UEBA (ইউজার অ্যান্ড এন্টিটি বিহেভিয়ার অ্যানালিটিক্স)

UEBA কী

UEBA (ইউজার অ্যান্ড এন্টিটি বিহেভিয়ার অ্যানালিটিক্স) হলো সাইবার নিরাপত্তার একটি প্রযুক্তি, যা ব্যবহারকারী এবং প্রযুক্তিগত সত্তার (সার্ভার, রাউটার, অ্যাপ্লিকেশন, ডেটাবেস) আচরণ বিশ্লেষণ করে হুমকির ইঙ্গিতবহনকারী অ্যানোমালি শনাক্ত করে। UEBA মেশিন লার্নিং ব্যবহার করে “স্বাভাবিক” আচরণের প্রোফাইল তৈরি করে এবং এমন বিচ্যুতি শনাক্ত করে, যা হ্যাকিং, ইনসাইডার তৎপরতা বা অ্যাকাউন্ট কম্প্রোমাইজের লক্ষণ হতে পারে।

সহজভাবে বললে, UEBA এমন একটি ভিডিও নজরদারি ব্যবস্থার মতো, যা কেবল কে ভবনে ঢুকেছে তা রেকর্ড করে না, বরং সেই ব্যক্তি কীভাবে আচরণ করছে তাও বিশ্লেষণ করে। যদি কোনো কর্মী, যিনি সাধারণত সকাল 9টায় কাজে আসেন এবং ডকুমেন্ট নিয়ে কাজ করেন, হঠাৎ রাত 3টায় এসে ফ্ল্যাশ ড্রাইভে এক টেরাবাইট ডেটা কপি করার চেষ্টা করেন — UEBA এই বিচ্যুতি খেয়াল করে জরুরি সতর্কসংকেত দেবে।

পরিচিত সিগনেচার ও নিয়মের ভিত্তিতে কাজ করা ধ্রুপদী সুরক্ষা সরঞ্জামের (অ্যান্টিভাইরাস, অ্যান্টিস্প্যাম ফিল্টার, ফায়ারওয়াল) বিপরীতে UEBA মূলত আচরণের দিকে মনোনিবেশ করে। এর ফলে এমন আক্রমণও শনাক্ত করা সম্ভব হয়, যার কোনো পরিচিত সিগনেচার নেই — যেমন জিরো-ডে (0-day) আক্রমণ, জটিল লক্ষ্যভিত্তিক আক্রমণ (APT) এবং ইনসাইডার হুমকি। Gartner-এর তথ্যমতে, 2026 সালের মধ্যে 60%-এর বেশি প্রতিষ্ঠান তাদের সাইবার নিরাপত্তা কৌশলের অংশ হিসেবে UEBA ব্যবহার করবে, যার পেছনে রয়েছে অ্যাকাউন্টে আক্রমণ ও অভ্যন্তরীণ হুমকির ক্রমবর্ধমান সংখ্যা।

UEBA কীভাবে কাজ করে

লুকানো হুমকি শনাক্ত করার জন্য UEBA বহুস্তরীয় আর্কিটেকচার ব্যবহার করে, যার মধ্যে ডেটা প্রক্রিয়াকরণের বেশ কয়েকটি ধাপ রয়েছে:

1. ডেটা সংগ্রহ: সিস্টেম বিভিন্ন উৎস থেকে ডেটা একত্র করে: অ্যাপ্লিকেশন ও অপারেটিং সিস্টেমের লগ, নেটওয়ার্ক ট্রাফিক, কর্পোরেট সিস্টেমে (ERP, CRM, Active Directory) কার্যক্রম, EDR/XDR-এর ডেটা, প্রমাণীকরণ লগ, DLP-সিস্টেম ও SIEM-এর ডেটা। ডেটার উৎস যত বেশি হবে, প্রোফাইল তত নির্ভুল হবে এবং শনাক্তকরণের মান তত উন্নত হবে।
2. প্রোফাইল নির্মাণ (Baseline): ML-অ্যালগরিদম ঐতিহাসিক ডেটার (সাধারণত 3-6 মাস) ভিত্তিতে প্রতিটি ব্যবহারকারী ও ডিভাইসের স্বাভাবিক আচরণের প্রোফাইল তৈরি করে। প্রোফাইলের অন্তর্ভুক্ত: লগইন ও লগআউটের সাধারণ সময়, ব্যবহৃত অ্যাপ্লিকেশন ও সার্ভিস, স্থানান্তরিত ডেটার পরিমাণ, সাধারণ ভৌগোলিক অবস্থান, কার্যক্রমের ফ্রিকোয়েন্সি এবং কাজের প্রচলিত প্যাটার্ন।
3. অ্যানোমালি শনাক্তকরণ: প্রোফাইলের বাইরের যেকোনো বিচ্যুতি (যেমন গভীর রাতে এক টেরাবাইট ডেটা ডাউনলোড, অস্বাভাবিক ভৌগোলিক অবস্থান থেকে লগইন, ব্যাপক ফাইল মুছে ফেলা, অস্বাভাবিক প্রসেস চালু করা) সন্দেহজনক হিসেবে চিহ্নিত হয়। প্রতিটি ঘটনাকে 0 থেকে 100 স্কেলে একটি “রিস্ক স্কোর” (risk score) দেওয়া হয়।
4. ঝুঁকি মূল্যায়ন ও সম্পর্ক নির্ণয়: UEBA অ্যানোমালিগুলোর মধ্যে এবং বাহ্যিক হুমকির (যেমন Threat Intelligence) সঙ্গে সম্পর্ক বিশ্লেষণ করে। একক অ্যানোমালি বিপজ্জনক নাও হতে পারে, কিন্তু একাধিক অ্যানোমালির সমন্বয় (যেমন নতুন ডিভাইস থেকে লগইন + বিপুল ডেটা ডাউনলোড + বাহ্যিক ইমেইলে প্রেরণ) উচ্চ ঝুঁকির স্তর নির্দেশ করে।
5. সতর্কতা ও প্রতিক্রিয়া: ঝুঁকির সীমা অতিক্রম করলে তথ্য নিরাপত্তা মনিটরিং সেন্টারের (SOC) জন্য সতর্কবার্তা তৈরি হয়। আধুনিক UEBA সমাধানগুলো পূর্বনির্ধারিত সিনারিও (playbook) অনুযায়ী স্বয়ংক্রিয় প্রতিক্রিয়ার জন্য SOAR প্ল্যাটফর্মের সঙ্গেও ইন্টিগ্রেট হয়।

গুরুত্বপূর্ণ সিস্টেমগুলোর সুরক্ষায় UEBA ব্যাপকভাবে ব্যবহৃত হয় — যেগুলো ডিজিটাল রুবলের সঙ্গে এবং দ্রুত পেমেন্ট সিস্টেমের (SBP) সঙ্গে কাজ করে, কারণ এটি আর্থিক লেনদেনের অ্যানোমালি রিয়েল টাইমে শনাক্ত করতে সাহায্য করে।

UEBA-র প্রধান সুবিধাসমূহ

UEBA গ্রহণ করলে প্রতিষ্ঠানগুলো কয়েকটি অত্যন্ত গুরুত্বপূর্ণ সুবিধা পায়, যা এটিকে আধুনিক নিরাপত্তা ব্যবস্থার একটি অপরিহার্য উপাদান করে তোলে:

• ইনসাইডার হুমকি শনাক্তকরণ: UEBA এমন কর্মীদের শনাক্ত করে, যারা ডেটা চুরি বা ফাঁস করার চেষ্টা করছে, অন্যের অ্যাকাউন্টে কাজ করছে বা অস্বাভাবিক সময়ে তৎপর হচ্ছে। বাণিজ্যিক গোপনীয়তা ও ব্যক্তিগত ডেটা সুরক্ষার জন্য এটি বিশেষভাবে গুরুত্বপূর্ণ।
• অ্যাকাউন্ট কম্প্রোমাইজ শনাক্তকরণ: চুরি হওয়া বা কম্প্রোমাইজড অ্যাকাউন্টের অস্বাভাবিক আচরণ শনাক্ত করা (যেমন অন্য দেশ থেকে লগইন, অস্বাভাবিক কার্যক্রম)। এতে আক্রমণকারী ক্ষতি করার আগেই অ্যাক্সেস ব্লক করা সম্ভব হয়।
• লক্ষ্যভিত্তিক আক্রমণ (APT) শনাক্তকরণ: সুরক্ষার পেরিমিটার অতিক্রম করে নেটওয়ার্কের ভেতরে ধীরে ও সাবধানে কাজ করা আক্রমণকারীদের গোপন তৎপরতা শনাক্ত করা। APT আক্রমণ প্রায়ই মাসের পর মাস স্থায়ী হয়, এবং UEBA প্রাথমিক পর্যায়েই সেগুলো ধরতে সাহায্য করে।
• মিথ্যা সতর্কতা হ্রাস: ML-অ্যালগরিদম অ্যানোমালিকে ব্যবহারকারীর সাধারণ ভুল থেকে আরও নির্ভুলভাবে আলাদা করতে পারে, ফলে SOC-এর ওপর চাপ কমে এবং বিশ্লেষকরা প্রকৃত হুমকিতে মনোযোগ দিতে পারেন। সঠিকভাবে কনফিগার করলে UEBA-র নির্ভুলতা 95-99% পর্যন্ত পৌঁছায়।
• জিরো-ডে আক্রমণ শনাক্তকরণ: UEBA সিগনেচার ব্যবহার করে না বলে, এটি এমন নতুন ও অজানা আক্রমণও শনাক্ত করতে পারে, যার কোনো পরিচিত প্যাটার্ন নেই।

ইমপোর্ট প্রতিস্থাপনের পরিস্থিতিতে রাশিয়ায় দেশীয় UEBA সমাধানগুলো বিকশিত হচ্ছে, যা রুশ প্ল্যাটফর্ম, ইলেকট্রনিক স্বাক্ষর ব্যবস্থা এবং CIPF-এর সঙ্গে ইন্টিগ্রেট করা যায়। ফলে রাষ্ট্রীয় তথ্য ব্যবস্থায় এবং গুরুত্বপূর্ণ তথ্য অবকাঠামোর (CII) সুবিধাগুলোতে UEBA ব্যবহার করা সম্ভব হয়।

সাইবার নিরাপত্তা ইকোসিস্টেমে UEBA

UEBA কোনো বিচ্ছিন্ন সমাধান নয়, বরং তথ্য সুরক্ষার সামগ্রিক ইকোসিস্টেমের অংশ। সর্বোচ্চ কার্যকারিতার জন্য UEBA অন্যান্য উপাদানের সঙ্গে ইন্টিগ্রেট হয়:

• SIEM-সিস্টেম: UEBA আচরণগত বিশ্লেষণের ডেটা দিয়ে SIEM-কে সমৃদ্ধ করে, নিরাপত্তা ঘটনায় প্রসঙ্গ (context) যোগ করে। SIEM-ও বিনিময়ে UEBA-কে বিশ্লেষণের জন্য লগ ও ইভেন্ট সরবরাহ করে।
• DLP-সিস্টেম: UEBA DLP-কে শুধু ডেটা স্থানান্তরের ঘটনা নয়, বরং ফাঁসের আগের সন্দেহজনক আচরণও (যেমন ব্যাপক ফাইল কপি) শনাক্ত করতে সাহায্য করে।
• EDR/XDR: UEBA এন্ডপয়েন্ট ডিভাইসে ব্যবহারকারীর আচরণ বিশ্লেষণ করে, EDR-এর প্রসেস ও ফাইল সংক্রান্ত ডেটার পরিপূরক হয়। একসঙ্গে তারা কার্যক্রমের সম্পূর্ণ চিত্র তৈরি করে।
• SOAR: UEBA স্বয়ংক্রিয় প্রতিক্রিয়ার জন্য SOAR-এ সতর্কবার্তা পাঠায়: যেমন অ্যানোমালি ধরা পড়লে সিস্টেম স্বয়ংক্রিয়ভাবে অ্যাকাউন্ট ব্লক করতে বা ডিভাইস আইসোলেট করতে পারে।

UEBA বাস্তবায়নে সামগ্রিক পদ্ধতি প্রয়োজন। ডিজাইনিং সেবা ডেটার উৎস নির্ধারণ, ML-অ্যালগরিদম ও সতর্কতা সীমা কনফিগার করতে সাহায্য করবে, আর প্রশিক্ষণ কোর্স বিশ্লেষকদের আচরণগত বিশ্লেষণ ব্যবস্থার সঙ্গে কার্যকরভাবে কাজ করতে সক্ষম করবে।