Jednostki mogą obejmować konta, urządzenia, aplikacje, usługi i obciążenia. UEBA może używać reguł, statystyki, porównań grup równiejszych i metod uczenia maszynowego do łączenia dowodów tożsamości, punktów końcowych, sieci, chmury i aplikacji.
Wynikiem jest zwykle wynik ryzyka, anomalia lub trop dochodzeniowy, a nie wyrok. Nowa lokalizacja, nietypowa objętość transferu lub rzadkie działanie administracyjne może wskazywać na kompromitację, nadużycie lub legalną zmianę obowiązków. I odwrotnie — zdolny atakujący może imitować zwykłe zachowanie. Analitycy potrzebują wspierającego kontekstu i dowodów przed działaniem o wysokim wpływie.
Najważniejsze punkty
Użyteczny kontekstCykl życia tożsamości, krytyczność zasobów, grupy równiejsze, uwierzytelnianie, stan urządzenia, dostęp do danych, znane zmiany i wcześniejsze wyniki dochodzeniowe.
Kontrole operacyjneMonitoruj jakość danych i dryf modelu, wyjaśniaj, dlaczego wynik się zmienił, testuj wydajność między populacjami i zapewnij ścieżkę przeglądu dla dotkniętych osób.
Potrzeby zarządzaniaZdefiniuj proporcjonalny cel, minimalizuj i chroń dane behawioralne, ustal zasady retencji i dostępu oraz oceń implikacje prawne, prywatności i dla siły roboczej.
Istotne ograniczenieAnomalia nie jest dowodem złośliwego zamiaru ani kompromitacji konta. Bazy mogą kodować niekompletne, tendencyjne lub już skompromitowane zachowanie, a wyniki ryzyka mogą tworzyć fałszywą pewność, gdy ich założenia są ukryte.