Ostatnie wycieki danych, takie jak w przypadku firmy Sony, Target czy Ashley Madison, były dokładnie zaplanowane i nie wykryto ich od razu. Atakujący mogli swobodnie poruszać się wewnątrz środowiska IT ofiar. Działanie z wewnątrz organizacji ma przewagę nad infrastrukturą bezpieczeństwa firmy, ponieważ narzędzia te zostały stworzone do ochrony przed zewnętrznymi zagrożeniami, a nie przed własnymi, zaufanymi pracownikami. W ukierunkowanych atakach wykorzystuje się kombinacje luk systemowych, inżynierię społeczną i zwykłe przestępstwa, aby pozyskać nieautoryzowany dostęp do wewnętrznej sieci firmowej.

Oznacza to, że nowy obszar ochrony, gdzie firmy powinny skoncentrować swoje działania, to użytkownicy ich systemów. Analiza behawioralna użytkowników (User Behavior Analytics – UBA) jest wdrożeniem tego podejścia i koncentruje się na tym, co wewnętrzni i zewnętrzni użytkownicy robią w systemie. Poprzez wykrywanie odchyleń od normalnego zachowania rozwiązania analizy behawioralnej użytkownika pomagają firmom skupić swoje zasoby zabezpieczeń na ważnych wydarzeniach, a także umożliwić im aktualizację i optymalizację narzędzi kontroli, uzyskując przy tym większą wydajność pracy całej organizacji.

- Trzeba sobie uświadomić, że atakujący zawsze będą krok przed nami. To nie jest kwestia, kiedy cyberprzestępcy dostaną się do naszej sieci. Jeżeli nasze dane są dla nich wystarczająco cenne, to będą próbowali je zdobyć aż do skutku, a może już są wewnątrz naszej sieci. To jest kwestia tego, czy będziemy w stanie ich wykryć, zanim oni dokonają rzeczywistych szkód - komentuje Márton Illés, Product Evangelist, BalaBit.

UBA a tradycyjne rozwiązania bezpieczeństwa

Tradycyjne produkty i techniki bezpieczeństwa IT wykorzystują technologie oparte na wzorcach do wykrywania i blokowania ataków. Prewencyjne produkty bezpieczeństwa przyjmują formę zapisanej wiedzy o wirusach i sposobach ataków, czasem poszerzonej o prostą heurystykę, na przykład antywirusy lub rozwiązania obronne APT (Advanced Persistent Threat). Rozwiązania monitoringu, jak IDS lub SIEM działają podobnie, wykorzystują wzory dostarczone przez sprzedawcę lub utworzone przez użytkownika. Jednak w obu przypadkach produkty te mogą jedynie wykrywać zdarzenia lub ataki, do których są przygotowywane. Heurystyka może poszerzyć możliwości tych narzędzi bezpieczeństwa do wykrywania wirusów polimorficznych lub uprzednio niewykrywalnych ataków z użyciem podobnych wzorców, jednakże nie są w stanie rozwiązać nieznanych wcześniej technik ataku. Niemożliwe jest stworzenie „uniwersalnych” wzorców lub elastycznej heurystyki na wszystkie przypadki.

Rozwiązania analityki behawioralnej użytkowników (UBA) zapewniają doskonałą okazję do obrony przed zagrożeniami APT i innymi związanymi z poświadczeniem wewnętrznego użytkownika. Jednakże nie oznacza to, że jest to nowe objawienie branży bezpieczeństwa IT. Narzędzia UBA nie są substytutem, lecz uzupełnieniem dla dotychczasowych rozwiązań SIEM do zarządzania informacją związaną z bezpieczeństwem i zdarzeniami. Obecnie istnieje ogromna dysproporcja między tymi narzędziami bezpieczeństwa, które kontrolują i tymi, które monitorują infrastrukturę IT. Zarządzający bezpieczeństwem w organizacjach stawiają na prewencję, próbują zrozumieć znane zagrożenia i zdefiniować poziom zaufania. W ten sposób budują coraz więcej warstw kontroli dostępu, polityk i zapór, korzystając z gotowych wzorców i reguł w celu wykrycia tych zagrożeń. Ale jeszcze większe zapory i jeszcze większa kontrola nie dają oczekiwanego rezultatu, jak pokazują ostatnie naruszenia bezpieczeństwa i wycieki danych.

