Как работает технология UEBA в SIEM-системе KUMA

Тенденцией кибератак становится желание хакеров выдать повышенную активность за нормальный процесс. Для этого задействуются легитимные инструменты, сервисы, приложения, чтобы замаскировать вторжение вредоносной программы под обычную пользовательскую активность. При традиционных средствах защиты незначительная пользовательская активность незаметна. Но «Лаборатория Касперского» разработала технологию UEBA – поведенческий анализ пользователей, которая внедрена в SIEM-систему KUMA. Как она работает?

Особенности функционирования технологии UEBA

Технология выявления кибератак основана на поведенческом факторе пользователей и всех остальных объектов ИТ-инфраструктуры. Технология на основе машинного обучения анализирует поведение пользователей, измеряя их активность. SIEM-система обычно оснащена модулями детектирования, что помогает UEBA оценивать «нормальность» поведения пользователей и работы приложений. Благодаря этому выявляются APT, целевые атаки, фишинговые угрозы.

Оснащение SIEM-системы KUMA поведенческой технологией UEBA позволяет совершать комплексный анализ и выявлять аномальные действия пользователей или приложений. Сетевая активность на конечных точках подвергается тщательной фильтрации. Система стала более продвинутой, обнаруживает схемы вторжения, которые сложно выявить обычными правилами корреляции и сигнатуры.

Правила поведенческого фактора UEBA

• ·Статистические: для выявления аномального поведения с помощью межквартильного размаха.
• Исторические: анализа предыдущего поведения с проявлением аномальных отклонений.

При обнаружении аномалий одним из перечисленных способов производится генерация алертов с помощью искусственного интеллекта. О его применении в SIEM-системе KUMA читайте нашу статью.

На чем основан поведенческий фактор

Поведенческий анализ важен при защите рабочих станций, фильтрации сетевой активности, для безопасности аутентификации. В программе представлены следующие факторы.

• Аутентификация: система выявляет необычные способы входа в аккаунты, многочисленные ошибки ввода логина-пароля, блокирует вход пользователя в неположенное время.
• DNS-профиль: анализ DNS-запросов на предмет непонятных записей, длинных, нехарактерных доменных имен, непривычной геолокации и нетипичных запросов.
• Сетевая активность: фиксация первого сетевого подключения к новым портам, хостам, выявление повышенной активности входящего трафика. При обнаружении аномалий прибегаем к генерации алертов.
• VPN: анализ подключения, слишком быстрой замены геолокации, смена клиента, многочисленные ошибки при аутентификации и сбои.

Зачем использовать технологию UEBA

Использование технологии UEBA в SIEM-системе KUMA позволяет выявлять сложные атаки на начальном этапе внедрения, уменьшить ложные срабатывания системы. При первых признаках вторжения объекту присваивается повышенный уровень риска, что позволяет подключиться ИБ-специалистам «Лаборатории Касперского» к устранению киберугрозы.