ArhitektÅ«ra Tas ir pilnÄ«gs UEBA produkts organizācijai. Integrācija ir vienkārŔāka, izmantojot SIEM sistēmas vai Data Lake iespējas. NepiecieÅ”ams atseviŔķs UEBA funkciju komplekts katram risinājumam, kuram ir iebÅ«vēta UEBA. Iegultiem UEBA risinājumiem bieži ir jāinstalē aÄ£enti un jāpārvalda dati.
Integrācija UEBA risinājuma manuāla integrācija ar citiem rÄ«kiem katrā gadÄ«jumā. Ä»auj organizācijai izveidot savu tehnoloÄ£iju kopumu, pamatojoties uz pieeju ā€œlabākais starp analogiemā€. Galvenās UEBA funkciju kopas ražotājs jau ir iekļāvis paŔā rÄ«kā. UEBA modulis ir iebÅ«vēts un to nevar noņemt, tāpēc klienti nevar to aizstāt ar kaut ko savu.
Avots: Gartner (2019. gada maijs)

UEBA kā funkcija

UEBA kļūst par visaptveroŔu kiberdroŔības risinājumu iezīmi, kas var gūt labumu no papildu analītikas. UEBA ir Ŕo risinājumu pamatā, nodroŔinot jaudīgu uzlabotas analītikas slāni, pamatojoties uz lietotāju un/vai subjektu uzvedības modeļiem.

Å obrÄ«d tirgÅ« iebÅ«vētā UEBA funkcionalitāte ir ieviesta Ŕādos risinājumos, kas sagrupēti pēc tehnoloÄ£iskā apjoma:

  • Uz datiem vērsts audits un aizsardzÄ«ba, ir piegādātāji, kuru mērÄ·is ir uzlabot strukturētu un nestrukturētu datu krātuves (pazÄ«stams arÄ« kā DCAP) droŔību.

    Å ajā pārdevēju kategorijā Gartner cita starpā atzÄ«mē Varonis kiberdroŔības platforma, kas piedāvā lietotāju uzvedÄ«bas analÄ«zi, lai pārraudzÄ«tu izmaiņas nestrukturēto datu atļaujās, piekļuvē un lietoÅ”anā dažādos informācijas krātuvēs.

  • CASB sistēmas, kas piedāvā aizsardzÄ«bu pret dažādiem draudiem mākoņa bāzes SaaS lietojumprogrammās, bloķējot piekļuvi mākoņpakalpojumiem nevēlamām ierÄ«cēm, lietotājiem un lietojumprogrammu versijām, izmantojot adaptÄ«vo piekļuves kontroles sistēmu.

    Visi tirgÅ« vadoÅ”ie CASB risinājumi ietver UEBA iespējas.

  • DLP risinājumi ā€“ vērsta uz kritisku datu pārsÅ«tÄ«Å”anas ārpus organizācijas vai tās ļaunprātÄ«gas izmantoÅ”anas atklāŔanu.

    DLP sasniegumi lielā mērā ir balstÄ«ti uz satura izpratni, mazāk koncentrējoties uz konteksta, piemēram, lietotāja, lietojumprogrammas, atraÅ”anās vietas, laika, notikumu ātruma un citu ārējo faktoru izpratni. Lai DLP produkti bÅ«tu efektÄ«vi, tiem jāatpazÄ«st gan saturs, gan konteksts. Tāpēc daudzi ražotāji savos risinājumos sāk integrēt UEBA funkcionalitāti.

  • Darbinieku uzraudzÄ«ba ir iespēja ierakstÄ«t un atkārtot darbinieku darbÄ«bas, parasti datu formātā, kas piemērots tiesvedÄ«bai (ja nepiecieÅ”ams).

    PastāvÄ«gi pārraugot lietotājus, bieži tiek Ä£enerēts milzÄ«gs datu apjoms, kam nepiecieÅ”ama manuāla filtrÄ“Å”ana un cilvēka analÄ«ze. Tāpēc UEBA tiek izmantota uzraudzÄ«bas sistēmās, lai uzlabotu Å”o risinājumu veiktspēju un atklātu tikai augsta riska incidentus.

