Как работает поведенческий анализ пользователей в SIEM-системе

Технология UEBA или поведенческий анализ пользователей является основной в выявлении аномальной активности, которая предшествует хакерской атаке. Злоумышленники выставляют повышенную активность за нормальный рабочий процесс, используя легитимные инструменты для вторжения в ИТ-инфраструктуру. Под обычные действия пользователей маскируется внедрение вредоносного кода. Поэтому метод UEBA был реализован и усилен использованием ИИ в новой SIEM-системе Касперского KUMA.

Технология UEBA в действии

Технология использовалась изначально в киберзащите устройств, приложений и других объектов цифрового мира. В SIEM-системе заметно проявилась вся ее эффективность. Система детектирования UEBA с использованием ИИ фильтрует поведение пользователей, выявляя нетипичные отклонения. Благодаря машинному обучению система постоянно совершенствуется, поэтому отражает целевые и инсайдерские атаки.

В рамках SIEM-системы KUMA аномальное поведение пользователей прослеживается во время аутентификации, активности в сети, во время работы на рабочих станциях, серверах, в среде виртуализации. В процессе машинного обучения система начинает распознавать новые виды хакерских атак, о которых еще неизвестно в сети. Подобные действия сложно обнаружить сигнатурным способом, правилами корреляции и даже с помощью индикаторов компрометации это не всегда получается. Благодаря технологии UEBA это сделать намного проще, потому используются 2 основных правила:

• Статистическое: анализируется выборка на основе межквартильного размаха. Выявляются аномалии текущего поведения пользователей.
• Историческое: выборка опирается на исторические исследования, отклонения фиксируется на основе сравнения прошлого и нынешнего поведения пользователя. В этом случае для качества и быстроты оценки риски подключается искусственный интеллект.

Особенности функциональных блоков UEBA

Внедрение технологии основано на работе отдельных блоков, выполняющих определенный набор функций.

• Аутентификация: анализируются необычные методы входа при аутентификации, частый запрос нового пароля, вход в учетную запись с чужого компьютера. В корпоративной среде обязательно фиксируется попытка входа в нерабочее время или попытка просмотра документов, доступа к которым у данного сотрудника быть не должно.
• DNS-профилирование: сбор данных для анализа по технологии исторических данных, проверка доменных имен, выявление записей странного типа. Любое отклонение рассматривается как потенциальная угроза.
• Сетевая активность: прослеживаются соединения с сайтами внутри ИТ-инфраструктуры и внешнее подключение к новым портам и неизвестным хостингам.
• Мониторинг: мониторятся программы и приложения из системных компьютерных файлов. Если производятся запуск программ из каталогов System32 или SysWOW64, это считается риском для возможного вторжения.
• VPN: анализируются подключения из стран, которые ранее не использовались, фиксируется большой объем информации, передаваемый через VPN.

Преимущество использования UEBA

Применение метода UEBA в SIEM-системе KUMA снижает количество ложных срабатываний, выявляет сложные атаки. Нагрузка на ИБ-службы стабильная, что позволяет не снижать скорость загрузки файлов и объектов в ИТ-инфраструктуре.