आज हम नवीनतम गार्टनर अध्ययन के आधार पर उपयोगकर्ता और इकाई व्यवहार विश्लेषण प्रणाली (UEBA) के लिए बाजार का एक संक्षिप्त अवलोकन प्रदान करेंगे। UEBA बाजार थ्रेट-फेसिंग टेक्नोलॉजीज के लिए गार्टनर हाइप साइकिल के "निराशा चरण" के निचले भाग पर है, जो इस तकनीक की परिपक्वता को इंगित करता है। लेकिन स्थिति का विरोधाभास यूईबीए प्रौद्योगिकियों में निवेश के एक साथ समग्र विकास और स्वतंत्र यूबीबीए समाधान के लुप्त होते बाजार में है। गार्टनर ने भविष्यवाणी की कि UEBA सूचना सुरक्षा के क्षेत्र में संबंधित समाधानों की कार्यक्षमता का हिस्सा बन जाएगा। शब्द "यूईबीए" की तारीख से बाहर जाने की संभावना है और इसे एक समान दायरे (उदाहरण के लिए, "उपयोगकर्ता के व्यवहार का विश्लेषण") पर केंद्रित एक अन्य संक्षिप्त नाम द्वारा प्रतिस्थापित किया जाएगा, एक समान दायरे (उदाहरण के लिए, "डेटा उपयोग") या बस में बदल जाते हैं कुछ नए चर्चा (उदाहरण के लिए, "कृत्रिम बुद्धिमत्ता" [एआई] शब्द दिलचस्प लगता है, हालांकि यह आधुनिक यूईबीए निर्माताओं के लिए कोई मतलब नहीं है)।

गार्टनर के अध्ययन के मुख्य निष्कर्षों को संक्षेप में प्रस्तुत किया जा सकता है:

• उपयोगकर्ताओं और संस्थाओं के व्यवहार विश्लेषिकी के बाजार की परिपक्वता की पुष्टि यह तथ्य है कि इन प्रौद्योगिकियों का उपयोग मध्यम और बड़े कॉर्पोरेट सेगमेंट द्वारा कई व्यावसायिक कार्यों को हल करने के लिए किया जाता है;
• UEBA एनालिटिक्स फ़ंक्शन संबंधित सूचना सुरक्षा तकनीकों की एक विस्तृत श्रृंखला में निर्मित होते हैं, जैसे कि सुरक्षित क्लाउड एक्सेस ब्रोकर्स (CASB), पहचान प्रबंधन और प्रशासन प्रणाली (IGA) CRM सिस्टम;
• UEBA विक्रेताओं के आसपास के प्रचार और "कृत्रिम बुद्धिमत्ता" शब्द का गलत उपयोग ग्राहकों की प्रौद्योगिकियों और पायलट प्रोजेक्ट के बिना समाधानों की कार्यक्षमता के बीच वास्तविक अंतर की समझ को जटिल बनाता है;
• खरीदार ध्यान दें कि यूईबीए समाधानों के कार्यान्वयन और दिन-प्रतिदिन के उपयोग का समय अधिक समय लेने वाला हो सकता है और निर्माता वादों की तुलना में अधिक समय ले सकता है, भले ही केवल बुनियादी पहचान मॉडल पर विचार किया जाए। अपने स्वयं के या सीमा आवेदन परिदृश्यों को जोड़ना अत्यंत कठिन हो सकता है और इसके लिए डेटा विज्ञान और विश्लेषण में विशेषज्ञता की आवश्यकता होती है।

बाजार के विकास के लिए रणनीतिक पूर्वानुमान:

• 2021 तक, उपयोगकर्ता और इकाई व्यवहार विश्लेषण प्रणालियों (UEBA) के लिए बाजार एक अलग क्षेत्र के रूप में मौजूद रहेगा और UEBA कार्यक्षमता के साथ अन्य समाधानों की ओर शिफ्ट होगा;
• 2020 तक, सभी UEBA की 95% तैनाती एक व्यापक सुरक्षा मंच की कार्यक्षमता का हिस्सा होगी।

