आज हामी भर्खरको आधारमा प्रयोगकर्ता र संस्था व्यवहार विश्लेषण (UEBA) बजारको संक्षिप्त सिंहावलोकन प्रदान गर्नेछौं। गार्टनर अनुसन्धान। गार्टनर हाइप साइकल फर थ्रेट-फेसिङ टेक्नोलोजीका अनुसार UEBA बजार "मोहभंग चरण" को तल छ, टेक्नोलोजीको परिपक्वतालाई संकेत गर्दछ। तर परिस्थितिको विरोधाभास UEBA टेक्नोलोजीहरूमा लगानीको एक साथ सामान्य वृद्धि र स्वतन्त्र UEBA समाधानहरूको हराउँदै गएको बजारमा निहित छ। गार्टनरले UEBA सम्बन्धित सूचना सुरक्षा समाधानहरूको कार्यक्षमताको हिस्सा बन्ने भविष्यवाणी गर्दछ। शब्द "UEBA" सम्भवतः प्रयोगबाट बाहिर जानेछ र एक साँघुरो अनुप्रयोग क्षेत्र (उदाहरण "प्रयोगकर्ता व्यवहार विश्लेषण"), समान अनुप्रयोग क्षेत्र (जस्तै, "डेटा एनालिटिक्स") मा केन्द्रित अर्को एक्रोनिम द्वारा प्रतिस्थापित हुनेछ, वा केवल केहि बन्नेछ। नयाँ बजवर्ड (उदाहरणका लागि, "कृत्रिम बुद्धिमत्ता" [एआई] शब्द रोचक देखिन्छ, यद्यपि यसले आधुनिक UEBA निर्माताहरूलाई कुनै अर्थ राख्दैन)।

गार्टनर अध्ययनका प्रमुख निष्कर्षहरूलाई निम्नानुसार संक्षेप गर्न सकिन्छ:

• प्रयोगकर्ताहरू र संस्थाहरूको व्यवहार विश्लेषणको लागि बजारको परिपक्वता तथ्यले पुष्टि गर्दछ कि यी प्रविधिहरू मध्यम र ठूला कर्पोरेट खण्डहरूले धेरै व्यापारिक समस्याहरू समाधान गर्न प्रयोग गर्छन्;
• UEBA एनालिटिक्स क्षमताहरू क्लाउड एक्सेस सेक्युरिटी ब्रोकरहरू (CASBs), पहिचान प्रशासन र प्रशासन (IGA) SIEM प्रणालीहरू जस्ता सम्बन्धित सूचना सुरक्षा प्रविधिहरूको विस्तृत श्रृंखलामा निर्मित छन्;
• UEBA विक्रेताहरू वरपरको प्रचार र "कृत्रिम बुद्धिमत्ता" शब्दको गलत प्रयोगले ग्राहकहरूलाई पाइलट प्रोजेक्ट सञ्चालन नगरी निर्माताहरूको प्रविधिहरू र समाधानहरूको कार्यक्षमता बीचको वास्तविक भिन्नता बुझ्न गाह्रो बनाउँछ;
• ग्राहकहरूले नोट गर्छन् कि UEBA समाधानहरूको कार्यान्वयन समय र दिन-दिनको प्रयोग केवल आधारभूत खतरा पत्ता लगाउने मोडेलहरू विचार गर्दा पनि, निर्माताको वाचा भन्दा बढी श्रम-गहन र समय-उपभोग हुन सक्छ। अनुकूलन वा किनारा प्रयोग केसहरू थप्न अत्यन्तै गाह्रो हुन सक्छ र डेटा विज्ञान र विश्लेषणमा विशेषज्ञता चाहिन्छ।

रणनीतिक बजार विकास पूर्वानुमान:

• 2021 सम्म, प्रयोगकर्ता र संस्था व्यवहार विश्लेषण (UEBA) प्रणालीहरूको लागि बजार एक अलग क्षेत्र को रूप मा अवस्थित बन्द हुनेछ र UEBA कार्यक्षमता संग अन्य समाधान तिर सर्नेछ;
• 2020 सम्म, सबै UEBA परिनियोजनहरूको 95% एक व्यापक सुरक्षा प्लेटफर्मको हिस्सा हुनेछ।

UEBA समाधान को परिभाषा

UEBA समाधानहरूले प्रयोगकर्ताहरू र अन्य निकायहरू (जस्तै होस्टहरू, अनुप्रयोगहरू, नेटवर्क ट्राफिक र डाटा स्टोरहरू) को गतिविधि मूल्याङ्कन गर्न बिल्ट-इन एनालिटिक्स प्रयोग गर्दछ।
तिनीहरूले खतराहरू र सम्भावित घटनाहरू पत्ता लगाउँछन्, सामान्यतया समयको अवधिमा समान समूहहरूमा प्रयोगकर्ताहरू र संस्थाहरूको मानक प्रोफाइल र व्यवहारको तुलनामा असामान्य गतिविधि प्रतिनिधित्व गर्दछ।

