Денес ќе обезбедиме краток преглед на пазарот за анализа на однесувањето на корисниците и ентитетите (UEBA) врз основа на најновите Истражување на Гартнер. Пазарот на УЕБА е на дното на „фазата на разочарување“ според Gartner Hype Cycle for Threat-Facing Technologies, што укажува на зрелоста на технологијата. Но, парадоксот на ситуацијата лежи во истовремениот општ раст на инвестициите во технологиите на УЕБА и исчезнувањето на пазарот на независни решенија на УЕБА. Гартнер предвидува дека УЕБА ќе стане дел од функционалноста на поврзаните решенија за безбедност на информациите. Терминот „УЕБА“ најверојатно ќе испадне од употреба и ќе биде заменет со друг акроним фокусиран на потесна област на апликација (на пр., „аналитика на однесувањето на корисниците“), слична област на апликација (на пример, „аналитика на податоци“) или едноставно ќе стане дел од нов звучен збор (на пример, терминот „вештачка интелигенција“ [AI] изгледа интересно, иако тоа нема никаква смисла за современите производители на УЕБА).

Клучните наоди од студијата Гартнер може да се сумираат на следниов начин:

• Зрелоста на пазарот за аналитика на однесувањето на корисниците и субјектите се потврдува со фактот што овие технологии се користат од средниот и големиот корпоративен сегмент за решавање на голем број деловни проблеми;
• Способностите за аналитика на UEBA се вградени во широк опсег на поврзани технологии за безбедност на информациите, како што се безбедносни брокери за пристап во облак (CASB), управување со идентитетот и администрација (IGA) SIEM системи;
• Возбудата околу продавачите на UEBA и неправилната употреба на терминот „вештачка интелигенција“ им отежнува на клиентите да ја разберат вистинската разлика помеѓу технологиите на производителите и функционалноста на решенијата без да спроведат пилот проект;
• Клиентите забележуваат дека времето за имплементација и секојдневната употреба на решенијата на UEBA може да бидат потрудоинтензивни и одземаат многу време отколку што ветува производителот, дури и кога се разгледуваат само основните модели за откривање закани. Додавањето прилагодени или рабови за употреба може да биде исклучително тешко и бара експертиза во науката за податоци и аналитика.

Стратегиска прогноза за развој на пазарот:

• До 2021 година, пазарот за системи за анализа на однесувањето на корисниците и ентитетите (UEBA) ќе престане да постои како посебна област и ќе се префрли кон други решенија со функционалност на UEBA;
• До 2020 година, 95% од сите распоредувања на УЕБА ќе бидат дел од пошироката безбедносна платформа.

Дефиниција на решенија на УЕБА

Решенијата на UEBA користат вградена аналитика за да ја проценат активноста на корисниците и другите ентитети (како што се хостови, апликации, мрежниот сообраќај и складишта на податоци).
Тие откриваат закани и потенцијални инциденти, кои обично претставуваат аномална активност во споредба со стандардниот профил и однесување на корисниците и ентитетите во слични групи во одреден временски период.

Најчестите случаи на употреба во сегментот на претпријатието се откривање и одговор на закани, како и откривање и одговор на инсајдерски закани (најчесто компромитирани инсајдери; понекогаш и внатрешни напаѓачи).

УЕБА е како одлукаИ функција, вградена во специфична алатка:

• Решението се производители на „чисти“ платформи на UEBA, вклучувајќи продавачи кои исто така продаваат SIEM решенија одделно. Фокусиран на широк опсег на деловни проблеми во аналитиката на однесувањето и на корисниците и на ентитетите.
• Вградено – Производители/поделби кои ги интегрираат функциите и технологиите на UEBA во нивните решенија. Обично се фокусира на поспецифичен збир на деловни проблеми. Во овој случај, UEBA се користи за анализа на однесувањето на корисниците и/или ентитетите.

