आज आम्ही नवीनतम वर आधारित वापरकर्ता आणि संस्था वर्तणूक विश्लेषण (UEBA) मार्केटचे संक्षिप्त विहंगावलोकन प्रदान करू गार्टनर संशोधन. गार्टनर हायप सायकल फॉर थ्रेट-फेसिंग टेक्नॉलॉजीज नुसार UEBA मार्केट "मोहभंगाच्या टप्प्यात" तळाशी आहे, जे तंत्रज्ञानाची परिपक्वता दर्शवते. परंतु परिस्थितीचा विरोधाभास UEBA तंत्रज्ञानातील गुंतवणुकीच्या एकाच वेळी सामान्य वाढ आणि स्वतंत्र UEBA सोल्यूशन्सच्या गायब झालेल्या बाजारपेठेत आहे. गार्टनरचा अंदाज आहे की UEBA संबंधित माहिती सुरक्षा उपायांच्या कार्यक्षमतेचा भाग बनेल. "UEBA" हा शब्द कदाचित वापरातून बाहेर पडेल आणि अरुंद ऍप्लिकेशन एरिया (उदा. "वापरकर्ता वर्तन विश्लेषण"), तत्सम ऍप्लिकेशन क्षेत्र (उदा. "डेटा ऍनालिटिक्स") वर लक्ष केंद्रित केलेल्या दुसऱ्या संक्षेपाने बदलले जाईल किंवा फक्त काही बनले जाईल. नवीन buzzword (उदाहरणार्थ, "कृत्रिम बुद्धिमत्ता" [AI] हा शब्द मनोरंजक दिसत आहे, जरी आधुनिक UEBA उत्पादकांना त्याचा काही अर्थ नाही).

गार्टनर अभ्यासातील प्रमुख निष्कर्षांचा सारांश खालीलप्रमाणे दिला जाऊ शकतो:

• वापरकर्ते आणि संस्थांच्या वर्तणुकीशी संबंधित विश्लेषणासाठी बाजारपेठेतील परिपक्वतेची पुष्टी होते की या तंत्रज्ञानाचा वापर मध्यम आणि मोठ्या कॉर्पोरेट विभागाद्वारे अनेक व्यावसायिक समस्यांचे निराकरण करण्यासाठी केला जातो;
• UEBA विश्लेषण क्षमता क्लाउड ऍक्सेस सुरक्षित ब्रोकर्स (CASBs), ओळख व्यवस्थापन आणि प्रशासन (IGA) SIEM सिस्टीम सारख्या विस्तृत माहिती सुरक्षा तंत्रज्ञानामध्ये तयार केल्या आहेत;
• UEBA विक्रेत्यांचा प्रचार आणि "कृत्रिम बुद्धिमत्ता" या शब्दाचा चुकीचा वापर यामुळे ग्राहकांना प्रायोगिक प्रकल्प न राबवता उत्पादकांचे तंत्रज्ञान आणि सोल्यूशन्सची कार्यक्षमता यातील खरा फरक समजणे कठीण होते;
• ग्राहकांनी लक्षात घ्या की UEBA सोल्यूशन्सच्या अंमलबजावणीची वेळ आणि दैनंदिन वापर निर्मात्याच्या आश्वासनापेक्षा अधिक श्रम-केंद्रित आणि वेळ घेणारा असू शकतो, जरी फक्त मूलभूत धोका शोध मॉडेल्सचा विचार केला तरीही. सानुकूल किंवा किनारी वापर प्रकरणे जोडणे अत्यंत कठीण असू शकते आणि डेटा विज्ञान आणि विश्लेषणामध्ये कौशल्य आवश्यक आहे.

धोरणात्मक बाजार विकास अंदाज:

• 2021 पर्यंत, वापरकर्ता आणि अस्तित्व वर्तणूक विश्लेषण (UEBA) सिस्टीमचे बाजार स्वतंत्र क्षेत्र म्हणून अस्तित्वात नाहीसे होईल आणि UEBA कार्यक्षमतेसह इतर उपायांकडे वळेल;
• 2020 पर्यंत, सर्व UEBA तैनातीपैकी 95% एक व्यापक सुरक्षा प्लॅटफॉर्मचा भाग असेल.

UEBA उपायांची व्याख्या

UEBA सोल्यूशन्स वापरकर्ते आणि इतर घटकांच्या (जसे की होस्ट, ऍप्लिकेशन्स, नेटवर्क रहदारी आणि डेटा स्टोअर) च्या क्रियाकलापांचे मूल्यांकन करण्यासाठी अंगभूत विश्लेषणे वापरतात.
ते धमक्या आणि संभाव्य घटना शोधतात, सामान्यत: ठराविक कालावधीत समान गटांमधील वापरकर्ते आणि संस्थांच्या मानक प्रोफाइल आणि वर्तनाच्या तुलनेत विसंगत क्रियाकलाप दर्शवतात.

एंटरप्राइझ विभागातील सर्वात सामान्य वापर प्रकरणे म्हणजे धमकी शोधणे आणि प्रतिसाद, तसेच आतल्या धमक्यांना शोधणे आणि प्रतिसाद देणे (बहुधा तडजोड केलेले अंतर्गत; कधीकधी अंतर्गत हल्लेखोर).

