Данас ћемо дати кратак преглед тржишта аналитике понашања корисника и ентитета (УЕБА) на основу најновијих Гартнер истраживање. УЕБА тржиште је на дну „фазе разочарања“ према Гартнер Хипе Цицле фор Тхреат-Фацинг Тецхнологиес, ​​што указује на зрелост технологије. Али парадокс ситуације лежи у истовременом општем расту улагања у УЕБА технологије и нестајању тржишта независних УЕБА решења. Гартнер предвиђа да ће УЕБА постати део функционалности повезаних решења за безбедност информација. Термин „УЕБА“ ће вероватно изаћи из употребе и бити замењен другим акронимом фокусираним на ужу област примене (нпр. „аналитика понашања корисника“), сличну област примене (нпр. „аналитика података“) или ће једноставно постати нека нова популарна реч (на пример, термин „вештачка интелигенција“ [АИ] изгледа занимљиво, иако нема никаквог смисла за савремене УЕБА произвођаче).

Кључни налази из Гартнер студије могу се сажети на следећи начин:

• Зрелост тржишта бихевиоралне аналитике корисника и субјеката потврђује чињеница да ове технологије користе средњи и велики корпоративни сегмент за решавање низа пословних проблема;
• УЕБА аналитичке могућности су уграђене у широк спектар повезаних технологија за безбедност информација, као што су брокери за безбедност приступа у облаку (ЦАСБ), СИЕМ системи управљања и администрације идентитета (ИГА);
• Химпа око УЕБА добављача и нетачна употреба термина „вештачка интелигенција“ отежава купцима да разумеју праву разлику између технологија произвођача и функционалности решења без спровођења пилот пројекта;
• Купци примећују да време имплементације и свакодневна употреба УЕБА решења може бити радно интензивнија и дуготрајнија него што произвођач обећава, чак и када се разматрају само основни модели детекције претњи. Додавање прилагођених или ивичних случајева употребе може бити изузетно тешко и захтева стручност у науци о подацима и аналитици.

Стратешка прогноза развоја тржишта:

• До 2021. године тржиште за системе аналитике понашања корисника и ентитета (УЕБА) престаће да постоји као посебна област и прећи ће на друга решења са УЕБА функционалношћу;
• До 2020. 95% свих УЕБА распоређивања биће део шире безбедносне платформе.

Дефиниција УЕБА решења

УЕБА решења користе уграђену аналитику за процену активности корисника и других ентитета (као што су хостови, апликације, мрежни саобраћај и складишта података).
Они откривају претње и потенцијалне инциденте, који обично представљају аномалну активност у поређењу са стандардним профилом и понашањем корисника и ентитета у сличним групама током одређеног временског периода.

Најчешћи случајеви употребе у сегменту предузећа су откривање претњи и одговор, као и откривање и одговор на инсајдерске претње (углавном компромитовани инсајдери; понекад интерни нападачи).

УЕБА је као odlukaИ функцију, уграђен у посебан алат:

• Решење су произвођачи „чистих“ УЕБА платформи, укључујући продавце који такође продају СИЕМ решења засебно. Фокусиран на широк спектар пословних проблема у аналитици понашања корисника и ентитета.
• Уграђени – Произвођачи/одељења који интегришу УЕБА функције и технологије у своја решења. Обично се фокусира на конкретнији скуп пословних проблема. У овом случају, УЕБА се користи за анализу понашања корисника и/или ентитета.

Гартнер посматра УЕБА на три осе, укључујући решавање проблема, аналитику и изворе података (погледајте слику).

„Чисте“ УЕБА платформе наспрам уграђене УЕБА

Гартнер сматра да су „чиста“ УЕБА платформа решења која:

• реши неколико специфичних проблема, као што је праћење привилегованих корисника или изношење података ван организације, а не само апстрактно „праћење аномалних активности корисника“;
• подразумевају употребу сложене аналитике, нужно засноване на основним аналитичким приступима;
• обезбеди неколико опција за прикупљање података, укључујући и уграђене механизме извора података и алатке за управљање евиденцијом, Дата Лаке и/или СИЕМ системе, без обавезне потребе за постављањем засебних агената у инфраструктуру;
• могу се купити и применити као самостална решења уместо укључена у
  састав осталих производа.

Табела испод упоређује два приступа.

