This is the Trace Id: 1a0de4de872e30b193479a63a706095c
Siirry pääsisältöön
Microsoft Security
Oranssi, valkoinen ja vihreä logo ja nuoli

Mikä on käyttäjien ja laitteiden toiminnan analysointi (UEBA)?

Lue, miten UEBA havaitsee uhkia ja kyberhyökkäyksiä koneoppimisen ja käyttäytymisanalytiikan avulla.
Tutustu tekoälypohjaiseen yhdistettyyn SecOpsiin

UEBA kyberturvallisuudessa

Käyttäjien ja laitteiden toiminnan analysointi (UEBA) on kehittynyt kyberturvallisuusmenetelmä, joka käyttää koneoppimista ja käyttäytymisanalytiikkaa havaitsemaan vaarantuneet entiteetit, kuten palomuurit, palvelimet ja tietokannat, sekä haitalliset sisäiset käyttäjät ja kyberhyökkäykset, mukaan lukien hajautetut palvelunestohyökkäykset (DDoS), tietojenkalasteluyritykset, haittaohjelmat ja kiristysohjelmat.

UEBA analysoi lokit ja hälytykset yhdistetyistä tietolähteistä ja luo käyttäytymisprofiilien perustason kaikille organisaation käyttäjille ja entiteeteille ajan kuluessa. UEBA käyttää koneoppimisominaisuuksia yhdessä muiden tekniikoiden kanssa tunnistaakseen vaarantuneet resurssit automaattisesti.

Sen lisäksi, että UEBA voi havaita mahdollisia suojausrikkomuksia, se voi myös määrittää minkä tahansa tietyn resurssin herkkyyden sekä sen mahdollisen vakavuuden.

Keskeiset huomiot

  • UEBA auttaa paljastamaan käyttäjien ja muiden tahojen, kuten palvelimien, laitteiden ja verkkojen, epäilyttävää toimintaa.
  • Keräämällä tietoja ja määrittämällä tyypillisen toiminnan perustan UEBA voi tunnistaa epänormaalin toiminnan ja luoda hälytyksiä.
  • Organisaatiot käyttävät UEBA:ta uhkatietojen parantamiseen, tapausten tunnistamisen ja reagoinnin nopeuttamiseen, muuttuviin kyberuhkiin mukautumiseen, riskien lieventämiseen ja säädösten noudattamiseen.
  • Jos sitä ei toteuteta hyvin, UEBA voi aiheuttaa haasteita, kuten tietosuojaan liittyviä ongelmia sekä virheellisiä positiivisia ja negatiivisia tuloksia.
  • UEBA:n edistysaskeleita ovat muun muassa tekoälyn käyttö tarkkuuden parantamiseksi, integroinnin lisääminen uhilta suojautumisen ratkaisuihin ja ennakoiva kyberuhkasuojaus.
  • Organisaatiot voivat alkaa hyödyntää UEBA:ta yhtenäisellä tietoturvatoimintojen ratkaisulla, joka auttaa suojautumaan kyberuhilta, havaitsemaan ne ja reagoimaan niihin.

UEBA:n tärkeimmät komponentit

UEBA koostuu sen pääosin kahdesta keskeisestä osasta: käyttäjien käyttäytymisanalysointi (UBA) ja entiteetin käyttäytymisanalysointi (EBA).

UBA auttaa organisaatioita näkemään ja pysäyttämään mahdollisia suojausriskejä ymmärtämällä käyttäjän toimintaa. Tämä tehdään seuraamalla ja analysoimalla käyttäjätoiminnan malleja ja muodostamalla perusmalli tyypilliselle toiminnalle. Malli määrittää tietyn käyttäjän todennäköisyyden suorittaa tietty toiminto tämän käyttäytymisen oppimismallin perusteella.

UBA:n tavoin EBA voi myös auttaa organisaatioita tunnistamaan mahdollisia kyberuhkia – verkkopuolella. EBA valvoo ja analysoi toimintaa muiden entiteettien, kuten palvelimien, sovellusten, tietokantojen ja esineiden Internetin (IoT) välillä. Tämä auttaa tunnistamaan epäilyttäviä käyttäytymistapoja, jotka voivat viitata suojausrikkomukseen, kuten luvattomaan tietojen käyttöön tai epänormaaleihin tiedonsiirtomalleihin.