UEBA सारखे आहे निर्णय, आणि कार्य, एका विशिष्ट साधनामध्ये अंगभूत:

• उपाय म्हणजे "शुद्ध" UEBA प्लॅटफॉर्मचे निर्माते, ज्यात विक्रेते देखील आहेत जे स्वतंत्रपणे SIEM सोल्यूशन्स देखील विकतात. वापरकर्ते आणि संस्था या दोघांच्या वर्तणुकीशी संबंधित विश्लेषणामध्ये व्यावसायिक समस्यांच्या विस्तृत श्रेणीवर लक्ष केंद्रित केले आहे.
• एम्बेडेड - उत्पादक/विभाग जे UEBA कार्ये आणि तंत्रज्ञान त्यांच्या सोल्यूशन्समध्ये समाकलित करतात. सामान्यत: व्यावसायिक समस्यांच्या अधिक विशिष्ट संचावर लक्ष केंद्रित केले जाते. या प्रकरणात, वापरकर्ते आणि/किंवा संस्थांच्या वर्तनाचे विश्लेषण करण्यासाठी UEBA चा वापर केला जातो.

गार्टनर तीन अक्षांसह UEBA पाहतो, ज्यामध्ये समस्या सोडवणारे, विश्लेषणे आणि डेटा स्रोत (आकृती पहा).

"शुद्ध" UEBA प्लॅटफॉर्म विरुद्ध अंगभूत UEBA

गार्टनर "शुद्ध" UEBA प्लॅटफॉर्मला असे उपाय मानतात:

• अनेक विशिष्ट समस्यांचे निराकरण करा, जसे की विशेषाधिकार प्राप्त वापरकर्त्यांचे निरीक्षण करणे किंवा संस्थेच्या बाहेर डेटा आउटपुट करणे, आणि केवळ "असामान्य वापरकर्ता क्रियाकलापांचे निरीक्षण" नाही;
• मूलभूत विश्लेषणात्मक पध्दतींवर आधारित जटिल विश्लेषणाचा वापर समाविष्ट करणे;
• इंफ्रास्ट्रक्चरमध्ये स्वतंत्र एजंट तैनात करण्याची अनिवार्य गरज नसताना, डेटा संकलनासाठी अनेक पर्याय प्रदान करा, ज्यामध्ये अंगभूत डेटा स्रोत यंत्रणा आणि लॉग व्यवस्थापन साधने, डेटा लेक आणि/किंवा SIEM सिस्टीम या दोन्हींचा समावेश आहे;
• मध्ये समाविष्ट करण्याऐवजी स्टँड-अलोन सोल्यूशन्स म्हणून खरेदी आणि तैनात केले जाऊ शकते
  इतर उत्पादनांची रचना.

खालील सारणी दोन पध्दतींची तुलना करते.