  • Galapunkta droŔība ā€“ Galapunktu noteikÅ”anas un reaģēŔanas (EDR) risinājumi un galapunktu aizsardzÄ«bas platformas (EPP) nodroÅ”ina jaudÄ«gu instrumentu un operētājsistēmas telemetriju
    gala ierīces.

    Šādu ar lietotāju saistÄ«to telemetriju var analizēt, lai nodroÅ”inātu iebÅ«vētu UEBA funkcionalitāti.

  • TieÅ”saistes krāpÅ”ana - TieÅ”saistes krāpÅ”anas atklāŔanas risinājumi atklāj novirzes, kas norāda uz klienta konta uzlauÅ”anu viltoÅ”anas, ļaunprātÄ«gas programmatÅ«ras vai nedroÅ”u savienojumu izmantoÅ”anas/pārlÅ«kprogrammas trafika pārtverÅ”anas dēļ.

    Lielākā daļa krāpÅ”anas risinājumu izmanto UEBA bÅ«tÄ«bu, darÄ«jumu analÄ«zi un ierīču mērÄ«jumus, un uzlabotas sistēmas tos papildina, saskaņojot attiecÄ«bas identitātes datu bāzē.

  • IAM un piekļuves kontrole ā€“ Gartner atzÄ«mē piekļuves kontroles sistēmu pārdevēju evolucionāru tendenci integrēties ar vienkārÅ”iem pārdevējiem un savos produktos iestrādāt dažas UEBA funkcionalitātes.
  • IAM un identitātes pārvaldÄ«bas un administrÄ“Å”anas (IGA) sistēmas izmantojiet UEBA, lai aptvertu uzvedÄ«bas un identitātes analÄ«zes scenārijus, piemēram, anomāliju noteikÅ”anu, lÄ«dzÄ«gu entÄ«tiju dinamiskās grupÄ“Å”anas analÄ«zi, pieteikÅ”anās analÄ«zi un piekļuves politikas analÄ«zi.
  • IAM un priviliģētās piekļuves pārvaldÄ«ba (PAM) ā€“ Ņemot vērā administratÄ«vo kontu izmantoÅ”anas uzraudzÄ«bas lomu, PAM risinājumiem ir telemetrija, kas parāda, kā, kāpēc, kad un kur tika izmantoti administratÄ«vie konti. Å os datus var analizēt, izmantojot UEBA iebÅ«vēto funkcionalitāti, lai noteiktu administratoru anomālu darbÄ«bu vai ļaunprātÄ«gu nolÅ«ku.
  • Ražotāju NTA (tÄ«kla trafika analÄ«ze) ā€“ izmantojiet maŔīnmācÄ«bas, uzlabotas analÄ«tikas un uz noteikumiem balstÄ«tas noteikÅ”anas kombināciju, lai identificētu aizdomÄ«gas darbÄ«bas korporatÄ«vajos tÄ«klos.

    NTA rīki nepārtraukti analizē avota trafika un/vai plūsmas ierakstus (piemēram, NetFlow), lai izveidotu modeļus, kas atspoguļo normālu tīkla darbību, galvenokārt koncentrējoties uz entītiju uzvedības analīzi.

  • siem ā€“ Daudziem SIEM pārdevējiem tagad ir uzlabota datu analÄ«zes funkcionalitāte, kas iebÅ«vēta SIEM vai kā atseviŔķs UEBA modulis. Visā 2018. gadā un lÄ«dz Å”im 2019. gadā ir nepārtraukti izplÅ«duÅ”as robežas starp SIEM un UEBA funkcionalitāti, kā minēts rakstā. "TehnoloÄ£iju ieskats mÅ«sdienu SIEM". SIEM sistēmas ir kļuvuÅ”as labākas, strādājot ar analÄ«zi un piedāvājot sarežģītākus lietojumprogrammu scenārijus.