इन्टरप्राइज खण्डमा सबैभन्दा सामान्य प्रयोगका केसहरू खतरा पत्ता लगाउने र प्रतिक्रिया, साथसाथै भित्री धम्कीहरू पत्ता लगाउने र प्रतिक्रिया (अधिकांशमा सम्झौता गरिएको भित्री; कहिलेकाहीँ आन्तरिक आक्रमणकारीहरू) हुन्।

UEBA जस्तै छ निर्णय, र समारोह, एक विशिष्ट उपकरण मा निर्मित:

• समाधान "शुद्ध" UEBA प्लेटफार्महरूका निर्माताहरू हुन्, विक्रेताहरू जसले SIEM समाधानहरू पनि छुट्टै बेच्छन्। दुवै प्रयोगकर्ता र संस्थाहरूको व्यवहार विश्लेषण मा व्यापार समस्या को एक विस्तृत श्रृंखला मा केन्द्रित।
• इम्बेडेड - निर्माताहरू/विभागहरू जसले UEBA कार्यहरू र प्रविधिहरूलाई तिनीहरूको समाधानहरूमा एकीकृत गर्दछ। सामान्यतया व्यापार समस्याहरूको अधिक विशिष्ट सेटमा केन्द्रित। यस अवस्थामा, UEBA प्रयोगकर्ताहरू र/वा संस्थाहरूको व्यवहार विश्लेषण गर्न प्रयोग गरिन्छ।

गार्टनरले समस्या समाधानकर्ता, विश्लेषण, र डेटा स्रोतहरू सहित तीनवटा अक्षहरूमा UEBA हेर्छन् (चित्र हेर्नुहोस्)।

"शुद्ध" UEBA प्लेटफार्महरू बनाम निर्मित UEBA

गार्टनरले "शुद्ध" UEBA प्लेटफर्मलाई समाधान मान्छन् जुन:

• धेरै विशेष समस्याहरू समाधान गर्नुहोस्, जस्तै विशेषाधिकार प्राप्त प्रयोगकर्ताहरूको निगरानी वा संगठन बाहिर डेटा आउटपुट गर्ने, र केवल "असामान्य प्रयोगकर्ता गतिविधिको अनुगमन" मात्र होइन;
• अनिवार्य रूपमा आधारभूत विश्लेषणात्मक दृष्टिकोणहरूमा आधारित जटिल विश्लेषणको प्रयोग समावेश गर्नुहोस्;
• पूर्वाधारमा छुट्टाछुट्टै एजेन्टहरू तैनाथ गर्न अनिवार्य आवश्यकता बिना डेटा सङ्कलनका लागि धेरै विकल्पहरू उपलब्ध गराउनुहोस्, जसमा दुवै निर्मित डाटा स्रोत संयन्त्रहरू र लग व्यवस्थापन उपकरणहरू, डाटा लेक र/वा SIEM प्रणालीहरूबाट;
• मा समावेश गर्नुको सट्टा स्ट्यान्ड-अलोन समाधानको रूपमा खरिद गर्न र प्रयोग गर्न सकिन्छ
  अन्य उत्पादनहरु को संरचना।