तक्ता 1. "शुद्ध" UEBA सोल्यूशन्स विरुद्ध अंगभूत उपाय

श्रेणी	"शुद्ध" UEBA प्लॅटफॉर्म	अंगभूत UEBA सह इतर उपाय
समस्या सोडवायची आहे	वापरकर्ता वर्तन आणि संस्थांचे विश्लेषण.	डेटाचा अभाव UEBA ला केवळ वापरकर्ते किंवा संस्थांच्या वर्तनाचे विश्लेषण करण्यास मर्यादित करू शकते.
समस्या सोडवायची आहे	समस्यांच्या विस्तृत श्रेणीचे निराकरण करण्यासाठी कार्य करते	मर्यादित कार्यांमध्ये माहिर
Analytics	विविध विश्लेषणात्मक पद्धतींचा वापर करून विसंगती शोधणे - प्रामुख्याने सांख्यिकीय मॉडेल्स आणि मशीन लर्निंगद्वारे, नियम आणि स्वाक्षरीसह. वापरकर्ता आणि संस्था क्रियाकलाप त्यांच्या आणि सहकाऱ्यांच्या प्रोफाइलशी तयार करण्यासाठी आणि त्यांची तुलना करण्यासाठी अंगभूत विश्लेषणासह येते.	शुद्ध UEBA प्रमाणेच, परंतु विश्लेषण केवळ वापरकर्ते आणि/किंवा संस्थांपुरते मर्यादित असू शकते.
Analytics	प्रगत विश्लेषणात्मक क्षमता, केवळ नियमांद्वारे मर्यादित नाही. उदाहरणार्थ, घटकांच्या डायनॅमिक ग्रुपिंगसह क्लस्टरिंग अल्गोरिदम.	"शुद्ध" UEBA प्रमाणेच, परंतु काही एम्बेडेड धोक्याच्या मॉडेल्समधील घटक गट केवळ व्यक्तिचलितपणे बदलले जाऊ शकतात.
Analytics	विसंगती क्रियाकलाप ओळखण्यासाठी वापरकर्ते आणि इतर घटकांच्या क्रियाकलाप आणि वर्तनाचा सहसंबंध (उदाहरणार्थ, बायेसियन नेटवर्क वापरणे) आणि वैयक्तिक जोखीम वर्तनाचे एकत्रीकरण.	शुद्ध UEBA प्रमाणेच, परंतु विश्लेषण केवळ वापरकर्ते आणि/किंवा संस्थांपुरते मर्यादित असू शकते.
डेटा स्रोत	अंगभूत यंत्रणा किंवा SIEM किंवा डेटा लेक सारख्या विद्यमान डेटा स्टोअरद्वारे थेट डेटा स्त्रोतांकडून वापरकर्ते आणि संस्थांवर इव्हेंट प्राप्त करणे.	डेटा मिळविण्याची यंत्रणा सामान्यतः थेट असते आणि केवळ वापरकर्ते आणि/किंवा इतर घटकांना प्रभावित करते. लॉग मॅनेजमेंट टूल्स / SIEM / डेटा लेक वापरू नका.
डेटा स्रोत	सोल्यूशनने डेटाचा मुख्य स्त्रोत म्हणून केवळ नेटवर्क रहदारीवर अवलंबून राहू नये किंवा टेलिमेट्री गोळा करण्यासाठी केवळ स्वतःच्या एजंटवर अवलंबून राहू नये.	सोल्यूशन फक्त नेटवर्क रहदारीवर लक्ष केंद्रित करू शकते (उदाहरणार्थ, NTA - नेटवर्क रहदारी विश्लेषण) आणि/किंवा त्याचे एजंट अंतिम डिव्हाइसेसवर वापरू शकतात (उदाहरणार्थ, कर्मचारी देखरेख उपयुक्तता).
डेटा स्रोत	संदर्भासह वापरकर्ता/संस्था डेटा संतृप्त करणे. रिअल टाईममधील संरचित इव्हेंट्सच्या संकलनास, तसेच IT निर्देशिकांमधून संरचित/असंरचित संयोजित डेटाचे समर्थन करते - उदाहरणार्थ, सक्रिय निर्देशिका (AD), किंवा इतर मशीन-वाचनीय माहिती संसाधने (उदाहरणार्थ, HR डेटाबेस).	शुद्ध UEBA प्रमाणेच, परंतु संदर्भित डेटाची व्याप्ती प्रत्येक केसमध्ये भिन्न असू शकते. AD आणि LDAP हे एम्बेडेड UEBA सोल्यूशन्सद्वारे वापरले जाणारे सर्वात सामान्य संदर्भित डेटा स्टोअर आहेत.
उपलब्धता	एक स्वतंत्र उत्पादन म्हणून सूचीबद्ध वैशिष्ट्ये प्रदान करते.	बाह्य समाधान खरेदी केल्याशिवाय अंगभूत UEBA कार्यक्षमता खरेदी करणे अशक्य आहे ज्यामध्ये ते तयार केले आहे.
स्रोत: गार्टनर (मे 2019)

अशाप्रकारे, काही समस्यांचे निराकरण करण्यासाठी, एम्बेडेड UEBA मूलभूत UEBA विश्लेषणे वापरू शकते (उदाहरणार्थ, साधे असुरक्षित मशीन लर्निंग), परंतु त्याच वेळी, अचूक आवश्यक डेटामध्ये प्रवेश केल्यामुळे, ते "शुद्ध" पेक्षा अधिक प्रभावी असू शकते. UEBA उपाय. त्याच वेळी, "शुद्ध" UEBA प्लॅटफॉर्म, अपेक्षेप्रमाणे, अंगभूत UEBA टूलच्या तुलनेत मुख्य माहिती म्हणून अधिक जटिल विश्लेषणे देतात. हे परिणाम तक्ता 2 मध्ये सारांशित केले आहेत.

