ááá±á·áá»áœááºá¯ááºááá¯á·áááºáá±á¬ááºáá¯á¶ážáá±á«áºá¡ááŒá±áá¶á User and Entity Behavioral Analytics (UEBA) á
á»á±ážááœááºáá¡áá»ááºážáá»á¯ááºááá¯áááºááŒáá«áááºá . áááºážááá¬á ááá·áºáá»ááºááŸá¯ááᯠááœáŸááºááŒáá±á¬ Gartner Hype Cycle for Threat-Facing Technologies á¡á UEBA á
á»á±ážááœááºááẠâá
áááºáá»ááºá
áá¬á¡ááá·áºâ á á¡á±á¬ááºááŒá±ááœáẠááŸááá±áááºá ááá¯á·áá±á¬áº á¡ááŒá±á¡áá±á áááá±á¬ááááẠUEBA áááºážááá¬áá»á¬ážááœáẠáááºážááŸá®ážááŒáŸá¯ááºááŸá¶ááŸá¯áá»á¬áž áááŒáá¯ááºááẠááŒá®ážááœá¬ážáá¬ááŸá¯ááŸáá·áº ááœááºáááºáá±á¬ UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážá áá»á±á¬ááºááœááºááœá¬ážááá·áº á
á»á±ážááœááºááœáẠáááºááŸááá±áááºá Gartner á UEBA ááẠáááºááá¯ááºáᬠááááºážá¡áá»ááºá¡ááẠáá¯á¶ááŒá¯á¶áá±áž ááŒá±ááŸááºážáá»ááºáá»á¬ážá áá¯ááºáá±á¬ááºááá¯ááºá
áœááºážá áá
áºá
áááºáá
áºááá¯ááºáž ááŒá
áºáá¬áááá·áºáááºáᯠááá·áºááŸááºážáááºá "UEBA" áá°áá±á¬ á¡áá¯á¶ážá¡ááŸá¯ááºážááẠá¡áá¯á¶ážáááŒá¯áá±á¬á·áá² áá»ááºážááŒá±á¬ááºážáá±á¬ á¡ááá®áá±ážááŸááºážá§áááᬠ(á¥ááá¬á "á¡áá¯á¶ážááŒá¯áá° á¡ááŒá¯á¡áá° ááá¯ááºážááŒá¬ážá
áááºááŒá¬ááŸá¯")á á¡áá¬ážáá° á¡ááá®áá±ážááŸááºážá§áááᬠ(á¥ááá¬á "áá±áᬠááœá²ááŒááºážá
áááºááŒá¬ááŸá¯") ááá¯á·ááá¯áẠááá¯ážááŸááºážáá±á¬ á¡ááŒá¬ážá¡ááá¯áá±á¬ááºááŒáá·áº á¡á
á¬ážááá¯ážáá«áááºá buzzword á¡áá
Ạ(á¥ááá¬á "á¥á¬ááºáááºáá¯" [AI] áá°áá±á¬ áá±á«áá¬áááẠáá±ááºáá® UEBA áá¯ááºáá¯ááºáá°áá»á¬ážá¡ááœáẠá¡áááá¹áá«ááºáááŸááá±á¬áºáááºážá áááºážááẠá
áááºáááºá
á¬ážááœááºáá±á¬ááºážáá¯á¶ááááºá
Gartner áá±á·áá¬ááŸá¯á០á¡áááááœá±á·ááŸááá»ááºáá»á¬ážááᯠá¡á±á¬ááºáá«á¡ááá¯ááºáž á¡áá»ááºážáá»á¯á¶ážááá¯ááºáá«áááºá
- áá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº á¡ááœá²á·á¡á ááºážáá»á¬ážá á¡ááŒá¯á¡áá°ááá¯ááºáᬠááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá»á¬ážá¡ááœáẠá á»á±ážááœááºáááá·áºáá»ááºááŸá¯ááᯠá á®ážááœá¬ážáá±ážááŒá¿áá¬áá»á¬ážá áœá¬ááá¯ááŒá±ááŸááºážáááºá¡ááœáẠá¡áááºááŸáá·áºá¡ááŒá®ážá á¬ážáá±á¬áºááá¯ááááºá¡ááá¯ááºážá០á€áááºážááá¬áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááŒá±á¬ááºážá¡áá»ááºááŒáá·áº á¡áááºááŒá¯áá«áááºá
- UEBA ááœá²ááŒááºážá áááºááŒá¬ááŸá¯á áœááºážáááºáá»á¬ážááᯠcloud access áá¯á¶ááŒá¯á¶áá±ážááœá²á á¬ážáá»á¬áž (CASBs)á á¡áá±á¬ááºá¡áá¬áž á¡á¯ááºáá»á¯ááºááŸá¯ááŸáá·áº á á®áá¶ááá·áºááœá²áá±áž (IGA) SIEM á áá áºáá»á¬ážáá²á·ááá¯á·áá±á¬ áá»ááºááŒáá·áºáá±á¬ áááºá ááºááááºážá¡áá»ááºá¡ááẠáá¯á¶ááŒá¯á¶áá±ážáááºážááá¬áá»á¬ážááŒáá·áº áááºáá±á¬ááºáá¬ážáááºá
- UEBA áá±á¬ááºážáá»áá°áá»á¬ážááŸáá·áº áááºáááºá áá±á¬ááºážááœáá±ááŒááºážááŸáá·áº "áá¬ááºáááºáá¯" áá°áá±á¬ á¡áá¯á¶ážá¡ááŸá¯ááºážááᯠááŸá¬ážááœááºážá áœá¬á¡áá¯á¶ážááŒá¯ááŒááºážááẠáá¯ááºáá¯ááºáá°ááááºážááá¬áá»á¬ážááŸáá·áº ááŸá±á·ááŒá±ážááá±á¬áá»ááºááᯠááá¯ááºáá±á¬ááºáá² ááŒá±ááŸááºážáá»ááºáá»á¬ážá áá¯ááºáá±á¬ááºááá¯ááºá áœááºážáá»á¬ážááŒá¬ážá០á¡ááŸááºááááºááœá¬ááŒá¬ážáá»ááºááᯠáá¬ážáááºááẠáá¯á¶ážá áœá²áá°áá»á¬ážá¡ááœáẠáááºáá²á á±áááºá
- UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážá¡á¬áž á¡áá±á¬ááºá¡áááºáá±á¬áºáá»áááºááŸáá·áº áá±á·á á¥áºá¡áá¯á¶ážááŒá¯ááŸá¯ááẠáá¯ááºáá¯ááºáá°áááááŒá¯áá¬ážáááºááẠááá¯ááá¯áá»á¬ážááŒá¬ážááŒá®áž á¡áá»áááºáá¯ááºááá¯ááºááŒá±á¬ááºáž áá¯á¶ážá áœá²áá°áá»á¬ážá áááááŒá¯áááá«áááºá á áááºááŒáá¯áẠááá¯á·ááá¯áẠá¡áá¬ážáááºá¡áá¯á¶ážááŒá¯ááŸá¯ááá á¹á áá»á¬ážááᯠáá±á«ááºážááá·áºááŒááºážááẠá¡ááœááºáááºáá²ááá¯ááºááŒá®áž áá±áá¬áááá¹áá¶ááŸáá·áº ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááœáẠáá»áœááºážáá»ááºááŸá¯ááá¯á¡ááºáá«áááºá
ááá¬áá»á°áá¬ááŒá±á¬áẠá á»á±ážááœááºááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯ ááá·áºááŸááºážáá»ááº-
- 2021 áá¯ááŸá áºááœááºá á¡áá¯á¶ážááŒá¯áá°ááŸáá·áº entity á¡ááŒá¯á¡áá°ááá¯ááºáᬠááœá²ááŒááºážá áááºááŒá¬ááŸá¯ (UEBA) á áá áºáá»á¬ážá¡ááœáẠá á»á±ážááœááºááẠáá®ážááŒá¬ážá§áááá¬á¡ááŒá ẠáááºááŸááá±á¬á·áááºááŒá áºááŒá®áž UEBA áá¯ááºáá±á¬ááºááá¯ááºá áœááºážááŒáá·áº á¡ááŒá¬ážáá±á¬ ááŒá±ááŸááºážáááºážáá»á¬ážáá®ááá¯á· ááŒá±á¬ááºážáá²ááœá¬ážáááºááŒá áºáááºá
- 2020 ááœáẠUEBA ááŒáá·áºáá»ááºááŸá¯á¡á¬ážáá¯á¶ážá 95% ááẠááá¯ááá¯áá»ááºááŒáá·áºáá±á¬ áá¯á¶ááŒá¯á¶áá±ážááááºáá±á¬ááºážá áá áºá áááºáá áºááá¯ááºážááŒá áºáá¬áááºááŒá áºáááºá
UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážá á¡áááá¹áá«ááº
UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážááẠáá¯á¶ážá
áœá²áá°áá»á¬ážááŸáá·áº á¡ááŒá¬ážá¡áá¬áá»á¬áž (á¡áááºááŸááºáá»á¬ážá á¡ááá®áá±ážááŸááºážáá»á¬ážá ááœááºáááºá¡ááœá¬ážá¡áá¬ááŸáá·áº áá±áá¬á
ááá¯ážááá¯ááºáá»á¬ážáá²á·ááá¯á·) ááá¯ááºáá±á¬ááºááŸá¯ááᯠá¡áá²ááŒááºááẠbuilt-in ááœá²ááŒááºážá
áááºááŒá¬ááŸá¯ááᯠá¡áá¯á¶ážááŒá¯áá«áááºá
áááºážááá¯á·ááẠá¡áá»áááºá¡ááá¯ááºážá¡áá¬áá
áºáá¯á¡ááœááºáž á¡áá¬ážáá°á¡á¯ááºá
á¯áá»á¬ážááŸá á¡áá¯á¶ážááŒá¯áá°áá»á¬ážááŸáá·áº á¡áá¬ážáá°á¡ááœá²á·áá»á¬ážá á
á¶áááá¯ááá¯ááºááŸáá·áº á¡ááŒá¯á¡áá°ááŸáá·áº ááŸáá¯ááºážááŸááºáᬠáá¯á¶ááŸááºá¡á¬ážááŒáá·áº áááŸááºááááºáá¯ááºáá±á¬ááºááŸá¯áá»á¬ážááᯠááá¯ááºá
á¬ážááŒá¯ááá·áº ááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááŸáá·áº ááŒá
áºááá¯ááºáá»á±ááŸááá±á¬ á¡ááŒá
áºá¡áá»ááºáá»á¬ážááᯠááŸá¬ááœá±ááœá±á·ááŸááááºá