तलको तालिकाले दुई दृष्टिकोणहरू तुलना गर्दछ।

तालिका 1. "शुद्ध" UEBA समाधानहरू बनाम बिल्ट-इन समाधानहरू

वर्ग	"शुद्ध" UEBA प्लेटफार्महरू	बिल्ट-इन UEBA का साथ अन्य समाधानहरू
समस्या समाधान हुनैपर्छ	प्रयोगकर्ता व्यवहार र संस्थाहरूको विश्लेषण।	डाटाको अभावले UEBA लाई मात्र प्रयोगकर्ता वा संस्थाहरूको व्यवहार विश्लेषण गर्न सीमित गर्न सक्छ।
समस्या समाधान हुनैपर्छ	समस्याहरूको विस्तृत दायरा समाधान गर्न सेवा गर्दछ	सीमित कार्यहरूमा विशेषज्ञ
एनालिटिक्स	विभिन्न विश्लेषणात्मक विधिहरू प्रयोग गरेर विसंगति पत्ता लगाउने - मुख्यतया सांख्यिकीय मोडेलहरू र मेसिन लर्निङ मार्फत, नियमहरू र हस्ताक्षरहरू सहित। प्रयोगकर्ता र संस्था गतिविधिहरू तिनीहरू र सहकर्मीहरूको प्रोफाइलहरू सिर्जना गर्न र तुलना गर्न बिल्ट-इन एनालिटिक्सको साथ आउँछ।	शुद्ध UEBA जस्तै, तर विश्लेषण प्रयोगकर्ताहरू र/वा संस्थाहरूमा मात्र सीमित हुन सक्छ।
एनालिटिक्स	उन्नत विश्लेषणात्मक क्षमताहरू, नियमहरू द्वारा मात्र सीमित छैन। उदाहरणका लागि, एकाइहरूको गतिशील समूहको साथ क्लस्टरिङ एल्गोरिदम।	"शुद्ध" UEBA जस्तै, तर केही एम्बेडेड खतरा मोडेलहरूमा इकाई समूह म्यानुअल रूपमा मात्र परिवर्तन गर्न सकिन्छ।
एनालिटिक्स	प्रयोगकर्ताहरू र अन्य संस्थाहरूको गतिविधि र व्यवहारको सहसंबंध (उदाहरणका लागि, Bayesian नेटवर्कहरू प्रयोग गर्दै) र असामान्य गतिविधि पहिचान गर्न व्यक्तिगत जोखिम व्यवहारको एकत्रीकरण।	शुद्ध UEBA जस्तै, तर विश्लेषण प्रयोगकर्ताहरू र/वा संस्थाहरूमा मात्र सीमित हुन सक्छ।
डाटा स्रोतहरू	SIEM वा डेटा लेक जस्ता बिल्ट-इन मेकानिजम वा अवस्थित डाटा स्टोरहरू मार्फत सीधा डाटा स्रोतहरूबाट प्रयोगकर्ताहरू र संस्थाहरूमा घटनाहरू प्राप्त गर्दै।	डाटा प्राप्त गर्ने संयन्त्रहरू सामान्यतया प्रत्यक्ष हुन्छन् र यसले प्रयोगकर्ताहरू र/वा अन्य निकायहरूलाई मात्र असर गर्छ। लग व्यवस्थापन उपकरण / SIEM / डाटा ताल प्रयोग नगर्नुहोस्।
डाटा स्रोतहरू	समाधानले डाटाको मुख्य स्रोतको रूपमा नेटवर्क ट्राफिकमा मात्र भर पर्नु हुँदैन, न त यसले टेलिमेट्री सङ्कलन गर्न आफ्नै एजेन्टहरूमा मात्र भर पर्नु पर्छ।	समाधानले नेटवर्क ट्राफिकमा मात्र ध्यान केन्द्रित गर्न सक्छ (उदाहरणका लागि, NTA - नेटवर्क ट्राफिक विश्लेषण) र/वा यसको एजेन्टहरू अन्तिम उपकरणहरूमा प्रयोग गर्नुहोस् (उदाहरणका लागि, कर्मचारी निगरानी उपयोगिताहरू)।
डाटा स्रोतहरू	सन्दर्भको साथ प्रयोगकर्ता/संस्था डेटा संतृप्त गर्दै। वास्तविक समयमा संरचित घटनाहरूको सङ्कलनलाई समर्थन गर्दछ, साथै IT डाइरेक्टरीहरूबाट संरचित/असंरचित कोहेसिभ डाटा - उदाहरणका लागि, सक्रिय निर्देशिका (AD), वा अन्य मेसिन-पढ्न सकिने जानकारी स्रोतहरू (उदाहरणका लागि, HR डाटाबेसहरू)।	शुद्ध UEBA जस्तै, तर सन्दर्भ डेटाको दायरा केस देखि केस फरक हुन सक्छ। AD र LDAP इम्बेडेड UEBA समाधानहरू द्वारा प्रयोग गरिने सबैभन्दा सामान्य सन्दर्भ डेटा भण्डारहरू हुन्।
उपलब्धता	स्ट्यान्डअलोन उत्पादनको रूपमा सूचीबद्ध सुविधाहरू प्रदान गर्दछ।	यो निर्माण गरिएको बाह्य समाधान खरिद नगरी बिल्ट-इन UEBA कार्यक्षमता किन्न असम्भव छ।
स्रोत: गार्टनर (मे २०१९)

यसरी, केहि समस्याहरू समाधान गर्न, इम्बेडेड UEBA ले आधारभूत UEBA एनालिटिक्स (उदाहरणका लागि, साधारण असुरक्षित मेसिन लर्निङ) प्रयोग गर्न सक्छ, तर एकै समयमा, ठ्याक्कै आवश्यक डेटामा पहुँचको कारण, यो "शुद्ध" भन्दा समग्रमा बढी प्रभावकारी हुन सक्छ। UEBA समाधान। एकै समयमा, "शुद्ध" UEBA प्लेटफर्महरू, अपेक्षित रूपमा, बिल्ट-इन UEBA उपकरणको तुलनामा मुख्य ज्ञानको रूपमा थप जटिल विश्लेषणहरू प्रस्ताव गर्दछ। यी नतिजाहरूलाई तालिका 2 मा संक्षेप गरिएको छ।