तक्ता 2. "शुद्ध" आणि अंगभूत UEBA मधील फरकांचा परिणाम

श्रेणी	"शुद्ध" UEBA प्लॅटफॉर्म	अंगभूत UEBA सह इतर उपाय
Analytics	विविध प्रकारच्या व्यावसायिक समस्यांचे निराकरण करण्यासाठी उपयुक्तता अधिक जटिल विश्लेषणे आणि मशीन लर्निंग मॉडेल्सवर भर देऊन UEBA कार्यांचा अधिक सार्वत्रिक संच सूचित करते.	व्यावसायिक समस्यांच्या छोट्या संचावर लक्ष केंद्रित करणे म्हणजे अत्यंत विशिष्ट वैशिष्ट्ये जी सोप्या तर्कासह अनुप्रयोग-विशिष्ट मॉडेलवर लक्ष केंद्रित करतात.
Analytics	प्रत्येक अनुप्रयोग परिस्थितीसाठी विश्लेषणात्मक मॉडेलचे सानुकूलन आवश्यक आहे.	विश्लेषणात्मक मॉडेल्स त्या उपकरणासाठी पूर्व-कॉन्फिगर केलेले आहेत ज्यामध्ये UEBA अंतर्भूत आहे. अंगभूत UEBA असलेले साधन सामान्यतः काही व्यावसायिक समस्यांचे निराकरण करण्यात जलद परिणाम प्राप्त करते.
डेटा स्रोत	कॉर्पोरेट इन्फ्रास्ट्रक्चरच्या सर्व कोपऱ्यांमधून डेटा स्रोतांमध्ये प्रवेश.	कमी डेटा स्रोत, सहसा त्यांच्यासाठी एजंट्सच्या उपलब्धतेमुळे किंवा UEBA फंक्शन्ससह टूल स्वतः मर्यादित.
डेटा स्रोत	प्रत्येक लॉगमध्ये असलेली माहिती डेटा स्त्रोताद्वारे मर्यादित असू शकते आणि केंद्रीकृत UEBA टूलसाठी सर्व आवश्यक डेटा असू शकत नाही.	एजंटद्वारे गोळा केलेल्या आणि UEBA कडे पाठवलेल्या कच्च्या डेटाची रक्कम आणि तपशील विशेषतः कॉन्फिगर केले जाऊ शकतात.
आर्किटेक्चर	हे संस्थेसाठी संपूर्ण UEBA उत्पादन आहे. SIEM सिस्टीम किंवा डेटा लेकच्या क्षमतेचा वापर करून एकत्रीकरण करणे सोपे आहे.	अंगभूत UEBA असलेल्या प्रत्येक सोल्यूशनसाठी UEBA वैशिष्ट्यांचा एक वेगळा संच आवश्यक आहे. एम्बेडेड UEBA सोल्यूशन्सना अनेकदा एजंट स्थापित करणे आणि डेटा व्यवस्थापित करणे आवश्यक असते.
एकत्रीकरण	प्रत्येक बाबतीत इतर साधनांसह UEBA सोल्यूशनचे मॅन्युअल एकत्रीकरण. एखाद्या संस्थेला "सर्वोत्कृष्ट ॲनालॉग्स" दृष्टिकोनावर आधारित त्याचे तंत्रज्ञान स्टॅक तयार करण्यास अनुमती देते.	UEBA फंक्शन्सचे मुख्य बंडल आधीच निर्मात्याने स्वतः टूलमध्ये समाविष्ट केले आहेत. UEBA मॉड्युल अंगभूत आहे आणि ते काढले जाऊ शकत नाही, त्यामुळे ग्राहक ते त्यांच्या स्वत: च्या काहीतरी बदलू शकत नाहीत.
स्रोत: गार्टनर (मे 2019)

एक कार्य म्हणून UEBA

UEBA हे एंड-टू-एंड सायबर सिक्युरिटी सोल्यूशन्सचे वैशिष्ट्य बनत आहे जे अतिरिक्त विश्लेषणाचा फायदा घेऊ शकतात. UEBA हे उपाय अधोरेखित करते, वापरकर्ता आणि/किंवा घटक वर्तन पद्धतींवर आधारित प्रगत विश्लेषणाचा एक शक्तिशाली स्तर प्रदान करते.

सध्या बाजारात, UEBA ची अंगभूत कार्यक्षमता खालील सोल्यूशन्समध्ये लागू केली आहे, तांत्रिक व्याप्तीनुसार गटबद्ध:

• डेटा-केंद्रित ऑडिट आणि संरक्षण, हे विक्रेते आहेत जे संरचित आणि असंरचित डेटा स्टोरेज (उर्फ DCAP) ची सुरक्षा सुधारण्यावर लक्ष केंद्रित करतात.

  विक्रेत्यांच्या या श्रेणीमध्ये, गार्टनर नोट्स, इतर गोष्टींसह, वरोनिस सायबरसुरक्षा प्लॅटफॉर्म, जे विविध माहिती स्टोअर्समधील अनस्ट्रक्चर्ड डेटा परवानग्या, प्रवेश आणि वापरातील बदलांचे परीक्षण करण्यासाठी वापरकर्ता वर्तन विश्लेषण ऑफर करते.

• CASB प्रणाली, क्लाउड-आधारित SaaS ऍप्लिकेशन्समधील विविध धोक्यांपासून संरक्षण ऑफर करत आहे क्लाउड सेवांमध्ये प्रवेश अवरोधित करून अवांछित डिव्हाइसेस, वापरकर्ते आणि ॲडॉप्टिव्ह ऍक्सेस कंट्रोल सिस्टम वापरून ऍप्लिकेशन आवृत्ती.

  सर्व बाजारातील आघाडीच्या CASB सोल्यूशन्समध्ये UEBA क्षमतांचा समावेश आहे.

• DLP उपाय - संस्थेच्या बाहेर गंभीर डेटाचे हस्तांतरण किंवा त्याचा गैरवापर शोधण्यावर लक्ष केंद्रित केले आहे.

  वापरकर्ता, अनुप्रयोग, स्थान, वेळ, इव्हेंटचा वेग आणि इतर बाह्य घटक यासारख्या संदर्भ समजून घेण्यावर कमी लक्ष केंद्रित करून, डीएलपी प्रगती मुख्यत्वे सामग्री समजून घेण्यावर आधारित आहे. प्रभावी होण्यासाठी, DLP उत्पादनांनी सामग्री आणि संदर्भ दोन्ही ओळखणे आवश्यक आहे. म्हणूनच अनेक उत्पादक त्यांच्या सोल्यूशन्समध्ये UEBA कार्यक्षमता समाकलित करण्यास सुरवात करत आहेत.

