Page d'accueil d'OpenText.
Sujets techniques

Qu'est-ce que l'analyse comportementale des utilisateurs et des entités (UEBA) ?

Illustration d'éléments informatiques mettant en évidence un point d'interrogation

Aperçu

L'analyse du comportement des utilisateurs et des entités (UEBA) est un type de solution de cybersécurité qui utilise l'apprentissage automatique (ML), l'apprentissage profond et l'analyse statistique pour identifier les modèles de comportement normaux des utilisateurs et des entités (par exemple, les hôtes, les applications, le trafic réseau et les référentiels de données) sur les réseaux d'entreprise ou les systèmes informatiques. Lorsque des anomalies ou des écarts par rapport à ces modèles de comportement sont détectés et qu'un score de risque dépasse un seuil désigné, une solution UEBA alerte les équipes du centre des opérations de sécurité (SOC) sur la question de savoir si une menace potentielle ou une cyberattaque est en cours.

L'UEBA est un outil essentiel dans la pile de cybersécurité d'une organisation moderne, d'autant plus que de nombreux outils traditionnels deviennent rapidement obsolètes. À mesure que les cybercriminels et les pirates informatiques deviennent plus sophistiqués, ils peuvent plus facilement contourner les systèmes de défense périmétrique traditionnels tels que les passerelles Web sécurisées (SWG), les pare-feu et autres outils de prévention des intrusions.

Si vous ne connaissez pas UEBA, ce guide est là pour vous aider à le comprendre. Nous allons aborder ci-dessous ce qu'est la sécurité UEBA, comment elle fonctionne, la différence entre l'analyse du comportement des utilisateurs (UBA) et l'UEBA, ainsi que les meilleures pratiques en matière d'UEBA.

Analyse du comportement des utilisateurs et des entités (UEBA)

Qu'est-ce que la sécurité UEBA ?

De nombreux outils de cybersécurité traditionnels identifiaient les anomalies ou les écarts de comportement en utilisant uniquement une analyse statistique et des règles de corrélation définies par l'utilisateur. Bien que ces outils soient efficaces pour contrer les menaces connues, ils sont désuets face aux attaques inconnues ou de type « zero-day » et aux menaces internes. Grâce à la sécurité UEBA, les équipes SOC peuvent toutefois détecter automatiquement les comportements inhabituels sur l'ensemble des réseaux d'entreprise ou des systèmes informatiques sans avoir besoin de règles ou de modèles définis par l'utilisateur.

UEBA combine la puissance du ML, de l'apprentissage profond et de l'analyse statistique pour fournir aux équipes SOC un logiciel de détection des menacesplus complet, permettant aux organisations de détecter automatiquement les attaques complexes touchant plusieurs utilisateurs et entités. De plus, une solution UEBA peut regrouper les données des journaux et des rapports, ainsi qu'analyser les informations contenues dans les fichiers et les paquets.

Comment fonctionne la sécurité UEBA ?

L'UEBA fonctionne en recueillant des informations sur les modèles de comportement normaux des utilisateurs et des entités à partir des journaux système. Ensuite, elle applique des méthodes d'analyse statistique intelligentes pour interpréter chaque ensemble de données et établir des bases de référence pour ces modèles de comportement. L'établissement de modèles de comportement de référence est essentiel à l'UEBA, car cela permet au système de détecter les cyberattaques ou les menaces potentielles.

Avec une solution UEBA, les comportements actuels des utilisateurs et des entités sont comparés en permanence à leurs références individuelles. Le logiciel de renseignement sur les cybermenaces de l'UEBA calcule ensuite les scores de risque et identifie si des anomalies ou des écarts dans les schémas de comportement sont risqués. Si un score de risque dépasse une certaine limite, le système UEBA alertera les membres de l'équipe SOC.

Par exemple, si un utilisateur télécharge régulièrement 5 Mo de fichiers par jour et se met soudainement à télécharger des gigaoctets de fichiers, une solution UEBA identifierait cette modification du comportement de l'utilisateur et alerterait le service informatique d'une possible menace pour la sécurité.

Selon Gartner, une solution UEBA est définie par trois attributs fondamentaux :

  1. Cas d'utilisation : Une solution UEBA doit être capable d'analyser, de détecter, de signaler et de surveiller les modèles de comportement des utilisateurs et des entités. Et, contrairement aux solutions ponctuelles du passé, l'UEBA devrait se concentrer sur de multiples cas d'utilisation plutôt que de se concentrer uniquement sur des analyses spécialisées, comme la surveillance des hôtes de confiance ou la détection des fraudes.
  2. Analyse : Une solution UEBA doit offrir des capacités d'analyse avancées capables de détecter les anomalies de comportement à l'aide de plusieurs approches analytiques dans un seul et même package. Il s'agit notamment de modèles statistiques et d'apprentissage machine (ML), ainsi que de règles et de signatures.
  3. Sources de données : Une solution UEBA doit pouvoir ingérer les données provenant des activités des utilisateurs et des entités, soit nativement à partir des sources de données, soit via un référentiel de données existant (par exemple, la gestion des informations et des événements de sécurité (SIEM), un entrepôt de données ou un lac de données).