यूईबीए समाधानों को परिभाषित करना

UEBA समाधान उपयोगकर्ताओं और अन्य संस्थाओं (उदाहरण के लिए, होस्ट, एप्लिकेशन, नेटवर्क ट्रैफ़िक और डेटा स्टोरेज) की गतिविधि को मापने के लिए अंतर्निहित एनालिटिक्स का उपयोग करते हैं।
वे खतरों और संभावित घटनाओं का पता लगाते हैं, आमतौर पर एक निश्चित अवधि में समान समूहों में उपयोगकर्ताओं और संस्थाओं के मानक प्रोफ़ाइल और व्यवहार की तुलना में असामान्य गतिविधि का प्रतिनिधित्व करते हैं।

कॉरपोरेट सेगमेंट में सबसे आम एप्लिकेशन परिदृश्य हैं खतरे का पता लगाने और प्रतिक्रिया, साथ ही आंतरिक खतरों का पता लगाने और प्रतिक्रिया (ज्यादातर मामलों में, समझौता किए गए अंदरूनी लोगों के लिए; कभी-कभी आंतरिक हमलावरों के लिए)।

UEBA एक समाधान और एक विशिष्ट उपकरण में निर्मित एक फ़ंक्शन दोनों है:

• समाधान "क्लीन" यूईबीए प्लेटफॉर्म के निर्माता हैं, जिसमें वे विक्रेता भी शामिल हैं जो अलग से सीएमईजी समाधान बेचते हैं। उपयोगकर्ताओं और संस्थाओं दोनों के व्यवहार का विश्लेषण करने में कई व्यावसायिक कार्यों पर ध्यान केंद्रित किया गया है।
• एंबेडेड - निर्माता / विभाग अपने समाधानों में यूईबीए कार्यों और प्रौद्योगिकियों को एकीकृत करते हैं। आमतौर पर व्यावसायिक कार्यों के अधिक विशिष्ट सेट पर ध्यान केंद्रित किया जाता है। इस मामले में, यूईबीए का उपयोग उपयोगकर्ताओं और / या संस्थाओं के व्यवहार का विश्लेषण करने के लिए किया जाता है।

गार्टनर यूएबीए को तीन अक्षों के क्रॉस-सेक्शन में जांचता है, जिसमें सॉल्व करने योग्य कार्य, एनालिटिक्स और डेटा स्रोत (आंकड़ा देखें) शामिल हैं।

साफ UEBA प्लेटफॉर्म बनाम एंबेडेड UEBA

गार्टनर "स्वच्छ" UEBA मंच समाधान मानते हैं कि:

• कई विशिष्ट कार्यों को हल करें, जैसे विशेषाधिकार प्राप्त उपयोगकर्ताओं की निगरानी करना या संगठन के बाहर डेटा आउटपुट करना, बजाय केवल अमूर्त "असामान्य उपयोगकर्ता गतिविधि की निगरानी करना";
• परिष्कृत एनालिटिक्स का उपयोग शामिल है, जो यदि आवश्यक हो, तो बुनियादी विश्लेषणात्मक दृष्टिकोणों पर आधारित है;
• आधारभूत संरचना में अलग-अलग एजेंटों को तैनात करने की आवश्यकता के बिना, डेटा संग्रह के लिए कई विकल्प प्रदान करते हैं, जिसमें डेटा स्रोतों के अंतर्निहित तंत्र और लॉग प्रबंधन उपकरण, डेटा झील और / या सिएम सिस्टम दोनों शामिल हैं;
• अधिग्रहण किया जा सकता है और स्वतंत्र समाधान के रूप में तैनात किया जा सकता है, लेकिन इसमें शामिल नहीं है
  अन्य उत्पादों की संरचना।

नीचे दी गई तालिका दो दृष्टिकोणों की तुलना करती है।

तालिका 1. "स्वच्छ" UEBA समाधान बनाम एंबेडेड


इस प्रकार, कुछ समस्याओं को हल करने के लिए, अंतर्निहित यूईबीए बुनियादी यूईबीए एनालिटिक्स (उदाहरण के लिए, शिक्षक के बिना सरल मशीन सीखने) का उपयोग कर सकता है, लेकिन साथ ही, सही डेटा तक पहुंचने के कारण, यह आमतौर पर "शुद्ध" यूईबीए समाधान की तुलना में अधिक प्रभावी हो सकता है। इसके अलावा, "साफ" UEBA प्लेटफॉर्म से अधिक परिष्कृत एनालिटिक्स की पेशकश करने की उम्मीद की जाती है, क्योंकि यह मुख्य UEBA टूल की तुलना में मुख्य पता है। इन परिणामों को तालिका 2 में संक्षेपित किया गया है।