Yhdessä UBA ja EBA muodostavat ratkaisun, joka vertaa erilaisia artefakteja, kuten maantieteellisiä sijainteja, laitteita, ympäristöjä, aikaa, taajuutta ja vertaisten tai koko organisaation toimintaa.

Miten UEBA toimii?

Tietojen kerääminen

UEBA kerää käyttäjä- ja entiteettitietoja kaikista organisaation verkon yhdistetyistä tietolähteistä. Käyttäjätiedot voivat sisältää kirjautumistoiminnan, sijainnin ja tietojen käyttömalleja, kun taas entiteettitiedot voivat sisältää lokeja verkkolaitteista, palvelimista, päätepisteistä, sovelluksista ja muista lisäpalveluista.

Mallintaminen ja perustason määrittäminen

UEBA analysoi kerätyt tiedot ja käyttää niitä perustason eli tyypillisten käyttäytymisprofiilien määrittämiseen jokaiselle käyttäjälle ja entiteetille. Perustasojen avulla luodaan dynaamisia käyttäytymismalleja, jotka oppivat jatkuvasti ja mukautuvat ajan mittaan tulevien tietojen perusteella.

Poikkeamien tunnistaminen

UEBA käyttää perustasoja tyypillisen toiminnan ohjetasona ja seuraa edelleen käyttäjien ja entiteettien toimintaa reaaliaikaisesti, jotta organisaatio voi selvittää, onko resurssi vaarantunut. Järjestelmä havaitsee epätavallisia toimintoja, jotka poikkeavat tavallisesta perustasosta, kuten epätavallisen suuren volyymin tiedonsiirron aloittaminen, mikä käynnistää hälytyksen. Vaikka poikkeamat itsessään eivät välttämättä osoita haitallista tai edes epäilyttävää käyttäytymistä, niitä voidaan käyttää havaitsemisen, tutkimusten ja uhkien etsinnän parantamiseen.

Hälytykset ja tutkinta

Hälytykset, joissa on tietoja käyttäjän toiminnasta, poikkeaman tyypistä ja mahdollisesta riskitasosta, lähetetään tietoturvakeskuksen (SOC) tiimille. SOC-tiimi saa tiedot ja määrittää, pitäisikö heidän edistää tutkimusta käyttäytymisen, kontekstin ja riskin prioriteetin perusteella.

Yhteistyö muiden suojaustyökalujen kanssa

Kun organisaatiot käyttävät UEBA:ta useamman kyberuhkaratkaisun rinnalla, ne muodostavat yhtenäisen suojausympäristön ja voivat nauttia kokonaisuudessaan vahvemmasta suojaustasosta. UEBA toimii myös hallitun tunnistamisen ja reagoinnin (MDR) -työkalujen ja privileged access management (PAM) -valvontaratkaisujen; suojaustiedot ja tapahtumien hallinnan (SIEM); ja tapausten käsittelytyökalujen kanssa toimintaa ja reagointia varten.

UEBA:n edut

Uhkien havaitseminen ja tiedustelu

Uhkien etsijät käyttävät uhkatietoja, jotta ne voivat määrittää, ovatko heidän kyselynsä paljastaneet epäilyttävää toimintaa. Kun toiminta on epäilyttävää, poikkeamat osoittavat kohti mahdollisia polkuja lisätutkimuksia varten. Analysoimalla sekä käyttäjien että entiteettien välisiä malleja UEBA voi havaita paljon laajemman valikoiman kyberhyökkäyksiä aiemmin, mukaan lukien varhaiset kyberuhat, sisäpiirin kyberuhat, DDoS-hyökkäykset ja väsytyshyökkäykset, ennen kuin ne eskaloituvat mahdolliseksi tapahtumaksi tai hyökkäykseksi.

Mukautettavuus

UEBA-mallit perustuvat koneoppimisalgoritmeihin, jotka oppivat jatkuvasti muuttuvista käyttäjien ja entiteettien käyttäytymismalleista tietojen analysoinnin avulla. Mukautumalla tietoturvatarpeisiin reaaliajassa tietoturvaratkaisut voivat pysyä tehokkaina kehittyneitä kyberuhkia sisältävän muuttuvan tietoturvaympäristön edessä.