áá¯ááºáááºáž á¡ááá¯ááºážááŸá á¡áá¯á¶ážá¡áá»á¬ážáá¯á¶áž ááá á¹á áá»á¬ážááŸá¬ ááŒáááºážááŒá±á¬ááºááŸá¯ áá±á¬ááºááŸááºážááŒááºáž ááŸáá·áº áá¯á¶á·ááŒááºááŸá¯ á¡ááŒáẠá¡ááœááºážááá¯ááºáž ááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááᯠáá±á¬ááºááŸááºážááŒááºáž ááŸáá·áº áá¯á¶á·ááŒááºááŒááºáž ( á¡áá»á¬ážá¡á¬ážááŒáá·áº á¡áá±ážá¡áá° áá¶ááá±á¬ á¡ááœááºážáá¬ážáá»á¬áž á áá áºáá«áá áºáá¶ááœáẠá¡ááœááºážááá¯ááºáž ááá¯ááºááá¯ááºáá°áá»á¬áž ) ááŒá áºáááºá
UEBA á á¡á²áá®ááá¯áá«áá²á áá¯á¶ážááŒááºáá»ááºááŸáá·áº áá¯ááºáá±á¬ááºáá»ááºáá®ážááŒá¬ážáááááá¬áá áºáá¯á¡ááŒá Ạáááºáá±á¬ááºáá¬ážáááº-
- ááŒá±ááŸááºážáá»ááºááẠSIEM ááŒá±ááŸááºážáá»ááºáá»á¬ážá¡á¬áž áá®ážááŒá¬ážáá±á¬ááºážáá»ááá·áº áá±á¬ááºážáá»áá°áá»á¬áž á¡áá«á¡ááẠ"á ááºááŒááºáá±á¬" UEBA ááááºáá±á¬ááºážáá»á¬ážá áá¯ááºáá¯ááºáá°áá»á¬ážááŒá áºáááºá áá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº á¡ááœá²á·á¡á ááºážááŸá áºáá¯áá¯á¶ážá á¡ááŒá¯á¡áá°ááá¯ááºáᬠááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááœáẠá á®ážááœá¬ážáá±ážááá¯ááºáᬠááŒá¿áá¬áá»á¬ážá áœá¬ááᯠá¡á¬áá¯á¶á áá¯ááºáá¬ážáááºá
- ááá·áºááœááºážáá¬ážááẠ- UEBA áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááŸáá·áº áááºážááá¬áá»á¬ážááᯠáááºážááá¯á·áááŒá±ááŸááºážáá»ááºáá»á¬ážááœáẠáá±á«ááºážá ááºáá¬ážáá±á¬ áá¯ááºáá¯ááºáá°/áá¬áááœá²áá»á¬ážá áá¯á¶ááŸááºá¡á¬ážááŒáá·áº ááá¯ááá¯áááá»áá±á¬ áá¯ááºáááºážááŒá¿áá¬áá»á¬ážááᯠá¡á¬áá¯á¶á áá¯ááºáááºá á€ááá á¹á ááœááºá UEBA ááẠáá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº/ááá¯á·ááá¯áẠá¡áá¬ááá¹áá¯áá»á¬ážá á¡ááŒá¯á¡áá°áá»á¬ážááᯠááœá²ááŒááºážá áááºááŒá¬ááẠá¡áá¯á¶ážááŒá¯áááºá
Gartner ááẠááŒá¿áá¬ááŒá±ááŸááºážáá°áá»á¬ážá ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááŸáá·áº áá±áá¬áááºážááŒá áºáá»á¬ážá¡áá«á¡ááẠáá¯ááááºáá¯á¶ážáá»á±á¬ááºážáá áºáá»áŸá±á¬áẠUEBA ááᯠááŒáá·áºááŸá¯ááẠ(áá¯á¶ááœááºááŒáá·áºáá«)á
Built-in UEBA ááŸáá·áº "á ááºááŒááºáá±á¬" UEBA ááááºáá±á¬ááºážáá»á¬áž
Gartner ááẠ"á ááºááŒááºáá±á¬" UEBA ááááºáá±á¬ááºážááá¯ááŒá±ááŸááºážáá»ááºá¡ááŒá áºá ááºážá á¬ážáááº-
- á¡ááœáá·áºáá°ážáá¶á¡áá¯á¶ážááŒá¯áá°áá»á¬ážááᯠá á±á¬áá·áºááŒáá·áºááŒááºáž ááá¯á·ááá¯áẠá¡ááœá²á·á¡á ááºážááŒááºáááœáẠáá±áá¬áá¯ááºáá±ážááŒááºážáá²á·ááá¯á·áá±á¬ áá®ážááŒá¬ážááŒá¿áá¬áá»á¬ážá áœá¬ááᯠááŒá±ááŸááºážáá±ážáá¯á¶áá¬ááá
- á¡ááŒá±áá¶ááœá²ááŒááºážá áááºááŒá¬áááºážáá»á¬ážááᯠá¡ááŒá±áá¶á áá±áá»á¬áá±á«áẠááŸá¯ááºááœá±ážáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááŒááºážááœáẠáá«áááºáá«áááºá
- áá±áá¬á á¯áá±á¬ááºážááŒááºážá¡ááœáẠááœá±ážáá»ááºá áá¬áá»á¬ážá áœá¬ááᯠá¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶ááœáẠáá®ážááŒá¬ážá¡á±ážáá»áá·áºáá»á¬ážááᯠáá»áá¬ážáááºáááá¯á¡ááºáá² ááŸááºáááºážá á®áá¶ááá·áºááœá²ááŸá¯áááááá¬áá»á¬ážá Data lake ááŸáá·áº/ááá¯á·ááá¯áẠSIEM á áá áºáá»á¬ážá¡áá«á¡ááẠáá±áá¬á á¯áá±á¬ááºážááŸá¯á¡ááœáẠááœá±ážáá»ááºá áá¬áá»á¬ážá áœá¬ááᯠáá¶á·ááá¯ážáá±ážáá«áááºá
- ááœááºáá«áááºáááºááẠáá®ážááá·áºááŒá±ááŸááºážáá»ááºá¡ááŒá
Ạáááºáá°á¡áá¯á¶ážááŒá¯ááá¯ááºáá«áááºá
á¡ááŒá¬ážáá¯ááºáá¯ááºáá»á¬ážáááœá²á·á ááºážááŸá¯á
á¡á±á¬ááºáá«ááá¬ážááẠáá»ááºážáááºááŸá¯ááŸá áºáá¯ááᯠááŸáá¯ááºážááŸááºáá¬ážáááºá
ááá¬áž 1. "á ááºááŒááºáá±á¬" UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážááŸáá·áº áááºáááºáá¬ážááá·áºá¡áá¬áá»á¬áž
| á¡áá»áá¯ážá¡á á¬áž | "á ááºááŒááºáá±á¬" UEBA ááááºáá±á¬ááºážáá»á¬áž | built-in UEBA ááŸáá·áºá¡áá°á¡ááŒá¬ážááŒá±ááŸááºážáá»áẠ|
| ááŒá±ááŸááºážáááá·áºááŒá¿áᬠ| áá¯á¶ážá áœá²áá°áá»á¬ážá á¡ááŒá¯á¡áá°ááŸáá·áº á¡áá¬áá»á¬ážááᯠááœá²ááŒááºážá áááºááŒá¬ááŒááºážá | áá±áá¬áááŸáááŒááºáž UEBA ááẠá¡áá¯á¶ážááŒá¯áá°áá»á¬áž ááá¯á·ááá¯áẠá¡ááœá²á·á¡á ááºážáá»á¬ážá á¡ááŒá¯á¡áá°ááᯠááœá²ááŒááºážá áááºááŒá¬ááẠááá·áºáááºáá¬ážááá¯ááºáááºá |
| ááŒá±ááŸááºážáááá·áºááŒá¿áᬠ| áá»ááºááŒáá·áºáá±á¬ááŒá¿áá¬áá»á¬ážááá¯ááŒá±ááŸááºážáááºáá¬áááºááŸááááºá | á¡ááá·áºá¡áááºááŸááá±á¬ á¡áá¯ááºáá»á¬ážááᯠá¡áá°ážááŒá¯áááºá |
| analytics | á¡áá»áá¯ážáá»áá¯ážáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯áááºážáááºážáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯á ááœá²ááœá²ááŒá¬ážááŒá¬ážááááŸáááŒááºáž - á¡áááá¡á¬ážááŒáá·áº ááááºážááááºážááá¯ááºáᬠáá±á¬áºáááºáá»á¬ážááŸáá·áº á ááºáááºáá°ááŒááºážáá»á¬ážá á ááºážáá»ááºážáá»á¬ážááŸáá·áº áááºááŸááºáá»á¬ážááŸáá·áºá¡áá°á á¡áá¯á¶ážááŒá¯áá°ááŸáá·áº á¡ááœá²á·á¡á ááºáž áá¯ááºáá±á¬ááºáá»ááºááᯠáááºážááá¯á·á áá¯ááºáá±á¬áºááá¯ááºáááºáá»á¬ážá áááá¯ááá¯ááºáá»á¬ážááŸáá·áº ááŸáá¯ááºážááŸááºáááºáá®ážááẠáá«áááºáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááŒáá·áº áá«ááŸááááºá | á á áºááŸááºáá±á¬ UEBA ááŸáá·áºáááºáá°áá±á¬áºáááºáž ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááᯠá¡áá¯á¶ážááŒá¯áá°áá»á¬ážááŸáá·áº/ááá¯á·ááá¯áẠá¡ááœá²á·á¡á ááºážáá»á¬ážá¡ááœááºáᬠááá·áºáááºáá¬ážááá¯ááºáááºá |
| analytics | á ááºážáá»ááºážáá»á¬ážááŒáá·áºáᬠááá·áºáááºááá¬ážáá² á¡ááá·áºááŒáá·áº ááœá²ááŒááºážá áááºááŒá¬ááá¯ááºá áœááºážáá»á¬ážá á¥ááá¬á¡á¬ážááŒáá·áºá á¡áá¬ááá¹áá¯áá»á¬ážá áááºááŒáœáá±á¬á¡á¯ááºá á¯ááœá²á·ááŸá¯ááŸáá·áºá¡áá° á¡á á¯ááá¯ááºá¡ááŒá¯á¶ááá¯áẠá¡ááºáááá¯áá®áááºá | âá ááºááŒááºáá±á¬â UEBA ááŸáá·áº áááºáá°áá±á¬áºáááºáž á¡áá»áá¯á·áá±á¬ ááŒáŸá¯ááºááœááºážáá¬ážáá±á¬ ááŒáááºážááŒá±á¬ááºááŸá¯áá¯á¶á á¶áá»á¬ážááœáẠá¡ááœá²á·á¡á ááºážá¡á¯ááºá á¯ááœá²á·ááŒááºážááᯠáá°ááá¯ááºááá¯ááºáᬠááŒá±á¬ááºážáá²ááá¯ááºáááºá |