Гартнер ја гледа УЕБА по три оски, вклучувајќи решавачи на проблеми, аналитика и извори на податоци (види слика).

„Чиста“ UEBA платформи наспроти вградената UEBA

Гартнер смета дека „чистата“ платформа на УЕБА се решенија кои:

• решаваат неколку специфични проблеми, како што се следење на привилегирани корисници или издавање податоци надвор од организацијата, а не само апстрактно „следење на аномална активност на корисниците“;
• вклучуваат употреба на сложена аналитика, нужно базирана на основни аналитички пристапи;
• да обезбеди неколку опции за собирање податоци, вклучувајќи ги и вградените механизми за извор на податоци и алатките за управување со дневници, Data lake и/или SIEM системи, без задолжителна потреба за распоредување на посебни агенти во инфраструктурата;
• може да се купат и распоредат како самостојни решенија наместо да бидат вклучени во
  состав на други производи.

Табелата подолу ги споредува двата пристапа.

Табела 1. „Чисти“ решенија на UEBA наспроти вградени

Категорија	„Чисти“ платформи на УЕБА	Други решенија со вградена UEBA
Проблем да се реши	Анализа на однесувањето и ентитетите на корисникот.	Недостатокот на податоци може да ја ограничи УЕБА да го анализира однесувањето само на корисниците или ентитетите.
Проблем да се реши	Служи за решавање на широк спектар на проблеми	Специјализиран за ограничен сет на задачи
Анализа	Откривање аномалија со користење на различни аналитички методи - главно преку статистички модели и машинско учење, заедно со правила и потписи. Доаѓа со вградена аналитика за креирање и споредување на активноста на корисниците и ентитетите со нивните и профилите на колегите.	Слично на чистата UEBA, но анализата може да биде ограничена само на корисници и/или субјекти.
Анализа	Напредни аналитички способности, не ограничени само со правила. На пример, алгоритам за кластерирање со динамично групирање на ентитети.	Слично на „чистата“ UEBA, но групирањето на ентитетите во некои модели на вградени закани може да се менува само рачно.
Анализа	Корелација на активноста и однесувањето на корисниците и другите ентитети (на пример, користење на Бејзови мрежи) и агрегација на индивидуално ризично однесување со цел да се идентификува аномалната активност.	Слично на чистата UEBA, но анализата може да биде ограничена само на корисници и/или субјекти.
Извори на податоци	Примање настани за корисници и ентитети од извори на податоци директно преку вградени механизми или постоечки складишта на податоци, како што се SIEM или Data lake.	Механизмите за добивање податоци обично се само директни и ги засегаат само корисниците и/или други субјекти. Не користете алатки за управување со дневници / SIEM / Езеро на податоци.
Извори на податоци	Решението не треба да се потпира само на мрежниот сообраќај како главен извор на податоци, ниту треба да се потпира само на сопствените агенти за собирање телеметрија.	Решението може да се фокусира само на мрежниот сообраќај (на пример, NTA - анализа на мрежен сообраќај) и/или да ги користи своите агенти на крајните уреди (на пример, комуналните услуги за следење на вработените).
Извори на податоци	Заситување на податоците од корисникот/ентитет со контекст. Поддржува собирање на структурирани настани во реално време, како и структурирани/неструктурирани кохезивни податоци од ИТ директориуми - на пример, Active Directory (AD) или други информациски ресурси читливи од машина (на пример, бази на податоци за човечки ресурси).	Слично на чистата УЕБА, но опсегот на контекстуалните податоци може да се разликува од случај до случај. AD и LDAP се најчестите складишта за контекстуални податоци што ги користат вградените решенија на UEBA.
Достапност	Ги обезбедува наведените карактеристики како самостоен производ.	Невозможно е да се купи вградена функционалност на UEBA без да се купи надворешно решение во кое е вградена.
Извор: Гартнер (мај 2019)

Така, за да реши одредени проблеми, вградената UEBA може да користи основна UEBA аналитика (на пример, едноставно машинско учење без надзор), но во исто време, поради пристапот до точно потребните податоци, може да биде генерално поефективен од „чистиот“ УЕБА решение. Во исто време, „чистите“ платформи на УЕБА, како што се очекуваше, нудат покомплексна аналитика како главно знаење во споредба со вградената алатка UEBA. Овие резултати се сумирани во Табела 2.

