Remarque\u00a0: Dans la rubrique suivante que vous allez lire, vous d\u00e9couvrirez\u00a0: Comprendre l’UEBA et son r\u00f4le dans la r\u00e9ponse aux incidents.<\/p>\n
Les failles de s\u00e9curit\u00e9 sont devenues de plus en plus courantes dans le monde num\u00e9rique. L’UEBA aide les organisations \u00e0 d\u00e9tecter et \u00e0 r\u00e9pondre \u00e0 ces incidents.<\/p>\n
L’analyse du comportement des utilisateurs et des entit\u00e9s (UEBA) \u00e9tait auparavant connue sous le nom d’analyse du comportement des utilisateurs (UBA). Il s’agit d’une solution de cybers\u00e9curit\u00e9 qui utilise l’analyse pour comprendre comment les utilisateurs (humains) et les entit\u00e9s (appareils et serveurs en r\u00e9seau) d’une organisation se comportent g\u00e9n\u00e9ralement pour d\u00e9tecter et r\u00e9pondre aux activit\u00e9s anormales en temps r\u00e9el.<\/p>\n
L’UEBA peut identifier et alerter les analystes de s\u00e9curit\u00e9 des variations \u00e0 risque et des comportements suspects qui pourraient indiquer\u00a0:<\/p>\n
L’UEBA \u00e9value \u00e9galement plus en d\u00e9tail le niveau de menace et fournit un score de risque qui peut aider \u00e0 \u00e9tablir une r\u00e9ponse appropri\u00e9e.<\/p>\n
Poursuivez votre lecture pour d\u00e9couvrir comment fonctionne l’UEBA, pourquoi les organisations optent pour l’UEBA, les principaux composants de l’UEBA, le r\u00f4le de l’UEBA dans la r\u00e9ponse aux incidents et les meilleures pratiques de l’UEBA.<\/p>\n
L’analyse du comportement des utilisateurs et des entit\u00e9s collecte d’abord des informations sur le comportement attendu des personnes et des machines de votre organisation \u00e0 partir de r\u00e9f\u00e9rentiels de donn\u00e9es tels qu’un lac de donn\u00e9es, un entrep\u00f4t de donn\u00e9es ou via SIEM.<\/p>\n
L’UEBA utilise ensuite des approches analytiques avanc\u00e9es pour traiter ces informations afin de d\u00e9terminer et de d\u00e9finir davantage une base de mod\u00e8les de comportement\u00a0: l’endroit \u00e0 partir duquel un employ\u00e9 se connecte, son niveau de privil\u00e8ge, les fichiers, les serveurs fr\u00e9quemment consult\u00e9s, l’heure et la fr\u00e9quence d’acc\u00e8s et les appareils que vous utilisez pour y acc\u00e9der.<\/p>\n
L’UEBA surveille ensuite en permanence les activit\u00e9s des utilisateurs et des entit\u00e9s, les compare au comportement de base et d\u00e9cide quelles actions pourraient entra\u00eener une attaque.<\/p>\n
L’UEBA peut savoir quand un utilisateur effectue des activit\u00e9s normales et quand une attaque se produit. M\u00eame si un pirate informatique peut acc\u00e9der aux informations de connexion d’un employ\u00e9, celui-ci ne pourra pas imiter ses activit\u00e9s et son comportement habituels.<\/p>\n
Analyse de donn\u00e9es:<\/b> L’UEBA collecte et organise les donn\u00e9es des utilisateurs et des entit\u00e9s pour cr\u00e9er un profil standard de la fa\u00e7on dont chaque utilisateur agit g\u00e9n\u00e9ralement. Des mod\u00e8les statistiques sont ensuite formul\u00e9s et appliqu\u00e9s pour d\u00e9tecter toute activit\u00e9 anormale et alerter l’\u00e9quipe de s\u00e9curit\u00e9.<\/p>\n