Nopeampi tapausten käsittely

Tietoturva-analyytikot käyttävät poikkeamia vahvistamaan suojausrikkomuksen, arvioimaan sen vaikutuksia ja antamaan ajankohtaisia ja toiminnallisia tietoja mahdollisista tietoturvatapauksista, joita SOC-tiimit voivat käyttää tapausten tutkimiseen tarkemmin. Tämä puolestaan nopeuttaa ja tehostaa tapausten ratkaisemista, mikä vähentää kyberuhkien kokonaisvaikutusta koko organisaatioon.

Riskien lieventäminen

Hybridi- tai etätyön aikana nykypäivän organisaatiot kohtaavat kyberuhkia, jotka kehittyvät jatkuvasti, minkä vuoksi myös niiden menetelmien on kehityttävä. Tietoturva-analyytikot etsivät poikkeamia havaitakseen uusia ja olemassa olevia kyberuhkia entistä tehokkaammin. Vaikka yksittäinen poikkeama ei välttämättä ilmaise haitallista toimintaa, useiden poikkeamien olemassaolo koko hyökkäysketjussa voi ilmaista suurempaa riskiä. Tietoturva-analyytikot voivat parantaa havaintoja entisestään lisäämällä hälytyksiä havaitusta epätavallisesta toiminnasta. Ottamalla UEBA:n käyttöön ja laajentamalla suojauksen laajuutta niin, että se kattaa perinteisen toimistotilan ulkopuoliset laitteet, organisaatiot voivat ennakoivasti parantaa kirjautumisen tietoturvaa, lieventää kyberuhkia ja varmistaa yleisesti kestävämmän ja turvallisemman ympäristön.

Vaatimustenmukaisuuden varmistaminen

Säännellyillä toimialoilla, kuten rahoituspalveluissa ja terveydenhoitoalalla, tietosuoja- ja yksityisyyssäädöksiin liittyy standardeja, joita jokaisen yrityksen on noudatettava. UEBA:n jatkuvat valvonta- ja raportointiominaisuudet auttavat organisaatioita seuraamaan näitä vaatimustenmukaisuusvaatimuksia.

UEBA:n haasteet ja huomioitavat seikat

Vaikka UEBA tarjoaa organisaatioille arvokkaita merkityksellisiä tietoja, se sisältää myös omat yksilölliset haasteensa. Seuraavassa on joitakin yleisiä ongelmia UEBA:n käyttöönoton yhteydessä:
  • Virheelliset positiiviset ja negatiiviset
    Toisinaan UEBA-järjestelmät voivat virheellisesti luokitella normaalit käyttäytymiset epäilyttäviksi ja luoda virheellisen esiintymän. UEBA voi myös olla huomaamatta todellisia tietoturvauhkia, mikä voi aiheuttaa virheellisen negatiivisen tuloksen. Jotta kyberuhkien tunnistaminen olisi entistä tarkempaa, organisaatioiden on tutkittava hälytyksiä huolella.

  • Entiteettien epäyhtenäinen nimeäminen
    Resurssipalvelu voi luoda ilmoituksen, joka ei kattavasti tunnista entiteettiä, kuten käyttäjänimi ilman toimialuenimikontekstia. Kun näin tapahtuu, käyttäjäentiteettiä ei voi yhdistää saman tilin muihin esiintymiin, ja se tunnistetaan sitten erilliseksi entiteetiksi. Tämän riskin minimoimiseksi on tärkeää tunnistaa entiteetit käyttämällä standardoitua muotoa ja synkronoida entiteetit tunnistetietojen toimittajan kanssa yhden hakemiston luomiseksi.

  • Tietosuojakysymykset
    Suojaustoimintojen vahvistaminen ei saisi tapahtua yksityisyyden suojan kustannuksella. Käyttäjien ja entiteettien toiminnan jatkuva valvonta herättää kysymyksiä, jotka liittyvät etiikkaan ja tietosuojaan, minkä vuoksi tietoturvatyökalujen (erityisesti tekoälyä hyödyntävien suojaustyökalujen) käyttäminen on erittäin tärkeää.

  • Nopeasti kehittyvät kyberuhat 
    Vaikka UEBA-järjestelmät on suunniteltu mukautumaan muuttuviin kyberuhkiin, ne saattavat silti kohdata haasteita pysyäkseen nopeasti muuttuvien kyberuhkien tahdissa. Kyberhyökkäystekniikoiden ja -mallien muuttuessa on tärkeää jatkaa UEBA-teknologian hienosäätämistä organisaation tarpeiden mukaan.

