Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que l'analyse du comportement des utilisateurs et des entités (UEBA) ?

Illustration des éléments informatiques avec un point d'interrogation en point de mire

Présentation

L'analyse du comportement des utilisateurs et des entités (UEBA) est un type de solution de cybersécurité qui utilise l'apprentissage automatique (ML), l'apprentissage profond et l'analyse statistique pour identifier les modèles de comportement normaux des utilisateurs et des entités (par exemple, les hôtes, les applications, le trafic réseau et les référentiels de données) sur les réseaux d'entreprise ou les systèmes informatiques. Lorsque des anomalies ou des écarts par rapport à ces modèles de comportement sont détectés et qu'un score de risque dépasse un certain seuil, une solution UEBA alerte les équipes du centre opérationnel de sécurité (SOC) pour leur indiquer si une menace potentielle ou une cyber-attaque est en cours.

L'UEBA est un outil essentiel dans la pile de cybersécurité d'une organisation moderne, d'autant plus que de nombreux outils existants deviennent rapidement obsolètes. Les cybercriminels et les pirates informatiques devenant de plus en plus sophistiqués, ils peuvent plus facilement contourner les systèmes traditionnels de défense du périmètre tels que les passerelles web sécurisées (SWG), les pare-feu et autres outils de prévention des intrusions.

Si vous ne connaissez pas l'UEBA, ce guide est là pour vous aider à la comprendre. Nous verrons ci-dessous ce qu'est la sécurité de l'UEBA, comment elle fonctionne, la différence entre l'analyse du comportement des utilisateurs (UBA) et l'UEBA, ainsi que les meilleures pratiques en matière d'UEBA.

Analyse du comportement des utilisateurs et des entités (UEBA)

Qu'est-ce que la sécurité de l'UEBA ?

De nombreux outils de cybersécurité existants identifient les anomalies ou les écarts de comportement en utilisant uniquement l'analyse statistique et les règles de corrélation définies par l'utilisateur. Si ces outils sont efficaces pour contrecarrer les menaces connues, ils sont obsolètes lorsqu'il s'agit d'attaques inconnues ou de type "zero-day" et de menaces internes. Avec la sécurité UEBA, cependant, les équipes SOC peuvent détecter automatiquement des comportements inhabituels sur l'ensemble des réseaux d'entreprise ou des systèmes informatiques , sans s'appuyer sur des règles ou des modèles définis par l'utilisateur.

UEBA combine la puissance de la ML, de l'apprentissage profond et de l'analyse statistique pour fournir aux équipes SOC un logiciel de détection desmenaces plus complet - permettant aux organisations de détecter automatiquement des attaques complexes à travers plusieurs utilisateurs et entités. En outre, une solution UEBA peut regrouper des données dans des journaux et des rapports, ainsi qu'analyser des informations dans des fichiers et des paquets.

Comment fonctionne la sécurité de l'UEBA ?

L'UEBA collecte des informations sur les comportements normaux des utilisateurs et des entités à partir des journaux du système. Il applique ensuite des méthodes d'analyse statistique intelligentes pour interpréter chaque ensemble de données et établir des lignes de base pour ces modèles de comportement. L'établissement de lignes de base pour les modèles de comportement est essentiel pour l'UEBA, car il permet au système de détecter les cyber-attaques ou les menaces potentielles.

Avec une solution UEBA, les comportements actuels de l'utilisateur et de l'entité sont continuellement comparés à leurs lignes de base individuelles. Le logiciel de veille sur les cybermenaces de l'UEBA calcule ensuite des scores de risque et identifie si des anomalies ou des écarts de comportement sont risqués. Si un score de risque dépasse une certaine limite, le système UEBA alertera les membres de l'équipe SOC.

Par exemple, si un utilisateur télécharge régulièrement 5 Mo de fichiers par jour et qu'il se met soudainement à télécharger des gigaoctets de fichiers, une solution UEBA identifiera cette déviation du comportement de l'utilisateur et alertera le service informatique d'une éventuelle menace pour la sécurité.

Selon Gartner, une solution UEBA se définit par trois attributs fondamentaux :

  1. Cas d'utilisation : Une solution UEBA doit être capable d'analyser, de détecter, de rapporter et de surveiller les modèles de comportement des utilisateurs et des entités. De plus, contrairement aux solutions ponctuelles du passé, l'UEBA devrait se concentrer sur des cas d'utilisation multiples plutôt que sur une analyse spécialisée, comme la surveillance d'un hôte de confiance ou la détection de la fraude.
  2. Analyse : Une solution UEBA doit offrir des capacités d'analyse avancées permettant de détecter les anomalies de comportement à l'aide de plusieurs approches analytiques dans un seul package. Il s'agit notamment de modèles statistiques et d'apprentissage automatique, ainsi que de règles et de signatures.
  3. Sources de données : Une solution UEBA doit être capable d'ingérer des données provenant d'activités d'utilisateurs et d'entités, soit de manière native à partir des sources de données, soit par l'intermédiaire d'un référentiel de données existant (par exemple, gestion des informations et des événements de sécurité (SIEM), entrepôt de données ou lac de données).