Int\u00e9gration de donn\u00e9es:<\/strong> Pour rendre le syst\u00e8me plus r\u00e9silient, l’UEBA compare les donn\u00e9es obtenues \u00e0 partir de diverses sources, telles que les journaux syst\u00e8me, les donn\u00e9es de capture de paquets et d’autres ensembles de donn\u00e9es, avec les donn\u00e9es collect\u00e9es \u00e0 partir des syst\u00e8mes de s\u00e9curit\u00e9 existants.<\/p>\n Pr\u00e9sentation des donn\u00e9es:<\/b> Processus par lequel le syst\u00e8me UEBA communique ses conclusions et la r\u00e9ponse appropri\u00e9e. Ce processus implique g\u00e9n\u00e9ralement l’envoi d’une demande aux analystes de s\u00e9curit\u00e9 pour enqu\u00eater sur un comportement inhabituel.<\/p>\n L’analyse du comportement des utilisateurs et des entit\u00e9s utilise l’apprentissage automatique et l’apprentissage profond pour surveiller et analyser le comportement typique des humains et des machines de votre organisation.<\/p>\n S’il y a un \u00e9cart par rapport au mod\u00e8le habituel, le syst\u00e8me UEBA le d\u00e9tecte et effectue une analyse qui d\u00e9termine si le comportement inhabituel repr\u00e9sente une menace r\u00e9elle ou non.<\/p>\n UEBA ing\u00e8re des donn\u00e9es provenant de diff\u00e9rentes sources de journaux telles qu’une base de donn\u00e9es, Windows AD, VPN, proxy, badge, fichiers et points de terminaison pour effectuer cette analyse. Gr\u00e2ce \u00e0 ces entr\u00e9es et au comportement appris, l’UEBA peut fusionner les informations pour obtenir un score final pour la classification des risques et envoyer un rapport d\u00e9taill\u00e9 aux analystes de s\u00e9curit\u00e9.<\/p>\n Par exemple, l\u2019UEBA peut observer pour la premi\u00e8re fois un employ\u00e9 se connectant via VPN depuis l\u2019Afrique. Ce n\u2019est pas parce que le comportement de l\u2019employ\u00e9 est anormal qu\u2019il constitue une menace ; l’utilisateur peut simplement voyager. Cependant, si le m\u00eame employ\u00e9 du service RH acc\u00e8de soudainement au sous-r\u00e9seau financier, l’UEBA reconna\u00eetra les activit\u00e9s de l’employ\u00e9 comme suspectes et alertera l’\u00e9quipe de s\u00e9curit\u00e9.<\/p>\n Voici un autre sc\u00e9nario connexe.<\/p>\n Harry, employ\u00e9 de l’h\u00f4pital Mount Sinai de New York, a d\u00e9sesp\u00e9r\u00e9ment besoin d’argent. Ce jour-l\u00e0, Harry attend que tout le monde quitte le bureau, puis t\u00e9l\u00e9charge les informations confidentielles des patients sur une cl\u00e9 USB \u00e0 19 heures. Il a l’intention de vendre les donn\u00e9es vol\u00e9es sur le march\u00e9 noir au prix fort.<\/p>\n Heureusement, l’h\u00f4pital Mount Sinai utilise une solution UEBA, qui surveille le comportement de chaque utilisateur et entit\u00e9 au sein du r\u00e9seau hospitalier.<\/p>\n Bien qu’Harry soit autoris\u00e9 \u00e0 acc\u00e9der aux informations des patients, le syst\u00e8me UEBA augmente son score de risque lorsqu’il d\u00e9tecte un \u00e9cart par rapport \u00e0 ses activit\u00e9s habituelles, qui impliquent g\u00e9n\u00e9ralement la visualisation, la cr\u00e9ation et la modification des dossiers des patients entre 9 h et 17 h.