तालिका 2. "शुद्ध" र निर्मित UEBA बीचको भिन्नताको परिणाम

वर्ग	"शुद्ध" UEBA प्लेटफार्महरू	बिल्ट-इन UEBA का साथ अन्य समाधानहरू
एनालिटिक्स	विभिन्न प्रकारका व्यवसायिक समस्याहरू समाधान गर्नको लागि उपयुक्तताले थप जटिल विश्लेषण र मेसिन लर्निङ मोडेलहरूमा जोड दिएर UEBA कार्यहरूको अधिक विश्वव्यापी सेटलाई जनाउँछ।	व्यावसायिक समस्याहरूको सानो सेटमा फोकस गर्नु भनेको उच्च विशिष्ट सुविधाहरू हो जुन सरल तर्कको साथ अनुप्रयोग-विशिष्ट मोडेलहरूमा केन्द्रित हुन्छ।
एनालिटिक्स	प्रत्येक अनुप्रयोग परिदृश्यको लागि विश्लेषणात्मक मोडेलको अनुकूलन आवश्यक छ।	विश्लेषणात्मक मोडेलहरू उपकरणको लागि पूर्व-कन्फिगर गरिएको छ जसमा UEBA बनाइएको छ। बिल्ट-इन UEBA भएको उपकरणले सामान्यतया केहि व्यापार समस्याहरू समाधान गर्न छिटो परिणामहरू प्राप्त गर्दछ।
डाटा स्रोतहरू	कर्पोरेट पूर्वाधारको सबै कुनाबाट डेटा स्रोतहरूमा पहुँच।	थोरै डेटा स्रोतहरू, सामान्यतया तिनीहरूका लागि एजेन्टहरूको उपलब्धता वा UEBA कार्यहरू भएको उपकरणद्वारा सीमित।
डाटा स्रोतहरू	प्रत्येक लग मा समावेश जानकारी डाटा स्रोत द्वारा सीमित हुन सक्छ र केन्द्रीकृत UEBA उपकरण को लागी सबै आवश्यक डाटा समावेश नहुन सक्छ।	एजेन्टद्वारा सङ्कलन गरिएको र UEBA मा पठाइएको कच्चा डाटाको मात्रा र विवरण विशेष रूपमा कन्फिगर गर्न सकिन्छ।
वास्तुकला	यो संगठनको लागि पूर्ण UEBA उत्पादन हो। SIEM प्रणाली वा डेटा तालको क्षमताहरू प्रयोग गरेर एकीकरण सजिलो छ।	UEBA बिल्ट-इन भएका प्रत्येक समाधानहरूको लागि UEBA सुविधाहरूको छुट्टै सेट चाहिन्छ। इम्बेडेड UEBA समाधानहरूलाई प्रायः एजेन्टहरू स्थापना गर्न र डाटा व्यवस्थापन गर्न आवश्यक हुन्छ।
एकीकरण	प्रत्येक केसमा अन्य उपकरणहरूसँग UEBA समाधानको म्यानुअल एकीकरण। संगठनलाई "एनालॉगहरू बीचको उत्कृष्ट" दृष्टिकोणमा आधारित यसको प्रविधि स्ट्याक निर्माण गर्न अनुमति दिन्छ।	UEBA प्रकार्यहरूको मुख्य बन्डलहरू पहिले नै निर्माताद्वारा उपकरणमा समावेश छन्। UEBA मोड्युल बिल्ट-इन छ र हटाउन सकिँदैन, त्यसैले ग्राहकहरूले यसलाई आफ्नै चीजसँग बदल्न सक्दैनन्।
स्रोत: गार्टनर (मे २०१९)

UEBA एक प्रकार्यको रूपमा

UEBA अन्त-देखि-अन्त साइबर सुरक्षा समाधानहरूको विशेषता बनिरहेको छ जसले थप विश्लेषणबाट फाइदा लिन सक्छ। UEBA ले प्रयोगकर्ता र/वा संस्था व्यवहार ढाँचाहरूमा आधारित उन्नत विश्लेषणहरूको शक्तिशाली तह प्रदान गर्दै यी समाधानहरूलाई निहित गर्दछ।

हाल बजारमा, बिल्ट-इन UEBA कार्यक्षमता निम्न समाधानहरूमा लागू गरिएको छ, प्राविधिक दायरा द्वारा समूहबद्ध:

• डाटा-केन्द्रित लेखापरीक्षण र सुरक्षा, संरचित र असंरचित डेटा भण्डारण (उर्फ DCAP) को सुरक्षा सुधार गर्न केन्द्रित विक्रेताहरू हुन्।

  विक्रेताहरूको यस श्रेणीमा, गार्टनर नोटहरू, अन्य चीजहरू बीचमा, Varonis साइबर सुरक्षा प्लेटफर्म, जसले विभिन्न जानकारी स्टोरहरूमा असंरचित डेटा अनुमति, पहुँच, र उपयोगमा परिवर्तनहरू निगरानी गर्न प्रयोगकर्ता व्यवहार विश्लेषणहरू प्रदान गर्दछ।

• CASB प्रणालीहरू, क्लाउड-आधारित SaaS अनुप्रयोगहरूमा विभिन्न खतराहरू विरुद्ध सुरक्षा प्रदान गर्दै नचाहिने यन्त्रहरू, प्रयोगकर्ताहरू र अनुप्रयोग संस्करणहरूका लागि क्लाउड सेवाहरूमा पहुँच रोकेर अनुकूली पहुँच नियन्त्रण प्रणाली प्रयोग गरेर।

  सबै बजार-अग्रणी CASB समाधानहरूले UEBA क्षमताहरू समावेश गर्दछ।

• DLP समाधान - संगठन वा यसको दुरुपयोग बाहिर महत्वपूर्ण डेटा को स्थानान्तरण पत्ता लगाउनमा केन्द्रित।

  प्रयोगकर्ता, अनुप्रयोग, स्थान, समय, घटनाहरूको गति, र अन्य बाह्य कारकहरू जस्ता सन्दर्भहरू बुझ्ने सन्दर्भमा कम ध्यान केन्द्रित गरी DLP प्रगतिहरू धेरै हदसम्म सामग्री बुझ्नमा आधारित हुन्छन्। प्रभावकारी हुनको लागि, DLP उत्पादनहरूले सामग्री र सन्दर्भ दुवै पहिचान गर्नुपर्छ। यसैले धेरै निर्माताहरूले आफ्नो समाधानहरूमा UEBA कार्यक्षमता एकीकृत गर्न थालेका छन्।