| analytics | áá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº á¡ááŒá¬ážá¡áá¬áá»á¬ážá áá¯ááºáá±á¬ááºáá»ááºááŸáá·áº áááºá ááºááŸá¯ (á¥ááá¬á Bayesian ááœááºáááºáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááŒááºáž) ááŸáá·áº áá¯á¶ááŸááºááá¯ááºáá±á¬ áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááᯠáá±á¬áºáá¯ááºáááºá¡ááœáẠáá áºáŠážáá»ááºážá á®á á¡áá¹ááá¬ááºááŒá¯ááŸá¯ á á¯á ááºážááŸá¯á | á á áºááŸááºáá±á¬ UEBA ááŸáá·áºáááºáá°áá±á¬áºáááºáž ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááᯠá¡áá¯á¶ážááŒá¯áá°áá»á¬ážááŸáá·áº/ááá¯á·ááá¯áẠá¡ááœá²á·á¡á ááºážáá»á¬ážá¡ááœááºáᬠááá·áºáááºáá¬ážááá¯ááºáááºá |
| áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬áž | SIEM ááá¯á·ááá¯áẠData lake áá²á·ááá¯á· áááºáááºáá¬ážáá±á¬ ááá¹ááá¬ážáá»á¬áž ááá¯á·ááá¯áẠáááºááŸá áá±áá¬á ááá¯ážááá¯ááºáá»á¬ážááŸáá áºááá·áº áá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬ážá០á¡ááŒá áºá¡áá»ááºáá»á¬ážááᯠááá¯ááºááá¯ááºáááºáá¶ááŒááºážá | áá±áá¬ááá°ááŒááºážá¡ááœáẠááá¹ááá¬ážáá»á¬ážááẠáá»á¬ážáá±á¬á¡á¬ážááŒáá·áº ááá¯ááºááá¯ááºáá¬ááŒá áºááŒá®áž áá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº/ááá¯á·ááá¯áẠá¡ááŒá¬ážá¡áá¬áá»á¬ážááá¯áᬠáááºáá±á¬ááºááŸá¯ááŸááááºá ááŸááºáááºážá á®áá¶ááá·áºááœá²ááŸá¯áááááá¬áá»á¬áž / SIEM / Data lake ááá¯á¡áá¯á¶ážáááŒá¯áá«ááŸáá·áºá |
| áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬áž | ááŒá±ááŸááºážáá»ááºááẠááœááºáááºá¡ááœá¬ážá¡áá¬ááᯠáá±áá¬áá¡ááááááºážááŒá áºá¡ááŒá áºáá¬áá telemetry á á¯áá±á¬ááºážáááºá¡ááœáẠáááºážáááá¯ááºááá¯ááºá¡á±ážáá»áá·áºáá»á¬ážááá¯áᬠá¡á¬ážááá¯ážááá·áºáááºá | ááŒá±ááŸááºážáá»ááºááẠááœááºáááºá¡ááœá¬ážá¡áᬠ(á¥ááá¬á NTA - ááœááºáááºá¡ááœá¬ážá¡áᬠááœá²ááŒááºážá áááºááŒá¬ááŸá¯) ááŸáá·áº/ááá¯á·ááá¯áẠáááºážáá¡á±ážáá»áá·áºáá»á¬áž (á¥ááá¬á áááºáááºážá á±á¬áá·áºááŒáá·áºáá±ážá¡áá¯á¶ážá¡áá±á¬ááºáá»á¬áž) áá±á«áºááœááºáᬠá¡á¬áá¯á¶á áá¯ááºááá¯ááºáááºá |
| áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬áž | á¡áá¯á¶ážááŒá¯áá°/á¡ááœá²á·á¡á ááºážáá±áá¬ááᯠá¡ááŒá±á¬ááºážá¡áá¬ááŒáá·áº ááŒáá·áºáá á±áááºá á¡áá»áááºááŸáá·áºáááŒá±ážáá® ááœá²á·á ááºážáááºáá±á¬ááºáá¬ážáá±á¬ á¡ááŒá áºá¡áá»ááºáá»á¬ážááᯠá á¯á ááºážááŸá¯á¡ááŒáẠIT áááºážááœáŸááºáá»á¬ážá០ááœá²á·á ááºážáá¯á¶/á¡á á®á¡á á¥áºááá®áá±á¬ áá±á«ááºážá ááºáá±áá¬áá»á¬ážááᯠáá¶á·ááá¯ážáá±ážááẠ- á¥ááá¬á Active Directory (AD) ááá¯á·ááá¯áẠá¡ááŒá¬ážáá±á¬ á ááºáááºááá¯ááºáá±á¬ á¡áá»ááºá¡áááºá¡áááºážá¡ááŒá áºáá»á¬áž (á¥ááá¬á HR áá±áá¬áá±á·á áºáá»á¬áž)á | UEBA á á áºá á áºááŸáá·áº áááºáá°áá±á¬áºáááºáž áááºá ááºá¡áá»ááºá¡áááºáá»á¬ážá á¡ááá¯ááºážá¡áá¬ááẠááŒá áºáááºáá áºáá¯ááŸáá·áºáá áºáᯠááœá²ááŒá¬ážááá¯ááºáá«áááºá AD ááŸáá·áº LDAP ááá¯á·ááẠááŒáŸá¯ááºááœááºážáá¬ážáá±á¬ UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážá០á¡áá¯á¶ážááŒá¯ááá·áº á¡áá¯á¶ážá¡áá»á¬ážáá¯á¶áž á¡ááŒá±á¬ááºážá¡áᬠá¡áá»ááºá¡áááºá ááá¯ážááá¯ááºáá»á¬ážááŒá áºáááºá |
| á¡áá¯á¶ážááŒá¯ááá¯ááºááŸá¯ | áá®ážááá·áºáá¯ááºáá¯ááºáá áºáá¯á¡ááŒá Ạá á¬áááºážááœááºážá¡ááºá¹áá«áááºáá»á¬ážááᯠáá¶á·ááá¯ážáá±ážáááºá | built-in UEBA áá¯ááºáá±á¬ááºáá»ááºááᯠáááºážááœááºáááºáá±á¬ááºáá¬ážááá·áº ááŒááºáááŒá±ááŸááºážáá»ááºááᯠááááºáá² áááºáá°ááẠáááŒá áºááá¯ááºáá«á |
| á¡áááºážá¡ááŒá áº- Gartner (áá±á 2019) |
ááá¯á·ááŒá±á¬áá·áºá á¡áá»áá¯á·áá±á¬ááŒá¿áá¬áá»á¬ážááá¯ááŒá±ááŸááºážáááºá ááŒáŸá¯ááºááœááºážáá¬ážáá±á¬ UEBA ááẠá¡ááŒá±áᶠUEBA ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ (á¥ááá¬á ááá¯ážááŸááºážáá±á¬ ááŒá®ážááŒááºááŸá¯áááŸááá±á¬ á ááºáááºáá°ááŸá¯) ááᯠá¡áá¯á¶ážááŒá¯ááá¯ááºáá±á¬áºáááºáž áá áºáá»áááºáááºážááœáẠááá¯á¡ááºáá±á¬áá±áá¬ááᯠá¡ááá¡áá»ááá°áá¬ážáá±á¬ááŒá±á¬áá·áºá áááºážááẠ"á ááºááŒááºáá±á¬" ááẠá¡áá¯á¶ážá á¯á¶ááá¯ááá¯áááá±á¬ááºááá¯ááºáááºá UEBA ááŒá±ááŸááºážáá»ááºá áá áºáá»áááºáááºážááŸá¬áááºá áá»áŸá±á¬áºááá·áºáá¬ážááá·áºá¡ááá¯ááºáž "ááá·áºá ááºáá±á¬" UEBA ááááºáá±á¬ááºážáá»á¬ážááẠbuilt-in UEBA áááááá¬ááŸáá·áº ááŸáá¯ááºážááŸááºáá«á á¡ááá á¡ááááá¬á¡ááŒá Ạááá¯ááá¯ááŸá¯ááºááœá±ážáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá»á¬ážááᯠáá±ážáá±á¬ááºáá«áááºá á€ááááºáá»á¬ážááᯠááá¬áž 2 ááœáẠá¡áá»ááºážáá»á¯ááºáá±á¬áºááŒáá¬ážáááºá
ááá¬áž 2. "á ááºááŒááºáá±á¬" ááŸáá·áº built-in UEBA á¡ááŒá¬ážááŒá¬ážáá¬ážáá»ááºáá»á¬ážáááááº
| á¡áá»áá¯ážá¡á á¬áž | "á ááºááŒááºáá±á¬" UEBA ááááºáá±á¬ááºážáá»á¬áž | built-in UEBA ááŸáá·áºá¡áá°á¡ááŒá¬ážááŒá±ááŸááºážáá»áẠ|
| analytics | áá¯ááºáááºážááŒá¿áá¬áá»áá¯ážá á¯á¶ááᯠááŒá±ááŸááºážáá¬ááœáẠá¡áá¯á¶ážáá»ááá¯ááºááŸá¯ááẠááá¯ááá¯ááŸá¯ááºááœá±ážáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááŸáá·áº á ááºáááºáá°ááŸá¯áá¯á¶á á¶áá»á¬ážááᯠá¡áá±ážáá±ážááŒááºážááŒáá·áº UEBA á á¡ááœá±ááœá±áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááᯠááá¯ááºá á¬ážááŒá¯áááºá | áá±ážáááºáá±á¬ áá¯ááºáááºážááŒá¿áá¬áá»á¬ážááᯠá¡á¬áá¯á¶á áá¯ááºááŒááºážááẠááá¯ááá¯ááá¯ážááŸááºážáá±á¬áá¯áá¹ááááŸááá±á¬ á¡ááá®áá±ážááŸááºážá¡ááá¯áẠáá±á¬áºáááºáá»á¬ážááᯠá¡á¬áá¯á¶á áá¯ááºááá·áº á¡áá°ážááŒá¯á¡ááºá¹áá«áááºáá»á¬ážááŒá áºáááºá |
| analytics | á¡ááá®áá±ážááŸááºážáá áºáá¯á á®á¡ááœáẠááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá¯á¶á á¶ááᯠá áááºááŒáá¯ááºááŒááºáááºááẠááá¯á¡ááºáá«áááºá | UEBA ááœáẠááá·áºááœááºážáá¬ážáá±á¬ áááááá¬á¡ááœáẠááœá²ááŒááºážá áááºááŒá¬ááŸá¯ áá±á¬áºáááºáá»á¬ážááᯠááŒáá¯áááºááŒááºáááºáá¬ážáá«áááºá Built-in UEBA áá«ááŸáááá·áº áááááá¬ááẠáá±áá¯áá»á¡á¬ážááŒáá·áº á¡áá»áá¯á·áá±á¬ áá¯ááºáááºážááŒá¿áá¬áá»á¬ážááᯠááŒá±ááŸááºážáá¬ááœáẠááá¯ááá¯ááŒááºáááºáá±á¬ááááºáá»á¬ážááᯠáááŸááááºá |
| áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬áž | áá±á¬áºááá¯ááááºá¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶á áá±á¬áá·áºáá±á«ááºážá á¯á¶á០áá±áá¬áááºážááŒá áºáá»á¬ážááᯠááá°ááá¯ááºááŒááºážá | áá»á¬ážáá±á¬á¡á¬ážááŒáá·áº áááºážááá¯á·á¡ááœáẠá¡á±ážáá»áá·áºáá»á¬ážáááŸáááá¯ááºááŸá¯ ááá¯á·ááá¯áẠUEBA áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááŒáá·áº áááááá¬ááá¯ááºááá¯ááºá ááá·áºáááºáá¬ážáá±á¬ áá±áá¬áááºážááŒá áºáááºážáá«ážáááºá |
| áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬áž | ááŸááºáááºážáá áºáá¯á á®ááœááºáá«ááŸááá±á¬ á¡áá»ááºá¡áááºáá»á¬ážááᯠáá±áá¬á¡áááºážá¡ááŒá áºá០ááá·áºáááºáá¬ážááá¯ááºááŒá®áž áááá¯áá»á¯ááºááá¯ááºáá¬ážáá±á¬ UEBA áááááá¬á¡ááœáẠááá¯á¡ááºáá±á¬áá±áá¬á¡á¬ážáá¯á¶áž ááá«áááºááá¯ááºáá«á | á¡á±ážáá»áá·áºá០á á¯áá±á¬ááºážááŒá®áž UEBA ááá¯á· ááá¯á·ááœáŸááºááá·áº áá±áá¬áá¯ááºááŒááºážá ááá¬áááŸáá·áº á¡áá±ážá áááºá¡áá»ááºá¡áááºáá»á¬ážááᯠá¡áá°ážá á®á ááºáááºááŸááºááá¯ááºáá«áááºá |
| áááá¯áá¬á¡áááºááᬠ| áááºážááẠá¡ááœá²á·á¡á ááºážáá áºáá¯á¡ááœáẠááŒá®ážááŒáá·áºá á¯á¶áá±á¬ UEBA áá¯ááºáá¯ááºáá áºáá¯ááŒá áºáááºá SIEM á áá Ạááá¯á·ááá¯áẠData lake á áá¯ááºáá±á¬ááºááá¯ááºá áœááºážáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯á áá±á«ááºážá ááºááŒááºážááẠááá¯ááá¯ááœááºáá°áááºá | Built-in UEBA áá«ááŸáááá·áº ááŒá±ááŸááºážáá»ááºáá áºáá¯á á®á¡ááœáẠáá®ážááŒá¬áž UEBA á¡ááºá¹áá«áááºáá»á¬áž ááá¯á¡ááºáá«áááºá ááá·áºááœááºážáá¬ážáá±á¬ UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážááẠá¡á±ážáá»áá·áºáá»á¬áž ááá·áºááœááºážááŒááºážááŸáá·áº áá±áá¬ááᯠá á®áá¶ááá·áºááœá²ááẠááá¯á¡ááºáááºá |
| áá±á«ááºážá ááºážááŸá¯ | ááá á¹á áá áºáá¯á á®ááœáẠá¡ááŒá¬ážáááááá¬áá»á¬ážááŸáá·áº UEBA ááŒá±ááŸááºážáá»ááºááᯠáááºááŒáá·áºáá±á«ááºážá ááºááŒááºážá á¡ááœá²á·á¡á ááºážá¡á¬áž "á¡áá±á¬ááºážáá¯á¶áž analogues" áá»ááºážáááºááŸá¯á¡áá±á«áº á¡ááŒá±áá¶á áááºážááááºážááá¬á¡á á¯á¡áá±ážááᯠáááºáá±á¬ááºááœáá·áºááŒá¯áááºá | UEBA áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážá á¡áááá¡á á¯á¡áá±ážáá»á¬ážááᯠáá¯ááºáá¯ááºáá°ááá¯ááºááá¯ááºá tool ááœáẠááá·áºááœááºážáá¬ážááŒá®ážááŒá áºáááºá UEBA module ááẠbuilt-in ááŸáááŒá®áž áááºááŸá¬ážááááá±á¬ááŒá±á¬áá·áº áá¯á¶ážá áœá²áá°áá»á¬ážááẠáááºážááᯠáááºážááá¯á·áááá¯ááºááá¯ááºáá áºáá¯áá¯ááŒáá·áº á¡á á¬ážááá¯ážááááá«á |
| á¡áááºážá¡ááŒá áº- Gartner (áá±á 2019) |
UEBA ááá¯ááºáá±á¬ááºáá»ááºáá áºáá¯ááŒá áºáááºá
UEBA ááẠá¡ááá¯áááºáá±á¬ááºážááœá²ááŒááºážá áááºááŒá¬ááŸá¯á០á¡áá»áá¯ážáá»á±ážáá°ážáááŸáááá¯ááºááá·áº á¡áá¯á¶ážááŸá¡áá¯á¶áž ááá¯ááºáá¬áá¯á¶ááŒá¯á¶áá±ážááŒá±ááŸááºážáá»ááºáá»á¬ážá á¡ááºá¹áá«áááºáá áºáá¯ááŒá áºáá¬áááºá UEBA ááẠá¡áá¯á¶ážááŒá¯áá°ááŸáá·áº/ááá¯á·ááá¯áẠá¡ááœá²á·á¡á ááºážá¡ááŒá¯á¡áá°áá¯á¶á á¶áá»á¬ážáá±á«áºá¡ááŒá±áá¶á á¡á¬ážáá±á¬ááºážáá±á¬á¡ááá·áºááŒáá·áºááœá²ááŒááºážá áááºááŒá¬ááŸá¯á¡ááœáŸá¬ááᯠáá±ážáá±á¬ááºáᬠá€ááŒá±ááŸááºážáá»ááºáá»á¬ážááᯠá¡áááºážáá¶áá¬ážáááºá
á á»á±ážááœááºááœáẠáá±á¬áá±á¬áááºááœáẠBuilt-in UEBA áá¯ááºáá±á¬ááºááá¯ááºá áœááºážááᯠáááºážááá¬áááºáááºá¡ááá¯áẠá¡á¯ááºá á¯ááœá²á·áá¬ážááá·áº á¡á±á¬ááºáá«ááŒá±ááŸááºážáá»ááºáá»á¬ážááœáẠá¡áá±á¬ááºá¡áááºáá±á¬áºáááº-
- áá±áá¬ááᯠá¡ááááá¬áž á
á
áºáá±ážááŒááºážááŸáá·áº á¡áá¬á¡ááœááºáá±ážááŒááºážááœá²á·á
ááºážáááºáá±á¬ááºáá¯á¶ááŸáá·áºááœá²á·á
ááºážáá¯á¶ááá¬ážáá±á¬áá±áá¬ááá¯ááŸá±á¬ááºááŸá¯ (áá±á«áº) DCAP ááá¯á¶ááŒá¯á¶áá±ážááᯠááŒáŸáá·áºáááºááẠá¡á¬áá¯á¶á
áá¯ááºáá±áá±á¬ áá±á¬ááºážáá»áá°áá»á¬ážááŒá
áºáááºá
áá±á¬ááºážáá»áá°áá»á¬ážá á€á¡áá»áá¯ážá¡á á¬ážááœáẠGartner ááŸááºá á¯áá»á¬ážá ááœá²ááŒá¬ážáá±á¬ á¡áá»ááºá¡áááºá ááá¯ážááá¯ááºáá»á¬ážááŸá áá±áá¬ááœáá·áºááŒá¯áá»ááºáá»á¬ážá á¡áá¯á¶ážááŒá¯ááœáá·áºááŸáá·áº á¡áá¯á¶ážááŒá¯ááŸá¯ááá¯á·ááœáẠá¡ááŒá±á¬ááºážá¡áá²áá»á¬ážááᯠá á±á¬áá·áºááŒáá·áºááẠá¡áá¯á¶ážááŒá¯áá°á¡ááŒá¯á¡áá° ááá¯ááºážááŒá¬ážá áááºááŒá¬áá»ááºááᯠáá±ážáá±á¬ááºáááºá
- CASB á
áá
áºáá»á¬ážAdaptive access control system ááᯠá¡áá¯á¶ážááŒá¯á áááá¯áá¬ážá¡ááºáá±á¬ á
ááºáá
á¹á
ááºážáá»á¬ážá á¡áá¯á¶ážááŒá¯áá°áá»á¬ážááŸáá·áº á¡ááá®áá±ážááŸááºážáá¬ážááŸááºážáá»á¬ážá¡ááœáẠcloud-based SaaS á¡ááá®áá±ážááŸááºážáá»á¬ážááœáẠááŒáááºážááŒá±á¬ááºááŸá¯á¡áá»áá¯ážáá»áá¯ážááᯠá¡áá¬á¡ááœááºáá±ážáá«áááºá
á á»á±ážááœááºáŠážáá±á¬áẠCASB ááŒá±ááŸááºážáá»ááºá¡á¬ážáá¯á¶áž UEBA á áœááºážáááºáá»á¬áž áá«áááºáááºá
- DLP ááŒá±ááŸááºážáá»ááºáá»á¬áž - á¡ááœá²á·á¡á
ááºážááŒááºá ááá¯á·ááá¯áẠáááºážáá¡ááœá²áá¯á¶ážá
á¬ážááŒá¯ááŸá¯áá»á¬ážá¡ááœáẠá¡áá±ážááŒá®ážáá±á¬áá±áá¬ááœáŸá²ááŒá±á¬ááºážááŸá¯ááᯠááŸá¬ááœá±áá±á¬áºáá¯ááºááŒááºážá¡áá±á«áº á¡á¬áá¯á¶á
áá¯ááºáá«á
DLP ááá¯ážáááºááŸá¯áá»á¬ážááẠá¡áá¯á¶ážááŒá¯áá°á á¡ááá®áá±ážááŸááºážá áááºáá±áá¬á á¡áá»áááºá á¡ááŒá áºá¡áá»ááºáá»á¬ážá á¡áá»ááºááŸáá·áº á¡ááŒá¬ážááŒááºáá¡áá»ááºáá»á¬ážáá²á·ááá¯á· áá¬ážáááºááŸá¯áááºážáá«ážáá±á¬ á¡ááŒá±á¬ááºážá¡áá¬áá»á¬ážá¡áá±á«áº á¡á¬áá¯á¶á áá¯ááºááŸá¯áááºážááŒá®áž DLP ááá¯ážáááºááŸá¯áá»á¬ážááẠá¡ááŒá±á¬ááºážá¡áá¬áá»á¬ážááᯠáá¬ážáááºááŸá¯á¡áá±á«áº á¡ááŒá±áá¶áá¬ážáááºá áááá±á¬ááºá á±áááºá DLP áá¯ááºáá¯ááºáá»á¬ážááẠá¡ááŒá±á¬ááºážá¡áá¬ááŸáá·áº á¡ááŒá±á¬ááºážá¡áá¬ááŸá áºáá¯áá¯á¶ážááᯠá¡ááá¡ááŸááºááŒá¯ááá«áááºá ááá¯á·ááŒá±á¬áá·áº áá¯ááºáá¯ááºáá°á¡áá»á¬ážá¡ááŒá¬ážááẠUEBA áá¯ááºáá±á¬ááºááá¯ááºá áœááºážááᯠáááºážááá¯á·áááŒá±ááŸááºážáá»ááºáá»á¬ážááœáẠáá±á«ááºážá ááºááẠá áááºáá¬ááŒáááºá