• कर्मचारी निरीक्षण कर्मचाऱ्यांच्या क्रिया रेकॉर्ड करण्याची आणि पुन्हा प्ले करण्याची क्षमता आहे, सामान्यत: कायदेशीर कार्यवाहीसाठी योग्य असलेल्या डेटा फॉरमॅटमध्ये (आवश्यक असल्यास).

  वापरकर्त्यांचे सतत निरीक्षण केल्याने अनेकदा प्रचंड प्रमाणात डेटा व्युत्पन्न होतो ज्यासाठी मॅन्युअल फिल्टरिंग आणि मानवी विश्लेषण आवश्यक असते. म्हणून, या उपायांचे कार्यप्रदर्शन सुधारण्यासाठी आणि केवळ उच्च-जोखीम असलेल्या घटना शोधण्यासाठी UEBA चा वापर मॉनिटरिंग सिस्टममध्ये केला जातो.

• एंडपॉइंट सुरक्षा - एंडपॉइंट डिटेक्शन अँड रिस्पॉन्स (EDR) सोल्यूशन्स आणि एंडपॉइंट प्रोटेक्शन प्लॅटफॉर्म (EPP) शक्तिशाली इन्स्ट्रुमेंटेशन आणि ऑपरेटिंग सिस्टम टेलिमेट्री प्रदान करतात
  शेवटची साधने.

  अंगभूत UEBA कार्यक्षमता प्रदान करण्यासाठी अशा वापरकर्त्याशी संबंधित टेलिमेट्रीचे विश्लेषण केले जाऊ शकते.

• ऑनलाइन फसवणूक - ऑनलाइन फसवणूक शोध समाधाने विचलित क्रियाकलाप शोधतात जी फसवणूक, मालवेअर किंवा असुरक्षित कनेक्शन/ब्राउझर ट्रॅफिक इंटरसेप्शनच्या शोषणाद्वारे ग्राहकाच्या खात्याशी तडजोड दर्शवते.

  बहुतेक फसवणूक उपाय UEBA, व्यवहार विश्लेषण आणि डिव्हाइस मापन यांचे सार वापरतात, अधिक प्रगत प्रणाली ओळख डेटाबेसमधील संबंध जुळवून त्यांना पूरक असतात.

• IAM आणि प्रवेश नियंत्रण - गार्टनर शुद्ध विक्रेत्यांसह एकत्रित होण्यासाठी आणि त्यांच्या उत्पादनांमध्ये काही UEBA कार्यक्षमता तयार करण्यासाठी प्रवेश नियंत्रण प्रणाली विक्रेत्यांमधील उत्क्रांतीवादी प्रवृत्ती लक्षात घेते.
• IAM आणि ओळख प्रशासन आणि प्रशासन (IGA) प्रणाली विसंगती शोधणे, तत्सम घटकांचे डायनॅमिक ग्रुपिंग विश्लेषण, लॉगिन विश्लेषण आणि प्रवेश धोरण विश्लेषण यांसारख्या वर्तनात्मक आणि ओळख विश्लेषण परिस्थिती कव्हर करण्यासाठी UEBA वापरा.
• IAM आणि विशेषाधिकार प्राप्त प्रवेश व्यवस्थापन (PAM) - प्रशासकीय खात्यांच्या वापरावर देखरेख ठेवण्याच्या भूमिकेमुळे, PAM सोल्यूशन्समध्ये प्रशासकीय खाती कशी, का, केव्हा आणि कुठे वापरली गेली हे दर्शविण्यासाठी टेलिमेट्री आहे. प्रशासकांच्या विसंगत वर्तन किंवा दुर्भावनापूर्ण हेतूच्या उपस्थितीसाठी UEBA ची अंगभूत कार्यक्षमता वापरून या डेटाचे विश्लेषण केले जाऊ शकते.
• उत्पादक NTA (नेटवर्क रहदारी विश्लेषण) - कॉर्पोरेट नेटवर्कवरील संशयास्पद क्रियाकलाप ओळखण्यासाठी मशीन लर्निंग, प्रगत विश्लेषण आणि नियम-आधारित शोध यांचे संयोजन वापरा.

  NTA साधने सतत स्त्रोत रहदारी आणि/किंवा प्रवाह रेकॉर्डचे विश्लेषण करतात (उदा. NetFlow) मॉडेल तयार करण्यासाठी जे सामान्य नेटवर्क वर्तन प्रतिबिंबित करतात, प्रामुख्याने अस्तित्व वर्तन विश्लेषणावर लक्ष केंद्रित करतात.

