Entitățile pot include conturi, dispozitive, aplicații, servicii și sarcini de lucru. UEBA poate folosi reguli, statistici, comparații cu grupuri de perechi și metode de învățare automată pentru a combina dovezi de identitate, endpoint, rețea, cloud și aplicații.
Ieșirea este de obicei un scor de risc, o anomalie sau o pistă de investigare, nu un verdict. O locație nouă, un volum de transfer neobișnuit sau o acțiune administrativă rară poate indica compromitere, abuz sau o schimbare legitimă de atribuții. În sens invers, un atacator capabil poate imita comportamentul obișnuit. Analiștii au nevoie de context și dovezi de sprijin înainte de a întreprinde acțiuni cu impact mare.
Puncte esențiale
Context utilCiclul de viață al identității, criticalitatea activelor, grupurile de perechi, autentificarea, starea dispozitivului, accesul la date, modificările cunoscute și rezultatele de investigare anterioare.
Controale operaționaleMonitorizați calitatea datelor și deriva modelului, explicați de ce s-a schimbat un scor, testați performanța pe populații și oferiți o cale de revizuire pentru persoanele afectate.
Nevoi de guvernanțăDefiniți un scop proporțional, minimizați și protejați datele comportamentale, stabiliți reguli de retenție și acces și evaluați implicațiile legale, de confidențialitate și pentru forța de muncă.
Limitare importantăO anomalie nu este o dovadă de intenție malițioasă sau compromitere de cont. Baselinile pot coda comportament incomplet, părtinitor sau deja compromis, iar scorurile de risc pot crea încredere falsă când ipotezele lor sunt ascunse.