User and Entity Behavior Analytics (UEBA) in der Praxis Was bringt Verhaltensanalyse?

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Durch die Analyse von Daten aus verschiedenen Quellen kann UEBA anormales User- und Entitätsverhalten erkennen, das auf eine Insider-Bedrohung oder einen externen Angriff hinweisen kann. Welche Problemstellungen sind zu beachten und welche wichtigsten Use Cases bieten sich an?

Das Besondere an UEBA ist, dass es für die Erkennung von Bedrohungen nicht auf vordefinierte Regeln oder Signaturen angewiesen ist. Stattdessen nutzt es Algorithmen des maschinellen Lernens (ML), um anomales Verhalten zu identifizieren, das von der Norm abweicht. Dies bedeutet, dass die UEBA-Sicherheit Bedrohungen identifizieren kann, die viele herkömmliche Methoden der IT-Security übersehen würden.

Darüber hinaus kann UEBA auch neue und aufkommende Bedrohungen identifizieren, indem es Muster über mehrere User und Entitäten hinweg analysiert. Durch die frühzeitige Erkennung dieser Bedrohungen können Unternehmen proaktive Maßnahmen ergreifen, um sie zu entschärfen, bevor Schaden überhaupt entsteht.

Vorzüge der UEBA-Technologie

UEBA basiert auf Verhaltensdatensätzen, die Protokolle des allgemeinen Verhaltens der User enthalten: aufgerufene Dateien, besuchte URLs, Arbeits- und Leerlaufzeit, typische Aktivitäten, Tipprhythmus und mehr. UEBA-Lösungen benötigen diesen umfangreichen, präzisen und gut gekennzeichneten Datensatz, um normales Verhalten zu untersuchen und verdächtige Aktionen zu erkennen. Der Einsatz der UEBA-Technologie ist besonders effektiv, um folgende Vorfälle zu erkennen:

• Verdächtige Verhaltensänderungen von Mitarbeitern und Dritten.

• Kompromittierte User- oder Entitätskonten.

• Exfiltrationen von Daten.

• Missbrauch eines privilegierten Zugangs.

• Verstöße gegen die Sicherheitsrichtlinien einer Organisation.

Alle diese Sicherheitsvorfälle sind normalerweise im Frühstadium schwer zu erkennen. Als Teil eines robusten IT-Security-Systems kann UEBA die Schwachstellen herkömmlicher Sicherheitstools wie Aktivitätsüberwachung der User, SIEM-Systeme und regelbasiertes Zugriffsmanagement abdecken.

Problemstellungen bei der Bereitstellung

Bei der Bereitstellung und Konfiguration eines UEBA-Tools können für das IT-Team eine Reihe von Herausforderungen auftreten:

Zeitaufwendiger Vorlauf

Eine UEBA-Lösung ist nicht sofort effizient. Sie muss anhand benutzerdefinierter Verhaltensdatensätze der User trainiert werden, bevor sie mit der Erkennung von Bedrohungen beginnt. Die Ausbildung dauert in der Regel ein bis drei Monate.

Probleme mit „Slow-Cooking“-Angriffen

UEBA-Tools sind besonders effektiv, wenn ein User oder eine Entität ihr gewohntes Verhalten schnell ändert, um eine Organisation anzugreifen wie beispielsweise bei einer Kompromittierung eines Kontos. Wenn sich Hacker jedoch Zeit für die Vorbereitung und Durchführung eines Angriffs nehmen, könnte das UEBA-Tool diesen Vorgang möglicherweise nicht als verdächtig einstufen, da dieser für den User üblich sind.

Spezifische Kenntnisse notwendig

Die Vorbereitung eines Verhaltensdatensatzes eines Users ist eine knifflige Aufgabe, die sowohl Kenntnisse über KI, ML und Daten erfordert, aus denen der Datensatz besteht.

Investitionen in die Bereitstellung

Die Konfiguration, Schulung und Harmonisierung eines UEBA-Tools mit anderen IT-Security-Tools erfordert viel Zeit und Mühe. Da UEBA auf komplexen KI-Technologien basiert, empfiehlt es sich, KI-Experten einzustellen oder Drittanbieter einbeziehen, die bei der Feinabstimmung des Tools helfen können.