• siem - बऱ्याच SIEM विक्रेत्यांकडे आता SIEM मध्ये किंवा स्वतंत्र UEBA मॉड्यूल म्हणून तयार केलेली प्रगत डेटा विश्लेषण कार्यक्षमता आहे. संपूर्ण 2018 मध्ये आणि 2019 मध्ये आतापर्यंत, SIEM आणि UEBA कार्यक्षमतेमधील सीमा सतत अस्पष्ट होत आहेत, लेखात चर्चा केल्याप्रमाणे "आधुनिक SIEM साठी तंत्रज्ञान अंतर्दृष्टी". SIEM प्रणाली विश्लेषणासह कार्य करण्यासाठी आणि अधिक जटिल अनुप्रयोग परिस्थिती ऑफर करण्यात अधिक चांगली झाली आहे.

UEBA अर्ज परिस्थिती

UEBA सोल्यूशन्स अनेक समस्यांचे निराकरण करू शकतात. तथापि, गार्टनर क्लायंट सहमत आहेत की प्राथमिक वापर प्रकरणात विविध प्रकारच्या धोक्यांचा शोध घेणे समाविष्ट आहे, जे वापरकर्ता वर्तन आणि इतर घटकांमधील वारंवार परस्परसंबंध प्रदर्शित करून आणि विश्लेषित करून साध्य केले जाते:

• अनधिकृत प्रवेश आणि डेटाची हालचाल;
• विशेषाधिकार प्राप्त वापरकर्त्यांचे संशयास्पद वर्तन, कर्मचार्यांची दुर्भावनापूर्ण किंवा अनधिकृत क्रियाकलाप;
• अ-मानक प्रवेश आणि क्लाउड संसाधनांचा वापर;
• आणि इतर.

फसवणूक किंवा कर्मचाऱ्यांचे निरीक्षण यांसारख्या गैर-सायबरसुरक्षा वापराच्या अनेक प्रकरणे देखील आहेत, ज्यासाठी UEBA न्याय्य ठरू शकते. तथापि, त्यांना बऱ्याचदा IT आणि माहिती सुरक्षिततेच्या बाहेरील डेटा स्रोत किंवा या क्षेत्राची सखोल माहिती असलेले विशिष्ट विश्लेषणात्मक मॉडेल आवश्यक असतात. UEBA उत्पादक आणि त्यांचे ग्राहक दोघेही सहमत आहेत अशा पाच मुख्य परिस्थिती आणि अनुप्रयोग खाली वर्णन केले आहेत.

"दुर्भावनायुक्त आतील व्यक्ती"

UEBA सोल्यूशन प्रदाते जे या परिस्थितीला कव्हर करतात केवळ असामान्य, "वाईट" किंवा दुर्भावनापूर्ण वर्तनासाठी कर्मचारी आणि विश्वासू कंत्राटदारांचे निरीक्षण करतात. तज्ञांच्या या क्षेत्रातील विक्रेते सेवा खाती किंवा इतर गैर-मानवी घटकांच्या वर्तनाचे परीक्षण किंवा विश्लेषण करत नाहीत. मुख्यत्वे यामुळे, ते प्रगत धोके शोधण्यावर लक्ष केंद्रित करत नाहीत जेथे हॅकर्स विद्यमान खाती ताब्यात घेतात. त्याऐवजी, ते हानिकारक क्रियाकलापांमध्ये गुंतलेल्या कर्मचाऱ्यांची ओळख पटवण्याच्या उद्देशाने आहेत.

मूलत:, "दुर्भावनायुक्त अंतर्भाग" ची संकल्पना दुर्भावनापूर्ण हेतू असलेल्या विश्वासू वापरकर्त्यांकडून उद्भवते जे त्यांच्या नियोक्ताचे नुकसान करण्याचे मार्ग शोधतात. दुर्भावनायुक्त हेतू मोजणे कठीण असल्यामुळे, या श्रेणीतील सर्वोत्तम विक्रेते संदर्भित वर्तन डेटाचे विश्लेषण करतात जे ऑडिट लॉगमध्ये सहज उपलब्ध नसतात.

या जागेतील सोल्यूशन प्रदाते वर्तनासाठी संदर्भ देण्यासाठी ईमेल सामग्री, उत्पादकता अहवाल किंवा सोशल मीडिया माहिती यांसारखा असंरचित डेटा इष्टतमपणे जोडतात आणि विश्लेषित करतात.

तडजोड केलेले आतल्या आणि अनाहूत धमक्या

आक्रमणकर्त्याने संस्थेत प्रवेश मिळवल्यानंतर आणि IT पायाभूत सुविधांमध्ये फिरणे सुरू केल्यानंतर "वाईट" वर्तन द्रुतपणे शोधणे आणि त्याचे विश्लेषण करणे हे आव्हान आहे.
अज्ञात किंवा अद्याप पूर्णपणे न समजलेल्या धमक्यांसारख्या आश्वासक धमक्या (APTs), शोधणे अत्यंत कठीण आहे आणि अनेकदा वैध वापरकर्ता क्रियाकलाप किंवा सेवा खात्यांच्या मागे लपलेले आहे. अशा धमक्यांमध्ये सहसा जटिल ऑपरेटिंग मॉडेल असते (उदाहरणार्थ, लेख पहा. सायबर किल चेनला संबोधित करणे") किंवा त्यांचे वर्तन अद्याप हानिकारक म्हणून मूल्यांकन केले गेले नाही. हे त्यांना साधे विश्लेषण वापरून शोधणे कठीण करते (जसे की नमुने, थ्रेशहोल्ड किंवा परस्परसंबंध नियमांनुसार जुळणे).