- áááºáááºážá
á±á¬áá·áºááŒáá·áºááŒááºážá áááºáááºážá áá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááᯠááŸááºáááºážáááºááŒááºážááŸáá·áº ááŒááºáááºááŒáááŒááºáž á
áœááºážáááºááẠá¡áá»á¬ážá¡á¬ážááŒáá·áº ááá¬ážá
á®áááºááŸá¯áá»á¬ážá¡ááœáẠááá·áºáá»á±á¬áºáá±á¬ áá±áá¬áá±á¬áºááẠ(ááá¯á¡ááºáá«á) ááŒá
áºáááºá
áá¯á¶ážá áœá²áá°áá»á¬ážááᯠá¡áááºáááŒáẠá á±á¬áá·áºááŒáá·áºá á áºáá±ážááŒááºážááẠáá°ááá¯ááºááá¯áẠá á áºáá¯ááºááŒááºážááŸáá·áº áá°áá¬ážááœá²ááŒááºážá áááºááŒá¬ááŸá¯ ááá¯á¡ááºááá·áº áá»á¬ážááŒá¬ážáá±á¬ áá±áá¬ááá¬áááᯠáá¯ááºáá±ážáá±á·ááŸááááºá ááá¯á·ááŒá±á¬áá·áºá UEBA ááẠá€ááŒá±ááŸááºážáá»ááºáá»á¬ážá á áœááºážáá±á¬ááºáááºááᯠááŒáŸáá·áºáááºáááºááŸáá·áº á¡áá¹ááá¬ááºáá»á¬ážáá±á¬ ááŒá áºáááºáá»á¬ážááá¯áᬠááŸá¬ááœá±ááẠá á±á¬áá·áºááŒáá·áºáá±ážá áá áºáá»á¬ážá¡ááœááºážááœáẠá¡áá¯á¶ážááŒá¯áá«áááºá
- á¡áá¯á¶ážááŸááºáá¯á¶ááŒá¯á¶áá±áž - Endpoint detection and response (EDR) solutions ááŸáá·áº endpoint protection platforms (EPP) ááẠá¡á¬ážáá±á¬ááºážáá±á¬ instrumentation ááŸáá·áº operating system telemetry ááᯠáá¶á·ááá¯ážáá±ážáá«áááºá
á ááºáá á¹á ááºážáá»á¬ážBuilt-in UEBA áá¯ááºáá±á¬ááºáá»ááºááᯠáá¶á·ááá¯ážáá±ážáááºá¡ááœáẠá¡áá¯á¶ážááŒá¯áá°ááŸáá·áº áááºá ááºáá±á¬ áááºáá®áá®áá¬ááᯠááœá²ááŒááºážá áááºááŒá¬ááá¯ááºáááºá
- á¡áœááºááá¯ááºáž ááááºáááºááŸá¯ - á¡áœááºááá¯ááºážááááºáááºááŸá¯ááŸá¬ááœá±ááŒááºážááŒá±ááŸááºážáá»ááºááẠáá¯á¶ážá
áœá²áá°áá¡áá±á¬áá·áºááᯠááááºáááºááŸáá·áºááŒá¬ážááŒááºážá áá²ááºáá² ááá¯á·ááá¯áẠáá¯á¶ááŒá¯á¶ááŸá¯áááŸááá±á¬áá»áááºáááºááŸá¯áá»á¬áž/ááá±á¬ááºáá¬á¡ááœá¬ážá¡áá¬ááŒá¬ážááŒááºááŒááºážá០áá±á¬ááºáááºáá¡áá±á¬áá·áºááᯠá¡áá±ážá¡áá°áá¯ááºááŒááºážááá¯á·ááᯠááœáŸááºááŒááá·áº ááœá±áááºááá·áºáá¯ááºáá±á¬ááºáá»ááºááᯠááŸá¬ááœá±ááœá±á·ááŸááááºá
ááááºáááºááŸá¯ááŒá±ááŸááºážáá»ááºá¡áá»á¬ážá á¯ááẠUEBA áá¡ááŸá áºáá¬áá ááœá±áá±ážááœá±áá°ááœá²ááŒááºážá áááºááŒá¬ááŒááºážááŸáá·áº á ááºáá á¹á ááºážááá¯ááºážáá¬ááŒááºážááá¯á·ááᯠá¡áá¯á¶ážááŒá¯ááŒá®áž á¡áá±á¬ááºá¡áá¬ážáá±áá¬áá±á·á áºááŸá áááºáá¶áá±ážáá»á¬ážááᯠááá¯ááºáá®ááŒááºážááŒáá·áº áááºážááá¯á·á¡á¬áž ááá¯ááá¯á¡ááá·áºááŒáá·áºáá±á¬á áá áºáá»á¬ážááŒáá·áº ááŒáá·áºáááºážáá±ážáááºá
- IAM ááŸáá·áº áááºáá±á¬ááºááááºážáá»á¯ááºááŸá¯ - Gartner ááẠááá·áºá ááºáá±á¬ááºážáá»áá°áá»á¬ážááŸáá·áº áá±á«ááºážá ááºážááŒá®áž áááºážááá¯á·á áá¯ááºáá¯ááºáá»á¬ážááœáẠUEBA áá¯ááºáá±á¬ááºááá¯ááºá áœááºážá¡áá»áá¯á·ááᯠáááºáá±á¬ááºáááºá¡ááœáẠáááºáá±á¬ááºááááºážáá»á¯ááºááŸá¯á áá áºáá±á¬ááºážáá»áá°áá»á¬ážá¡ááŒá¬áž ááá·áºáá²ááŒá áºá ááºááᯠááŸááºáá¬ážáá¬ážáááºá
- IAM ááŸáá·áº Identity Governance and Administration (IGA) á áá áºáá»á¬áž áááŸááºááááºááŸá¬ááœá±ááŒááºážá á¡áá¬ážáá°á¡ááœá²á·á¡á ááºážáá»á¬ážá áááºááŒáœáá±á¬á¡á¯ááºá á¯ááœá²ááœá²ááŒááºážá áááºááŒá¬ááŒááºážá á¡áá±á¬áá·áºáááºááŒááºážááá¯ááºáᬠááœá²ááŒááºážá áááºááŒá¬ááŒááºážááŸáá·áº áááºáá±á¬ááºááŒáá·áºááŸá¯ááŒááºážááá¯ááºáᬠáá°áá«áááœá²ááŒááºážá áááºááŒá¬ááŒááºážáá²á·ááá¯á·áá±á¬ á¡ááŒá¯á¡áá°ááá¯ááºáá¬ááŸáá·áº á¡áá±á¬ááºá¡áá¬ážááœá²ááŒááºážá áááºááŒá¬ááŸá¯á¡ááŒá±á¡áá±áá»á¬ážááᯠááœáŸááºážááŒá¯á¶ááẠUEBA ááᯠá¡áá¯á¶ážááŒá¯áá«á
- IAM ááŸáá·áº á¡ááœáá·áºáá°ážáᶠAccess Management (PAM) - á á®áá¶ááá·áºááœá²áá±ážá¡áá±á¬áá·áºáá»á¬ážá¡áá¯á¶ážááŒá¯ááŸá¯ááᯠá á±á¬áá·áºááŒáá·áºá á áºáá±ážááŒááºážá á¡áááºážááá¹áááŒá±á¬áá·áº PAM ááŒá±ááŸááºážáá»ááºáá»á¬ážááœáẠá á®áá¶ááá·áºááœá²áá±ážá¡áá±á¬áá·áºáá»á¬ážááᯠáááºáá²á·ááá¯á·á á¡áááºááŒá±á¬áá·áºá áááºááá·áºá¡áá»áááºááœááºá áááºááá·áºáá±áá¬ááœáẠá¡áá¯á¶ážááŒá¯ááŒá±á¬ááºážááŒáááẠtelemetry ááŸááááºá á á®áá¶ááá·áºááœá²áá°áá»á¬ážá áááŸááºááááºááŒá¯áá°ááŸá¯áá»á¬áž ááá¯á·ááá¯áẠá¡áá¹ááá¬ááºááŸááá±á¬ áááºááœááºáá»ááºááŸááá±ááŒááºážááá¯á·á¡ááœáẠUEBA á áááºáááºáá¯ááºáá±á¬ááºááá¯ááºá áœááºážááᯠá¡áá¯á¶ážááŒá¯á á€áá±áá¬ááᯠááœá²ááŒááºážá áááºááŒá¬ááá¯ááºáááºá
- áá¯ááºáá¯ááºáá° NTA (Network Traffic Analysis) - áá±á¬áºááá¯ááááºááœááºáááºáá»á¬ážáá±á«áºááœáẠáá¶ááááŒá
áºááœááºáá¯ááºáá±á¬ááºáá»ááºáá»á¬ážááᯠááŸá¬ááœá±áá±á¬áºáá¯ááºááẠá
ááºáááºáá°ááŸá¯á á¡ááá·áºááŒáá·áºááá¯ááºážááŒá¬ážá
áááºááŒá¬áá»ááºááŸáá·áº á
ááºážáá»ááºážá¡ááŒá±áᶠáá±á¬ááºááŸááºážááŸá¯ááá¯á·ááᯠáá±á«ááºážá
ááºá¡áá¯á¶ážááŒá¯áá«á
NTA áááááá¬áá»á¬ážááẠá¡áááºážá¡ááŒá áºá¡ááœá¬ážá¡áá¬ááŸáá·áº/ááá¯á·ááá¯áẠá á®ážáááºážááŸá¯ááŸááºáááºážáá»á¬áž (á¥ááᬠNetFlow) ááᯠá ááºáááºáááŒáẠááœá²ááŒááºážá áááºááŒá¬ááŒá®áž áá¯á¶ááŸááºááœááºáááºá¡ááŒá¯á¡áá°ááᯠáááºáááºá á±áá±á¬ áá±á¬áºáááºáá»á¬ážááᯠáááºáá±á¬ááºáááºá entity á¡ááŒá¯á¡áá°ááá¯ááºážááŒá¬ážá áááºááŒá¬ááŸá¯á¡áá±á«áº á¡áááá¡á¬áá¯á¶á áá¯ááºáááºá
- á á®áááºáá - ááá¯á¡áá« SIEM áá±á¬ááºážáá»áá°á¡áá»á¬ážá¡ááŒá¬ážááœáẠSIEM ááá¯á·ááá¯áẠáá®ážááŒá¬áž UEBA áá±á¬áºáá»á°ážá¡ááŒá Ạáááºáá±á¬ááºáá¬ážáá±á¬ á¡ááá·áºááŒáá·áºáá±áá¬ááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá¯ááºáá±á¬ááºááá¯ááºá áœááºážááŸááááºá 2018 ááŸáá·áº 2019 áá¯ááŸá áºá¡ááœááºáž ááá¯á¡áá»áááºá¡áá áá±á¬ááºážáá«ážááœáẠááœá±ážááœá±ážáá¬ážááá·áºá¡ááá¯ááºáž SIEM ááŸáá·áº UEBA áá¯ááºáá±á¬ááºááá¯ááºá áœááºážá¡ááŒá¬áž áááºááááááºáá»ááºážáá»á¬áž áááºááá¯áẠááŸá¯ááºáá«ážáá±áá«áááºá . SIEM á áá áºáá»á¬ážááẠááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá»á¬ážááŒáá·áº áá¯ááºáá±á¬ááºáá¬ááœáẠááá¯áá±á¬ááºážáá¬ááŒá®áž ááá¯ááá¯ááŸá¯ááºááœá±ážáá±á¬ á¡ááá®áá±ážááŸááºážá¡ááŒá±á¡áá±áá»á¬ážááᯠáá±ážáá±á¬ááºáááºá