Табела 2. Резултатот од разликите помеѓу „чистата“ и вградената УЕБА

Категорија	„Чисти“ платформи на УЕБА	Други решенија со вградена UEBA
Анализа	Применливоста за решавање на различни деловни проблеми подразбира поуниверзален сет на функции на UEBA со акцент на посложени аналитички модели и модели за машинско учење.	Фокусирањето на помал сет на деловни проблеми значи високо специјализирани функции кои се фокусираат на модели специфични за апликации со поедноставна логика.
Анализа	Прилагодувањето на аналитичкиот модел е неопходно за секое сценарио за апликација.	Аналитичките модели се претходно конфигурирани за алатката што ја има вградено UEBA во неа. Алатката со вградена UEBA генерално постигнува побрзи резултати во решавањето на одредени деловни проблеми.
Извори на податоци	Пристап до извори на податоци од сите агли на корпоративната инфраструктура.	Помалку извори на податоци, обично ограничени од достапноста на агенти за нив или од самата алатка со функции на UEBA.
Извори на податоци	Информациите содржани во секој дневник може да бидат ограничени од изворот на податоци и може да не ги содржат сите потребни податоци за централизираната алатка UEBA.	Количината и деталите на необработените податоци собрани од агентот и пренесени до UEBA може да се конфигурираат конкретно.
архитектура	Тоа е комплетен производ на УЕБА за организација. Интеграцијата е полесна користејќи ги можностите на SIEM системот или Data Lake.	Потребен е посебен сет на функции на UEBA за секое од решенијата што имаат вградено UEBA. Вградените решенија на UEBA често бараат инсталирање агенти и управување со податоци.
Интеграција	Рачна интеграција на решението UEBA со други алатки во секој случај. Дозволува организацијата да го изгради својот технолошки пакет врз основа на пристапот „најдобар меѓу аналозите“.	Главните пакети на функции на UEBA веќе се вклучени во самата алатка од страна на производителот. Модулот UEBA е вграден и не може да се отстрани, па клиентите не можат да го заменат со нешто свое.
Извор: Гартнер (мај 2019)

УЕБА како функција

UEBA станува карактеристика на решенија за сајбер-безбедност од крај до крај кои можат да имаат корист од дополнителната аналитика. UEBA е основата на овие решенија, обезбедувајќи моќен слој на напредна аналитика базирана на модели на однесување на корисниците и/или ентитетите.

Во моментов на пазарот, вградената функционалност на UEBA е имплементирана во следните решенија, групирани по технолошки опсег:

• Ревизија и заштита фокусирана на податоци, се продавачи кои се фокусирани на подобрување на безбедноста на структурираното и неструктурираното складирање на податоци (познато како DCAP).

  Во оваа категорија продавачи, Гартнер меѓу другото забележува, Платформа за сајбер безбедност Varonis, кој нуди аналитика на однесувањето на корисниците за следење на промените во дозволите за неструктурирани податоци, пристапот и користењето низ различни складишта на информации.

• CASB системи, нудејќи заштита од различни закани во апликациите SaaS базирани на облак преку блокирање на пристапот до услугите на облак за несакани уреди, корисници и верзии на апликации користејќи адаптивен систем за контрола на пристап.

  Сите водечки CASB решенија на пазарот ги вклучуваат способностите на UEBA.

• DLP решенија – фокусиран на откривање на пренос на критични податоци надвор од организацијата или нејзина злоупотреба.