Miten UEBA eroaa NTA:sta

Verkkoliikenteen analyysi (NTA) on kyberturvallisuusmenetelmä, jolla on käytännössä monia samankaltaisuuksia UEBA:n kanssa, mutta se eroaa keskittymisessä, sovelluksessa ja laajuudessa. Kun muodostat kattavan kyberturvallisuusratkaisun, kaksi lähestymistapaa toimivat hyvin yhdessä:

UEBA vs. NTA

UEBA:
  • Keskittyy verkon käyttäjien ja entiteettien toiminnan ymmärtämiseen ja valvontaan koneoppimisen ja tekoälyn avulla.
  • Kerää tietoja käyttäjä- ja entiteettilähteistä, joihin voi sisältyä kirjautumistoimintaa, käyttöoikeuslokeja ja tapahtumatietoja sekä entiteettien välisiä vuorovaikutuksia.
  • Käyttää malleja tai perustasoja tunnistaakseen sisäpiirin uhat, vaarantuneet tilit ja epätavalliset käyttäytymiset, jotka voivat johtaa mahdolliseen tapaukseen.
NTA:
  • Keskittyy ymmärtämään ja valvomaan tietojen kulkua verkossa tutkimalla datapaketteja ja tunnistamalla malleja, jotka voivat ilmaista mahdollista uhkaa.
  • Kerää tietoja verkkoliikenteestä, joka voi sisältää verkkolokeja, protokollia, IP-osoitteita ja liikennemalleja.
  • Tunnistaa liikennemallien avulla verkkopohjaiset uhat, kuten DDoS-hyökkäykset, haittaohjelmat sekä tietovarkaudet ja tietojen luvattoman siirron.
  • Toimii hyvin muiden verkon suojaustyökalujen ja -teknologioiden sekä UEBA:n kanssa.

Miten UEBA eroaa SIEM:stä

UEBA ja suojaustietojen ja tapahtumien hallinta (SIEM) ovat täydentäviä teknologioita, jotka yhdessä parantavat organisaation yleistä suojausta. Molemmilla on keskeinen rooli vahvan valvonta- ja reagointikehyksen muodostamisessa, mutta ne eroavat toisistaan keskittymisen ja lähteiden määrän osalta. Verrataan näitä kahta:

UEBA vs SIEM

UEBA:
  • Keskittyy käyttäjien ja entiteettien toiminnan valvontaan ja analysointiin verkossa ja etsii poikkeamia käyttäytymismalleista, jotka voivat ilmaista mahdollista tietoturvariskiä.
  • Kerää tietoja useista eri käyttäjä- ja entiteettilähteistä, kuten käyttäjistä, verkkolaitteista, sovelluksista ja palomuureista, tarkempaa kontekstipohjaista uhkatietämystä varten.
  • Käyttää koneoppimista ja kehittynyttä analysointia tarjotakseen käyttäjien ja entiteettien käyttäytymiseen liittyviä toimintakelpoisia merkityksellisiä tietoja, joiden avulla tietoturvaryhmät voivat reagoida sisäpiirin uhkiin tehokkaammin.
SIEM
  • Keskittyy suurten tietomäärien keräämiseen, koostamiseen ja analysoimiseen, mukaan lukien käyttäjien ja entiteettien käyttäytyminen, jotta saadaan täydellinen yleiskuvaus organisaation suojaustasosta.
  • Kerää tietoja useista eri käyttäjä- ja entiteettilähteistä, kuten käyttäjistä, verkkolaitteista, sovelluksista ja palomuureista, tilan kokonaisvaltaista näkymää varten.
  • Käyttää koneoppimista ja kehittynyttä analysointia tarjotakseen käyttäjien ja entiteettien käyttäytymiseen liittyviä toimintakelpoisia merkityksellisiä tietoja, joiden avulla tietoturvaryhmät voivat reagoida sisäpiirin uhkiin tehokkaammin.
  • Tarjoaa kattavan näkymän koko suojausympäristöön, ja keskittyy lokien hallintaan, tapahtumien korrelaatioon sekä tapausten valvontaan ja niihin reagoimiseen.