Табела 1. „Чиста“ УЕБА решења у односу на она уграђена

Категорија	„Чисте“ УЕБА платформе	Остала решења са уграђеном УЕБА-ом
Проблем који треба решити	Анализа понашања корисника и ентитета.	Недостатак података може ограничити УЕБА-у да анализира понашање само корисника или ентитета.
Проблем који треба решити	Служи за решавање широког спектра проблема	Специјализован је за ограничен скуп задатака
Аналитика	Откривање аномалија коришћењем различитих аналитичких метода – углавном кроз статистичке моделе и машинско учење, заједно са правилима и потписима. Долази са уграђеном аналитиком за креирање и упоређивање активности корисника и ентитета са њиховим и профилима колега.	Слично чистој УЕБА, али анализа може бити ограничена само на кориснике и/или ентитете.
Аналитика	Напредне аналитичке могућности, које нису ограничене само правилима. На пример, алгоритам груписања са динамичким груписањем ентитета.	Слично као „чиста“ УЕБА, али груписање ентитета у неким уграђеним моделима претњи може се променити само ручно.
Аналитика	Корелација активности и понашања корисника и других ентитета (на пример, коришћењем Бајесових мрежа) и агрегација индивидуалног ризичног понашања у циљу идентификације аномалне активности.	Слично чистој УЕБА, али анализа може бити ограничена само на кориснике и/или ентитете.
Извори података	Пријем догађаја о корисницима и ентитетима из извора података директно преко уграђених механизама или постојећих складишта података, као што су СИЕМ или Дата Лаке.	Механизми за добијање података су обично само директни и утичу само на кориснике и/или друге субјекте. Немојте користити алате за управљање евиденцијом / СИЕМ / језеро података.
Извори података	Решење не би требало да се ослања само на мрежни саобраћај као главни извор података, нити би требало да се ослања само на сопствене агенте за прикупљање телеметрије.	Решење може да се фокусира само на мрежни саобраћај (на пример, НТА - анализа мрежног саобраћаја) и/или да користи своје агенте на крајњим уређајима (на пример, услужне програме за праћење запослених).
Извори података	Засићење података корисника/ентитета контекстом. Подржава прикупљање структурираних догађаја у реалном времену, као и структурираних/неструктурираних кохезивних података из ИТ директорија – на пример, Ацтиве Дирецтори (АД) или других машински читљивих информационих ресурса (на пример, базе података ХР).	Слично чистој УЕБА, али обим контекстуалних података може се разликовати од случаја до случаја. АД и ЛДАП су најчешћа складишта контекстуалних података које користе уграђена УЕБА решења.
Доступност	Пружа наведене карактеристике као самосталан производ.	Немогуће је купити уграђену УЕБА функционалност без куповине екстерног решења у које је уграђена.
Извор: Гартнер (мај 2019.)

Дакле, за решавање одређених проблема, уграђена УЕБА може да користи основну УЕБА аналитику (на пример, једноставно машинско учење без надзора), али у исто време, због приступа тачно потребним подацима, може да буде свеукупно ефикаснија од „чисте“ УЕБА решење. Истовремено, „чисте“ УЕБА платформе, како се и очекивало, нуде сложенију аналитику као главно знање у поређењу са уграђеним УЕБА алатом. Ови резултати су резимирани у табели 2.

Табела 2. Резултат разлика између „чисте“ и уграђене УЕБА-е

Категорија	„Чисте“ УЕБА платформе	Остала решења са уграђеном УЕБА-ом
Аналитика	Применљивост за решавање различитих пословних проблема подразумева универзалнији скуп УЕБА функција са нагласком на сложенијим моделима аналитике и машинског учења.	Фокусирање на мањи скуп пословних проблема значи високо специјализоване функције које се фокусирају на моделе специфичне за апликације са једноставнијом логиком.
Аналитика	Прилагођавање аналитичког модела је неопходно за сваки сценарио примене.	Аналитички модели су унапред конфигурисани за алат у који је уграђена УЕБА. Алат са уграђеном УЕБА-ом генерално постиже брже резултате у решавању одређених пословних проблема.
Извори података	Приступ изворима података из свих углова корпоративне инфраструктуре.	Мање извора података, обично ограничених доступношћу агената за њих или самог алата са УЕБА функцијама.
Извори података	Информације садржане у сваком дневнику могу бити ограничене извором података и можда не садрже све потребне податке за централизовани УЕБА алат.	Количина и детаљи необрађених података које је прикупио агент и пренели УЕБА-и могу се посебно конфигурисати.
архитектура	То је комплетан УЕБА производ за организацију. Интеграција је лакша коришћењем могућности СИЕМ система или језера података.	Захтева посебан скуп УЕБА функција за свако решење које има уграђен УЕБА. Уграђена УЕБА решења често захтевају инсталирање агената и управљање подацима.
Интеграција	Ручна интеграција УЕБА решења са другим алатима у сваком случају. Омогућава организацији да изгради свој технолошки скуп заснован на приступу „најбољи међу аналозима“.	Главни пакети УЕБА функција су већ укључени у сам алат од стране произвођача. УЕБА модул је уграђен и не може се уклонити, тако да корисници не могу да га замене нечим својим.
Извор: Гартнер (мај 2019.)

