Что такое User Behavior Analytics?

 АНДРЕЙ БИРЮКОВ, ведущий эксперт по информационной безопасности, abiryukov@samag.ru

Что такое User Behavior Analytics?

Обиженный сотрудник может стать для работодателя опаснее любого хакера. Поговорим о том, как с помощью средств защиты можно выявлять аномалии в поведении сотрудников

В последние годы все большее число специалистов по информационной безопасности стало уделять внимание действиям сотрудников. Традиционно при составлении моделей угроз принято было считать, что работники компании являются доверенными лицами и, следовательно, не являются внутренними нарушителями. Это связано и с тем, что признание таких пользователей нарушителями, как правило, существенно удорожает стоимость внедряемых средств защиты, например, при выполнении требований закона «О персональных данных».

Однако опыт показывает, что зачастую именно они могут стать основной головной болью для корпоративных служб ИБ. Иногда этот вред может наноситься ненамеренно. Но обычно корпоративными вредителями движет вполне конкретная мотивация: обида, месть, зависть и т.д. При этом не один здравомыслящий работодатель не может полностью не доверять своим специалистам, так как это парализует работу компании.

В статье [1] приводятся примеры нескольких нашумевших инцидентов, связанных с действиями бывших или действующих работников компаний. В некоторых случаях бывшие сотрудники в отместку за прежние обиды устанавливали логические бомбы в корпоративной сети, в других менеджеры продавали всем желающим конфиденциальную информацию или же просто переводили деньги на свои счета.

В целом среди наиболее часто происходящих происшествий с участием бывших или действующих работников компаний можно отметить следующие:

• утечка служебной информации;
• кража клиентов и бизнеса организации;
• саботаж инфраструктуры;
• внутреннее мошенничество;
• фальсификация отчетности;
• торговля на рынках на основе инсайдерской, служебной информации;
• злоупотребление полномочиями.

Ущерб для компаний при этом существенно отличается. Если простой ИТ-сервисов в результате «взрыва» логической бомбы или хищение денег – это серьезные финансовые потери для организации, то продажа конфиденциальной информации клиентов наносила вред прежде всего репутации компании, а репутационные риски не так легко посчитать и, следовательно, сложно правильно оценить ущерб. Хотя хищение тоже может нанести вред репутации.

Между тем оценка возможного ущерба является неотъемлемой частью обоснования затрат на обеспечение ИБ.

Большинства данных инцидентов можно было бы избежать в случае, если бы в организациях производили, помимо прочих мер обеспечения ИБ, также и анализ поведения пользователей. Конечно, в случае с хищениями конфиденциальной информации могли бы помочь правильно настроенные средства предотвращения утечек информации (DLP), а в случае с логической бомбой – антивирусы и новомодные песочницы (sandbox).

Но отследить такие угрозы, как злоупотребление полномочиями, внутреннее мошенничество или неправомерное использование служебной информации, с помощью только какого-то одного средства будет крайне проблематично. Здесь необходимо комплексное средство, способное анализировать информацию от различных источников и на ее основе обнаруживать отклонения и создавать инциденты для дальнейшего расследования.

Данное направление получило название User Behavior Analytics (Анализ поведения пользователей). Здесь речь может идти как о комплексной методологии, содержащей анализ информации от различных средств защиты, так и об едином программном продукте.

Далее мы рассмотрим различные способы анализа поведения пользователей, позволяющие выявить инсайдеров еще до инцидента.

Статью целиком читайте в журнале «Системный администратор», №7-8 за 2017 г. на страницах 42-46.

PDF-версию данного номера можно приобрести в нашем магазине.

1. Статья с примерами инцидентов – http://wm-help.net/lib/b/book/1402408930/58.
2. Сайт проекта Bay Dynamics – https://baydynamics.com.
3. Проект Raytheon Forcepoint SureView Insider Threat – https://www.forcepoint.com/product/data-insider-threat-protection/forcepoint-insider-threat.
4. Проект RedOwl – https://redowl.com/security.
5. Решение Securonix – https://www.securonix.com/security-intelligence.
6. Статья о перспективах направления – http://blogs.gartner.com/avivah-litan/2017/01/03/the-disappearing-ueba-market.

Комментарии могут оставлять только зарегистрированные пользователи