• कर्मचारी निगरानी कर्मचारी कार्यहरू रेकर्ड र पुन: प्ले गर्ने क्षमता हो, सामान्यतया कानूनी कार्यवाहीको लागि उपयुक्त डेटा ढाँचामा (यदि आवश्यक भएमा)।

  प्रयोगकर्ताहरूलाई निरन्तर निगरानी गर्दा म्यानुअल फिल्टरिङ र मानव विश्लेषण आवश्यक पर्ने डाटाको अत्यधिक मात्रा उत्पन्न हुन्छ। त्यसकारण, UEBA लाई यी समाधानहरूको कार्यसम्पादन सुधार गर्न र उच्च जोखिमका घटनाहरू मात्र पत्ता लगाउनको लागि अनुगमन प्रणाली भित्र प्रयोग गरिन्छ।

• अन्तिम बिन्दु सुरक्षा - एन्डपोइन्ट पत्ता लगाउने र प्रतिक्रिया (EDR) समाधानहरू र एन्डपोइन्ट सुरक्षा प्लेटफर्म (EPP) ले शक्तिशाली उपकरण र अपरेटिङ सिस्टम टेलिमेट्री प्रदान गर्दछ।
  अन्त्य यन्त्रहरू।

  यस्तो प्रयोगकर्ता-सम्बन्धित टेलिमेट्री बिल्ट-इन UEBA कार्यक्षमता प्रदान गर्न विश्लेषण गर्न सकिन्छ।

• अनलाइन ठगी - अनलाइन धोखाधडी पत्ता लगाउने समाधानहरूले विचलित गतिविधि पत्ता लगाउँदछ जसले ग्राहकको खातालाई स्पूफ, मालवेयर, वा असुरक्षित जडानहरू/ब्राउजर ट्राफिक अवरोधहरूको शोषण मार्फत सम्झौता गर्दछ।

  धेरैजसो जालसाजी समाधानहरूले UEBA को सार, लेनदेन विश्लेषण र उपकरण मापन प्रयोग गर्दछ, थप उन्नत प्रणालीहरूले पहिचान डेटाबेसमा सम्बन्धहरू मिलाएर तिनीहरूलाई पूरक बनाउँछ।

• IAM र पहुँच नियन्त्रण - गार्टनरले पहुँच नियन्त्रण प्रणाली विक्रेताहरू बीच शुद्ध विक्रेताहरूसँग एकीकरण गर्न र तिनीहरूका उत्पादनहरूमा केही UEBA कार्यक्षमता निर्माण गर्नको लागि विकासवादी प्रवृत्तिलाई नोट गर्दछ।
• IAM र पहिचान शासन र प्रशासन (IGA) प्रणालीहरू UEBA प्रयोग गर्नुहोस् व्यवहार र पहिचान विश्लेषण परिदृश्यहरू जस्तै विसंगति पत्ता लगाउन, समान संस्थाहरूको गतिशील समूह विश्लेषण, लगइन विश्लेषण, र पहुँच नीति विश्लेषण।
• IAM र विशेषाधिकार प्राप्त पहुँच व्यवस्थापन (PAM) - प्रशासनिक खाताहरूको प्रयोगको अनुगमन गर्ने भूमिकाको कारण, PAM समाधानहरूसँग कसरी, किन, कहिले र कहाँ प्रशासनिक खाताहरू प्रयोग गरियो भनेर देखाउन टेलिमेट्री छ। यस डाटालाई प्रशासकहरूको असामान्य व्यवहार वा दुर्भावनापूर्ण उद्देश्यको उपस्थितिको लागि UEBA को निर्मित कार्यक्षमता प्रयोग गरेर विश्लेषण गर्न सकिन्छ।
• निर्माता NTA (नेटवर्क ट्राफिक विश्लेषण) - कर्पोरेट नेटवर्कहरूमा संदिग्ध गतिविधि पहिचान गर्न मेसिन लर्निङ, उन्नत एनालिटिक्स र नियम-आधारित पत्ता लगाउने संयोजन प्रयोग गर्नुहोस्।

  NTA उपकरणहरूले निरन्तर रूपमा स्रोत ट्राफिक र/वा प्रवाह रेकर्डहरू (जस्तै नेटफ्लो) को सामान्य नेटवर्क व्यवहार प्रतिबिम्बित गर्ने मोडेलहरू निर्माण गर्न विश्लेषण गर्दछ, मुख्य रूपमा संस्था व्यवहार विश्लेषणहरूमा केन्द्रित।