Häufigste UEBA-Anwendungsfälle

Die Gründe für die Implementierung einer UEBA-Lösung variieren stark je nach Funktionsumfang des Tools. In der Folge werden einige der wichtigsten Use Cases skizziert:

Insider-Bedrohungen erkennen

Der Schutz einer Organisation vor Insider-Bedrohungen ist der Hauptanwendungsfall für ein UEBA-Tool. Böswillige oder unbeabsichtigte Insider-Aktivitäten sind in der Regel schwer zu erkennen, da Insider die installierten Abwehrmaßnahmen gut umgehen können.

Verhaltensanalysen basieren nicht auf Sicherheitsregeln, und genau auf diese Weise schützt die UEBA-Technologie vor Insider-Bedrohungen. Selbst kleinste Änderungen im Verhalten eines Users können mit UEBA dabei helfen, Bedrohungen zu erkennen. Beispielsweise kann die UEBA warnen, wenn ein Mitarbeiter zu ungewöhnlichen Zeiten auf ein System zugreift.

Gehackte Systeme, Hosts und Geräte erkennen

Nicht nur menschliche User können auf sensiblen Daten einer Organisation zugreifen und diese korrumpieren. In jedem Netzwerk gibt es Dutzende privilegierte Units ohne einen einzigen Eigentümer: Notfallkonten, Netzwerk- und Datenscanner, Geräte- und Hostkonten usw.

Manche IT-Teams schenken solchen Units weniger Aufmerksamkeit als den Usern. Hacker können dies ausnutzen, um ihre Aktivitäten zu verschleiern: Sie setzen Spyware oder einen Keylogger ein, was das Verhalten der Entität ändert. UEBA-Lösungen analysieren daher auch die üblichen Aktivitäten von Entitäten.

Kompromittierung von Konten

Hacker zielen in der Regel ihre Aktivität auf Mitarbeiter mit privilegiertem Zugriff auf Ressourcen des Unternehmens ab. Das sind IT-Administratoren, Sicherheitsbeauftragte und Mitarbeiter, die sensible Daten verarbeiten etc. Das Erkennen einer Kompromittierung eines Kontos ist für ein UEBA-Tool einfach, da Hacker das normale Verhalten des Kontoinhabers nicht nachahmen können.

Automatisierung des Risikomanagements

Viele Aktivitäten des Risikomanagements werden meist immer noch manuell durchgeführt. Bei der Bewertung der Risiken müssen CISOs beispielsweise jede Bedrohung, ihre Wahrscheinlichkeit und ihr mögliches Ergebnis beschreiben. Der Einsatz des UEBA-Tools kann dabei helfen, die Risikobewertung zu automatisieren.

Untersuchung von Vorfällen

Die Analyse von Warnungen, die von IT-Security-Tools erzeugt werden, kann eine mühsame Aufgabe sein. UEBA-Tools können den CISOs und IT-Security-Teams viel Arbeit abnehmen, indem sie Vorfälle bewerten, ihnen Prioritäten einräumen und wichtige Ereignisse hervorheben, die die Aufmerksamkeit eines Mitarbeiters erfordern.

Produktivität der Mitarbeiter

Probleme der Produktivitäts- und Arbeitsbelastung lassen sich ebenso mit einer UEBA-Lösung analysieren. Zu diesem Zweck werden die Verhaltensänderungen der Mitarbeiter erfasst. Beispielsweise kann UEBA Änderungen der täglichen Arbeitszeit eines Mitarbeiters feststellen. Mit rechtzeitigen Warnungen aus einem UEBA-Modul können diese Verhaltensänderungen mit einem Mitarbeiter besprochen und etwaige Probleme identifiziert und behoben werden.

Fazit

Ein UEBA-Tool ist besonders nützlich, um raffinierte Angriffe wie beispielsweise eine Kompromittierung eines Kontos oder den Missbrauch von Berechtigungen zu erkennen. Allerdings kann ein UEBA-Tool herkömmliche Sicherheitstools nicht ersetzen oder direkt nach der Bereitstellung gleich effizient sein. Es kann daher durchaus mehrere Monate dauern, UEBA-Algorithmen zu trainieren und sie ordnungsgemäß in andere Sicherheitssoftware zu integrieren.

(ID:49992238)