तालिका 2. शुद्ध और एम्बेडेड UEBA के बीच अंतर का परिणाम है

एक समारोह के रूप में UEBA

यूईबीए एंड-टू-एंड साइबर सिक्योरिटी सॉल्यूशन का एक फीचर बन रहा है जो अतिरिक्त एनालिटिक्स से लाभ उठा सकता है। UEBA उपयोगकर्ता और / या इकाई व्यवहार पैटर्न पर उन्नत एनालिटिक्स की एक प्रभावशाली परत का प्रतिनिधित्व करते हुए, इन निर्णयों को रेखांकित करता है।

वर्तमान में, बाजार पर अंतर्निहित यूईबीए कार्यक्षमता को निम्नलिखित समाधानों में लागू किया गया है, जिसे तकनीकी दायरे द्वारा समूहीकृत किया गया है:

• डेटा-केंद्रित ऑडिटिंग और सुरक्षा ऐसे निर्माता हैं जो संरचित और असंरचित डेटा वेयरहाउस (तथाकथित EPOP) की सुरक्षा में सुधार पर ध्यान केंद्रित करते हैं।
  
  विक्रेताओं की इस श्रेणी में, गार्टनर नोट, अन्य बातों के अलावा, वरोनीस साइबरसिटी प्लेटफॉर्म , जो बिना सूचना डेटा के उपयोग अधिकारों में बदलाव की निगरानी करने के लिए उपयोगकर्ता के व्यवहार का विश्लेषण, उनकी पहुंच और विभिन्न सूचना भंडारण के लिए उपयोग करता है।
• CASB प्रणालियाँ जो अवांछित उपकरणों, उपयोगकर्ताओं और अनुप्रयोग संस्करणों के लिए क्लाउड सेवाओं तक पहुँच को अवरुद्ध करके क्लाउड सास अनुप्रयोगों में विभिन्न खतरों से सुरक्षा प्रदान करती हैं।
  
  सभी बाजार प्रमुख CASB समाधानों में UEBA क्षमताएं शामिल हैं।
• डीएलपी समाधान - संगठन या इसके दुरुपयोग के बाहर महत्वपूर्ण डेटा के उत्पादन का पता लगाने पर केंद्रित है।
  
  डीएलपी उपलब्धियां मुख्य रूप से सामग्री की समझ पर आधारित होती हैं, जिसमें संदर्भ को समझने पर कम ध्यान दिया जाता है, जैसे कि उपयोगकर्ता, एप्लिकेशन, स्थान, समय, घटनाओं की गति और अन्य बाहरी कारक। प्रभावी होने के लिए, DLP उत्पादों को सामग्री और संदर्भ दोनों को पहचानना होगा। यही कारण है कि कई निर्माता अपने समाधानों में यूईबीए कार्यक्षमता को एम्बेड करना शुरू कर रहे हैं।
• कर्मचारी निगरानी कर्मचारी कार्यों को रिकॉर्ड करने और पुन: पेश करने की क्षमता है, आमतौर पर मुकदमेबाजी (यदि आवश्यक हो) के लिए उपयुक्त डेटा प्रारूप में।
  
  उपयोगकर्ताओं की लगातार निगरानी अक्सर एक व्यक्ति द्वारा मैन्युअल फ़िल्टरिंग और विश्लेषण की आवश्यकता वाले डेटा की एक अत्यधिक मात्रा उत्पन्न करती है। इसलिए, यूईबीए का उपयोग निगरानी प्रणालियों के भीतर किया जाता है ताकि इन समाधानों के प्रदर्शन में सुधार किया जा सके और केवल उच्च स्तर के जोखिम वाली घटनाओं का पता लगाया जा सके।
• एंडपॉइंट सुरक्षा - एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR) और एंडपॉइंट प्रोटेक्शन प्लेटफ़ॉर्म (EPP) समाधान ऑपरेटिंग सिस्टम के लिए शक्तिशाली उपकरण और टेलीमेट्री प्रदान करते हैं
  अंत उपकरणों।
  