तथापि, यातील अनेक अनाहूत धमक्यांचा परिणाम गैर-मानक वर्तनात होतो, ज्यामध्ये अनेकदा संशय नसलेले वापरकर्ते किंवा संस्था (उर्फ तडजोड केलेले अंतर्मन) यांचा समावेश होतो. UEBA तंत्रे अशा धोक्यांचा शोध घेण्यासाठी, सिग्नल-टू-आवाज गुणोत्तर सुधारण्यासाठी, अधिसूचना खंड एकत्रित करण्यासाठी आणि कमी करण्यासाठी, उर्वरित सूचनांना प्राधान्य देण्यासाठी आणि प्रभावी घटना प्रतिसाद आणि तपास सुलभ करण्यासाठी अनेक मनोरंजक संधी देतात.

या समस्या क्षेत्राला लक्ष्य करणाऱ्या UEBA विक्रेत्यांकडे संस्थेच्या SIEM सिस्टीमसह द्वि-दिशात्मक एकीकरण असते.

डेटा एक्सफिल्टेशन

या प्रकरणात कार्य म्हणजे संस्थेच्या बाहेर डेटा हस्तांतरित केला जात आहे हे शोधणे.
विक्रेते या आव्हानावर लक्ष केंद्रित करतात विसंगती शोधणे आणि प्रगत विश्लेषणासह सामान्यत: DLP किंवा DAG क्षमतांचा फायदा घेतात, ज्यामुळे सिग्नल-टू-आवाज गुणोत्तर सुधारते, सूचना व्हॉल्यूम एकत्रित करते आणि उर्वरित ट्रिगर्सना प्राधान्य देतात. अतिरिक्त संदर्भासाठी, विक्रेते सामान्यत: नेटवर्क ट्रॅफिक (जसे की वेब प्रॉक्सी) आणि एंडपॉईंट डेटावर अधिक अवलंबून असतात, कारण या डेटा स्रोतांचे विश्लेषण डेटा एक्सफिल्टेशन तपासणीस मदत करू शकते.

डेटा एक्सफिल्टेशन डिटेक्शनचा वापर संस्थेला धोका देणाऱ्या आतल्या आणि बाह्य हॅकर्सना पकडण्यासाठी केला जातो.

विशेषाधिकार प्राप्त प्रवेशाची ओळख आणि व्यवस्थापन

तज्ञांच्या या क्षेत्रातील स्वतंत्र UEBA सोल्यूशन्सचे निर्माते जास्त विशेषाधिकार किंवा विसंगत प्रवेश ओळखण्यासाठी आधीच तयार केलेल्या अधिकार प्रणालीच्या पार्श्वभूमीवर वापरकर्त्याच्या वर्तनाचे निरीक्षण आणि विश्लेषण करतात. हे विशेषाधिकारप्राप्त आणि सेवा खात्यांसह सर्व प्रकारच्या वापरकर्त्यांना आणि खात्यांना लागू होते. सुप्त खाती आणि आवश्यकतेपेक्षा जास्त असलेले वापरकर्ता विशेषाधिकार यापासून मुक्त होण्यासाठी संस्था UEBA चा वापर करतात.

घटना प्राधान्यक्रम

कोणत्या घटना किंवा संभाव्य घटनांना प्रथम संबोधित केले जावे हे समजून घेण्यासाठी त्यांच्या तंत्रज्ञान स्टॅकमधील उपायांद्वारे व्युत्पन्न केलेल्या सूचनांना प्राधान्य देणे हे या कार्याचे ध्येय आहे. दिलेल्या संस्थेसाठी विशेषतः विसंगत किंवा विशेषतः धोकादायक असलेल्या घटना ओळखण्यासाठी UEBA पद्धती आणि साधने उपयुक्त आहेत. या प्रकरणात, UEBA यंत्रणा केवळ क्रियाकलाप आणि धोक्याच्या मॉडेलचा आधार स्तर वापरत नाही तर कंपनीच्या संस्थात्मक संरचनेबद्दल माहितीसह डेटा देखील संतृप्त करते (उदाहरणार्थ, गंभीर संसाधने किंवा भूमिका आणि कर्मचाऱ्यांचे प्रवेश स्तर).

UEBA उपायांची अंमलबजावणी करताना समस्या

UEBA सोल्यूशन्सची बाजारातील वेदना ही त्यांची उच्च किंमत, जटिल अंमलबजावणी, देखभाल आणि वापर आहे. कंपन्या वेगवेगळ्या अंतर्गत पोर्टलच्या संख्येसह संघर्ष करत असताना, त्यांना आणखी एक कन्सोल मिळत आहे. नवीन साधनामध्ये वेळ आणि संसाधनांच्या गुंतवणुकीचा आकार हातातील आव्हाने आणि त्यांचे निराकरण करण्यासाठी आवश्यक असलेल्या विश्लेषणाच्या प्रकारांवर अवलंबून असतो आणि बहुतेकदा मोठ्या गुंतवणूकीची आवश्यकता असते.

