# Mis on Kasutajate ja Üksuste Käitumise Analüütika? Käitumispõhine Kaitse Kübertehtude Vastu

Tänapäeval muutuvad küberrünnakud järjest keerukamaks, samas kui olukorrad, kus traditsioonilised turvalahenused osutuvad ebapiisavaks, suurenevad. Kuigi tulemüürid, viirusetõrjetarkvara ja sissetungimise tuvastamise süsteemid on tuntud ohtude vastu tõhusad, võivad need jääda piiratuks null-päeva rünnakute, sisemiste ohtude ja täiustatud püsivate ohtude (APT) puhul. Just sel hetkel astub mängu User and Entity Behavior Analytics (UEBA) ja loob küberturvalisuse strateegias paradigma muutuse.

User and Entity Behavior Analytics on arenenud küberturvalisuse tehnoloogia, mis tuvastab kõrvalekaldeid, analüüsides kasutajate ja üksuste tavapäraseid käitumismustreid. UEBA lahendused kasutavad masinõppe ja tehisintellekti algoritme, et pidevalt jälgida ettevõtte võrkudes toimuvaid sündmusi, tuvastada kõrvalekaldeid tavakäitumisest ja proaktiivselt avastada potentsiaalseid turvaohte.

UEBA Tehnoloogia Põhikomponendid

User and Entity Behavior Analytics süsteemid koosnevad mitmest tehnoloogilisest komponendist. Iga neist mängib kriitilist rolli süsteemi üldises tõhususes.

Andmete Kogumine ja Agregeerimine

UEBA lahenduste esimene samm on andmete kogumine erinevatest allikatest ettevõtte keskkonnas. Nende allikate hulka kuuluvad logifailid, võrguliiklus, autentimissüsteemid, andmebaasidele juurdepääsu logid, lõpp-punktide turvalisuse süsteemid ja pilverakendused. Kogutud andmed ühenvatakse tsentraalsele platvormile ja valmistatakse ette analüüsiks.

Masinõpe ja Tehisintellekt

UEBA südames on masinõppe algoritmid. Need algoritmid analüüsivad kogutud andmeid, luues iga kasutaja ja üksuse jaoks tavapärased käitumisprofiilid. Kasutades järelevalvega ja järelevalveta õppimise meetodeid, muutub süsteem aja jooksul targemaks ja suudab kõrvalekaldeid täpsemalt tuvastada.

Käitumise Profileerimine

Iga kasutaja jaoks luuakse unikaalne käitumisprofiil. See profiil sisaldab parameetreid nagu millal kasutaja töötab, millistele süsteemidele ta juurde pääseb, kui palju andmeid ta alla laadib, millistest geograafilistest asukohtadest ta ühendub ja palju muud. Samamoodi luuakse käitumisprofiilid ka üksustele nagu serverid, rakendused ja IoT seadmed.

UEBA Erinevus Traditsioonilistest Turvalahendusest

Traditsioonilised turvalisuse süsteemid kasutavad tavaliselt reeglitpõhiseid lähenemisi. Nad püüavad tuvastada ohte konkreetsete signatuuride või eelnevalt määratletud reeglite alusel. Kuid see lähenemine on ebaefektiivne varem nägemata rünnakute või legitiimsete volitustega läbi viidud rünnakute vastu.

UEBA aga võtab kasutusele käitumispõhise lähenemise. Tuvastades kõrvalekaldeid tavakäitumisest, suudab see avastada isegi varem mitte kunagi nähtud rünnakutüüpe. Näiteks kui töötaja ühendub tavaliselt töötundide ajal kontorist, tuvastatakse kohe kesköösel teisest riigist ühendumise katse.

Riski Hindamine ja Prioriseerimine

UEBA süsteemid arvutavad iga tuvastatud kõrvalekalde jaoks riskihinnangu. See hinne võtab arvesse kõrvalekalde tõsidust, kasutaja juurdepääsuõigusi, mõjutatud varade tundlikkust ja teisi kontekstilisi tegureid. Nii saavad turvaekipad prioriteediks seada kõige kriitilisemad ohud ja vähendada häiretel põhinevat väsimust.

UEBA Kasutusstsenaariumid

Sisemiste Ohtude Tuvastamine

Sisemised ohud on üks ohtlikumaid ja raskemini tuvastatavaid turvariske ettevõtetele. Pahatahtlik töötaja või kompromiteeritud volitustega legitiimne kasutaja võib traditsiooniliste turvalisuse süsteemide alt kergesti läbi pääseda. UEBA tuvastab käitumist nagu töötaja üritab äkki juurde pääseda failidele, millele tal pole juurdepääsuõigust, laadib alla ebatavalist hulka andmeid või püüab saata tundlikku teavet välistele allikatele.

Konto Kaaperdamise Rünnakud

Küberkurjategijad võivad varastatud volituste abil pääseda ligi ettevõtte kontodele. UEBA tuvastab kontod, mis sooritavad legitiimse kasutaja tavapärastest käitumismustritest erinevaid tegevusi. Näiteks administraatori kontolt tavaliselt mittejuurdepääsetavatele süsteemidele ühendumine või ebatavaliste tundide ajal sessiooni avamine tekitab kohe häire.

Andmeleke ja Exfiltration

Ettevõtte andmete volitamata väljaviimise tuvastamine on üks valdkondi, kus UEBA on kõige tõhusam. Süsteem õpib kasutaja tavapäraseid andmeedastuse mustreid ja tuvastab kahtlasi tegevusi nagu ebatavaliselt suured failiülekanded, pakitud failide saatmine või andmeedastus krüpteeritud kanalite kaudu.

Täiustatud Püsivad Ohud (APT)

APT rünnakud on sofistikeeritud rünnakud, mis võivad pikka aega jääda süsteemides avastamata. UEBA suudab tuvastada peened käitumisjäljed, mida sellised rünnakud maha jätavad. APT näitajaid nagu külgmine liikumine, privileegide eskaleerimine ja käsu-ja-kontrolli kommunikatsioon saab paljastada käitumisanalüüsiga.

Edutegurid UEBA Juurutamisel

Andmete Kvaliteet ja Ulatus

UEBA tõhusus on otseselt seotud sisendandmete kvaliteedi ja ulatusega. Võimalikult paljude andmeallikate integreerimine tagab täpsemad käitumisprofiilid ja parema kõrvalekallete tuvastamise. Logihaldus, SIEM süsteemid, endpoint detection and response (EDR) lahendused ja pilvturvalisuse tööriistad tuleks UEBA-ga integreerida.

Õppeperiood ja Peenhhäälestus

UEBA süsteemide tõhusaks töötamiseks on vaja õppeperioodi. Tavaliselt 30-90 päeva jooksul õpib süsteem tavapäraseid käitumismustreid. Selle perioodi jooksul võivad valepositiivsete tulemuste määrad olla kõrged. Turvaekipaded peavad regulaarselt üle vaatama ja optimeerima süsteemi seadistusi.

Turvaekipade Koolitus

Kuigi UEBA on võimas tööriist, vajab selle tõhusaks kasutamiseks hästi koolitatud turvaanalüütikuid. Meeskonnad peavad teadma, kuidas tõlgendada kõrvalekalde hindeid, kuidas vähendada valepositiivseid tulemusi ja kuidas reageerida tuvastatud ohtudele.