<\/p>\n Lorsqu’Harry tente d’acc\u00e9der aux informations \u00e0 19 heures, le syst\u00e8me identifie des tendances et des irr\u00e9gularit\u00e9s au fil du temps et attribue un score de risque.<\/p>\n Vous pouvez configurer votre syst\u00e8me UEBA pour cr\u00e9er simplement une alerte permettant \u00e0 l’\u00e9quipe de s\u00e9curit\u00e9 de sugg\u00e9rer une enqu\u00eate plus approfondie, ou vous pouvez le configurer pour prendre des mesures imm\u00e9diates, comme la fermeture automatique de la connectivit\u00e9 r\u00e9seau pour cet employ\u00e9 en raison d’une cyberattaque pr\u00e9sum\u00e9e.<\/p>\n Une solution UEBA est essentielle pour les organisations car les pirates informatiques m\u00e8nent des attaques de plus en plus sophistiqu\u00e9es et de plus en plus difficiles \u00e0 d\u00e9tecter. Cela est particuli\u00e8rement vrai dans les cas o\u00f9 la menace vient de l\u2019int\u00e9rieur.<\/p>\n Selon des statistiques r\u00e9centes sur la cybers\u00e9curit\u00e9, plus de 34 % des entreprises sont touch\u00e9es par des menaces internes dans le monde. Par ailleurs, 85 % des entreprises d\u00e9clarent qu\u2019il est difficile de quantifier le co\u00fbt r\u00e9el d\u2019une attaque interne.<\/p>\n En cons\u00e9quence, les \u00e9quipes de s\u00e9curit\u00e9 s\u2019orientent vers de nouvelles approches de d\u00e9tection et de r\u00e9ponse aux incidents (IR). Pour \u00e9quilibrer et renforcer leurs syst\u00e8mes de s\u00e9curit\u00e9, les analystes en s\u00e9curit\u00e9 fusionnent des technologies telles que l’analyse du comportement des utilisateurs et des entit\u00e9s (UEBA) avec le SIEM conventionnel et d’autres syst\u00e8mes de pr\u00e9vention existants.<\/p>\n UEBA vous offre un syst\u00e8me de d\u00e9tection des menaces internes plus puissant que les autres solutions de s\u00e9curit\u00e9 traditionnelles. Il surveille non seulement les comportements humains anormaux, mais \u00e9galement les mouvements lat\u00e9raux suspects. L’UEBA suit \u00e9galement les activit\u00e9s sur ses services cloud, ses appareils mobiles et ses appareils Internet des objets.<\/p>\n Un syst\u00e8me UEBA sophistiqu\u00e9 ing\u00e8re les donn\u00e9es de toutes les diff\u00e9rentes sources de journaux et g\u00e9n\u00e8re un rapport d’attaque d\u00e9taill\u00e9 pour vos analystes de s\u00e9curit\u00e9. Cela permet \u00e0 votre \u00e9quipe de s\u00e9curit\u00e9 de perdre du temps \u00e0 examiner d’innombrables journaux pour d\u00e9terminer les dommages r\u00e9els dus \u00e0 une attaque.<\/p>\n Voici quelques-uns des nombreux cas d\u2019utilisation de l\u2019UEBA.<\/p>\n #1.<\/strong> L’UEBA d\u00e9tecte les abus de privil\u00e8ges internes lorsque les utilisateurs effectuent des activit\u00e9s \u00e0 risque en dehors du comportement normal \u00e9tabli.<\/p>\n #2. <\/strong>L’UEBA fusionne les informations suspectes provenant de diff\u00e9rentes sources pour cr\u00e9er un score de risque pour la classification des risques.<\/p>\n #3.<\/strong> L’UEBA hi\u00e9rarchise les incidents en r\u00e9duisant les faux positifs. Il \u00e9limine la fatigue des alertes et permet aux \u00e9quipes de s\u00e9curit\u00e9 de se concentrer sur les alertes \u00e0 haut risque.<\/p>\n #4.