Definition User and Entity Behavior Analytics (UEBA) Was ist User and Entity Behavior Analytics (UEBA)?

User and Entity Behavior Analytics ist ein Verfahren, das das Verhalten von IT-Nutzern und IT-Entitäten überwacht und analysiert. Es kann Abweichungen vom Normalverhalten erkennen und Alarmierungen oder Gegenmaßnahmen in die Wege leiten. Ziel ist es, Bedrohungen durch Insider oder durch Personen und Entitäten mit unberechtigtem Zugriff zu identifizieren. UEBA wendet Big-Data-Techniken und Methoden des Maschinellen Lernens (ML) an.

Anbieter zum Thema

Cohesity GmbH

Eye Security GmbH

Die Abkürzung von User and Entity Behavior Analytics lautet UEBA. Es handelt sich um ein Verfahren zur Minimierung von Cyber-Risiken. UEBA sammelt Daten über IT-Nutzer und IT-Entitäten. Diese Daten werden analysiert, um abweichende Verhaltensmuster zu identifizieren. Auf diese Art lassen sich Insider-Bedrohungen oder gefährliche Aktivitäten von Personen oder Entitäten mit unberechtigtem Zugriff erkennen. UEBA ist ein erweitertes Konzept von User Behavior Analytics (UBA).

Während sich UBA auf die Verhaltensanalyse von IT-Nutzern konzentriert, bezieht UEBA auch Entitäten wie Server, Applikationen und andere IT-Systeme in die Überwachung mit ein. Es kommen Big-Data-Techniken und Methoden des Maschinellen Lernens (ML) zum Einsatz. Findet UEBA Anomalien, alarmiert es die für die IT-Sicherheit verantwortlichen Stellen oder Personen. Einige Systeme sind zudem in der Lage, Zugriffe verdächtiger Personen oder Entitäten zu erschweren oder zu blockieren. Auf dem Markt existieren zahlreiche UEBA-Produkte und -Lösungen verschiedener Hersteller und Cloud-Anbieter. Je nach Produkt oder Lösung sind sie für On-Premises-Umgebungen, Cloud-Umgebungen und/oder hybride IT-Landschaften einsetzbar.

Motivation für UEBA

Grund für den Einsatz von User and Entity Behavior Analytics ist die Tatsache, dass ein Großteil der Gefahren für die IT-Sicherheit von Mitarbeitern und Personen mit regulärem Zugang zu IT-Systemen und Netzwerken oder Angreifern, die sich unberechtigt Zugang zu den IT-Systemen und Netzwerken verschafft haben, ausgeht. Böswillige oder gefährliche Aktivitäten von Personen oder Entitäten, die bereits Zugang haben, lassen sich mit klassischen Sicherheitslösungen wie Firewalls oder IDS- und IPS-Lösungen kaum verhindern. Es ist für die klassischen Sicherheitssysteme nahezu unmöglich zu unterscheiden, wer normaler Anwender und wer Angreifer ist, sobald Zugriff zu einem Netzwerk oder einem System besteht. Angreifer können sich unter Umständen lange unbemerkt in der IT-Umgebung bewegen, ohne dass sie auffallen. UEBA versucht diese Sicherheitslücke zu schließen, indem es vom Normalverhalten abweichende Verhaltensmuster aufdeckt und gefährliche Aktivitäten oder Angreifer findet.

Funktionsweise von UEBA

User and Entity Behavior Analytics läuft in verschiedenen Phasen ab. Zunächst muss das System lernen, was das normale Verhalten der Nutzer und Entitäten ist. Hierfür sammelt es über einen bestimmten Zeitraum Daten aus verschiedenen Quellen und wertet sie aus. Das System untersucht beispielsweise, auf welche Systeme und Daten zugegriffen wird, zu welchen Zeitpunkten und von welchen Geräten oder Orten dies erfolgt, welche typischen Anwendungen ausgeführt werden, welche Betriebssysteme genutzt werden oder welche Entitäten an der Kommunikation beteiligt sind. Nach diesem Baselining ist das System in der Lage durch kontinuierliche Analyse der Daten, Anomalien im Verhalten der Anwender oder Entitäten in Echtzeit zu finden. Maschinelles Lernen und intelligente Algorithmen optimieren ständig die Erkennungsverfahren. Zur Aufdeckung der Anomalien kommen unter anderem Risiko-Bewertungs-Techniken zum Einsatz.

Typische von UEBA identifizierbare Anomalien

Typische Abweichungen, die User and Entity Behavior Analytics erkennt, sind beispielsweise:

• in Art und Umfang ungewöhnliche Dateizugriffe

• Zugriffe von ungewöhnlichen Endgeräten, Systemen, Standorten oder Netzwerken

• von den Standardzeiten abweichende Nutzer- und Systemaktivität

• ungewöhnliche Veränderungen der Systemkonfigurationen

• ungewöhnlich viele Login-Versuche

• Login-Versuche auf normalerweise nicht verwendete Systeme

• Verwendung ungewöhnlicher Nutzerkonten

• ungewöhnliche Ausweitung von Netz- oder Systemberechtigungen

• ungewöhnliche Downloads großer Datenmengen oder sensibler Daten

(ID:47018964)