UEBA pieteikŔanās scenāriji

UEBA risinājumi var atrisināt plaÅ”u problēmu loku. Tomēr Gartner klienti piekrÄ«t, ka primārais lietoÅ”anas gadÄ«jums ietver dažādu kategoriju apdraudējumu noteikÅ”anu, ko panāk, parādot un analizējot biežas korelācijas starp lietotāja uzvedÄ«bu un citām entÄ«tijām:

  • nesankcionēta piekļuve datiem un to pārvietoÅ”ana;
  • priviliģētu lietotāju aizdomÄ«ga rÄ«cÄ«ba, darbinieku ļaunprātÄ«ga vai neatļauta darbÄ«ba;
  • nestandarta piekļuve un mākoņresursu izmantoÅ”ana;
  • uc

Ir arÄ« vairāki netipiski ar kiberdroŔību nesaistÄ«ti izmantoÅ”anas gadÄ«jumi, piemēram, krāpÅ”ana vai darbinieku uzraudzÄ«ba, par kuriem UEBA var bÅ«t pamatota. Tomēr tiem bieži ir nepiecieÅ”ami datu avoti ārpus IT un informācijas droŔības vai Ä«paÅ”i analÄ«tiski modeļi ar dziļu izpratni par Å”o jomu. Tālāk ir aprakstÄ«ti pieci galvenie scenāriji un lietojumprogrammas, par kurām vienojas gan UEBA ražotāji, gan viņu klienti.

"Ä»aunprātÄ«gs iekŔējais"

UEBA risinājumu nodroÅ”inātāji, kas aptver Å”o scenāriju, uzrauga tikai darbiniekus un uzticamus darbuzņēmējus, lai atklātu neparastu, ā€œsliktuā€ vai ļaunprātÄ«gu rÄ«cÄ«bu. Pārdevēji Å”ajā kompetences jomā neuzrauga un neanalizē pakalpojumu kontu vai citu personu, kas nav cilvēki, darbÄ«bu. Lielākoties Ŕī iemesla dēļ viņi nav vērsti uz progresÄ«vu draudu atklāŔanu, kad hakeri pārņem esoÅ”os kontus. Tā vietā to mērÄ·is ir identificēt darbiniekus, kas iesaistÄ«ti kaitÄ«gās darbÄ«bās.

BÅ«tÄ«bā jēdziens ā€œÄ¼aunprātÄ«ga iekŔējā informācijaā€ izriet no uzticamiem lietotājiem ar ļaunprātÄ«gu nolÅ«ku, kuri meklē veidus, kā nodarÄ«t kaitējumu savam darba devējam. Tā kā ļaunprātÄ«gu nolÅ«ku ir grÅ«ti izmērÄ«t, labākie Ŕīs kategorijas piegādātāji analizē kontekstuālās uzvedÄ«bas datus, kas nav viegli pieejami audita žurnālos.

Risinājumu nodroÅ”inātāji Å”ajā vietā arÄ« optimāli pievieno un analizē nestrukturētus datus, piemēram, e-pasta saturu, produktivitātes pārskatus vai sociālo mediju informāciju, lai nodroÅ”inātu uzvedÄ«bas kontekstu.

Kompromitēti iekŔējās informācijas un uzmācÄ«gi draudi

Izaicinājums ir ātri atklāt un analizēt ā€œsliktuā€ uzvedÄ«bu, tiklÄ«dz uzbrucējs ir ieguvis piekļuvi organizācijai un sāk pārvietoties IT infrastruktÅ«rā.
PārliecinoÅ”us draudus (APT), piemēram, nezināmus vai vēl pilnÄ«bā neizprotamus draudus, ir ārkārtÄ«gi grÅ«ti noteikt, un tie bieži slēpjas aiz likumÄ«gām lietotāju darbÄ«bām vai pakalpojumu kontiem. Šādiem draudiem parasti ir sarežģīts darbÄ«bas modelis (skat., piemēram, rakstu ā€œ KibernogalināŔanas ķēdes risināŔana") vai viņu uzvedÄ«ba vēl nav novērtēta kā kaitÄ«ga. Tas apgrÅ«tina to noteikÅ”anu, izmantojot vienkārÅ”u analÄ«zi (piemēram, saskaņoÅ”anu pēc modeļiem, sliekŔņiem vai korelācijas noteikumiem).