  इस तरह के उपयोगकर्ता से संबंधित टेलीमेट्री का निर्माण यूईबीए कार्यों में प्रदान करने के लिए विश्लेषण किया जा सकता है।
• ऑनलाइन फ्रॉड - ऑनलाइन फ्रॉड डिटेक्शन सॉल्यूशंस असामान्य गतिविधि का पता लगाते हैं, जो किसी ग्राहक के डमी, मैलवेयर या असुरक्षित कनेक्शन के संचालन / ब्राउज़र ट्रैफिक के अवरोधन के माध्यम से उसके खाते से समझौता करने का संकेत देता है।
  
  अधिकांश धोखाधड़ी समाधान UEBA की क्विंटेसेंस, ट्रांजेक्शनल विश्लेषण और डिवाइस विशेषताओं के माप का उपयोग करते हैं, जबकि अधिक उन्नत सिस्टम पहचान पहचानकर्ताओं के एक डेटाबेस में रिश्तों को मिलान करके उन्हें पूरक करते हैं।
• IAM और अभिगम नियंत्रण - गार्टनर एक्सेस कंट्रोल सिस्टम के निर्माताओं के बीच विकास में एक प्रवृत्ति को चिह्नित करता है, जिसमें स्वच्छ विक्रेताओं के साथ एकीकरण और कुछ UEBA कार्यों को अपने उत्पादों में एकीकृत करना शामिल है।
• IAM और आइडेंटिटी मैनेजमेंट एंड एडमिनिस्ट्रेशन सिस्टम्स ( IGA ) यूईबीए का उपयोग व्यवहार और पहचान विश्लेषण परिदृश्यों जैसे कि विसंगति का पता लगाने, समान संस्थाओं के गतिशील समूहन, सिस्टम लॉगिन विश्लेषण और पहुंच नीति विश्लेषण को कवर करने के लिए करते हैं।
• आईएएम और विशेषाधिकार प्राप्त नियंत्रण (पीएएम) - प्रशासनिक खातों के उपयोग को नियंत्रित करने की भूमिका के संबंध में, पीएएम समाधान में यह दिखाने के लिए टेलीमेट्री है कि कैसे, क्यों, कब और कहां प्रशासनिक खातों का उपयोग किया गया था। प्रशासकों के असामान्य व्यवहार या दुर्भावनापूर्ण इरादे की उपस्थिति के लिए अंतर्निहित यूईबीए कार्यक्षमता का उपयोग करके इन आंकड़ों का विश्लेषण किया जा सकता है।
• एनटीए (नेटवर्क ट्रैफ़िक एनालिसिस) के निर्माता - कॉर्पोरेट नेटवर्क में संदिग्ध गतिविधि की पहचान करने के लिए मशीन लर्निंग, उन्नत एनालिटिक्स और नियम-आधारित खोज के संयोजन का उपयोग करते हैं।
  
  एनटीए उपकरण उन मॉडल के निर्माण के लिए स्रोत ट्रैफ़िक और / या स्ट्रीम रिकॉर्ड्स (जैसे नेटफ़्लो) का लगातार विश्लेषण करते हैं जो सामान्य नेटवर्क व्यवहार को दर्शाते हैं, मुख्य रूप से इकाई व्यवहार का विश्लेषण करने पर ध्यान केंद्रित करते हैं।
• कोलम्बिया - कई कोलम्बिया विक्रेताओं के पास अब उन्नत डेटा एनालिटिक्स कार्यक्षमता है जो कि कोलम्बिया में निर्मित है, या एक अलग यूईबीए मॉड्यूल के रूप में। 2018 के दौरान और अभी भी 2019 में, "आधुनिक इनिंग के लिए प्रौद्योगिकी इनसाइट" लेख में खुलासा किया गया है, के रूप में कोलम्बिया और यूईबीए कार्यक्षमता के बीच सीमाओं का निरंतर धुंधला हो रहा है। एनालिटिक्स के साथ काम करने में और अधिक जटिल एप्लिकेशन परिदृश्यों की पेशकश करने के लिए सिएम सिस्टम बेहतर हो गया है।