УЕБА као функција

УЕБА постаје карактеристика комплетних решења за сајбер безбедност која могу имати користи од додатне аналитике. УЕБА је у основи ових решења, пружајући моћан слој напредне аналитике засноване на обрасцима понашања корисника и/или ентитета.

Тренутно на тржишту, уграђена УЕБА функционалност је имплементирана у следећим решењима, груписаним по технолошком обиму:

• Ревизија и заштита усмерена на податке, су добављачи који су фокусирани на побољшање безбедности структурираних и неструктурираних података за складиштење (ака ДЦАП).

  У овој категорији продаваца, Гартнер напомиње, између осталог, Варонис платформа за сајбер безбедност, који нуди аналитику понашања корисника за праћење промена у дозволама за неструктуриране податке, приступу и коришћењу у различитим продавницама информација.

• ЦАСБ системи, нуди заштиту од различитих претњи у СааС апликацијама заснованим на облаку блокирањем приступа услугама у облаку за нежељене уређаје, кориснике и верзије апликација помоћу прилагодљивог система контроле приступа.

  Сва водећа ЦАСБ решења на тржишту укључују УЕБА могућности.

• ДЛП решења – фокусиран на откривање преноса критичних података ван организације или њене злоупотребе.

  Напредак ДЛП-а је у великој мери заснован на разумевању садржаја, са мање фокуса на разумевању контекста као што су корисник, апликација, локација, време, брзина догађаја и други спољни фактори. Да би били ефикасни, ДЛП производи морају препознати и садржај и контекст. Због тога многи произвођачи почињу да интегришу УЕБА функционалност у своја решења.

• Праћење запослених је могућност снимања и репродукције радњи запослених, обично у формату података погодном за судске поступке (ако је потребно).

  Стално праћење корисника често генерише огромну количину података који захтевају ручно филтрирање и анализу људи. Због тога се УЕБА користи у системима за праћење како би се побољшале перформансе ових решења и откриле само инциденти високог ризика.

• Ендпоинт Сецурити – Решења за откривање и одговор крајњих тачака (ЕДР) и платформе за заштиту крајњих тачака (ЕПП) пружају моћну инструментацију и телеметрију оперативног система за
  крајњи уређаји.

  Таква телеметрија везана за кориснике може се анализирати да би се обезбедила уграђена УЕБА функционалност.

• Онлине превара – Решења за откривање превара на мрежи откривају девијантну активност која указује на компромитацију корисничког налога кроз лажирање, малвер или искоришћавање необезбеђених веза/пресретања саобраћаја у прегледачу.

  Већина решења за превару користи суштину УЕБА-е, анализе трансакција и мерења уређаја, са напреднијим системима који их допуњују упарујућим односима у бази података идентитета.

• ИАМ и контрола приступа – Гартнер примећује еволутивни тренд међу произвођачима система за контролу приступа да се интегришу са чистим добављачима и уграде неке УЕБА функционалности у своје производе.
• ИАМ и системи управљања и администрације идентитета (ИГА). користите УЕБА за покривање сценарија анализе понашања и идентитета као што су откривање аномалија, анализа динамичког груписања сличних ентитета, анализа пријављивања и анализа политике приступа.
• ИАМ и управљање привилегованим приступом (ПАМ) – Због улоге праћења коришћења административних налога, ПАМ решења имају телеметрију која показује како, зашто, када и где су коришћени административни налози. Ови подаци се могу анализирати коришћењем уграђене функционалности УЕБА-е за присуство аномалног понашања администратора или злонамерне намере.
• Произвођачи НТА (анализа мрежног саобраћаја) – користите комбинацију машинског учења, напредне аналитике и детекције засноване на правилима да бисте идентификовали сумњиве активности на корпоративним мрежама.