  Напредокот на DLP во голема мера се заснова на разбирање на содржината, со помал фокус на разбирање на контекстот како што се корисникот, апликацијата, локацијата, времето, брзината на настаните и други надворешни фактори. За да бидат ефективни, производите на DLP мора да ги препознаваат и содржината и контекстот. Ова е причината зошто многу производители почнуваат да ја интегрираат функционалноста на UEBA во нивните решенија.

• Следење на вработените е способност за снимање и повторување на дејствијата на вработените, обично во формат на податоци погоден за правни постапки (ако е потребно).

  Постојаното следење на корисниците често генерира огромна количина на податоци што бара рачно филтрирање и човечка анализа. Затоа, UEBA се користи внатре во системите за следење за да се подобрат перформансите на овие решенија и да се детектираат само инциденти со висок ризик.

• Безбедност на крајната точка – Решенијата за откривање и одговор на крајната точка (EDR) и платформите за заштита на крајната точка (EPP) обезбедуваат моќна инструментација и телеметрија на оперативниот систем за
  крајни уреди.

  Таквата телеметрија поврзана со корисникот може да се анализира за да обезбеди вградена функционалност на UEBA.

• Онлајн измама – Решенијата за откривање измами преку Интернет откриваат девијантна активност што укажува на компромис на сметката на клиентот преку измама, малициозен софтвер или експлоатација на необезбедени врски/пресретнување на сообраќајот на прелистувачот.

  Повеќето решенија за измами ја користат суштината на UEBA, анализа на трансакции и мерење на уреди, со понапредни системи кои ги надополнуваат со усогласување на односите во базата на податоци за идентитетот.

• IAM и контрола на пристап – Гартнер забележува еволутивен тренд меѓу продавачите на системи за контрола на пристап за да се интегрираат со чисти продавачи и да изградат одредена функционалност на UEBA во нивните производи.
• IAM и системи за управување и администрација на идентитет (IGA). користете ја UEBA за да ги покриете сценаријата за анализа на однесувањето и идентитетот, како што се откривање аномалија, анализа на динамично групирање на слични ентитети, анализа за најавување и анализа на политиката за пристап.
• IAM и управување со привилегиран пристап (PAM) – Поради улогата на следење на користењето на административните сметки, PAM решенијата имаат телеметрија за да покажат како, зошто, кога и каде се користеле административните сметки. Овие податоци може да се анализираат со помош на вградената функционалност на UEBA за присуство на аномално однесување на администраторите или злонамерни намери.
• Manufacturers NTA (Анализа на мрежен сообраќај) – користете комбинација од машинско учење, напредна аналитика и откривање базирано на правила за да идентификувате сомнителни активности на корпоративните мрежи.

  Алатките NTA континуирано го анализираат изворниот сообраќај и/или записите за проток (на пр. NetFlow) за да изградат модели кои го одразуваат нормалното однесување на мрежата, првенствено фокусирајќи се на аналитиката на однесувањето на ентитетите.

• СИЕМ – многу продавачи на SIEM сега имаат напредна функционалност за анализа на податоци вградена во SIEM или како посебен UEBA модул. Во текот на 2018 година и досега во 2019 година, имаше континуирано замаглување на границите помеѓу функционалноста на SIEM и UEBA, како што беше дискутирано во статијата „Технолошки увид за современиот SIEM“. Системите SIEM станаа подобри во работата со аналитика и нудат посложени сценарија за апликации.

Сценарија за примена на УЕБА

Решенијата на УЕБА можат да решат широк спектар на проблеми. Сепак, клиентите на Гартнер се согласуваат дека случајот за примарна употреба вклучува откривање на различни категории на закани, постигнати со прикажување и анализа на честите корелации помеѓу однесувањето на корисникот и другите ентитети:

• неовластен пристап и движење на податоци;
• сомнително однесување на привилегирани корисници, злонамерна или неовластена активност на вработените;
• нестандарден пристап и користење на облак ресурси;
• итн

Исто така, постојат голем број нетипични случаи на употреба на несајбер-безбедност, како што се измама или следење на вработените, за кои УЕБА може да биде оправдана. Сепак, тие често бараат извори на податоци надвор од ИТ и безбедноста на информациите, или специфични аналитички модели со длабоко разбирање на оваа област. Петте главни сценарија и апликации за кои се согласуваат и производителите на UEBA и нивните клиенти се опишани подолу.

