Entity mohou zahrnovat účty, zařízení, aplikace, služby a úlohy. UEBA může používat pravidla, statistiku, porovnávání se skupinami vrstevníků a metody strojového učení ke kombinování důkazů identit, koncových zařízení, sítě, cloudu a aplikací.
Výstupem je obvykle skóre rizika, anomálie nebo vyšetřovací vodítko, nikoli verdikt. Nová poloha, neobvyklý objem přenosu či vzácná administrativní akce mohou indikovat kompromitaci, zneužití nebo legitimní změnu povinností. Naopak schopný útočník může napodobovat obvyklé chování. Analytici potřebují podpůrný kontext a důkazy před akcí s vysokým dopadem.
Klíčové body
Užitečný kontextŽivotní cyklus identity, kritičnost aktiva, skupiny vrstevníků, autentizace, stav zařízení, přístup k datům, známé změny a předchozí výsledky vyšetřování.
Operační kontrolyMonitorujte kvalitu dat a drift modelu, vysvětlujte, proč se skóre změnilo, testujte výkon napříč populacemi a poskytněte cestu přezkumu pro dotčené osoby.
Potřeby řízeníDefinujte přiměřený účel, minimalizujte a chraňte behaviorální data, nastavte pravidla uchovávání a přístupu a posuďte právní, soukromí a pracovní implikace.
Důležité omezeníAnomálie není důkazem škodlivého záměru ani kompromitace účtu. Baseliny mohou zakódovat neúplné, zkreslené či již kompromitované chování a skóre rizika mohou vytvářet falešnou jistotu, když jsou jejich předpoklady skryté.