Tomēr daudzi no Å”iem uzmācÄ«gajiem draudiem izraisa nestandarta uzvedÄ«bu, bieži vien iesaistot nenojauÅ”us lietotājus vai vienÄ«bas (pazÄ«stamas arÄ« kā apdraudētas iekŔējās personas). UEBA metodes piedāvā vairākas interesantas iespējas atklāt Ŕādus draudus, uzlabot signāla un trokŔņa attiecÄ«bu, konsolidēt un samazināt paziņojumu apjomu, pieŔķirt prioritāti atlikuÅ”ajiem brÄ«dinājumiem un veicināt efektÄ«vu incidentu reaģēŔanu un izmeklÄ“Å”anu.

UEBA pārdevējiem, kas mērķēti uz Å”o problēmu jomu, bieži ir divvirzienu integrācija ar organizācijas SIEM sistēmām.

Datu eksfiltrācija

Uzdevums Ŕajā gadījumā ir atklāt faktu, ka dati tiek pārsūtīti ārpus organizācijas.
Pārdevēji, kas koncentrējas uz Å”o izaicinājumu, parasti izmanto DLP vai DAG iespējas, izmantojot anomāliju noteikÅ”anu un uzlabotu analÄ«zi, tādējādi uzlabojot signāla un trokŔņa attiecÄ«bu, konsolidējot paziņojumu apjomu un pieŔķirot prioritāti atlikuÅ”ajiem aktivizētājiem. Papildu kontekstam pārdevēji parasti vairāk paļaujas uz tÄ«kla trafiku (piemēram, tÄ«mekļa starpniekserveriem) un galapunktu datiem, jo ā€‹ā€‹Å”o datu avotu analÄ«ze var palÄ«dzēt datu eksfiltrācijas izmeklÄ“Å”anā.

Datu eksfiltrācijas noteikÅ”ana tiek izmantota, lai notvertu iekŔējos un ārējos hakerus, kas apdraud organizāciju.

Priviliģētas piekļuves identificÄ“Å”ana un pārvaldÄ«ba

NeatkarÄ«go UEBA risinājumu ražotāji Å”ajā kompetences jomā novēro un analizē lietotāju uzvedÄ«bu uz jau izveidotas tiesÄ«bu sistēmas fona, lai identificētu pārmērÄ«gas privilēģijas vai anomālu piekļuvi. Tas attiecas uz visu veidu lietotājiem un kontiem, tostarp priviliģētiem un pakalpojumu kontiem. Organizācijas arÄ« izmanto UEBA, lai atbrÄ«votos no neaktÄ«viem kontiem un lietotāju privilēģijām, kas ir augstākas nekā nepiecieÅ”ams.

Starpgadījumu prioritāŔu noteikŔana

Å Ä« uzdevuma mērÄ·is ir noteikt prioritāti paziņojumiem, ko Ä£enerē risinājumi to tehnoloÄ£iju steksā, lai saprastu, kuri incidenti vai iespējamie incidenti ir jārisina vispirms. UEBA metodoloÄ£ijas un rÄ«ki ir noderÄ«gi, lai identificētu incidentus, kas ir Ä«paÅ”i anomāli vai Ä«paÅ”i bÄ«stami konkrētai organizācijai. Å ajā gadÄ«jumā UEBA mehānisms izmanto ne tikai darbÄ«bas bāzes un draudu modeļus, bet arÄ« piesātina datus ar informāciju par uzņēmuma organizatorisko struktÅ«ru (piemēram, kritiskajiem resursiem vai lomām un darbinieku piekļuves lÄ«meņiem).

UEBA risinājumu ievieÅ”anas problēmas

UEBA risinājumu tirgus sāpe ir to augstā cena, sarežģīta ievieÅ”ana, uzturÄ“Å”ana un lietoÅ”ana. Kamēr uzņēmumi cÄ«nās ar dažādu iekŔējo portālu skaitu, viņi iegÅ«st citu konsoli. Laika un resursu ieguldÄ«juma apjoms jaunā rÄ«kā ir atkarÄ«gs no veicamajiem uzdevumiem un to risināŔanai nepiecieÅ”amajiem analÄ«tikas veidiem, un visbiežāk tie prasa lielus ieguldÄ«jumus.