UEBA आवेदन परिदृश्य

UEBA समाधान कार्यों की एक विस्तृत श्रृंखला को हल कर सकते हैं। हालांकि, गार्टनर ग्राहक इस बात से सहमत हैं कि मुख्य एप्लिकेशन परिदृश्य में विभिन्न श्रेणियों के खतरों का पता लगाना, उपयोगकर्ता व्यवहार और अन्य संस्थाओं के लगातार सहसंबंधों को प्रदर्शित और विश्लेषण करके प्राप्त करना शामिल है:

• डेटा की अनधिकृत पहुंच और गति;
• विशेषाधिकार प्राप्त उपयोगकर्ताओं का संदिग्ध व्यवहार, कर्मचारियों की दुर्भावनापूर्ण या अनधिकृत गतिविधि;
• गैर-मानक पहुंच और क्लाउड संसाधनों का उपयोग;
• और अन्य

धोखाधड़ी या कर्मचारी निगरानी जैसे कई गैर-साइबर सुरक्षा अनुप्रयोग परिदृश्य भी हैं, जिनके लिए यूईबीए का उपयोग वारंट हो सकता है। हालांकि, उन्हें अक्सर ऐसे डेटा स्रोतों की आवश्यकता होती है जो आईटी और सूचना सुरक्षा या इस क्षेत्र की गहरी समझ के साथ विशिष्ट विश्लेषणात्मक मॉडल से संबंधित नहीं हैं। UEBA निर्माताओं और उनके ग्राहकों दोनों से सहमत होने वाले पांच मुख्य परिदृश्य और अनुप्रयोग नीचे वर्णित हैं।

दुर्भावनापूर्ण अंदरूनी सूत्र

इस परिदृश्य को कवर करने वाला UEBA समाधान प्रदाता केवल गैर-मानक, "खराब" या दुर्भावनापूर्ण व्यवहार के संदर्भ में कर्मचारियों और विश्वसनीय ठेकेदारों की निगरानी करता है। विशेषज्ञता के इस क्षेत्र में विक्रेता सेवा खातों या अन्य गैर-मानव संस्थाओं के व्यवहार की निगरानी या विश्लेषण नहीं करते हैं। अधिकांश भाग के लिए, यह इस वजह से है कि जब वे हैकर्स मौजूदा खातों को हाईजैक कर लेते हैं, तो वे उन्नत खतरों का पता लगाने पर केंद्रित नहीं होते हैं। इसके बजाय, उनका उद्देश्य दुर्भावनापूर्ण गतिविधियों में शामिल कर्मचारियों की पहचान करना है।

वास्तव में, "दुर्भावनापूर्ण अंदरूनी सूत्र" की अवधारणा दुर्भावनापूर्ण इरादे वाले विश्वसनीय उपयोगकर्ताओं से आती है जो अपने नियोक्ता को नुकसान पहुंचाने के तरीकों की तलाश कर रहे हैं। चूंकि दुर्भावनापूर्ण इरादे का मूल्यांकन करना मुश्किल है, इसलिए इस श्रेणी के सर्वश्रेष्ठ निर्माता प्रासंगिक व्यवहार डेटा का विश्लेषण करते हैं जो ऑडिट लॉग में आसानी से सुलभ नहीं है।

इस क्षेत्र के समाधान प्रदाता व्यवहार के लिए एक संदर्भ बनाने के लिए ईमेल सामग्री, उत्पादकता रिपोर्ट, या सोशल मीडिया जानकारी जैसे असंरचित डेटा को भी बेहतर ढंग से जोड़ते और विश्लेषण करते हैं।