UEBA áá»áŸá±á¬ááºááœáŸá¬á¡ááŒá±á¡áá±áá»á¬áž
UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážááẠááŒá¿áá¬áá»á¬ážá áœá¬ááᯠááŒá±ááŸááºážáá±ážááá¯ááºáááºá ááá¯á·áá±á¬áºáááºážá Gartner áá¯á¶ážá áœá²áá°áá»á¬ážááẠáááºáá¡áá¯á¶ážááŒá¯ááŸá¯ááá á¹á ááœáẠá¡áá¯á¶ážááŒá¯áá°áá¡ááŒá¯á¡áá°ááŸáá·áº á¡ááŒá¬ážá¡áá¬áá»á¬ážááŒá¬ážááœáẠáááŒá¬áááááºá ááºááŸá¯áá»á¬ážááᯠááŒáááŒááºážááŸáá·áº ááœá²ááŒááºážá áááºááŒá¬ááŒááºážááŒáá·áº áááŸáááá¯ááºáá±á¬ ááŒáááºážááŒá±á¬ááºááŸá¯á¡áá»áá¯ážá¡á á¬ážá¡áá»áá¯ážáá»áá¯ážááᯠááŸá¬ááœá±ááŒááºážááœáẠáá«áááºáááºáᯠááá±á¬áá°áá®áááº-
- ááœáá·áºááŒá¯áá»ááºáááŸááá² áááºáá±á¬ááºááŒááºážááŸáá·áº áá±áá¬ááœá±á·áá»á¬ážááŒááºážá
- á¡ááœáá·áºáá°ážáá¶á¡áá¯á¶ážááŒá¯áá°áá»á¬ážá áá¶ááááŒá áºááœááºá¡ááŒá¯á¡áá°áá»á¬ážá áááºáááºážáá»á¬ážá á¡áá¹ááá¬ááºááŸááá±á¬ ááá¯á·ááá¯áẠááœáá·áºááŒá¯áá»ááºáááŸááá² áá¯ááºáá±á¬ááºááŸá¯áá»á¬ážá
- áá¯á¶ááŸááºááá¯ááºáá±á¬áááºáá±á¬ááºááœáá·áºááŸáá·áº cloud á¡áááºážá¡ááŒá áºáá»á¬ážááá¯á¡áá¯á¶ážááŒá¯ááŒááºážá
- ááŸááºá·á¡ááŒá¬ážáá°áá»á¬ážá
UEBA ááẠááá¬ážáá»áŸáááá¯ááºááá·áºá¡ááœáẠááááºáááºááŸá¯ ááá¯á·ááá¯áẠáááºáááºážá á±á¬áá·áºááŒáá·áºááŒááºážáá²á·ááá¯á·áá±á¬ áá¯á¶ááŸááºááá¯ááºáá±á¬ ááá¯ááºáá¬áá¯á¶ááŒá¯á¶áá±ážá¡áá¯á¶ážááŒá¯ááŸá¯ááá á¹á áá»á¬ážááœááºáááºáž á¡áá»á¬ážá¡ááŒá¬ážááŸááá«áááºá ááá¯á·áá¬ááœááºá áááºážááá¯á·ááẠá¡áá¯ááºáá®ááŸáá·áº ááááºážá¡áá»ááºá¡áááºáá¯á¶ááŒá¯á¶áá±ážááŒááºáá០áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬áž ááá¯á·ááá¯áẠá€á§áááá¬ááᯠáááºáá²á áœá¬áá¬ážáááºááá±á¬áá±á«ááºáá±á¬ áá®ážááŒá¬ážááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá¯á¶á á¶áá»á¬ážááᯠááá¯á¡ááºáá«áááºá UEBA áá¯ááºáá¯ááºáá°áá»á¬ážááŸáá·áº áááºážááá¯á·ááá±á¬ááºáááºáá»á¬áž ááá±á¬áá°áá®áá¬ážááá·áº á¡áááá¡ááŒá±á¡áá±áá»á¬ážááŸáá·áº á¡ááºááºáá«ážáá¯ááᯠá¡á±á¬ááºááœááºáá±á¬áºááŒáá¬ážáááºá
"Malicious Insider"
á€áá¬ááºáááºážááᯠá¡áá»á¯á¶ážáááºáá±á¬ UEBA ááŒá±ááŸááºážáá»ááºáá±ážáá°áá»á¬ážááẠáá¯á¶ááŸááºááá¯ááºáá±á¬á "ááá¯ážáá±á¬" ááá¯á·ááá¯áẠá¡áá¹ááá¬ááºááŸááá±á¬á¡ááŒá¯á¡áá°á¡ááœáẠáááºáááºážáá»á¬ážááŸáá·áº áá¯á¶ááŒááºááá±á¬ áááºáááá¯ááºáá¬áá»á¬ážááá¯áᬠá á±á¬áá·áºááŒáá·áºá á áºáá±ážáá«áááºá á€áá»áœááºážáá»ááºááŸá¯áááºáááºááŸá áá±á¬ááºážáá»áá°áá»á¬ážááẠáááºáá±á¬ááºááŸá¯á¡áá±á¬áá·áºáá»á¬áž ááá¯á·ááá¯áẠá¡ááŒá¬ážáá°áá¬ážááá¯ááºááá·áº á¡ááœá²á·á¡á ááºážáá»á¬ážá á¡ááŒá¯á¡áá°ááᯠá á±á¬áá·áºááŒáá·áºááŒááºáž ááá¯á·ááá¯áẠááœá²ááŒááºážá áááºááŒá¬ááŒááºážáááŒá¯áá«á á€á¡áá»ááºááŒá±á¬áá·áº áááºáá¬áá»á¬ážááẠáááºááŸáá¡áá±á¬áá·áºáá»á¬ážááᯠááááºážááá¯ááºááá·áº á¡ááá·áºááŒáá·áºááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááᯠááŸá¬ááœá±ááẠá¡á¬áá¯á¶á á°ážá áá¯ááºááŒááºážáááŸááá±á áááºážá¡á á¬ážá áááºážááá¯á·ááẠá¡áá¹ááá¬ááºááŸááá±á¬ áá¯ááºáááºážáá»á¬ážááœáẠáá«áááºááá·áº áááºáááºážáá»á¬ážááᯠááœá²ááŒá¬ážáááºááŸááºááẠáááºááœááºáááºá
á¡ááŒá±áá¶á¡á¬ážááŒáá·áºá "malicious insider" áá¡áá°á¡áááẠáááºážááá¯á·áá¡áá¯ááºááŸááºá¡á¬áž áá»ááºá á®ážá á±ááá·áºáááºážáááºážáá»á¬ážááá¯ááŸá¬ááœá±áá±á¬ áááá¬áá±á¬á áááºááŒáá·áº áá¯á¶ááŒááºá áááºáá»ááá±á¬á¡áá¯á¶ážááŒá¯áá°áá»á¬ážáá¶á០áá±á«ááºááœá¬ážáá¬ááŒááºážááŒá áºáááºá áááá¯áá¬ážá¡ááºáá±á¬ áááºááœááºáá»ááºááẠááá¯ááºážáá¬ááẠáááºáá²áá±á¬ááŒá±á¬áá·áºá á€á¡áá»áá¯ážá¡á á¬ážááŸá á¡áá±á¬ááºážáá¯á¶áž áá±á¬ááºážáá»áá°áá»á¬ážááẠá á¬áááºážá á áºááŸááºáááºážáá»á¬ážááœáẠá¡ááœááºááá°ááááá¯ááºáá±á¬ áááºá ááºá¡ááŒá¯á¡áá°ááá¯ááºáᬠá¡áá»ááºá¡áááºáá»á¬ážááᯠááá¯ááºážááŒá¬ážá áááºááŒá¬áá«áááºá
á€áá±áá¬ááŸá ááŒá±ááŸááºážáá»ááºáá±ážáá°áá»á¬ážááẠá¡ááŒá¯á¡áá°á¡ááœáẠá¡ááŒá±á¬ááºážá¡áá¬ááᯠáá¶á·ááá¯ážáá±ážáááºá¡ááœáẠá¡á®ážáá±ážááºá¡ááŒá±á¬ááºážá¡áá¬á áá¯ááºáá¯ááºá áœááºážá¡á¬ážááá¯ááºáᬠá¡á á®áááºáá¶á á¬áá»á¬áž ááá¯á·ááá¯áẠááá¯ááŸááºáá®áá®áá¬á¡áá»ááºá¡áááºáá»á¬ážáá²á·ááá¯á·áá±á¬ ááœá²á·á ááºážáááºáá±á¬ááºáá¯á¶ááá¬ážáá±á¬áá±áá¬áá»á¬ážááᯠá¡áá±á¬ááºážáá¯á¶ážááá·áºááœááºážááŒá®áž ááœá²ááŒááºážá áááºááŒá¬ááá¯ááºáááºá
á¡áá±ážá¡áá°áá¯ááºáá¬ážáá±á¬ á¡ááœááºážáá°ááŸáá·áº ááá¯ážáá±á¬ááºáááºáá±á¬ááºááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬áž
á
áááºáá±á«áºááŸá¯ááŸá¬ ááá¯ááºááá¯ááºáá°ááẠá¡ááœá²á·á¡á
ááºážááá¯á·áááºáá±á¬ááºááœáá·áºáááŒá®áž IT á¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶á¡ááœááºáž á
áááºááŸá¯ááºááŸá¬ážáááºááŸáá·áº "ááá±á¬ááºážáá²á·" á¡ááŒá¯á¡áá°ááᯠáá»ááºááŒááºá
áœá¬ ááŸá¬ááœá±ááŒá®áž ááœá²ááŒááºážá
áááºááŒá¬áááºááŸá¬ á
áááºáá±á«áºááŸá¯ááŒá
áºáááºá
á¡áááºáááŒá¯ááá¯ááºáá±á¬ááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬áž (APT) ááẠá¡áááºááá ááá¯á·ááá¯áẠá¡ááŒáá·áºá¡ááá¬ážááááºáá±ážááá·áº ááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážáá²á·ááá¯á·á ááŸá¬ááœá±ááœá±á·ááŸáááẠá¡ááœááºáááºáá²ááŒá®áž ááá¬ážáááºá¡áá¯á¶ážááŒá¯áá°á áá¯ááºáá±á¬ááºáá»áẠááá¯á·ááá¯áẠáááºáá±á¬ááºááŸá¯á¡áá±á¬áá·áºáá»á¬ážá áá±á¬ááºááœááºááœáẠááŸááºáá¬ážáá±á·ááŸááááºá ááá¯ááá¯á·áá±á¬ááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááẠá¡áá»á¬ážá¡á¬ážááŒáá·áº ááŸá¯ááºááœá±ážáá±á¬áááºáááºááŸá¯áá¯á¶á