Jednakże powszechność outsourcingu, cloud computing i BYOD oznacza, że nadążanie za zmianami wymaga dużej ilości zasobów i likwidowanie niedopuszczalnych ograniczeń dla biznesu. Zbyt duża kontrola nie może zapewnić bezpieczeństwa i w tym samym czasie umożliwić ludziom wykonywanie ich pracy – należy zaufać pracownikom, aby dobrze wykonywali swoje zadania. Narzędzia UBA dają właśnie tę swobodę użytkownikom, ale natychmiast interweniują i reagują, jeżeli jeden z nich staje się prawdziwym zagrożeniem dla firmy.

Jak UBA działa?

Użytkownicy zostawiają swoje ślady w całym systemie, podczas korzystania przez nich z całej infrastruktury IT firmy. Ich działania są widoczne poprzez dzienniki zdarzeń (logi), w ścieżkach audytu, logi zmian w aplikacjach biznesowych oraz w wielu innych miejscach, takich jak rozwiązania SIEM lub PAM (Pluggable Authentication Modules). To jest olbrzymia liczba danych, które już istnieją. Rozwiązania UBA nie wymagają predefiniowanych reguł korelacji, żadnych dodatkowych sond i środków potrzebnych do uruchomienia; po prostu pracują z istniejącymi danymi. Pierwszym krokiem jest zebranie informacji. UBA nie dodaje nowych warstw monitoringu – jedynie gromadzi i analizuje istniejące już dane. Użytkownicy mogą być pewni, że dane zostały wykorzystane jedynie do utrzymania bezpieczeństwa. Ponadto niektóre rozwiązania UBA są w stanie realizować pseudonimizację, czyli zastępować pola identyfikacyjne pseudonimami.

Przy użyciu zgromadzonych danych możliwe jest zbudowanie bazy „normalnych” zachowań użytkowników. Są to informacje dotyczące: czasu, kiedy są oni zwykle aktywni, jakich aplikacji, programów, funkcji używają, w jaki sposób ich używają itd. Rozwiązania UBA stosują różne algorytmy uczenia się w celu utworzenia profili użytkowników.

Po ustaleniu bazowych danych narzędzia UBA są w stanie porównać bieżącą aktywność użytkownika do jego zwykłego zachowania i zidentyfikować nietypowe działania w czasie rzeczywistym. Osoba atakująca za pomocą shakowanego konta lub szkodliwego oprogramowanie będzie współdziałać z systemem inaczej niż zwykły użytkownik - na przykład będzie chciała się połączyć z innymi serwerami, zaloguje się do innych miejsc, w innym czasie, będzie pobierać więcej niż zwykle danych. Porównując te działania do bazowych danych z profilu użytkownika, można je wychwycić w czasie rzeczywistym, w momencie gdy są realizowane.

Poprzez wykrywanie podejrzanych działań w czasie rzeczywistym, możliwa staje się natychmiastowa reakcja. Automatyczna reakcja może znacznie skrócić czas działania przestępcy i udaremnić faktyczny atak. W większości scenariuszy cyberataku, wydarzenie o dużym znaczeniu jest poprzedzone fazą rozpoznawczą. Ważne jest wykrywanie i reagowanie na tym początkowym etapie, aby zapobiec dalszej działalności przestępczej. Reakcje mogą wahać się od prostego zgłoszenia anomalii odpowiedniemu administratorowi systemu do zawieszenia danego konta i może się to odbyć automatycznie lub poprzez zaangażowanie specjalisty w celu bardziej szczegółowej oceny danego podejrzanego wydarzenia.