Pretēji tam, ko apgalvo daudzi ražotāji, UEBA nav ā€œiestatiet un aizmirstietā€ rÄ«ks, kas pēc tam var darboties nepārtraukti vairākas dienas.
Gartner klienti, piemēram, atzÄ«mē, ka UEBA iniciatÄ«vas uzsākÅ”ana no nulles aizņem no 3 lÄ«dz 6 mēneÅ”iem, lai iegÅ«tu pirmos rezultātus to problēmu risināŔanā, kurām Å”is risinājums tika ieviests. Sarežģītākiem uzdevumiem, piemēram, iekŔējo apdraudējumu identificÄ“Å”anai organizācijā, periods palielinās lÄ«dz 18 mēneÅ”iem.

Faktori, kas ietekmē UEBA ievieÅ”anas grÅ«tÄ«bas un rÄ«ka turpmāko efektivitāti:

  • Organizācijas arhitektÅ«ras, tÄ«kla topoloÄ£ijas un datu pārvaldÄ«bas politiku sarežģītÄ«ba
  • Pareizo datu pieejamÄ«ba pareizajā detalizācijas lÄ«menÄ«
  • Pārdevēja analÄ«tisko algoritmu sarežģītÄ«ba, piemēram, statistikas modeļu izmantoÅ”ana un maŔīnmācÄ«Å”anās pret vienkārÅ”iem modeļiem un noteikumiem.
  • Iekļauts iepriekÅ” konfigurētās analÄ«zes apjoms, tas ir, ražotāja izpratne par to, kādi dati ir jāapkopo katram uzdevumam un kādi mainÄ«gie un atribÅ«ti ir vissvarÄ«gākie analÄ«zes veikÅ”anai.
  • Cik viegli ražotājam ir automātiski integrēties ar nepiecieÅ”amajiem datiem.

    Piemēram:

    • Ja UEBA risinājums izmanto SIEM sistēmu kā galveno datu avotu, vai SIEM apkopo informāciju no nepiecieÅ”amajiem datu avotiem?
    • Vai nepiecieÅ”amos notikumu žurnālus un organizatoriskā konteksta datus var novirzÄ«t uz UEBA risinājumu?
    • Ja SIEM sistēma vēl neapkopo un nekontrolē UEBA risinājumam nepiecieÅ”amos datu avotus, tad kā tos tur pārsÅ«tÄ«t?

  • Cik svarÄ«gs organizācijai ir pieteikuma scenārijs, cik datu avotu tas prasa un cik lielā mērā Å”is uzdevums pārklājas ar ražotāja kompetences jomu.
  • Kāda organizācijas brieduma un iesaistÄ«Å”anās pakāpe ir nepiecieÅ”ama ā€“ piemēram, noteikumu un modeļu izveide, izstrāde un pilnveidoÅ”ana; mainÄ«gajiem lielumu pieŔķirÅ”ana novērtÄ“Å”anai; vai pielāgot riska novērtējuma slieksni.
  • Cik mērogojams ir pārdevēja risinājums un tā arhitektÅ«ra, salÄ«dzinot ar paÅ”reizējo organizācijas lielumu un tās nākotnes prasÄ«bām.
  • Laiks izveidot pamata modeļus, profilus un galvenās grupas. Ražotājiem bieži ir vajadzÄ«gas vismaz 30 dienas (un dažreiz pat 90 dienas), lai veiktu analÄ«zi, pirms viņi var definēt "parastos" jēdzienus. Vienreizēja vēsturisko datu ielāde var paātrināt modeļu apmācÄ«bu. Dažus interesantos gadÄ«jumus var identificēt ātrāk, izmantojot noteikumus, nekā izmantojot maŔīnmācÄ«Å”anos ar neticami mazu sākotnējo datu apjomu.
  • PiepÅ«les lÄ«menis, kas nepiecieÅ”ams, lai izveidotu dinamisku grupÄ“Å”anu un kontu profilÄ“Å”anu (pakalpojums/persona), dažādos risinājumos var ievērojami atŔķirties.

Avots: www.habr.com

Pievieno komentāru