User and Entity Behavior Analytics (UEBA) ist eine Sicherheitstechnologie, die das Normalverhalten von Benutzern, Hosts und anderen Entitäten erlernt und Abweichungen meldet, die auf Kompromittierung oder Innentäter hindeuten.
Wie UEBA funktioniert
UEBA sammelt Daten aus Protokollen – Authentifizierung, VPN, Cloud-Dienste, Endpunkte, Dateizugriffe, Netzwerkverkehr – und lernt mit Statistik und Machine Learning, was für jeden Benutzer, jedes Gerät, jedes Dienstkonto und jede Anwendung sowie für deren Vergleichsgruppe normal ist. Anschließend bewertet es Abweichungen, zum Beispiel:
- eine Anmeldung aus einem neuen Land kurz nach einer Anmeldung im Büro („Impossible Travel“);
- ein Konto, das weit mehr Dateien oder Server aufruft als üblich;
- ein Dienstkonto, das plötzlich interaktiv genutzt wird;
- große Downloads oder Uploads kurz bevor ein Mitarbeiter das Unternehmen verlässt.
Einzelne Anomalien summieren sich zu einem Risikowert je Entität, sodass Analysten eine priorisierte Liste statt isolierter Ereignisse sehen. Den Begriff prägte Gartner, das 2015 „User Behavior Analytics“ (UBA) um Entitäten erweiterte.
Warum UEBA relevant ist
Angreifer, die gestohlene Zugangsdaten und Bordmittel nutzen, lösen keine Malware-Warnungen aus – ihre Aktionen sehen wie normale Arbeit aus. UEBA soll genau diese Fälle aufdecken: kompromittierte Konten, laterale Bewegung, Datenabfluss und Insider-Bedrohungen. Heute ist es meist eine Funktion von SIEM– und XDR-Plattformen wie Microsoft Sentinel oder Splunk statt eines eigenen Produkts. Es ergänzt die endpunktbezogene Verhaltensanalyse um Identitäts- und Zugriffskontext.
Grenzen sind die nötige Lernphase, die Empfindlichkeit gegenüber organisatorischen Veränderungen und False Positives bei schlechten Baselines.
Wie UEBA eingesetzt wird
- Hochwertige Identitäts-, Cloud- und Endpunkt-Logs einspeisen.
- Risikowerte mit automatischen Reaktionen verknüpfen, etwa erzwungener MFA oder dem Beenden von Sitzungen.
- Das SOC Entitäten mit hohem Risiko prüfen und die Modelle nachjustieren lassen.