á¶áá
áºáá¯ááŸááá«ááẠ(á¥ááá¬á áá±á¬ááºážáá«ážááá¯ááŒáá·áºáá«á") ááá¯á·ááá¯áẠáááºážááá¯á·á á¡ááŒá¯á¡áá°ááᯠá¡áá¹ááá¬ááºá¡ááŒá
Ạá¡áá²ááŒááºááŒááºáž áááŸááá±ážáá«á áááºážááẠááá¯ážááŸááºážáá±á¬ ááœá²ááŒááºážá
áááºááŒá¬ááŸá¯ (á¥ááá¬á áá¯á¶á
á¶áá»á¬ážá á¡ááá·áºáááºááŸááºáá»ááºáá»á¬ážá ááá¯á·ááá¯áẠáááºá
ááºááŸá¯á
ááºážáá»ááºážáá»á¬ážáá²á·ááá¯á·) ááá¯á¡áá¯á¶ážááŒá¯á ááŸá¬ááœá±ááẠáááºáá²á
á±áááºá
ááá¯á·áá±á¬áºá á€áá»á°ážáá»á±á¬áºáááºáá±á¬ááºááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááẠáááŒá¬ááááá¯áááᯠáá¶áááááŸááá±á¬á¡áá¯á¶ážááŒá¯áá°áá»á¬áž ááá¯á·ááá¯áẠá¡ááœá²á·á¡á ááºážáá»á¬áž (á¡áá±ážá¡áá°áá¶ááá±á¬á¡ááœááºážáá¶áá»á¬áž) áá«áááºááá·áº á á¶ááá¯ááºáá±á¬á¡ááŒá¯á¡áá°ááá¯ááŒá áºáá±á«áºá á±áááºá UEBA áááºážááá¬áá»á¬ážááẠááá¯ááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááᯠáá±á¬ááºááŸááºážáááºá á¡áá»ááºááŒááŸá¯á០áá°áá¶áá¶á¡áá»áá¯ážááᯠááŒáŸáá·áºáááºáááºá á¡ááŒá±á¬ááºážááŒá¬ážáá»áẠá¡áá¶ááá¬áááᯠá á¯á ááºážááŒá®áž áá»áŸá±á¬á·áá»áááºá áá»ááºááŸááá±ááá·áº ááááá±ážáá»ááºáá»á¬ážááᯠáŠážá á¬ážáá±ážáá¯ááºáá±á¬ááºáᬠáááá±á¬ááºáá±á¬ á¡ááŒá áºá¡áá»ááºáá¯á¶á·ááŒááºááŸá¯ááŸáá·áº á á¯á¶á ááºážá á áºáá±ážááŸá¯ááᯠááœááºáá°áá»á±á¬ááœá±á·á á±áááºá¡ááœáẠá áááºáááºá á¬ážááœááºá¡ááœáá·áºá¡áááºážáá»á¬ážá áœá¬ááᯠáá±ážáá±á¬ááºáá«áááºá
á€ááŒá¿áá¬á§áááá¬ááᯠáá áºááŸááºáá¬ážáá±á¬ UEBA á á»á±ážáááºáá»á¬ážááẠá¡ááœá²á·á¡á ááºážá SIEM á áá áºáá»á¬ážááŸáá·áº ááŸá áºáááºáááºážááœáẠáá±á«ááºážá ááºážáá±á·ááŸááááºá
áá±áá¬áá¯ááºáá°ááŒááºážá
á€ááá
á¹á
áááºááœáẠáá¯ááºáá±á¬ááºáááá·áºáá¬áááºááŸá¬ á¡ááœá²á·á¡á
ááºážááŒááºáááá¯á· áá±áá¬áá»á¬áž ááœáŸá²ááŒá±á¬ááºážáá±ááŒá±á¬ááºáž ááááŸááááºááŒá
áºáááºá
áá±á¬ááºážáá»áá°áá»á¬ážááẠá€á
áááºáá±á«áºááŸá¯ááᯠá¡á¬áá¯á¶á
áá¯ááºáá±á·ááŸáááŒá®áž áá¯á¶ááŸááºá¡á¬ážááŒáá·áº DLP ááá¯á·ááá¯áẠDAG á
áœááºážáááºáá»á¬ážááᯠáááŸááºááááºááááŸáááá¯ááºááŸá¯ááŸáá·áº á¡ááá·áºááŒáá·áºááœá²ááŒááºážá
áááºááŒá¬ááŸá¯áá»á¬ážááŒáá·áº á¡áá¯á¶ážáá»ááŒá®áž á¡áá»ááºááŒááŸá¯á០áá°áá¶áá¶á¡áá»áá¯ážááᯠááá¯ááá¯áá±á¬ááºážááœááºá
á±ááŒááºážá á¡ááŒá±á¬ááºážááŒá¬ážáá»ááºááá¬áááᯠá
á¯á
ááºážááŒááºážááŸáá·áº áá»ááºááŸáááá·áº á¡á
áá»áá¯ážááŸá¯áá»á¬ážááᯠáŠážá
á¬ážáá±ážáá±á¬ááºááœááºááŒááºážá á¡ááá¯áá±á¬ááºážá¡ááŒá±á¬ááºážá¡áá¬á¡ááœááºá áá±á¬ááºážáá»áá°áá»á¬ážááẠáá¯á¶ááŸááºá¡á¬ážááŒáá·áº ááœááºáááºá¡ááœá¬ážá¡áᬠ(á¥ááᬠáááºááá±á¬ááºá
á®áá»á¬ážáá²á·ááá¯á·) ááŸáá·áº á¡áá¯á¶ážááŸááºáá±áá¬á¡áá±á«áºááœáẠááá¯ááá¯ááŸá®ááá¯áá±ááá±á¬ááŒá±á¬áá·áºá á€áá±áá¬áááºážááŒá
áºáá»á¬ážááᯠááœá²ááŒááºážá
áááºááŒá¬ááŒááºážááŒáá·áº áá±áá¬áá¯ááºáá°ááŒááºážááá¯ááºáᬠá
á¯á¶á
ááºážá
á
áºáá±ážááŸá¯áá»á¬ážááœáẠá¡áá±á¬ááºá¡áá°ááŒá
áºá
á±ááá¯ááºáááºá
áá±áá¬áá¯ááºáá°ááŸá¯ áá±á¬ááºááŸááºážááŸá¯ááᯠá¡ááœá²á·á¡á ááºážá¡ááœááºáž ááŒáááºážááŒá±á¬ááºáá±áá±á¬ á¡ááœááºážáá°áá»á¬ážááŸáá·áº ááŒááºááááºáá¬áá»á¬ážááᯠáááºážááẠá¡áá¯á¶ážááŒá¯áááºá
á¡ááœáá·áºáá°ážáá¶áááºáá±á¬ááºááœáá·áºááᯠááœá²ááŒá¬ážáááºááŸááºááŒááºážááŸáá·áº á á®áá¶ááá·áºááœá²ááŒááºážá
áá»áœááºážáá»ááºááŸá¯áááºáááºááŸá ááœááºáááºáá±á¬ UEBA ááŒá±ááŸááºážáá»ááºáá¯ááºáá¯ááºáá°áá»á¬ážááẠá¡ááœááºá¡áá»áœá¶á¡ááœáá·áºá¡áá±ážáá»á¬áž ááá¯á·ááá¯áẠáááŸááºááááºáááºáá±á¬ááºááŸá¯ááᯠáá±á¬áºáá¯ááºáááºá¡ááœáẠá¡áá¯á¶ážááŒá¯áá°áá¡ááŒá¯á¡áá°ááᯠáá±á¬áºáá¯ááºááŒá®ážáá±á¬ á¡ááœáá·áºá¡áá±ážá áá áºá áá±á¬ááºáá¶ááᯠá á±á¬áá·áºááŒáá·áºááŒá®áž ááœá²ááŒááºážá áááºááŒá¬áá«áááºá áááºážááẠá¡ááœáá·áºáá°ážáá¶ááŸáá·áº áááºáá±á¬ááºááŸá¯á¡áá±á¬áá·áºáá»á¬ážá¡áá«á¡ááẠáá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº á¡áá±á¬áá·áºá¡áá»áá¯ážá¡á á¬ážá¡á¬ážáá¯á¶ážááᯠá¡áá»á¯á¶ážáááºáááºá á¡ááœá²á·á¡á ááºážáá»á¬ážááẠááá¯á¡ááºáááºááẠááá¯ááá¯ááŒáá·áºáá¬ážáá±á¬ á¡áá±á¬áá·áºáá»á¬ážááŸáá·áº á¡áá¯á¶ážááŒá¯áá°á¡ááœáá·áºá¡áá±ážáá»á¬ážááᯠáááºááŸá¬ážáááºá¡ááœááºáááºáž UEBA ááᯠá¡áá¯á¶ážááŒá¯áá«áááºá
á¡ááŒá áºá¡áá»ááºááᯠáŠážá á¬ážáá±ážáá±á¬ááºááœááºááŒááºáž
á€áá¬áááºá áááºááœááºáá»ááºááŸá¬ áááºááá·áºááŒá áºáááºáá»á¬áž ááá¯á·ááá¯áẠááŒá áºááá¯ááºááŒá±ááŸááá±á¬ á¡ááŒá áºá¡áá»ááºáá»á¬ážááᯠáŠážá áœá¬ááŒá±ááŸááºážááá·áºáááºááᯠáá¬ážáááºááẠáááºážááá¯á·á áááºážááá¬á¡á á¯á¡áá±ážá០ááŒá±ááŸááºážáá»ááºáá»á¬ážá០áá¯ááºáá±ážáá±á¬ á¡áááá±ážáá»ááºáá»á¬ážááᯠáŠážá á¬ážáá±ážáá¯ááºáá±á¬ááºáááºááŒá áºáááºá UEBA áááºážá áá áºááŸáá·áº áááááá¬áá»á¬ážááẠáá±ážá¡ááºáá¬ážáá±á¬ á¡ááœá²á·á¡á ááºážá¡ááœáẠá¡áá°ážá áááºáá»ááºááœáẠááá¯á·ááá¯áẠá¡áá°ážá¡áá¹ááá¬ááºááŸááá±á¬ á¡ááŒá áºá¡áá»ááºáá»á¬ážááᯠáá±á¬áºáá¯ááºáá¬ááœáẠá¡áá¯á¶ážáááºáá«áááºá á€ááá á¹á ááœááºá UEBA ááá¹ááá¬ážááẠááŸá¯ááºááŸá¬ážááŸá¯ááŸáá·áº ááŒáááºážááŒá±á¬ááºááŸá¯áá¯á¶á á¶áá»á¬ážááᯠá¡ááŒá±áá¶á¡ááá·áºááᯠá¡áá¯á¶ážááŒá¯áá¯á¶áá¬áá áá¯áá¹ááá®á á¡ááœá²á·á¡á ááºážááœá²á·á ááºážáá¯á¶ááá¯ááºáᬠá¡áá»ááºá¡ááẠ(á¥ááá¬á á¡áá±ážááŒá®ážáá±á¬á¡áááºážá¡ááŒá áºáá»á¬áž ááá¯á·ááá¯áẠá¡áááºážááá¹ááá»á¬ážááŸáá·áº áááºáááºážáá»á¬ážááááºáá±á¬ááºááœáá·áºá¡ááá·áºáá»á¬áž) ááŸáá·áºáááºáž á¡áá»ááºá¡áááºáá»á¬ážááᯠááŒáá·áºáá á±áááºá
UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážááᯠá¡áá±á¬ááºá¡áááºáá±á¬áºáá¬ááœáẠááŒá¿áá¬áá»á¬áž