UEBA-ratkaisut yrityksellesi

Kun kyberturvallisuusuhat kehittyvät nopeasti, UEBA-ratkaisut ovat entistä tärkeämpiä organisaation puolustusstrategian kannalta. Tärkein keino suojata yritystäsi tulevilta kyberuhilta on pysyä koulutettuna, ennakoivana ja valveutuneena.

Jos haluat vahvistaa organisaatiosi kyberturvallisuutta seuraavan sukupolven UEBA-ominaisuuksien avulla, tutustu uusimpiin vaihtoehtoihin. Yhdistetty suojaustoimintoratkaisu yhdistää SIEM:n ja UEBA:n ominaisuudet, joiden avulla organisaatiosi voi tarkastella ja pysäyttää kehittyneitä kyberuhkia reaaliaikaisesti yhdestä ympäristöstä. Siirry nopeammin yhdistetyn suojauksen ja näkyvyyden avulla kaikissa pilvipalveluissa, ympäristöissä ja päätepistepalveluissa. Saat kattavan yleiskatsauksen suojaustasostasi koostamalla suojaustiedot koko teknisestä pinostasi ja paljastamalla mahdolliset kyberuhat tekoälyn avulla.
RESURSSIT

Lue lisää Microsoft Securitystä

Henkilö valkoisessa puvussa työskentelee kannettavalla tietokoneella
Ratkaisu

Tekoälypohjainen, yhdistetty SecOps

Päihitä uhat XDR:n ja SIEM:n avulla – kaikki yhdessä ympäristössä.
Lue lisää
Henkilö ja toinen henkilö katsomassa toisiaan
Tuote

Microsoft Sentinel

Estä kyberhyökkäykset tekoälypohjaisella pilvipohjaisella SIEM:llä, joka havaitsee poikkeamia ja uhkia käyttäjän ja entiteetin käyttäytymisanalytiikan avulla.
Lue lisää
Henkilö ja toinen henkilö istuu pöydän ääressä, pöydällä on kannettavia tietokoneita
Tuote

Microsoft Copilot for Security

Auta tietoturvatiimejä havaitsemaan piilotettuja kuvioita ja reagoimaan tapauksiin nopeammin generatiivisen tekoälyn avulla.
Lue lisää

Usein kysytyt kysymykset

  • UEBA on kyberturvallisuusmenetelmä, joka etsii ja pysäyttää mahdollisia tietoturvauhkia käyttäjien ja entiteettien toiminnassa koneoppimisalgoritmien ja tekoälyn avulla.
  • Kun UEBA-työkalu havaitsee epätavallista toimintaa, joka poikkeaa perustoiminnasta, tämä käynnistää tietoturvatiimille lähetettävän ilmoituksen. Epätavallinen sisäänkirjautumistoiminta tuntemattomasta laitteesta voi esimerkiksi aiheuttaa hälytyksen.
  • UEBA-työkalut auttavat analysoimaan käyttäjä- ja entiteettilähteiden malleja ja paljastamaan ennakoivasti epätavallista käyttäytymistä, haitallista toimintaa tai sisäpiirin uhkia koko organisaatiossa.
  • UBA tarjoaa tietoa mahdollisista tietoturvariskeistä valvomalla ja analysoimalla käyttäjien toimintaa. UEBA vie tämän yhden vaiheen pidemmälle valvomalla ja analysoimalla entiteettejä, kuten palvelimia, sovelluksia ja laitteita, käyttäjän toiminnan lisäksi.
  • EDR-ratkaisut valvovat tietoturvatapauksia ja reagoivat niihin yksittäisellä päätepistetasolla. UEBA valvoo ja reagoi käyttäjien ja entiteettien toimintaan koko verkostossa, joka sisältää myös päätepisteet.
  • UEBA keskittyy käyttäjien ja entiteettien toiminnan analysointiin ja ymmärtämiseen mahdollisten tietoturvauhkien havaitsemiseksi. Suojauksen hallinnan automaattisen vastauksen (GIF) avulla tehostetaan suojauksen työnkulun prosesseja orkestroinnin ja automaation avulla. Vaikka ne eroavat keskittymisessä ja toiminnoissa, SOAR ja UEBA täydentävät toisiaan kattavan kyberturvallisuusstrategian yhteydessä.

Seuraa Microsoft Securitya