  НТА алати континуирано анализирају изворни саобраћај и/или записе тока (нпр. НетФлов) да би изградили моделе који одражавају нормално понашање мреже, првенствено фокусирајући се на аналитику понашања ентитета.

• СИЕМ – многи СИЕМ добављачи сада имају напредну функционалност анализе података уграђену у СИЕМ или као посебан УЕБА модул. Током 2018. и до сада у 2019. години, дошло је до непрекидног замагљивања граница између СИЕМ и УЕБА функционалности, као што је објашњено у чланку „Увид у технологију за савремени СИЕМ“. СИЕМ системи су постали бољи у раду са аналитиком и нуде сложеније сценарије апликација.

УЕБА сценарији апликација

УЕБА решења могу да реше широк спектар проблема. Међутим, Гартнер клијенти се слажу да примарни случај употребе укључује откривање различитих категорија претњи, које се постижу приказивањем и анализом честих корелација између понашања корисника и других ентитета:

• неовлашћен приступ и кретање података;
• сумњиво понашање привилегованих корисника, злонамерне или неовлашћене активности запослених;
• нестандардни приступ и коришћење ресурса у облаку;
• итд

Постоје и бројни атипични случајеви употребе који нису у вези са сајбер-безбедношћу, као што су превара или праћење запослених, за које УЕБА може бити оправдана. Међутим, они често захтевају изворе података изван ИТ и информационе безбедности, или специфичне аналитичке моделе са дубоким разумевањем ове области. Пет главних сценарија и апликација око којих се слажу и УЕБА произвођачи и њихови купци описани су у наставку.

"Злонамерни инсајдер"

Провајдери УЕБА решења који покривају овај сценарио само надгледају запослене и поверљиве уговараче због необичног, „лошег“ или злонамерног понашања. Продавци у овој области стручности не прате или анализирају понашање услужних налога или других ентитета који нису људи. Углавном због тога, они нису фокусирани на откривање напредних претњи где хакери преузимају постојеће налоге. Уместо тога, они су усмерени на идентификацију запослених који су укључени у штетне активности.

У суштини, концепт „злонамерног инсајдера“ потиче од поузданих корисника са злонамерним намерама који траже начине да нанесу штету свом послодавцу. Пошто је злонамерну намеру тешко измерити, најбољи добављачи у овој категорији анализирају податке о контекстуалном понашању који нису лако доступни у евиденцијама ревизије.

Провајдери решења у овом простору такође оптимално додају и анализирају неструктуриране податке, као што су садржај е-поште, извештаји о продуктивности или информације на друштвеним мрежама, како би обезбедили контекст за понашање.

Компромитоване инсајдерске и наметљиве претње

Изазов је брзо открити и анализирати „лоше“ понашање када нападач добије приступ организацији и почне да се креће унутар ИТ инфраструктуре.
Асертивне претње (АПТ), попут непознатих или још увек неразумљивих претњи, изузетно је тешко открити и често се крију иза легитимних активности корисника или налога за услуге. Такве претње обично имају сложен оперативни модел (погледајте, на пример, чланак „ Обраћање Цибер Килл ланцу“) или њихово понашање још није оцењено као штетно. То их чини тешким за откривање коришћењем једноставне аналитике (као што је подударање по обрасцима, праговима или правилима корелације).

Међутим, многе од ових наметљивих претњи резултирају нестандардним понашањем, које често укључује кориснике или ентитете који ништа не сумњају (познати као компромитовани инсајдери). УЕБА технике нуде неколико занимљивих могућности за откривање таквих претњи, побољшање односа сигнал-шум, консолидовање и смањење обима обавештења, давање приоритета преосталим упозорењима и олакшавање ефикасног одговора на инциденте и истраге.

УЕБА добављачи који циљају на ову проблематичну област често имају двосмерну интеграцију са СИЕМ системима организације.