<\/strong> UEBA emp\u00eache la perte et l’exfiltration de donn\u00e9es car le syst\u00e8me envoie des alertes lorsqu’il d\u00e9tecte des donn\u00e9es sensibles circulant au sein du r\u00e9seau ou transf\u00e9r\u00e9es en dehors du r\u00e9seau.<\/p>\n #5.<\/strong> L’UEBA aide \u00e0 d\u00e9tecter les mouvements lat\u00e9raux des pirates au sein du r\u00e9seau qui pourraient avoir vol\u00e9 les identifiants de connexion des employ\u00e9s.<\/p>\n #6. <\/strong>L’UEBA fournit \u00e9galement des r\u00e9ponses automatis\u00e9es aux incidents, permettant aux \u00e9quipes de s\u00e9curit\u00e9 de r\u00e9pondre aux incidents de s\u00e9curit\u00e9 en temps r\u00e9el.<\/p>\n UEBA ne remplace pas d’autres syst\u00e8mes de s\u00e9curit\u00e9, mais repr\u00e9sente une am\u00e9lioration significative utilis\u00e9e en conjonction avec d’autres solutions pour une cybers\u00e9curit\u00e9 plus efficace. L’UEBA diff\u00e8re de l’analyse du comportement des utilisateurs (UBA) dans la mesure o\u00f9 l’UEBA inclut des \u00ab entit\u00e9s \u00bb et des \u00ab \u00e9v\u00e9nements \u00bb, tels que des serveurs, des routeurs et des points de terminaison.<\/p>\n Une solution UEBA est plus compl\u00e8te qu’UBA car elle surveille les processus non humains et les entit\u00e9s machine pour identifier les menaces avec plus de pr\u00e9cision.<\/p>\n SIEM signifie gestion des informations de s\u00e9curit\u00e9 et des \u00e9v\u00e9nements. Le SIEM traditionnel traditionnel n\u2019est peut-\u00eatre pas capable de d\u00e9tecter \u00e0 lui seul les menaces sophistiqu\u00e9es, car il n\u2019est pas con\u00e7u pour surveiller les menaces en temps r\u00e9el. Et \u00e9tant donn\u00e9 que les pirates \u00e9vitent souvent de simples attaques ponctuelles et se lancent plut\u00f4t dans une cha\u00eene d\u2019attaques sophistiqu\u00e9es, ils peuvent passer inaper\u00e7us par les outils de d\u00e9tection des menaces traditionnels comme SIEM pendant des semaines, voire des mois.<\/p>\n Une solution UEBA sophistiqu\u00e9e r\u00e9sout cette limitation. Les syst\u00e8mes UEBA analysent les donn\u00e9es stock\u00e9es par SIEM et travaillent ensemble pour surveiller les menaces en temps r\u00e9el, vous permettant ainsi de r\u00e9pondre aux violations rapidement et sans effort.<\/p>\n Par cons\u00e9quent, en fusionnant les outils UEBA et SIEM, les organisations peuvent \u00eatre beaucoup plus efficaces pour d\u00e9tecter et analyser les menaces, traiter rapidement les vuln\u00e9rabilit\u00e9s et pr\u00e9venir les attaques.<\/p>\n Voici cinq bonnes pratiques pour l\u2019analyse du comportement des utilisateurs qui donnent un aper\u00e7u de ce qu\u2019il faut faire lors de la cr\u00e9ation d\u2019une r\u00e9f\u00e9rence pour le comportement des utilisateurs.<\/p>\n #1. D\u00e9finir des cas d’utilisation<\/strong><\/p>\n D\u00e9finissez les cas d’utilisation que vous souhaitez que votre solution UEBA identifie. Il peut s’agir de la d\u00e9tection d’abus de comptes privil\u00e9gi\u00e9s, de compromission d’identifiants ou de menaces internes. La d\u00e9finition de cas d’utilisation vous aide \u00e0 d\u00e9terminer les donn\u00e9es \u00e0 collecter pour la surveillance.<\/p>\n #2. D\u00e9finir les sources de donn\u00e9es<\/strong><\/p>\n Plus vos syst\u00e8mes UEBA peuvent g\u00e9rer de types de donn\u00e9es, plus la r\u00e9f\u00e9rence sera pr\u00e9cise. Certaines sources de donn\u00e9es incluent des journaux syst\u00e8me ou des donn\u00e9es de ressources humaines, telles que l’historique des performances des employ\u00e9s.<\/p>\n #3. D\u00e9finir les comportements sur lesquels les donn\u00e9es seront collect\u00e9es<\/strong><\/p>\n Cela peut inclure les heures de travail des employ\u00e9s, les applications et les appareils auxquels ils acc\u00e8dent fr\u00e9quemment, ainsi que les rythmes de frappe. Avec ces donn\u00e9es en place, vous pouvez mieux comprendre les raisons possibles des faux positifs.<\/p>\n #4. D\u00e9finir une dur\u00e9e pour \u00e9tablir la r\u00e9f\u00e9rence<\/strong><\/p>\n Lors de la d\u00e9termination de la dur\u00e9e de votre p\u00e9riode de r\u00e9f\u00e9rence, il est essentiel de prendre en compte les objectifs de s\u00e9curit\u00e9 de votre entreprise et les activit\u00e9s de vos utilisateurs.<\/p>\n La p\u00e9riode de r\u00e9f\u00e9rence ne doit \u00eatre ni trop courte ni trop longue. En effet, vous ne pourrez peut-\u00eatre pas collecter les informations correctes si vous terminez la dur\u00e9e de r\u00e9f\u00e9rence trop rapidement, ce qui entra\u00eenera un taux de faux positifs \u00e9lev\u00e9. D\u2019un autre c\u00f4t\u00e9, certaines activit\u00e9s malveillantes peuvent se d\u00e9rouler normalement si la collecte des informations de r\u00e9f\u00e9rence prend trop de temps.<\/p>\n #5. Mettez r\u00e9guli\u00e8rement \u00e0 jour vos donn\u00e9es de r\u00e9f\u00e9rence<\/strong><\/p>\n Vous devrez peut-\u00eatre reconstruire r\u00e9guli\u00e8rement vos donn\u00e9es de r\u00e9f\u00e9rence, car les activit\u00e9s des utilisateurs et des entit\u00e9s changent constamment. Un employ\u00e9 peut \u00eatre promu et modifier ses t\u00e2ches et projets, son niveau de privil\u00e8ge et ses activit\u00e9s. Les syst\u00e8mes UEBA peuvent \u00eatre automatiquement configur\u00e9s pour collecter des donn\u00e9es et ajuster les donn\u00e9es de base lorsque des changements se produisent.<\/p>\n \u00c0 mesure que nous d\u00e9pendons de plus en plus de la technologie, les menaces en mati\u00e8re de cybers\u00e9curit\u00e9 deviennent plus complexes. Une grande entreprise doit prot\u00e9ger ses syst\u00e8mes qui contiennent ses propres donn\u00e9es sensibles et celles de ses clients afin d’\u00e9viter des failles de s\u00e9curit\u00e9 \u00e0 grande \u00e9chelle. L’UEBA propose un syst\u00e8me de r\u00e9ponse aux incidents en temps r\u00e9el qui peut pr\u00e9venir les attaques.<\/p>\n <\/span>Le r\u00f4le de l’UEBA dans la r\u00e9ponse aux incidents<\/span><\/h2>\n
<\/span>Ai-je besoin d\u2019une solution UEBA ?<\/span><\/h2>\n
<\/span>Top 6 des cas d’utilisation de l’UEBA<\/span><\/h3>\n
<\/span>Comment UEBA am\u00e9liore UBA et les syst\u00e8mes de s\u00e9curit\u00e9 existants comme SIEM<\/span><\/h3>\n
<\/span>Meilleures pratiques d\u2019analyse du comportement des utilisateurs et des entit\u00e9s<\/span><\/h2>\n
<\/span>Derniers mots<\/span><\/h3>\n