UEBA (user and entity behavior analytics, поведінкова аналітика користувачів і сутностей) — технологія, що будує профілі нормальної поведінки користувачів і хостів та виявляє аномалії, які свідчать про злам чи інсайдера.
Як працює UEBA
UEBA збирає дані з журналів — автентифікації, VPN, хмарних сервісів, кінцевих точок, доступу до файлів, мережевого трафіку — і за допомогою статистики та машинного навчання визначає, що є нормою для кожного користувача, пристрою, сервісного облікового запису чи застосунку, а також для їхньої групи подібних об’єктів (peer group). Потім система оцінює відхилення, наприклад:
- вхід з іншої країни невдовзі після входу з офісу («неможлива подорож»);
- обліковий запис звертається до значно більшої кількості файлів чи серверів, ніж зазвичай;
- сервісний обліковий запис раптом використовується інтерактивно;
- великі завантаження чи вивантаження даних незадовго до звільнення працівника.
Окремі аномалії складаються в оцінку ризику для кожної сутності, тож аналітики бачать пріоритизований список, а не розрізнені події. Назву категорії запровадила Gartner, яка у 2015 році розширила поняття «поведінкової аналітики користувачів» (UBA) сутностями.
Чому це важливо
Зловмисники, які використовують викрадені облікові дані та вбудовані інструменти, не спричиняють сповіщень про шкідливе ПЗ — їхні дії виглядають як звичайна робота. UEBA створена саме для таких випадків: скомпрометованих облікових записів, горизонтального переміщення, викрадення даних та інсайдерських загроз. Сьогодні це зазвичай функція платформ SIEM і XDR, як-от Microsoft Sentinel чи Splunk, а не окремий продукт. Вона доповнює поведінковий аналіз на кінцевих точках контекстом ідентифікації та доступу.
Її обмеження — період навчання, чутливість до організаційних змін і хибні спрацьовування за погано побудованих профілів.
Як застосовують UEBA
- Передавати в систему якісні журнали ідентифікації, хмарних сервісів і кінцевих точок.
- Поєднувати оцінки ризику з автоматичними діями, наприклад примусовою MFA чи призупиненням сесій.
- Доручити SOC розбирати сутності з високим ризиком і донастроювати моделі.