बऱ्याच उत्पादकांच्या दाव्याच्या विरूद्ध, UEBA हे “सेट करा आणि विसरा” असे साधन नाही जे नंतर दिवसभर सतत चालू शकते.
गार्टनर क्लायंट, उदाहरणार्थ, लक्षात घ्या की ज्या समस्यांसाठी हे उपाय लागू केले गेले त्या समस्यांचे निराकरण करण्याचे प्रथम परिणाम प्राप्त करण्यासाठी सुरवातीपासून UEBA उपक्रम सुरू करण्यासाठी 3 ते 6 महिने लागतात. अधिक जटिल कार्यांसाठी, जसे की एखाद्या संस्थेतील अंतर्गत धोके ओळखणे, कालावधी 18 महिन्यांपर्यंत वाढतो.

UEBA ची अंमलबजावणी करण्यात अडचण आणि साधनाची भविष्यातील प्रभावीता प्रभावित करणारे घटक:

• संस्था आर्किटेक्चर, नेटवर्क टोपोलॉजी आणि डेटा व्यवस्थापन धोरणांची जटिलता
• तपशीलाच्या योग्य स्तरावर योग्य डेटाची उपलब्धता
• विक्रेत्याच्या विश्लेषण अल्गोरिदमची जटिलता—उदाहरणार्थ, सांख्यिकीय मॉडेल्स आणि मशीन लर्निंग विरुद्ध साधे नमुने आणि नियमांचा वापर.
• प्री-कॉन्फिगर केलेल्या ॲनालिटिक्सची रक्कम समाविष्ट आहे-म्हणजेच, प्रत्येक कार्यासाठी कोणता डेटा संकलित करणे आवश्यक आहे आणि विश्लेषण करण्यासाठी कोणते व्हेरिएबल्स आणि गुणधर्म सर्वात महत्वाचे आहेत याची निर्मात्याची समज.
• निर्मात्यासाठी आवश्यक डेटासह स्वयंचलितपणे एकत्रित करणे किती सोपे आहे.

  उदाहरणार्थ:

  • जर UEBA सोल्यूशन SIEM प्रणालीचा डेटाचा मुख्य स्त्रोत म्हणून वापर करत असेल, तर SIEM आवश्यक डेटा स्रोतांकडून माहिती गोळा करते का?
  • आवश्यक इव्हेंट लॉग आणि संस्थात्मक संदर्भ डेटा UEBA सोल्यूशनकडे पाठवला जाऊ शकतो का?
  • जर SIEM प्रणाली अद्याप UEBA सोल्यूशनसाठी आवश्यक डेटा स्त्रोत गोळा आणि नियंत्रित करत नसेल तर ते तेथे कसे हस्तांतरित केले जाऊ शकतात?

• संस्थेसाठी अर्जाची परिस्थिती किती महत्त्वाची आहे, त्यासाठी किती डेटा स्रोत आवश्यक आहेत आणि हे कार्य निर्मात्याच्या कौशल्याच्या क्षेत्राशी किती ओव्हरलॅप करते.
• किती प्रमाणात संस्थात्मक परिपक्वता आणि सहभाग आवश्यक आहे - उदाहरणार्थ, नियम आणि मॉडेल्सची निर्मिती, विकास आणि परिष्करण; मूल्यमापनासाठी व्हेरिएबल्सना वजन नियुक्त करणे; किंवा जोखीम मूल्यांकन थ्रेशोल्ड समायोजित करणे.
• संस्थेच्या वर्तमान आकाराच्या आणि भविष्यातील गरजांच्या तुलनेत विक्रेत्याचे समाधान आणि त्याची रचना किती स्केलेबल आहे.
• मूलभूत मॉडेल, प्रोफाइल आणि मुख्य गट तयार करण्याची वेळ आली आहे. उत्पादकांना "सामान्य" संकल्पना परिभाषित करण्यापूर्वी विश्लेषण करण्यासाठी कमीतकमी 30 दिवस (आणि कधीकधी 90 दिवसांपर्यंत) आवश्यक असतात. ऐतिहासिक डेटा एकदा लोड केल्याने मॉडेल प्रशिक्षणाची गती वाढू शकते. प्रारंभिक डेटाच्या आश्चर्यकारकपणे कमी प्रमाणात मशीन लर्निंग वापरण्यापेक्षा काही मनोरंजक प्रकरणे नियमांचा वापर करून जलद ओळखली जाऊ शकतात.
• डायनॅमिक ग्रुपिंग आणि अकाउंट प्रोफाइलिंग (सेवा/व्यक्ती) तयार करण्यासाठी आवश्यक असलेल्या प्रयत्नांची पातळी समाधानांमध्ये मोठ्या प्रमाणात बदलू शकते.

स्त्रोत: www.habr.com