• सिएम - धेरै SIEM विक्रेताहरूसँग अब SIEM मा निर्मित उन्नत डाटा एनालिटिक्स कार्यक्षमता छ, वा छुट्टै UEBA मोड्युलको रूपमा। 2018 भरि र 2019 मा हालसम्म, SIEM र UEBA कार्यक्षमता बीचको सीमाहरूलाई निरन्तर धमिलो पारिएको छ, जसरी लेखमा छलफल गरिएको छ। "आधुनिक SIEM को लागी टेक्नोलोजी इनसाइट"। SIEM प्रणालीहरू एनालिटिक्ससँग काम गर्न र थप जटिल अनुप्रयोग परिदृश्यहरू प्रस्ताव गर्नमा अझ राम्रो भएका छन्।

UEBA आवेदन परिदृश्य

UEBA समाधानहरूले समस्याहरूको विस्तृत दायरा समाधान गर्न सक्छ। यद्यपि, गार्टनर क्लाइन्टहरू सहमत छन् कि प्राथमिक प्रयोग केसले विभिन्न प्रकारका खतराहरू पत्ता लगाउने समावेश गर्दछ, प्रयोगकर्ता व्यवहार र अन्य निकायहरू बीचको बारम्बार सम्बन्धहरू प्रदर्शन र विश्लेषण गरेर प्राप्त हुन्छ:

• अनाधिकृत पहुँच र डाटा को आवागमन;
• विशेषाधिकार प्राप्त प्रयोगकर्ताहरूको संदिग्ध व्यवहार, कर्मचारीहरूको दुर्भावनापूर्ण वा अनधिकृत गतिविधि;
• गैर-मानक पहुँच र क्लाउड स्रोतहरूको प्रयोग;
• र अन्य।

त्यहाँ धेरै असामान्य गैर-साइबर सुरक्षा प्रयोग केसहरू पनि छन्, जस्तै धोखाधडी वा कर्मचारी निगरानी, ​​जसको लागि UEBA न्यायोचित हुन सक्छ। यद्यपि, उनीहरूलाई प्रायः डाटा स्रोतहरू आवश्यक पर्दछ जुन IT र सूचना सुरक्षासँग सम्बन्धित छैन, वा यस क्षेत्रको गहिरो समझको साथ विशिष्ट विश्लेषणात्मक मोडेलहरू। पाँच मुख्य परिदृश्य र अनुप्रयोगहरू जुन UEBA निर्माताहरू र तिनीहरूका ग्राहकहरू दुवैमा सहमत छन् तल वर्णन गरिएको छ।

"दुर्भावनापूर्ण भित्री"

UEBA समाधान प्रदायकहरू जसले यस परिदृश्यलाई कभर गर्दछ केवल कर्मचारीहरू र विश्वसनीय ठेकेदारहरूलाई असामान्य, "खराब" वा खराब व्यवहारको लागि निगरानी गर्दछ। विशेषज्ञताको यस क्षेत्रमा विक्रेताहरूले सेवा खाताहरू वा अन्य गैर-मानव संस्थाहरूको व्यवहारको अनुगमन वा विश्लेषण गर्दैनन्। मुख्यतया यसको कारणले गर्दा, तिनीहरू उन्नत खतराहरू पत्ता लगाउनमा केन्द्रित छैनन् जहाँ ह्याकरहरूले अवस्थित खाताहरू कब्जा गर्छन्। यसको सट्टा, तिनीहरू हानिकारक गतिविधिहरूमा संलग्न कर्मचारीहरूलाई पहिचान गर्ने उद्देश्यका छन्।

अनिवार्य रूपमा, एक "दुर्भावनापूर्ण भित्री" को अवधारणा खराब उद्देश्यका साथ विश्वसनीय प्रयोगकर्ताहरूबाट उत्पन्न हुन्छ जसले आफ्नो रोजगारदातालाई क्षति पुर्‍याउने तरिकाहरू खोज्छन्। किनभने दुर्भावनापूर्ण उद्देश्य मापन गर्न गाह्रो छ, यस श्रेणीका उत्कृष्ट विक्रेताहरूले अडिट लगहरूमा सजिलै उपलब्ध नहुने प्रासंगिक व्यवहार डेटाको विश्लेषण गर्छन्।

यस ठाउँमा समाधान प्रदायकहरूले व्यवहारको सन्दर्भ प्रदान गर्न इमेल सामग्री, उत्पादकता रिपोर्टहरू, वा सोशल मिडिया जानकारी जस्ता असंरचित डेटाहरू पनि इष्टतम रूपमा थप्छन् र विश्लेषण गर्छन्।

समझौता भित्री र घुसपैठ धम्की

चुनौती भनेको आक्रमणकारीले संगठनमा पहुँच प्राप्त गरिसकेपछि र IT पूर्वाधार भित्र जान थालेपछि "खराब" व्यवहारलाई द्रुत रूपमा पत्ता लगाउन र विश्लेषण गर्नु हो।
अज्ञात वा अझै पूर्ण रूपमा नबुझेका धम्कीहरू जस्तै आर्सेटिभ धम्कीहरू (APTs), पत्ता लगाउन र प्रायः वैध प्रयोगकर्ता गतिविधि वा सेवा खाताहरू पछाडि लुकाउन अत्यन्तै गाह्रो हुन्छ। त्यस्ता धम्कीहरूमा सामान्यतया जटिल अपरेटिङ मोडेल हुन्छ (हेर्नुहोस्, उदाहरणका लागि, लेख " साइबर किल चेनलाई सम्बोधन गर्दै") वा तिनीहरूको व्यवहार अझै हानिकारक रूपमा मूल्याङ्कन गरिएको छैन। यसले तिनीहरूलाई सरल एनालिटिक्स (जस्तै ढाँचाहरू, थ्रेसहोल्डहरू, वा सहसम्बन्ध नियमहरू द्वारा मिलान) प्रयोग गरेर पत्ता लगाउन गाह्रो बनाउँछ।