„Злонамерен инсајдер“

Давателите на решенија на UEBA кои го покриваат ова сценарио само ги следат вработените и доверливите изведувачи за невообичаено, „лошо“ или злонамерно однесување. Продавачите во оваа област на експертиза не го следат или анализираат однесувањето на сметките за услуги или други нечовечки субјекти. Во голема мера поради ова, тие не се фокусирани на откривање напредни закани каде хакерите ги преземаат постоечките сметки. Наместо тоа, тие се насочени кон идентификување на вработените вклучени во штетни активности.

Во суштина, концептот на „злонамерен инсајдер“ произлегува од доверливи корисници со злонамерна намера кои бараат начини да предизвикаат штета на нивниот работодавец. Бидејќи е тешко да се измери злонамерната намера, најдобрите продавачи во оваа категорија ги анализираат податоците од контекстуалното однесување што не се лесно достапни во дневниците за ревизија.

Обезбедувачите на решенија во овој простор, исто така, оптимално додаваат и анализираат неструктурирани податоци, како што се содржината на е-пошта, извештаи за продуктивност или информации за социјалните медиуми, за да обезбедат контекст за однесување.

Компромитирани инсајдерски и наметливи закани

Предизвикот е брзо да се открие и анализира „лошото“ однесување откако напаѓачот ќе добие пристап до организацијата и ќе почне да се движи во ИТ инфраструктурата.
Асертивните закани (APT), како непознати или сè уште не целосно разбрани закани, се исклучително тешки за откривање и често се кријат зад легитимните кориснички активности или сметки за услуги. Ваквите закани обично имаат комплексен оперативен модел (види, на пример, статијата „ Обраќање на синџирот на киберубиства„) или нивното однесување сè уште не е оценето како штетно. Ова го отежнува нивното откривање со користење на едноставни аналитики (како што се совпаѓање по обрасци, прагови или правила за корелација).

Сепак, многу од овие наметливи закани резултираат со нестандардно однесување, кое често вклучува доверливи корисници или ентитети (познато како компромитирани инсајдери). Техниките на UEBA нудат неколку интересни можности за откривање на такви закани, подобрување на односот сигнал-шум, консолидирање и намалување на обемот на известувања, приоритизирање на преостанатите предупредувања и олеснување на ефективниот одговор и истрага на инцидентот.

Продавачите на UEBA кои ја таргетираат оваа проблематична област често имаат двонасочна интеграција со SIEM системите на организацијата.

Ексфилтрација на податоци

Задачата во овој случај е да се открие фактот дека податоците се пренесуваат надвор од организацијата.
Добавувачите фокусирани на овој предизвик вообичаено ги користат DLP или DAG способностите со откривање аномалии и напредна аналитика, а со тоа го подобруваат односот сигнал-шум, ја консолидираат јачината на известувањата и им даваат приоритет на преостанатите предизвикувачи. За дополнителен контекст, продавачите обично повеќе се потпираат на мрежниот сообраќај (како што се веб-прокси) и податоците за крајната точка, бидејќи анализата на овие извори на податоци може да помогне во истрагите за ексфилтрација на податоци.

Откривањето на ексфилтрација на податоци се користи за фаќање инсајдери и надворешни хакери кои се закануваат на организацијата.

Идентификација и управување со привилегиран пристап

Производителите на независни решенија на UEBA во оваа област на експертиза го набљудуваат и анализираат однесувањето на корисниците на позадината на веќе формираниот систем на права со цел да се идентификуваат прекумерните привилегии или невообичаениот пристап. Ова се однесува на сите типови корисници и сметки, вклучувајќи ги привилегираните и услужните сметки. Организациите исто така користат UEBA за да се ослободат од неактивни сметки и кориснички привилегии кои се повисоки од потребните.