Différences entre les outils UBA et les outils UEBA

Définie par Gartner, l'analyse du comportement des utilisateurs (UBA) était le précurseur de l'UEBA, car il s'agissait d'un outil de cybersécurité qui analysait rigoureusement les modèles de comportement des utilisateurs sur les réseaux ou les systèmes informatiques. Bien que les solutions UBA appliquent toujours des analyses avancées pour identifier les anomalies des modèles de comportement, elles ne sont pas en mesure d'analyser d'autres entités, comme les routeurs, les serveurs et les points de terminaison.

Gartner a par la suite mis à jour la définition de l'UBA et créé l'UEBA, qui inclut l'analyse comportementale des utilisateurs et des entités (individuellement ou au sein de groupes de pairs). Les solutions UEBA sont plus puissantes que les solutions UBA, car elles utilisent l'apprentissage automatique et l'apprentissage profond pour reconnaître les attaques complexes — telles que les menaces internes (par exemple, l'exfiltration de données), les menaces persistantes avancées ou les attaques zero-day — sur les individus, les appareils et les réseaux (y compris les réseaux infonuagiques) plutôt que de s'appuyer sur des règles de corrélation définies par l'utilisateur.

meilleures pratiques de l'UEBA

En règle générale, les outils UEBA ne doivent pas remplacer les outils de cybersécurité ou les systèmes de surveillance préexistants, tels que les CASB ou les systèmes de détection d'intrusion (IDS). L'UEBA devrait plutôt être intégrée à votre architecture de sécurité globale afin d'améliorer la posture de sécurité globale de votre organisation. Parmi les autres bonnes pratiques de l'UEBA, on peut citer :

  • S'assurer que seuls les membres désignés du service informatique reçoivent les alertes du système UEBA.
  • Considérez les comptes d'utilisateurs, qu'ils soient privilégiés ou non, comme potentiellement risqués.
  • Élaborez de nouvelles politiques et règles en tenant compte des menaces internes et externes.
  • Combinez l'UEBA avec des outils d'analyse de la sécurité des données massives comme les SIEM pour les rendre plus efficaces dans la détection et l'analyse des menaces complexes ou inconnues.

Déploiement d'UEBA avec CyberRes Arcsight Intelligence

En matière d'analyse avancée du comportement des utilisateurs et des entités, CyberRes (une gamme de produits Micro Focus) Arcsight Intelligence peut aider votre organisation à rester protégée contre les cybermenaces complexes. Notre outil UEBA ultra-performant offre une vue contextuelle des comportements des utilisateurs et des entités au sein de votre entreprise, fournissant à votre équipe SOC des outils complets pour visualiser et analyser les menaces, telles que les menaces internes et les APT , avant qu'il ne soit trop tard.

Bloquer les menaces internes grâce à l'analyse comportementale d'ArcSight

De plus, nos modèles de détection d'anomalies ne s'attendent pas aux mêmes schémas de comportement de chaque utilisateur ou entité, ce qui signifie que vous n'aurez pas à faire face à un flot d'alertes faussement positives. Grâce à ArcSight Intelligence, notre logiciel établit une distinction claire entre les comportements inhabituels et les menaces réelles en utilisant les probabilités mathématiques et l'apprentissage automatique non supervisé pour identifier les cybermenaces avec plus de précision.

Si vous souhaitez découvrir comment ArcSight Intelligence utilise une solution UEBA pour aider votre équipe SOC à détecter rapidement les menaces cachées dans votre réseau d'entreprise, n'hésitez pas à demander une démonstration dès aujourd'hui.

Produits connexes

OpenText™ Core Behavioral Signals

Détectez de manière proactive les risques internes, les attaques inédites et les menaces persistantes avancées.

OpenText™ Enterprise Security Manager

Accélérez la détection et la réponse aux menaces avec une corrélation en temps réel et un SOAR natif.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez avec confiance

OpenText™ Security Log Analytics

Accélérez la détection des menaces avec des informations de sécurité perspicaces et exploitables.

Détection et réponse aux menaces

Identifiez et neutralisez les cybermenaces importantes.

Recherche ThreatHub sur la performance des entreprises

OpenText ThreatHub Research vous montre ce qui menace votre organisation et ce que vous pouvez faire pour y remédier. Conçu par des RSSI, pour des RSSI, OpenText ThreatHub Research vous aide à renforcer votre cyberrésilience et à sécuriser stratégiquement votre chaîne de valeur numérique.

Voir tous les produits connexes

Comment pouvons-nous vous aider?

Notes de bas de page