यद्यपि, यी धेरै हस्तक्षेपकारी धम्कीहरूले गैर-मानक व्यवहारको परिणाम दिन्छ, प्रायः अप्रत्याशित प्रयोगकर्ताहरू वा संस्थाहरू (उर्फ सम्झौता भित्री व्यक्तिहरू) समावेश हुन्छन्। UEBA प्रविधिहरूले त्यस्ता खतराहरू पत्ता लगाउन, सिग्नल-टु-आवाज अनुपात सुधार गर्न, सूचनाको मात्रालाई समेकित र कम गर्न, बाँकी अलर्टहरूलाई प्राथमिकता दिन, र प्रभावकारी घटना प्रतिक्रिया र अनुसन्धानलाई सहज बनाउन धेरै रोचक अवसरहरू प्रदान गर्दछ।

यस समस्या क्षेत्रलाई लक्षित गर्ने UEBA विक्रेताहरूसँग प्राय: संगठनको SIEM प्रणालीहरूसँग द्वि-दिशात्मक एकीकरण हुन्छ।

डाटा निष्कासन

यस अवस्थामा कार्य भनेको तथ्याङ्क पत्ता लगाउनु हो कि डाटा संगठन बाहिर स्थानान्तरण भइरहेको छ।
यस चुनौतीमा केन्द्रित विक्रेताहरूले सामान्यतया विसंगति पत्ता लगाउने र उन्नत एनालिटिक्सको साथ DLP वा DAG क्षमताहरूको लाभ उठाउँछन्, जसले गर्दा सिग्नल-टु-आवाज अनुपातमा सुधार, सूचना भोल्युम सुदृढ गर्दै, र बाँकी ट्रिगरहरूलाई प्राथमिकता दिन्छ। अतिरिक्त सन्दर्भको लागि, विक्रेताहरू सामान्यतया नेटवर्क ट्राफिक (जस्तै वेब प्रोक्सीहरू) र अन्तिम बिन्दु डेटामा धेरै निर्भर हुन्छन्, किनकि यी डेटा स्रोतहरूको विश्लेषणले डाटा एक्सफिल्टेशन अनुसन्धानमा मद्दत गर्न सक्छ।

संगठनलाई धम्की दिने भित्री र बाह्य ह्याकरहरू समात्न डाटा एक्सफिल्ट्रेसन पत्ता लगाउन प्रयोग गरिन्छ।

विशेषाधिकार प्राप्त पहुँचको पहिचान र व्यवस्थापन

विशेषज्ञताको यस क्षेत्रमा स्वतन्त्र UEBA समाधानका निर्माताहरूले अत्यधिक विशेषाधिकार वा असामान्य पहुँच पहिचान गर्नको लागि पहिले नै गठन गरिएको अधिकार प्रणालीको पृष्ठभूमिमा प्रयोगकर्ता व्यवहारलाई अवलोकन र विश्लेषण गर्छन्। यो विशेषाधिकार प्राप्त र सेवा खाताहरू सहित सबै प्रकारका प्रयोगकर्ताहरू र खाताहरूमा लागू हुन्छ। संस्थाहरूले निष्क्रिय खाताहरू र प्रयोगकर्ता विशेषाधिकारहरूबाट छुटकारा पाउनको लागि UEBA प्रयोग गर्दछ जुन आवश्यकता भन्दा बढी छ।

घटना प्राथमिकता

यस कार्यको लक्ष्य कुन घटना वा सम्भावित घटनाहरूलाई पहिले सम्बोधन गर्नुपर्छ भनेर बुझ्नको लागि तिनीहरूको प्रविधि स्ट्याकमा समाधानहरूद्वारा उत्पन्न सूचनाहरूलाई प्राथमिकता दिनु हो। UEBA विधिहरू र उपकरणहरू घटनाहरू पहिचान गर्न उपयोगी छन् जुन विशेष रूपमा विसंगत वा विशेष रूपमा दिइएको संगठनको लागि खतरनाक छन्। यस अवस्थामा, UEBA संयन्त्रले गतिविधिको आधार स्तर र खतरा मोडेलहरू मात्र प्रयोग गर्दैन, तर कम्पनीको संगठनात्मक संरचना (उदाहरणका लागि, महत्वपूर्ण स्रोतहरू वा भूमिकाहरू र कर्मचारीहरूको पहुँच स्तरहरू) बारे जानकारीको साथ डाटालाई पनि संतृप्त गर्दछ।

