OpenText startsida.
Tekniska ämnen

Vad är UEBA (User and Entity Behavior Analytics)?

Illustration av IT-objekt med fokus på ett frågetecken

Översikt

User and Entity Behavior Analytics (UEBA) är en typ av cybersäkerhetslösning som använder maskininlärning (ML), djupinlärning och statistisk analys för att identifiera normala beteendemönster hos användare och enheter (t.ex. värdar, applikationer, nätverkstrafik och datalager) i företagsnätverk eller datorsystem. När anomalier eller avvikelser från dessa beteendemönster upptäcks och en riskpoäng passerar en viss tröskel, varnar en UEBA-lösning team på säkerhetsoperationscentret (SOC) om huruvida ett potentiellt hot eller en cyberattack pågår.

UEBA är ett viktigt verktyg i en modern organisations cybersäkerhetsstack, särskilt som många äldre verktyg snabbt blir föråldrade. I takt med att cyberbrottslingar och hackare blir alltmer sofistikerade kan de lättare kringgå traditionella försvarssystem som Secure Web Gateways (SWG), brandväggar och andra verktyg för att förhindra intrång.

Om du inte är bekant med UEBA finns den här guiden här för att hjälpa dig att förstå vad det innebär. Nedan kommer vi att diskutera vad UEBA-säkerhet är, hur det fungerar, skillnaden mellan User Behavior Analytics (UBA) och UEBA samt bästa praxis för UEBA.

Analys av användar- och entitetsbeteenden (UEBA)

Vad är UEBA-säkerhet?

Många äldre cybersäkerhetsverktyg identifierade anomalier eller avvikelser i beteendemönster med hjälp av statistisk analys och användardefinierade korrelationsregler. Dessa verktyg är effektiva när det gäller att avvärja kända hot, men de är föråldrade när det gäller okända eller nolldagsattacker och insiderhot. Med UEBA-säkerhet kan SOC-teamen dock automatiskt upptäcka ovanliga beteenden i hela företagsnätverk eller datorsystem utan att förlita sig på användardefinierade regler eller mönster.

UEBA kombinerar kraften i ML, djupinlärning och statistisk analys för att förse SOC-team med mer omfattande programvara för hotdetektering - vilket gör det möjligt förorganisationer att automatiskt upptäcka komplexa attacker över flera användare och enheter. Dessutom kan en UEBA-lösning gruppera data i loggar och rapporter samt analysera information i filer och paket.

Hur fungerar UEBA:s säkerhet?

UEBA fungerar genom att samla in information om normala beteendemönster hos användare och enheter från systemloggar. Därefter används intelligenta statistiska analysmetoder för att tolka varje dataset och fastställa baslinjer för dessa beteendemönster. Att etablera baslinjer för beteendemönster är centralt för UEBA, eftersom det gör det möjligt för systemet att upptäcka potentiella cyberattacker eller hot.

Med en UEBA-lösning jämförs aktuella användar- och enhetsbeteenden kontinuerligt med deras individuella baslinjer. UEBA:s programvara för underrättelse om cyberhot beräknar sedan riskpoäng och identifierar om några avvikelser i beteendemönster är riskabla. Om en riskpoäng överskrider en viss gräns kommer UEBA-systemet att varna SOC-teamets medlemmar.

Om en användare till exempel regelbundet laddar ner 5 MB filer varje dag och sedan plötsligt börjar ladda ner filer värda gigabyte, skulle en UEBA-lösning identifiera denna avvikelse i användarens beteendemönster och varna IT-avdelningen för ett eventuellt säkerhetshot.

Enligt Gartner definieras en UEBA-lösning av tre kärnegenskaper:

  1. Användningsfall: En UEBA-lösning ska kunna analysera, upptäcka, rapportera om och övervaka beteendemönster för både användare och enheter. Och till skillnad från tidigare punktlösningar bör UEBA fokusera på flera användningsområden snarare än att bara fokusera på specialiserad analys - till exempel övervakning av betrodda värdar eller upptäckt av bedrägerier.
  2. Analys: En UEBA-lösning bör erbjuda avancerade analysfunktioner som kan upptäcka avvikelser i beteendemönster med hjälp av flera olika analysmetoder i ett och samma paket. Dessa inkluderar statistiska modeller och maskininlärning (ML) samt regler och signaturer.
  3. Datakällor: En UEBA-lösning bör kunna ta in data från användar- och enhetsaktiviteter både direkt från datakällorna eller via ett befintligt datalager (t.ex. SIEM (Security Information and Event Management), datalager eller en datasjö).