Ексфилтрација података

Задатак у овом случају је откривање чињенице да се подаци преносе ван организације.
Продавци фокусирани на овај изазов обично користе ДЛП или ДАГ могућности помоћу детекције аномалија и напредне аналитике, чиме се побољшава однос сигнал-шум, консолидује јачина обавештења и даје приоритет преосталим окидачима. За додатни контекст, добављачи се обично више ослањају на мрежни саобраћај (као што су веб проксији) и податке крајњих тачака, јер анализа ових извора података може помоћи у истрагама ексфилтрације података.

Откривање ексфилтрације података се користи за хватање инсајдера и екстерних хакера који прете организацији.

Идентификација и управљање привилегованим приступом

Произвођачи независних УЕБА решења у овој области стручности посматрају и анализирају понашање корисника у позадини већ формираног система права како би идентификовали прекомерне привилегије или аномалан приступ. Ово се односи на све типове корисника и налога, укључујући привилеговане и сервисне налоге. Организације такође користе УЕБА да се отарасе неактивних налога и корисничких привилегија које су веће од захтеваних.

Одређивање приоритета инцидента

Циљ овог задатка је да се дају приоритет обавештењима генерисаним решењима у њиховој технолошкој групи да би се разумело које инциденте или потенцијалне инциденте треба прво решити. УЕБА методологије и алати су корисни у идентификацији инцидената који су посебно аномални или посебно опасни за дату организацију. У овом случају, УЕБА механизам не користи само основни ниво активности и моделе претњи, већ и засићује податке информацијама о организационој структури компаније (на пример, критични ресурси или улоге и нивои приступа запослених).

Проблеми имплементације УЕБА решења

Тржишни бол УЕБА решења је њихова висока цена, сложена имплементација, одржавање и употреба. Док се компаније боре са бројем различитих интерних портала, добијају још једну конзолу. Величина улагања времена и ресурса у нови алат зависи од задатака и врста аналитике која је потребна за њихово решавање, а најчешће захтевају велика улагања.

Супротно ономе што многи произвођачи тврде, УЕБА није алатка „подеси и заборави“ која може да ради непрекидно данима.
Гартнер клијенти, на пример, примећују да је потребно од 3 до 6 месеци да се покрене УЕБА иницијатива од нуле да би се добили први резултати решавања проблема због којих је ово решење примењено. За сложеније задатке, као што је идентификовање инсајдерских претњи у организацији, период се повећава на 18 месеци.

Фактори који утичу на потешкоће у примени УЕБА-е и будућу ефикасност алата:

• Сложеност архитектуре организације, топологије мреже и политика управљања подацима
• Доступност правих података на правом нивоу детаља
• Сложеност аналитичких алгоритама добављача—на пример, употреба статистичких модела и машинског учења у односу на једноставне обрасце и правила.
• Количина унапред конфигурисане аналитике која је укључена – то јест, разумевање произвођача о томе које податке треба прикупити за сваки задатак и које су променљиве и атрибути најважнији за обављање анализе.
• Колико је лако произвођачу да се аутоматски интегрише са потребним подацима.

  На пример:

  • Ако УЕБА решење користи СИЕМ систем као главни извор својих података, да ли СИЕМ прикупља информације из потребних извора података?
  • Да ли се неопходни евиденције догађаја и подаци о организационом контексту могу пренети на УЕБА решење?
  • Ако СИЕМ систем још увек не прикупља и не контролише изворе података који су потребни УЕБА решењу, како се онда они тамо могу пренети?

• Колико је сценарио апликације важан за организацију, колико извора података захтева и колико се овај задатак преклапа са областима стручности произвођача.
• Који степен организацијске зрелости и укључености је потребан – на примјер, стварање, развој и усавршавање правила и модела; додељивање тежина варијаблама за евалуацију; или прилагођавање прага процене ризика.
• Колико је скалабилно решење добављача и његова архитектура у поређењу са тренутном величином организације и њеним будућим захтевима.
• Време је за прављење основних модела, профила и кључних група. Произвођачима је често потребно најмање 30 дана (а понекад и до 90 дана) да изврше анализу пре него што могу да дефинишу „нормалне“ концепте. Једном учитавање историјских података може убрзати обуку модела. Неки од занимљивих случајева могу се идентификовати брже коришћењем правила него коришћењем машинског учења са невероватно малом количином почетних података.
• Ниво напора који је потребан да се изгради динамичко груписање и профилисање налога (услуга/особа) може значајно да варира између решења.

Извор: ввв.хабр.цом