网络安全新视角：用户与实体行为分析 (UEBA)
在数字化时代，安全漏洞的出现日益频繁，对企业构成了严峻挑战。为了有效应对这些威胁，用户和实体行为分析（UEBA）技术应运而生，它为组织提供了强大的检测和响应能力。
UEBA，原名用户行为分析（UBA），是一种先进的网络安全解决方案。它利用强大的分析技术，深入了解组织内部用户（员工）和实体（网络设备及服务器）的正常行为模式，从而能够实时识别并响应异常活动。
UEBA 的核心优势在于其能够识别并向安全分析师发出警报，提示那些可能预示风险的行为，包括：
- 横向移动：攻击者在网络中移动，寻找敏感资源。
- 特权账户滥用：非法使用拥有高权限的账户。
- 权限提升：攻击者试图获取更高的访问权限。
- 凭据泄露：员工账户信息被泄露或滥用。
- 内部威胁：来自组织内部人员的恶意行为。
此外，UEBA 还能够评估威胁级别，提供风险评分，为制定适当的响应策略提供有力支持。
本文将深入探讨 UEBA 的工作原理、组织采用 UEBA 的原因、其主要组成部分、在事件响应中的作用以及最佳实践。
UEBA 的工作机制
UEBA 的工作流程首先是从数据存储库（如数据湖、数据仓库）或通过 SIEM 系统收集关于组织内部人员和机器的预期行为信息。然后，UEBA 利用高级分析方法对这些数据进行处理，从而确定并定义行为模式的基线，如员工的登录地点、权限级别、访问的文件、服务器、时间频率以及使用的设备等。
接下来，UEBA 会持续监控用户和实体的活动，将其与建立的基线行为进行对比，从而判断哪些行为可能存在潜在风险。即使黑客获取了员工的登录信息，也难以模仿其日常行为，这也是 UEBA 的强大之处。它能够区分正常活动和攻击行为。
UEBA 解决方案的三大核心组件：
数据分析： UEBA 系统收集和整理用户及实体的数据，建立每个用户的标准行为档案。利用统计模型检测异常活动，并及时向安全团队发出警报。
数据集成： 为了增强系统的韧性，UEBA 将来自不同来源的数据（例如系统日志、数据包捕获数据等）与现有安全系统收集的数据进行整合和比较。
数据呈现： UEBA 系统会将其发现和响应过程进行清晰传达，通常会向安全分析师发出调查异常行为的请求。
UEBA 在事件响应中的价值
UEBA 技术通过机器学习和深度学习等先进技术，持续监控和分析组织中用户和机器的正常行为模式。一旦检测到与常规模式的偏差，系统会执行深入分析，判断异常行为是否构成真正的威胁。
为了进行分析，UEBA 会从不同的日志源（例如数据库、Windows AD、VPN、代理、文件和端点等）提取数据。通过整合这些输入信息和学习到的行为模式，UEBA 可以形成风险排名，并将详细的报告发送给安全分析师。
举个例子，如果一名员工首次通过 VPN 从非洲接入网络，这并不一定代表威胁，因为他可能只是在旅行。但是，如果同一名员工突然访问财务子网，UEBA 就会认为该员工的活动可疑，并向安全团队发出警报。
再看一个案例：
哈利是纽约西奈山医院的一名员工，由于经济拮据，他计划在晚上 7 点，趁办公室无人时，将患者的敏感信息下载到 USB 设备上，然后在黑市上出售。幸运的是，西奈山医院部署了 UEBA 解决方案，实时监控网络内每个用户和实体的行为。
尽管哈利拥有访问患者信息的权限，UEBA 系统还是会在检测到他的日常活动偏差时提高风险评分，因为他通常是在上午 9 点到下午 5 点之间查看、创建和编辑患者记录。当哈利试图在晚上 7 点访问信息时，系统会识别出模式和时间上的违规，并给出较高的风险评分。
您可以根据需要配置 UEBA 系统，使其能够简单地向安全团队发出警报，建议进行进一步调查，或者设置为自动采取行动，例如由于可疑的网络攻击自动关闭该员工的网络连接。
为什么组织需要 UEBA？