Приоритизација на инциденти

Целта на оваа задача е да се даде приоритет на известувањата генерирани од решенијата во нивниот технолошки оџак за да се разбере кои инциденти или потенцијални инциденти треба прво да се решат. Методологиите и алатките на UEBA се корисни за идентификување инциденти кои се особено аномални или особено опасни за одредена организација. Во овој случај, механизмот UEBA не само што го користи основното ниво на активност и модели на закани, туку и ги заситува податоците со информации за организациската структура на компанијата (на пример, критични ресурси или улоги и нивоа на пристап на вработените).

Проблеми при имплементација на решенијата на УЕБА

Пазарната болка на решенијата на UEBA е нивната висока цена, сложената имплементација, одржување и употреба. Додека компаниите се борат со бројот на различни внатрешни портали, тие добиваат друга конзола. Големината на инвестицијата на време и ресурси во нова алатка зависи од задачите што се на располагање и видовите на аналитика што се потребни за нивно решавање, а најчесто бараат големи инвестиции.

Спротивно на она што го тврдат многу производители, UEBA не е алатка „постави и заборавај“ која потоа може да работи непрекинато со денови.
Клиентите на Гартнер, на пример, забележуваат дека потребни се од 3 до 6 месеци за да се започне иницијатива на УЕБА од нула за да се добијат првите резултати од решавањето на проблемите за кои е имплементирано ова решение. За посложени задачи, како што е идентификација на инсајдерски закани во организацијата, периодот се зголемува на 18 месеци.

Фактори кои влијаат на тешкотијата за спроведување на UEBA и идната ефективност на алатката:

• Комплексноста на архитектурата на организацијата, мрежната топологија и политиките за управување со податоци
• Достапност на вистинските податоци на вистинското ниво на детали
• Комплексноста на аналитичките алгоритми на продавачот - на пример, употребата на статистички модели и машинско учење наспроти едноставни обрасци и правила.
• Количината на вклучена претходно конфигурирана аналитика - односно разбирањето на производителот за тоа кои податоци треба да се соберат за секоја задача и кои променливи и атрибути се најважни за да се изврши анализата.
• Колку е лесно за производителот автоматски да се интегрира со потребните податоци.

  На пример:

  • Ако решението на UEBA користи систем SIEM како главен извор на своите податоци, дали SIEM собира информации од потребните извори на податоци?
  • Дали може потребните дневници за настани и податоци од организациски контекст да се пренасочат до решение на УЕБА?
  • Ако системот SIEM сè уште не ги собира и контролира изворите на податоци потребни за решението на УЕБА, тогаш како може да се пренесат таму?

• Колку е важно сценариото за апликација за организацијата, колку извори на податоци бара и колку оваа задача се преклопува со областа на експертиза на производителот.
• Кој степен на организациска зрелост и вклученост е потребен – на пример, создавање, развој и усовршување на правила и модели; доделување тежини на променливите за евалуација; или прилагодување на прагот за проценка на ризикот.
• Колку е скалабилно решението на продавачот и неговата архитектура во споредба со моменталната големина на организацијата и нејзините идни барања.
• Време е да се изградат основни модели, профили и клучни групи. Производителите често бараат најмалку 30 дена (а понекогаш и до 90 дена) за да спроведат анализа пред да можат да ги дефинираат „нормалните“ концепти. Вчитувањето на историските податоци еднаш може да ја забрза обуката на моделот. Некои од интересните случаи може да се идентификуваат побрзо со користење на правила отколку со користење на машинско учење со неверојатно мала количина на почетни податоци.
• Нивото на напор што е потребно за да се изгради динамично групирање и профилирање на сметки (услуга/лице) може многу да варира помеѓу решенијата.

Извор: www.habr.com