Основные функции и характеристики Ueba

1.

ОСНОВНЫЕ ФУНКЦИИ И ХАРАКТЕРИСТИКИ UEBA
Выполнили:
ЯЧМЕНЕВ И. А.
Студенты группы:
КС-20-05

2.

Введение
User and Entity Behavior Analytics (UEBA, «поведенческий анализ
пользователей и сущностей») — технология выявления киберугроз, основанная на
анализе поведения пользователей, а также устройств, приложений и иных объектов в
информационной системе.
Основная задача UEBA — своевременно обнаруживать целевые атаки и
инсайдерские угрозы. Решения UEBA обрабатывают большой объем данных из
различных источников, определяют нормальные модели поведения для каждого
пользователя и объекта и уведомляют ИБ-специалистов, если замечают отклонения
от этих моделей.
2

3.

ИСТОРИЯ ТЕХНОЛОГИИ UEBA
UEBA представляет собой дальнейшее развитие технологии UBA (User
Behavior Analysis, «поведенческий анализ пользователей»). Термин UBA в 2014 году
ввели в обиход аналитики, обозначив так новую категорию ИБ-технологий, которую
начали рассматривать при составлении рейтингов вендоров, выпускающих ПО для
обеспечения информационной безопасности. Решения UBA направлены на анализ
активности пользователей и эффективны для выявления инсайдерских угроз и
финансового мошенничества (подозрительных транзакций).
В 2015 году аналитики расширили соответствующую категорию защитных
технологий, включив в нее анализ поведения «сущностей», то есть устройств,
приложений и так далее. Так появился термин UEBA. Основное различие UEBA и
UBA понятно из названия – если системы UBA анализируют только поведение
пользователей, то системы UEBA также учитывают поведение «сущностей».
3

4.

Принцип работы UEBA-систем
Решения UEBA собирают и анализируют данные из различных источников. К таким
данным могут относиться:
• логи серверов, рабочих станций, маршрутизаторов и других устройств;
• реестры систем контроля доступа и аутентификации;
• данные других ИБ-решений — брандмауэров, антивирусов, SIEM-продуктов и DLPсистем;
• переписка пользователей в социальных сетях, мессенджерах, по электронной почте;
• кадровые регистры компании и другая информация.
4

5.

Принцип работы UEBA-систем
На основе собранных сведений UEBA-системы с помощью машинного
обучения и статистического анализа генерируют шаблоны нормального поведения
пользователей и сущностей. Впоследствии данные об активности пользователей и
сущностей сопоставляются с этими шаблонами. Если то или иное действие значительно
отличается от шаблона, например сотрудник отправляет письмо топ-менеджеру, с
которым обычно не взаимодействует по работе, или на какой-то внешний сервер
передается большой объем данных, система уведомляет специалистов по безопасности.
5

6.

ПРИМЕНЕНИЕ UEBA-РЕШЕНИЙ
Системы поведенческого анализа позволяют выявлять атаки, которые трудно
обнаружить при помощи других ИБ-продуктов. В первую очередь это инсайдерские
угрозы, сложные таргетированные атаки и компрометация корпоративных
пользователей.
Как и активный поиск угроз, UEBA-решения выявляют криминальную
активность в режиме реального времени, что дает ИБ-специалистам возможность
оперативно среагировать и минимизировать последствия атаки.
6

7.

Forcepoint UEBA
Решение Forcepoint User and Entity Behavior Analytics (UEBA) позволяет
командам безопасности проактивно отслеживать внутри организации аномальное
поведение с высоким уровнем риска. Аналитическая платформа защиты формирует не
имеющий равных контекст, объединяя структурированные и неструктурированные
данные для выявления и блокирования злонамеренных, скомпрометированных и
небрежных пользователей. Forcepoint обнаруживает различные критические проблемы,
такие как скомпрометированные учетные записи, корпоративный шпионаж, кража
интеллектуальной собственности и мошенничество.
7

8.

Forcepoint UEBA
8

9.

Forcepoint UEBA
Оценивая нюансы взаимодействия людей, данных, устройств и приложений,
Forcepoint UEBA определяет приоритеты сроков для групп безопасности.
Программное решение от Forcepoint построено на следующих принципах:
Богатый контекст. Продукт сводит в единое целое контент, собранный из
разрозненных источников данных. Тем самым, дополняя возможности решений SIEM
и других решений в сфере ИБ.
Поведенческая аналитика. Forcepoint UEBA применяет несколько видов
строгой поведенческой и контент-аналитики, ориентированной на обнаружение
изменений, паттернов и аномалий.
Поиск
и
обнаружение.
Предоставляет
мощные
инструменты
криминалистического
расследования
и
обнаружения
через
контекстный
пользовательский интерфейс для непрерывного мониторинга и глубоких
исследований.
9

10.

ЗАКЛЮЧЕНИЕ
Системы класса UEBA/UBA — важный элемент в выявлении неизвестных
типов угроз, APT- атак, а также сотрудников, нарушающих правила ИБ внутри
компании. Продукты UEBA нацелены на решение четырех базовых задач.
Во-первых, простая и расширенная аналитика информации из различных
источников с применением методов машинного обучения, периодически или
постоянно, в реальном времени.
Во-вторых, UEBA предназначены для оперативного детектирования атак и
иных аномалий, которые обычно не выявляются классическими средствами ИБ.
В-третьих, это определение значимости событий, собранных из разных
источников (системы типа SIEM, DLP, AD и т. д.) с целью быстрого реагирования
администраторами по информационной безопасности.
В-четвертых, мощная ответная реакция на события, обеспеченная за счет
того, что администраторы по ИБ владеют комплексной и детальной информации об
инциденте.
10