Skillnader mellan UBA-verktyg och UEBA-verktyg

Enligt Gartner var User Behavior Analytics (UBA) föregångaren till UEBA, eftersom det var ett cybersäkerhetsverktyg som strikt analyserade användarnas beteendemönster i nätverk eller datorsystem. Även om UBA-lösningarna fortfarande använde avancerad analys för att identifiera avvikande beteendemönster kunde de inte analysera andra enheter, som routrar, servrar och slutpunkter.

Gartner uppdaterade senare definitionen av UBA och skapade UEBA - som omfattade beteendeanalys av både användare och enheter (antingen individuellt eller i grupper). UEBA-lösningar är mer kraftfulla än UBA-lösningar, eftersom de använder ML och djupinlärning för att känna igen komplexa attacker - som insiderhot (t.ex. datautträngning), avancerade ihållande hot eller nolldagsattacker - över individer, enheter och nätverk (inklusive molnbaserade nätverk) snarare än att förlita sig på användardefinierade korrelationsregler.

UEBA:s bästa praxis

En tumregel är att UEBA-verktyg inte ska ersätta befintliga cybersäkerhetsverktyg eller övervakningssystem, till exempel CASB eller IDS (Intrusion Detection System). Istället bör UEBA införlivas i din övergripande säkerhetsstack för att förbättra din organisations övergripande säkerhetsställning. Andra UEBA-bästa metoder inkluderar:

  • Se till att endast utsedda IT-medlemmar får UEBA:s systemvarningar.
  • Betrakta både privilegierade och icke-privilegierade användarkonton som potentiellt riskabla.
  • Skapa nya policyer och regler med både interna och externa hot i åtanke.
  • Kombinera UEBA med säkerhetsanalys av stora datamängder, t.ex. SIEM, för att göra dem mer effektiva när det gäller att upptäcka och analysera komplexa eller okända hot.

Implementera UEBA med CyberRes Arcsight Intelligence

När det gäller avancerad analys av användares och enheters beteenden kan CyberRes (en del av Micro Focus) Arcsight Intelligence hjälpa din organisation att hålla sig skyddad mot komplexa cyberhot. Vårt UEBA-verktyg ger en kontextualiserad bild av både användares och enheters beteendemönster i företaget och förser SOC-teamet med omfattande verktyg för att visualisera och utreda hot, till exempelinsiderhot och APT:er, innandet är för sent.

Stoppa insiderhot med ArcSight beteendeanalys

Dessutom förväntar sig våra modeller för anomalidetektering inte samma beteendemönster från alla användare eller enheter - vilket innebär att du inte behöver hantera en flod av falskt positiva varningar. Med hjälp av ArcSight Intelligence skapar vår programvara en tydlig gräns mellan ovanligt beteende och verkliga hot genom att använda matematisk sannolikhet och oövervakad ML för att identifiera cyberhot mer exakt.

Om du är redo att se hur ArcSight Intelligence använder en UEBA-lösning för att hjälpa ditt SOC-team att snabbt avslöja dolda hot i ditt företagsnätverk, är du välkommen att begära en demo idag.

Relaterade produkter

OpenText™ Core Behavioral Signals

Upptäck proaktivt insiderrisker, nya attacker och avancerade ihållande hot

OpenText™ Enterprise Security Manager

Påskynda hotdetektering och respons med realtidskorrelation och inbyggd SOAR

OpenText™ Cybersecurity Cloud

Försvara med precision, säkra med självförtroende

OpenText™ Security Log Analytics

Påskynda hotdetektering med insiktsfulla och handlingsbara säkerhetsinsikter

Upptäckt av och svar på hot

Hitta och reagera på cyberhot som är viktiga

ThreatHub Research för affärsresultat

OpenText ThreatHub Research visar dig vad som hotar din organisation och vad du kan göra åt det. Tillverkad av CISO: er, avsedd för CISO: er, OpenText ThreatHub Research hjälper dig att stärka din cybermotståndskraft och strategiskt säkra din digitala värdekedja

Se alla relaterade produkter

Hur kan vi hjälpa till?

Fotnoter