随着黑客攻击手段日益复杂，难以检测，UEBA 解决方案对组织至关重要，尤其是在威胁来自内部时。最近的网络安全统计数据显示，全球范围内超过 34% 的公司受到内部威胁的影响，而 85% 的企业表示难以量化内部攻击的实际成本。
因此，安全团队正在转向更新的检测和事件响应（IR）方法。为了平衡和增强安全系统，安全分析师正在将 UEBA 等技术与传统的 SIEM 和其他遗留预防系统相结合。
与其他传统安全解决方案相比，UEBA 能够提供更强大的内部威胁检测系统。它不仅可以监控异常的人类行为，还可以监控可疑的横向移动。此外，UEBA 还会跟踪在云服务、移动设备和物联网设备上的活动。
一个先进的 UEBA 系统可以从不同的日志源中提取数据，并为安全分析师构建详细的攻击报告。这样可以节省安全团队大量时间，无需再逐个检查日志来判断攻击造成的实际损失。
下面列举了 UEBA 的几个典型用例。
UEBA 的六大典型应用
#1. UEBA 可以检测用户在正常行为之外执行的危险活动，从而识别内部特权滥用。
#2. UEBA 能够整合来自不同来源的可疑信息，形成风险评分，从而对风险进行排名。
#3. UEBA 通过减少误报，实现事件优先级排序。从而消除警报疲劳，使安全团队可以专注于高风险警报。
#4. UEBA 可以有效防止数据丢失和数据泄露，当系统检测到敏感数据在网络中移动或传输出网络时，会立即发出警报。
#5. UEBA 有助于检测可能窃取员工登录凭据的黑客在网络中的横向移动。
#6. UEBA 还提供自动事件响应功能，使安全团队能够实时响应安全事件。
UEBA 如何改进 UBA 和 SIEM 等遗留安全系统
UEBA 并非要取代其他安全系统，而是作为一种重要补充，与其他解决方案协同工作，实现更有效的网络安全。与用户行为分析（UBA）不同的是，UEBA 涵盖了“实体”和“事件”，如服务器、路由器和端点。
UEBA 解决方案比 UBA 更全面，因为它会监控非人类进程和机器实体，从而更准确地识别威胁。SIEM 代表安全信息和事件管理。传统的遗留 SIEM 可能无法自行检测复杂的威胁，因为它并非旨在实时监控威胁。考虑到黑客通常会避免简单的一次性攻击，而是参与一系列复杂的攻击，他们可能会在数周甚至数月内未被 SIEM 等传统威胁检测工具检测到。
而复杂的 UEBA 解决方案解决了这个限制。 UEBA 系统分析 SIEM 存储的数据，并协同工作，从而能够实时监控威胁，实现快速响应漏洞。
因此，通过整合 UEBA 和 SIEM 工具，组织可以更有效地检测和分析威胁、快速解决漏洞并避免攻击。
UEBA 最佳实践
以下是用户行为分析的五种最佳实践，有助于深入了解在建立用户行为基线时的注意事项。
#1. 定义用例：明确 UEBA 解决方案需要识别的用例，如特权账户滥用、凭证泄露或内部威胁。明确用例有助于确定需要收集哪些数据进行监控。
#2. 定义数据源：UEBA 系统可以处理的数据类型越多，基线就越精确。一些数据源包括系统日志或人力资源数据，例如员工绩效历史记录。
#3. 定义关于将收集哪些数据的行为：包括员工的工作时间、他们经常访问的应用程序和设备以及打字节奏等。这些数据可以帮助您更好地理解误报的原因。
#4. 设置建立基线的持续时间：在确定基线期的持续时间时，必须考虑企业的安全目标和用户的活动。基线期不宜过短或过长。如果过短，可能无法收集到正确的信息，导致误报率过高。如果过长，一些恶意活动可能会被正常通过。
#5. 定期更新基线数据：由于用户和实体的活动会不断变化，您可能需要定期重建基线数据。员工可能会得到晋升，改变任务、项目、权限级别和活动。UEBA 系统可以设置为自动收集数据，并在发生变化时调整基线数据。
总结
随着我们对技术的依赖程度日益提高，网络安全威胁也变得越来越复杂。大型企业必须保护存储敏感数据的系统，以避免大规模的安全漏洞。UEBA 为企业提供了一个可以实时响应事件的系统，有效预防攻击。