OpenText-Startseite.
Technische Themen

Was ist User and Entity Behavior Analytics (UEBA)?

Illustration von IT-Elementen mit Schwerpunkt auf einem Fragezeichen

Übersicht

User and Entity Behavior Analytics (UEBA) ist eine Art von Cybersicherheitslösung, die maschinelles Lernen (ML), Deep Learning und statistische Analysen verwendet, um die normalen Verhaltensmuster von Benutzern und Entitäten (z. B. Hosts, Anwendungen, Netzwerkverkehr und Datenspeicher) in Unternehmensnetzwerken oder Computersystemen zu identifizieren. Wenn Anomalien oder Abweichungen von diesen Verhaltensmustern festgestellt werden und ein Risikowert einen festgelegten Schwellenwert überschreitet, alarmiert eine UEBA-Lösung die Teams des Security Operations Center (SOC), ob eine potenzielle Bedrohung oder ein Cyberangriff im Gange ist.

UEBA ist ein unverzichtbares Werkzeug für die Cybersicherheit eines modernen Unternehmens, zumal viele ältere Tools schnell veraltet sind. Da Cyber-Kriminelle und Hacker immer raffinierter werden, können sie herkömmliche Perimeter-Verteidigungssysteme wie Secure Web Gateways (SWGs), Firewalls und andere Intrusion Prevention-Tools immer leichter umgehen.

Wenn Sie mit dem UEBA nicht vertraut sind, hilft Ihnen dieser Leitfaden, es zu verstehen. Im Folgenden werden wir erörtern, was UEBA-Sicherheit ist, wie sie funktioniert, was der Unterschied zwischen User Behavior Analytics (UBA) und UEBA ist und welche Best Practices für UEBA gelten.

Analyse des Benutzer- und Entitätsverhaltens (UEBA)

Was ist UEBA-Sicherheit?

Viele ältere Cybersicherheits-Tools identifizierten Verhaltensmusteranomalien oder -abweichungen nur durch statistische Analysen und benutzerdefinierte Korrelationsregeln. Diese Tools sind zwar wirksam bei der Abwehr bekannter Bedrohungen, aber sie sind veraltet, wenn es um unbekannte oder Zero-Day-Angriffe und Insider-Bedrohungen geht. Mit UEBA-Sicherheit können SOC-Teams jedoch automatisch ungewöhnliche Verhaltensweisen in ganzen Unternehmensnetzwerken oder Computersystemen erkennen , ohne auf benutzerdefinierte Regeln oder Muster angewiesen zu sein.

UEBA kombiniert die Leistung von ML, Deep Learning und statistischer Analyse, um SOC-Teams eine umfassendere Software zur Erkennung vonBedrohungen zur Verfügung zu stellen. Damit können Unternehmen automatisch komplexe Angriffe über mehrere Benutzer und Entitäten hinweg erkennen. Darüber hinaus kann eine UEBA-Lösung Daten in Protokollen und Berichten zusammenfassen sowie Informationen in Dateien und Paketen analysieren.

Wie funktioniert die UEBA-Sicherheit?

UEBA sammelt Informationen über normale Benutzer- und Entitätsverhaltensmuster aus Systemprotokollen. Dann wendet es intelligente statistische Analysemethoden an, um jeden Datensatz zu interpretieren und Grundlinien für diese Verhaltensmuster zu erstellen. Die Erstellung von Verhaltensmuster-Baselines ist der Schlüssel zu UEBA, da dies dem System ermöglicht, potenzielle Cyberangriffe oder Bedrohungen zu erkennen.

Bei einer UEBA-Lösung wird das aktuelle Verhalten von Nutzern und Entitäten kontinuierlich mit den jeweiligen Ausgangswerten verglichen. Die UEBA Cyber Threat Intelligence Software berechnet dann Risikobewertungen und identifiziert, ob Verhaltensmusteranomalien oder -abweichungen riskant sind. Wenn ein Risikowert einen bestimmten Grenzwert überschreitet, alarmiert das UEBA-System die Mitglieder des SOC-Teams.

Wenn ein Benutzer beispielsweise regelmäßig jeden Tag 5 MB an Dateien herunterlädt und dann plötzlich anfängt, Dateien im Umfang von Gigabytes herunterzuladen, würde eine UEBA-Lösung diese Abweichung im Benutzerverhalten erkennen und die IT-Abteilung auf eine mögliche Sicherheitsbedrohung hinweisen.

Laut Gartner wird eine UEBA-Lösung durch drei Hauptmerkmale definiert:

  1. Anwendungsfälle: Eine UEBA-Lösung sollte in der Lage sein, Verhaltensmuster sowohl von Nutzern als auch von Entitäten zu analysieren, zu erkennen, zu melden und zu überwachen. Und im Gegensatz zu früheren Punktlösungen sollte sich UEBA auf mehrere Anwendungsfälle konzentrieren und nicht nur auf spezialisierte Analysen, wie z. B. die Überwachung vertrauenswürdiger Hosts oder Betrugserkennung.
  2. Analytik: Eine UEBA-Lösung sollte fortschrittliche Analysefunktionen bieten, die Verhaltensanomalien mithilfe mehrerer Analyseansätze in einem einzigen Paket erkennen können. Dazu gehören statistische Modelle und maschinelles Lernen (ML), aber auch Regeln und Signaturen.
  3. Datenquellen: Eine UEBA-Lösung sollte in der Lage sein, Daten aus Benutzer- und Entitätsaktivitäten sowohl nativ aus den Datenquellen als auch über ein bestehendes Datenrepository (z. B. Security Information and Event Management (SIEM), Data Warehouse oder Data Lake) aufzunehmen.