UEBA ááŒá±ááŸááºážáá»ááºáá»á¬ážá á á»á±ážááœááºáá¬áá»ááºááŸá¯ááŸá¬ áááºážááá¯á·á ááŒáá·áºáá¬ážáá±á¬á á»á±ážááŸá¯ááºážá ááŸá¯ááºááœá±ážáá±á¬ á¡áá±á¬ááºá¡áááºáá±á¬áºááŸá¯á ááááºážááááºážááŸá¯ááŸáá·áº á¡áá¯á¶ážááŒá¯ááŸá¯ááá¯á·ááŒá áºáááºá áá¯áá¹ááá®áá»á¬ážááẠááá°áá®áá±á¬á¡ááœááºážááá¯ááºážáá±á«áºáááºá¡áá±á¡ááœááºááŸáá·áº áá¯ááºážáááºáá±ááá±á¬áºáááºáž áááºážááá¯á·ááẠá¡ááŒá¬áž console áá áºáá¯ááᯠáááŸááá±áá«áááºá áááááá¬á¡áá áºáá áºáá¯ááœáẠá¡áá»áááºááŸáá·áºáááºážááŒá áºáá»á¬ážá áááºážááŸá®ážááŒáŸá¯ááºááŸá¶ááŸá¯ááá¬áááẠáááºáá²ááœááºááŸááá±á¬ á¡áá¯ááºáá»á¬ážááŸáá·áº áááºážááá¯á·ááá¯ááŒá±ááŸááºážááẠááá¯á¡ááºáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯á¡áá»áá¯ážá¡á á¬ážáá»á¬ážáá±á«áºááœááºáá°áááºááŒá®áž á¡áá»á¬ážá á¯ááŸá¬ ááŒá®ážáá¬ážáá±á¬áááºážááŸá®ážááŒáŸá¯ááºááŸá¶ááŸá¯áá»á¬áž ááá¯á¡ááºáá«áááºá
áá¯ááºáá¯ááºáá°á¡áá»á¬ážá¡ááŒá¬ážááŒá±á¬áá±ááá·áºá¡ááá¯ááºáž UEBA ááẠá¡áá¯á¶ážááœáẠáááºáá±á«ááºážáá»á¬ážá
áœá¬ á¡áááºáááŒááºáááºáááºááá¯ááºáá±á¬ "áááºááŸááºááŒá®áž áá±á·ááœá¬ážáááº" áááááá¬ááá¯ááºáá«á
á¥ááá¬á¡á¬ážááŒáá·áº Gartner áá¯á¶ážá
áœá²áá°áá»á¬ážááẠUEBA ááá¬áááŒá±ááŸááºážááᯠá
áááºááẠá áá០á áá¡áá ááŒá¬ááŒá±á¬ááºáž áááááŒá¯áá«á á¡ááœá²á·á¡á
ááºážáá
áºáá¯ááŸá á¡ááœááºážááá¯ááºážááŒáááºážááŒá±á¬ááºááŸá¯áá»á¬ážááᯠáá±á¬áºáá¯ááºááŒááºážáá²á·ááá¯á·áá±á¬ ááá¯ááá¯ááŸá¯ááºááœá±ážáá±á¬áá¯ááºáá±á¬ááºá
áá¬áá»á¬ážá¡ááœááºá áá¬áááẠ3 áá¡áá ááá¯ážáá¬áááºá
UEBA á¡áá±á¬ááºá¡áááºáá±á¬áºáá¬ááœáẠá¡áááºá¡áá²ááŸáá·áº áááááá¬á á¡áá¬áááºáááá±á¬ááºááŸá¯á¡áá±á«áº ááœáŸááºážááá¯ážááá·áºá¡áá»ááºáá»á¬áž-
- á¡ááœá²á·á¡á ááºážáááºáá±á¬ááºáá¯á¶á ááœááºááẠtopology ááŸáá·áº áá±áá¬á á®áá¶ááá·áºááœá²ááŸá¯áá°áá«ááá»á¬ážá ááŸá¯ááºááœá±ážááŸá¯
- ááŸááºáááºáá±á¬á¡áá±ážá áááºá¡ááá·áºááœáẠááŸááºáááºáá±á¬áá±áá¬áááŸáááá¯ááºááŸá¯
- áá±á¬ááºážáá»áá°á ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááá¯ááºáᬠá¡ááºáááá¯áá®áááºáá»á¬ážá ááŸá¯ááºááœá±ážááŸá¯âá¥ááá¬á ááááºážááááºážááá¯ááºáᬠáá±á¬áºáááºáá»á¬ážááŸáá·áº á ááºáááºáá°ááŸá¯á¡áá¯á¶ážááŒá¯ááŸá¯ ááá¯ážááŸááºážáá±á¬áá¯á¶á á¶áá»á¬ážááŸáá·áº á ááºážáá»ááºážáá»á¬ážááᯠááŸáá¯ááºážááŸááºááŒááºážá
- ááŒáá¯áááºááŒááºáááºáá¬ážáá±á¬ ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ ááá¬á áá«áááºáááº- ááá¯ááá¯áááºááŸá¬ áá¯ááºáááºážáá áºáá¯á á®á¡ááœáẠáá±áá¬á á¯áá±á¬ááºážááẠááá¯á¡ááºááá·áº áá¯ááºáá¯ááºáá°á áá¬ážáááºááŸá¯ááŸáá·áº ááœá²ááŒááºážá áááºááŒá¬ááŸá¯áá±á¬ááºááœááºááẠá¡áá±ážááŒá®ážáá¯á¶ážááŒá áºááá·áº ááááºážááŸááºáá»á¬ážááŸáá·áº á¡áááºá¡áá»ááºážáá»á¬áž á áááºááá¯á·ááŒá áºáááºá
- áá¯ááºáá¯ááºáá°ááẠááá¯á¡ááºáá±á¬áá±áá¬ááŸáá·áº á¡ááá¯á¡áá»á±á¬ááºáá±á«ááºážá
ááºááẠáááºáá»áŸááœááºáá°áááºá
á¥ááá¬:
- UEBA ááŒá±ááŸááºážáá»ááºáá áºáá¯ááẠSIEM á áá áºá¡á¬áž áááºážááá±áá¬áá¡ááááááºážááŒá áºá¡ááŒá Ạá¡áá¯á¶ážááŒá¯áá«áá SIEM ááẠááá¯á¡ááºáá±á¬áá±áá¬áááºážááŒá áºáá»á¬ážá០á¡áá»ááºá¡áááºáá»á¬ážááᯠá á¯áá±á¬ááºážáá«ááá¬ážá
- ááá¯á¡ááºáá±á¬ ááŒá áºáááºááŸááºáááºážáá»á¬ážááŸáá·áº á¡ááœá²á·á¡á ááºážááá¯ááºáᬠá¡ááŒá±á¬ááºážá¡áá¬á¡áá»ááºá¡áááºáá»á¬ážááᯠUEBA ááŒá±ááŸááºážáá»ááºááá¯á· áá±ážááá¯á·ááá¯ááºáá«ááá¬ážá
- SIEM á áá áºááẠUEBA ááŒá±ááŸááºážáá»ááºá០ááá¯á¡ááºáá±á¬ áá±áá¬á¡áááºážá¡ááŒá áºáá»á¬ážááᯠá á¯áá±á¬ááºážááááºážáá»á¯ááºááŒááºážáááŒá¯áá±ážáá«áá áááºážááá¯á·ááᯠááá¯áá±áá¬ááá¯á· áááºááá¯á·ááœáŸá²ááŒá±á¬ááºážááá¯ááºáááºáááºážá
- á¡ááœá²á·á¡á ááºážá¡ááœáẠá¡ááá®áá±ážááŸááºážá¡ááŒá±á¡áá±ááẠáááºáá»áŸá¡áá±ážááŒá®ážáááºá áá±áá¬áááºážááŒá áºáááºáá»áŸááá¯á¡ááºááááºážá á€áá¯ááºáááºážááẠáá¯ááºáá¯ááºáá°ááá»áœááºážáá»ááºááŸá¯áááºáááºááŸáá·áº áááºáá»áŸáááºáá±ááááºážá
- á¡ááœá²á·á¡á ááºážá ááá·áºáá»ááºááŸá¯ááŸáá·áº áá«áááºáááºáááºááŸá¯ áááºáá»áŸá¡ááá¯ááºážá¡áá¬á¡áá ááá¯á¡ááºááẠ- á¥ááá¬á á ááºážáá»ááºážáá»á¬ážááŸáá·áº áá¯á¶á á¶áá»á¬ážááᯠáááºáá®ážááŒááºážá ááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯ááŸáá·áº ááŒá¯ááŒááºááœááºážáá¶ááŒááºážá á¡áá²ááŒááºáááºá¡ááœáẠááááºážááŸááºáá»á¬ážáᶠá¡áá±ážáá»á¬ážáááºááŸááºááŒááºážá ááá¯á·ááá¯áẠá¡áá¹ááá¬ááºá¡áá²ááŒááºááŸá¯á¡ááá·áºááᯠáá»áááºááŸááá«á
- á¡ááœá²á·á¡á ááºážááááºááŸáá¡ááœááºá¡á á¬ážááŸáá·áº áááºážáá¡áá¬áááºááá¯á¡ááºáá»ááºáá»á¬ážááŸáá·áº ááŸáá¯ááºážááŸááºáá«á áá±á¬ááºážáá»áá°áááŒá±ááŸááºážáá»ááºááŸáá·áº áááºážááááá¯áá¬áááºáá¬ááẠáááºáá»áŸá¡ááá¯ááºážá¡áá¬á¡áá áá»á²á·ááœááºááá¯ááºááááºážá
- á¡ááŒá±áá¶áá±á¬áºáááºáá»á¬ážá áááá¯ááá¯ááºáá»á¬ážááŸáá·áº á¡áááá¡á¯ááºá á¯áá»á¬ážááᯠáááºáá±á¬ááºááẠá¡áá»áááºááŒá áºáááºá áá¯ááºáá¯ááºáá°áá»á¬ážááẠ"áá¬áááº" ááá±á¬ááá¬ážáá»á¬ážááᯠááááºááŸááºáá® ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááŒá¯áá¯ááºááẠá¡áááºážáá¯á¶áž ááẠ30 (ááŸáá·áº áá áºáá«áá áºáᶠ90 áááºá¡áá) ááá¯á¡ááºáááºáááºá áááá¯ááºážáá±áá¬ááᯠáá áºáá«áááºážáááºááŒááºážááẠáá±á¬áºáááºáá±á·áá»áá·áºáá±ážááᯠá¡ááŸáááºááŒáŸáá·áºááá¯ááºáááºá á¡áá»áá¯á·áá±á¬ á áááºáááºá á¬ážá áá¬áá±á¬ááºážáá±á¬ ááá á¹á áá»á¬ážááẠáááŠážáá±áá¬ááá¬á á¡áááºážáááºááŒáá·áº á ááºáááºáá°ááŒááºážááẠá ááºážáá»ááºážáá»á¬ážááᯠá¡áá¯á¶ážááŒá¯á ááá¯ááá¯ááŒááºáááºá áœá¬ áá±á¬áºáá¯ááºááá¯ááºáááºá
- áááºááŒáœáá±á¬á¡á¯ááºá á¯ááœá²á·ááŒááºážááŸáá·áº á¡áá±á¬áá·áºáááá¯ááá¯ááºááŒá¯áá¯ááºááŒááºáž (áááºáá±á¬ááºááŸá¯/áá°) ááᯠáááºáá±á¬ááºááẠááá¯á¡ááºáá±á¬ á¡á¬ážáá¯ááºááŸá¯á¡ááá·áºááẠááŒá±ááŸááºážáááºážáá»á¬ážááŒá¬ážááœáẠáá»á¬ážá áœá¬ááœá²ááŒá¬ážááá¯ááºáááºá
source: www.habr.com