UEBA समाधानहरू लागू गर्ने समस्याहरू

UEBA समाधानहरूको बजार दुखाइ तिनीहरूको उच्च मूल्य, जटिल कार्यान्वयन, मर्मत र प्रयोग हो। जबकि कम्पनीहरू विभिन्न आन्तरिक पोर्टलहरूको संख्या संग संघर्ष गर्दै छन्, तिनीहरूले अर्को कन्सोल प्राप्त गर्दैछन्। नयाँ उपकरणमा समय र स्रोतहरूको लगानीको आकार हातमा रहेका चुनौतीहरू र तिनीहरूलाई समाधान गर्न आवश्यक पर्ने विश्लेषणका प्रकारहरूमा निर्भर गर्दछ, र प्रायः ठूलो लगानी चाहिन्छ।

धेरै निर्माताहरूले दावी गरेको विपरित, UEBA "सेट इट र बिर्सन इट" उपकरण होइन जुन त्यसपछि दिनको अन्त्यसम्म निरन्तर चल्न सक्छ।
गार्टनर ग्राहकहरू, उदाहरणका लागि, ध्यान दिनुहोस् कि यो समाधान लागू गरिएको समस्याहरू समाधान गर्ने पहिलो परिणामहरू प्राप्त गर्न स्क्र्याचबाट UEBA पहल सुरु गर्न 3 देखि 6 महिना लाग्छ। थप जटिल कार्यहरूको लागि, जस्तै संगठनमा भित्री खतराहरू पहिचान गर्न, अवधि 18 महिनासम्म बढ्छ।

UEBA कार्यान्वयन गर्न कठिनाई र उपकरणको भावी प्रभावकारितालाई प्रभाव पार्ने कारकहरू:

• संगठन संरचना, नेटवर्क टोपोलोजी र डाटा व्यवस्थापन नीतिहरूको जटिलता
• विवरणको सही स्तरमा सही डाटाको उपलब्धता
• विक्रेताको एनालिटिक्स एल्गोरिदमको जटिलता — उदाहरणका लागि, सांख्यिकीय मोडेल र मेसिन लर्निङ बनाम साधारण ढाँचा र नियमहरूको प्रयोग।
• पूर्व-कन्फिगर गरिएको एनालिटिक्सको मात्रा समावेश गरिएको छ—अर्थात, प्रत्येक कार्यको लागि कुन डेटा सङ्कलन गर्न आवश्यक छ र कुन चर र विशेषताहरू विश्लेषण गर्न सबैभन्दा महत्त्वपूर्ण छन् भन्ने निर्माताको बुझाइ।
• निर्मातालाई आवश्यक डाटासँग स्वचालित रूपमा एकीकृत गर्न कत्ति सजिलो छ।

  उदाहरणका लागि:

  • यदि UEBA समाधानले SIEM प्रणालीलाई यसको डेटाको मुख्य स्रोतको रूपमा प्रयोग गर्छ भने, के SIEM ले आवश्यक डेटा स्रोतहरूबाट जानकारी सङ्कलन गर्छ?
  • के आवश्यक घटना लगहरू र संगठनात्मक सन्दर्भ डेटा UEBA समाधानमा रुट गर्न सकिन्छ?
  • यदि SIEM प्रणालीले UEBA समाधानको लागि आवश्यक डेटा स्रोतहरू अझै सङ्कलन र नियन्त्रण गर्दैन भने, तिनीहरू कसरी त्यहाँ स्थानान्तरण गर्न सकिन्छ?

• संगठनको लागि आवेदन परिदृश्य कति महत्त्वपूर्ण छ, कति डेटा स्रोतहरू आवश्यक छ, र यो कार्य निर्माताको विशेषज्ञताको क्षेत्रसँग कति ओभरल्याप हुन्छ।
• संगठनात्मक परिपक्वता र संलग्नताको कुन डिग्री आवश्यक छ - उदाहरणका लागि, नियम र मोडेलहरूको सिर्जना, विकास र परिशोधन; मूल्याङ्कनका लागि चरहरूलाई वजन तोक्ने; वा जोखिम मूल्याङ्कन थ्रेसहोल्ड समायोजन।
• संगठनको वर्तमान आकार र भविष्यका आवश्यकताहरूको तुलनामा विक्रेताको समाधान र यसको वास्तुकला कत्तिको मापनयोग्य छ।
• आधारभूत मोडेलहरू, प्रोफाइलहरू र प्रमुख समूहहरू निर्माण गर्ने समय। उत्पादकहरूलाई "सामान्य" अवधारणाहरू परिभाषित गर्नु अघि विश्लेषण गर्न कम्तिमा 30 दिन (र कहिलेकाहीँ 90 दिनसम्म) चाहिन्छ। ऐतिहासिक डेटा एक पटक लोड गर्दा मोडेल प्रशिक्षणको गति बढाउन सक्छ। केही चाखलाग्दो केसहरू प्रारम्भिक डेटाको अविश्वसनीय रूपमा सानो मात्रामा मेसिन लर्निङ प्रयोग गर्नुभन्दा नियमहरू प्रयोग गरेर छिटो पहिचान गर्न सकिन्छ।
• गतिशील समूह र खाता प्रोफाइल (सेवा/व्यक्ति) निर्माण गर्न आवश्यक प्रयासको स्तर समाधानहरू बीच धेरै फरक हुन सक्छ।

स्रोत: www.habr.com