Unterschiede zwischen UBA-Werkzeugen und UEBA-Werkzeugen

Nach der Definition von Gartner war User Behavior Analytics (UBA) der Vorläufer von UEBA, da es sich um ein Cybersecurity-Tool handelte, das ausschließlich das Benutzerverhalten in Netzwerken oder Computersystemen analysierte. Die UBA-Lösungen wendeten zwar fortschrittliche Analysemethoden an, um Anomalien in Verhaltensmustern zu erkennen, waren aber nicht in der Lage, andere Einheiten wie Router, Server und Endpunkte zu analysieren.

Später aktualisierte Gartner die Definition von UBA und schuf UEBA, das die Verhaltensanalyse sowohl von Benutzern als auch von Entitäten (entweder einzeln oder in Peer Groups) umfasst. UEBA-Lösungen sind leistungsfähiger als UBA-Lösungen, da sie ML und Deep Learning nutzen, um komplexe Angriffe - wie Insider-Bedrohungen (z. B. Datenexfiltration), fortgeschrittene anhaltende Bedrohungen oder Zero-Day-Angriffe - über Personen, Geräte und Netzwerke (einschließlich Cloud-basierter Netzwerke) hinweg zu erkennen, anstatt sich auf benutzerdefinierte Korrelationsregeln zu verlassen.

Bewährte UEBA-Verfahren

Als Faustregel gilt, dass UEBA-Tools nicht die bereits vorhandenen Cybersicherheits-Tools oder Überwachungssysteme wie CASBs oder Intrusion Detection Systems (IDS) ersetzen sollten. Stattdessen sollte UEBA in Ihr gesamtes Sicherheitssystem integriert werden, um die übergreifende Sicherheitslage Ihres Unternehmens zu verbessern. Weitere bewährte UEBA-Verfahren sind:

  • Stellen Sie sicher, dass nur bestimmte IT-Mitglieder UEBA-Systemwarnungen erhalten.
  • Betrachten Sie sowohl privilegierte als auch unprivilegierte Benutzerkonten als potenziell riskant.
  • Erstellen Sie neue Richtlinien und Regeln, die sowohl interne als auch externe Bedrohungen berücksichtigen.
  • Kombinieren Sie UEBA mit Big-Data-Sicherheitsanalysen wie SIEMs, um sie bei der Erkennung und Analyse komplexer oder unbekannter Bedrohungen effektiver zu machen.

Einsatz von UEBA mit CyberRes Arcsight Intelligence

Wenn es um fortschrittliche Analysen des Benutzer- und Entitätsverhaltens geht, kann CyberRes (ein Geschäftsbereich von Micro Focus) Arcsight Intelligence Ihrem Unternehmen helfen, vor komplexen Cyber-Bedrohungen geschützt zu bleiben. Unser UEBA-Tool bietet eine kontextbezogene Ansicht der Verhaltensmuster von Benutzern und Unternehmen in Ihrem Unternehmen und stellt Ihrem SOC-Team umfassende Tools zur Verfügung, um Bedrohungenwie Insider-Bedrohungen und APTs zu visualisieren und zuuntersuchen, bevor es zu spät ist.

Stoppen von Insider-Bedrohungen mit ArcSight-Verhaltensanalytik

Darüber hinaus erwarten unsere Modelle zur Erkennung von Anomalien nicht von jedem Benutzer oder Unternehmen die gleichen Verhaltensmuster, was bedeutet, dass Sie nicht mit einer Flut von falsch-positiven Warnmeldungen konfrontiert werden. Mit ArcSight Intelligence grenzt unsere Software ungewöhnliches Verhalten klar von echten Bedrohungen ab, indem sie mathematische Wahrscheinlichkeiten und unüberwachtes ML einsetzt, um Cyber-Bedrohungen genauer zu identifizieren.

Wenn Sie sehen möchten, wie ArcSight Intelligence eine UEBA-Lösung einsetzt, um Ihr SOC-Team dabei zu unterstützen, versteckte Bedrohungen in Ihrem Unternehmensnetzwerk schnell aufzudecken, können Sie noch heute eine Demo anfordern.

Verwandte Produkte

OpenText™ Core Behavioral Signals

Proaktive Erkennung von Insider-Risiken, neuartigen Angriffen und fortschrittlichen, anhaltenden Bedrohungen

OpenText™ Enterprise Security Manager

Beschleunigen Sie die Erkennung von Bedrohungen und die Reaktion darauf durch Echtzeit-Korrelation und natives SOAR

OpenText™ Cybersecurity Cloud

Verteidigen Sie sich präzise, sichern Sie sich zuverlässig

OpenText™ Security Log Analytics

Beschleunigen Sie die Erkennung von Bedrohungen mit aufschlussreichen, verwertbaren Sicherheitsinformationen

Threat Detection and Response

Erkennen und Reagieren auf wichtige Cyber-Bedrohungen

ThreatHub Forschung für Unternehmensleistung

OpenText ThreatHub Research zeigt Ihnen, was Ihr Unternehmen bedroht, und was Sie dagegen tun können. OpenText ThreatHub Research wurde von CISOs für CISOs entwickelt und hilft Ihnen, Ihre Cyber-Resilienz zu stärken und Ihre digitale Wertschöpfungskette strategisch zu sichern.

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten