UEBA (user and entity behavior analytics, поведенческая аналитика пользователей и сущностей) — технология, которая строит профили нормального поведения пользователей и хостов и выявляет аномалии, говорящие о взломе или инсайдере.
Как работает UEBA
UEBA собирает данные из журналов — аутентификации, VPN, облачных сервисов, конечных точек, доступа к файлам, сетевого трафика — и с помощью статистики и машинного обучения определяет, что является нормой для каждого пользователя, устройства, сервисной учётной записи или приложения, а также для их группы сходных объектов (peer group). Затем система оценивает отклонения, например:
- вход из другой страны вскоре после входа из офиса («невозможное путешествие»);
- учётная запись обращается к гораздо большему числу файлов или серверов, чем обычно;
- сервисная учётная запись внезапно используется интерактивно;
- крупные загрузки или выгрузки данных незадолго до ухода сотрудника из компании.
Отдельные аномалии складываются в оценку риска для каждой сущности, поэтому аналитики видят приоритизированный список, а не разрозненные события. Название категории ввела Gartner, которая в 2015 году расширила понятие «поведенческой аналитики пользователей» (UBA) сущностями.
Почему это важно
Атакующие, использующие украденные учётные данные и встроенные инструменты, не вызывают оповещений о вредоносном ПО — их действия выглядят как обычная работа. UEBA создана именно для таких случаев: скомпрометированных учётных записей, горизонтального перемещения, вывода данных и инсайдерских угроз. Сегодня это обычно функция платформ SIEM и XDR, таких как Microsoft Sentinel или Splunk, а не отдельный продукт. Она дополняет поведенческий анализ на конечных точках контекстом идентификации и доступа.
Её ограничения — период обучения, чувствительность к организационным изменениям и ложные срабатывания при плохо построенных профилях.
Как применяется UEBA
- Передавать в систему качественные журналы идентификации, облачных сервисов и конечных точек.
- Сочетать оценки риска с автоматическими действиями, например принудительной MFA или приостановкой сессий.
- Поручить SOC разбирать сущности с высоким риском и донастраивать модели.