Différences entre les outils UBA et les outils UEBA

Définie par Gartner, l'analyse du comportement des utilisateurs (UBA) est le précurseur de l'UEBA, car il s'agit d'un outil de cybersécurité qui analyse strictement les modèles de comportement des utilisateurs sur les réseaux ou les systèmes informatiques. Bien que les solutions UBA appliquent toujours des analyses avancées pour identifier les anomalies de comportement, elles ne sont pas en mesure d'analyser d'autres entités, telles que les routeurs, les serveurs et les points d'extrémité.

Plus tard, Gartner a mis à jour la définition de l'UBA et a créé l'UEBA, qui comprend l'analyse comportementale des utilisateurs et des entités (individuellement ou en groupes de pairs). Les solutions UEBA sont plus puissantes que les solutions UBA, car elles utilisent la ML et l'apprentissage profond pour reconnaître les attaques complexes, telles que les menaces d'initiés (par exemple, l'exfiltration de données), les menaces persistantes avancées ou les attaques zero-day, à travers les individus, les appareils et les réseaux (y compris les réseaux basés sur le cloud), plutôt que de s'appuyer sur des règles de corrélation définies par l'utilisateur.

Meilleures pratiques de l'UEBA

En règle générale, les outils de l'UEBA ne doivent pas remplacer les outils de cybersécurité ou les systèmes de surveillance préexistants, tels que les CASB ou les systèmes de détection d'intrusion (IDS). Au contraire, l'UEBA doit être intégré dans votre système de sécurité global afin d'améliorer la posture de sécurité de votre organisation. Parmi les autres bonnes pratiques de l'UEBA, citons

  • S'assurer que seuls les membres désignés de l'IT reçoivent les alertes du système UEBA.
  • Considérez les comptes d'utilisateurs privilégiés et non privilégiés comme potentiellement risqués.
  • Créer de nouvelles politiques et règles en tenant compte des menaces internes et externes.
  • Combinez l'UEBA avec des outils d'analyse de sécurité à base de big data comme les SIEM pour les rendre plus efficaces dans la détection et l'analyse de menaces complexes ou inconnues.

Déployer l'UEBA avec CyberRes Arcsight Intelligence

En matière d' analyse avancée du comportement des utilisateurs et des entités, CyberRes (une branche de Micro Focus) Arcsight Intelligence peut aider votre organisation à rester protégée contre les cybermenaces complexes. Fournissant une vue contextualisée des modèles de comportement des utilisateurs et des entités au sein de votre entreprise, notre outil UEBA surpuissant offre à votre équipe SOC des outils complets pour visualiser et enquêter sur les menaces, telles queles menaces internes et les APT, avant qu'il ne soit trop tard.

Lutter contre les menaces internes grâce à l'analyse comportementale d'ArcSight

En outre, nos modèles de détection des anomalies ne s'attendent pas à ce que chaque utilisateur ou entité adopte le même comportement, ce qui signifie que vous n'aurez pas à faire face à un flot d'alertes faussement positives. Grâce à ArcSight Intelligence, notre logiciel établit une distinction claire entre les comportements inhabituels et les menaces réelles en utilisant les probabilités mathématiques et la ML non supervisée pour identifier les cyber-menaces avec plus de précision.

Si vous êtes prêt à découvrir comment ArcSight Intelligence utilise une solution UEBA pour aider votre équipe SOC à découvrir rapidement les menaces cachées dans le réseau de votre entreprise, n'hésitez pas à demander une démonstration dès aujourd'hui.

Produits associés

OpenText™ Core Behavioral Signals

Détecter de manière proactive les risques liés aux initiés, les nouvelles attaques et les menaces persistantes avancées

OpenText™ Enterprise Security Manager

Accélérez la détection et la réponse aux menaces grâce à la corrélation en temps réel et à la solution SOAR native

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez en toute confiance

OpenText™ Security Log Analytics

Accélérez la détection des menaces grâce à des informations de sécurité exploitables

Threat Detection and Response

Identifier les cybermenaces importantes et y répondre

La recherche ThreatHub au service de la performance des entreprises

OpenText ThreatHub Research vous montre ce qui menace votre organisation et ce que vous pouvez faire pour y remédier. Conçue par des RSSI et pour des RSSI, la recherche ThreatHub d'OpenText vous aide à renforcer votre cyber-résilience et à sécuriser stratégiquement votre chaîne de valeur numérique.

Voir tous les produits apparentés

Comment pouvons-nous vous aider ?

Notes de bas de page