समझौता अंदरूनी और घुसपैठ की धमकी

कार्य जल्दी से पता लगाने और "खराब" व्यवहार का विश्लेषण करने के लिए है जैसे ही हमलावर ने संगठन तक पहुंच प्राप्त की और आईटी बुनियादी ढांचे के भीतर बढ़ना शुरू कर दिया।
अज्ञात की तरह जुनूनी खतरे (APT), या अभी तक पूरी तरह से समझ में नहीं आने वाले खतरे, उपयोगकर्ताओं या व्यावसायिक खातों की वैध गतिविधि के तहत पता लगाना और अक्सर छिपाना बेहद मुश्किल है। इस तरह के खतरों में आमतौर पर एक व्यापक कार्य मॉडल होता है (उदाहरण के लिए, लेख " साइबर किल चेन को संबोधित करते हुए ") या उनके व्यवहार को अभी तक दुर्भावनापूर्ण नहीं माना गया है। इससे उन्हें सरल एनालिटिक्स (उदाहरण के लिए, पैटर्न, थ्रेसहोल्ड या सहसंबंध नियमों से मेल खाते) का उपयोग करके पता लगाना मुश्किल हो जाता है।

हालांकि, इन जुनूनी खतरों में से कई अलग-अलग व्यवहारों को जन्म देते हैं, जो अक्सर बिना सोचे-समझे उपयोगकर्ताओं या संस्थाओं (तथाकथित समझौता किए गए अंदरूनी सूत्रों) से जुड़े होते हैं। यूईबीए की कार्यप्रणाली ऐसे खतरों का पता लगाने, सिग्नल-टू-शोर अनुपात को बढ़ाने, सूचनाओं के समेकन को कम करने, शेष प्रतिक्रियाओं को प्राथमिकता देने और घटनाओं की प्रभावी प्रतिक्रिया और जांच की सुविधा प्रदान करने के लिए कई दिलचस्प अवसर प्रदान करती है।

काम के इस क्षेत्र को लक्षित करने वाले यूईबीए विक्रेताओं का अक्सर अपने संगठनों में सिएम सिस्टम के साथ द्वि-दिशात्मक एकीकरण होता है।

डेटा फ़िल्टरिंग

इस मामले में कार्य संगठन के बाहर डेटा आउटपुट के तथ्य का पता लगाना है।
निर्माता जो इस कार्य पर ध्यान केंद्रित करते हैं, वे आमतौर पर डीओएल या डेटा एक्सेस कंट्रोल (डीएजी) सिस्टम की क्षमताओं को विसंगति का पता लगाने और उन्नत एनालिटिक्स के साथ बढ़ाते हैं, जिससे सिग्नल-टू-शोर अनुपात में वृद्धि होती है, सूचनाओं की मात्रा को मजबूत करता है और शेष प्रतिक्रियाओं को प्राथमिकता देता है। अतिरिक्त संदर्भ के लिए, निर्माता आमतौर पर नेटवर्क ट्रैफ़िक (जैसे वेब प्रॉक्सी) और एंड डिवाइस डेटा पर अधिक भरोसा करते हैं, क्योंकि इन डेटा स्रोतों का विश्लेषण करने से डेटा की घुसपैठ की जांच करने में मदद मिल सकती है।

संगठन को धमकी देने वाले अंदरूनी और बाहरी हैकर्स को पकड़ने के लिए डेटा एक्सफ़िल्टरेशन डिटेक्शन का उपयोग किया जाता है।

प्रमाणीकरण और विशेषाधिकार प्राप्त अभिगम नियंत्रण

विशेषज्ञता के इस क्षेत्र में स्वतंत्र यूईबीए समाधान के निर्माता अत्यधिक विशेषाधिकार या विषम पहुंच की पहचान करने के लिए अधिकारों के पहले से ही गठित प्रणाली की पृष्ठभूमि के खिलाफ उपयोगकर्ता के व्यवहार का निरीक्षण और विश्लेषण करते हैं। यह विशेषाधिकार और सेवा खातों सहित सभी प्रकार के उपयोगकर्ताओं और खातों पर लागू होता है। UEBA, , , .

, , , . UEBA . UEBA , (, ).

UEBA-

UEBA- , , . , , . , , .

, UEBA – « », .
Gartner, , , 3 6 UEBA , . , , 18 .

, UEBA :

• ,
• – , .
• , – , .
• .
  
  उदाहरण के लिए:
  
  
  • UEBA- SIEM- , SIEM ?
  • UEBA-?
  • SIEM- , UEBA-, ?
  
  
• , , .
• – , , ; ; .
• .
• , . 30 ( 90 ) , «». . , .
• , (/), .