UEBA (User and Entity Behavior Analytics)

Was ist UEBA

UEBA (User and Entity Behavior Analytics) ist eine Cybersicherheitstechnologie, die das Verhalten von Benutzern und technischen Einheiten (Servern, Routern, Anwendungen, Datenbanken) analysiert, um Anomalien zu erkennen, die auf Bedrohungen hinweisen. UEBA verwendet maschinelles Lernen, um ein Profil des „normalen" Verhaltens zu erstellen und Abweichungen zu erkennen, die auf einen Hack, Insider-Handlungen oder kompromittierte Konten hindeuten können.

In einfachen Worten ist UEBA wie ein Videoüberwachungssystem, das nicht nur aufzeichnet, wer das Gebäude betreten hat, sondern analysiert, wie sich diese Person verhält. Wenn ein Mitarbeiter, der normalerweise um 9 Uhr morgens kommt und mit Dokumenten arbeitet, plötzlich um 3 Uhr nachts erscheint und versucht, ein Terabyte an Daten auf einen USB-Stick zu kopieren — wird UEBA diese Abweichung bemerken und Alarm schlagen.

Im Gegensatz zu klassischen Schutzeinrichtungen (Antivirenprogramme, Antispam-Filter, Firewalls), die nach bekannten Signaturen und Regeln arbeiten, konzentriert sich UEBA auf das Verhalten. Dies ermöglicht es, Zero-Day-Angriffe (0-Day), fortgeschrittene persistente Bedrohungen (APT) und Insider-Bedrohungen zu erkennen, die keine bekannten Signaturen haben. Laut Gartner werden bis 2026 mehr als 60 % der Organisationen UEBA als Teil ihrer Cybersicherheitsstrategie einsetzen, was auf das Wachstum von Angriffen auf Konten und interne Bedrohungen zurückzuführen ist.

Wie UEBA funktioniert

UEBA verwendet eine mehrstufige Architektur, die mehrere Phasen der Datenverarbeitung zur Erkennung versteckter Bedrohungen umfasst:

1. Datensammlung: Das System aggregiert Daten aus verschiedenen Quellen: Anwendungs- und Betriebssystemprotokolle, Netzwerkverkehr, Aktivitäten in Unternehmenssystemen (ERP, CRM, Active Directory), Daten aus EDR/XDR, Authentifizierungsprotokolle, Daten aus DLP-Systemen und SIEM. Je mehr Datenquellen, desto genauer die Profile und desto höher die Qualität der Erkennung.
2. Baseline-Erstellung: ML-Algorithmen erstellen auf der Grundlage historischer Daten (in der Regel 3-6 Monate) ein Profil des normalen Verhaltens für jeden Benutzer und jedes Gerät. Das Profil umfasst: typische Anmelde- und Abmeldezeit, verwendete Anwendungen und Dienste, Volumen der übertragenen Daten, typische Geolokalisierung, Häufigkeit der Aktionen, typische Arbeitsmuster.
3. Anomalieerkennung: Jede Abweichung vom Profil (z. B. das Herunterladen eines Terabytes an Daten nachts, die Anmeldung von einer ungewöhnlichen Geolokalisierung, das massenhafte Löschen von Dateien, das Starten uncharakteristischer Prozesse) wird als verdächtig markiert. Jedem Ereignis wird ein „Risikowert" von 0 bis 100 zugewiesen.
4. Risikobewertung und Korrelation: UEBA korreliert Anomalien miteinander und mit externen Bedrohungen (z. B. aus Threat Intelligence). Eine einzelne Anomalie kann harmlos sein, aber ihre Kombination (z. B. Anmeldung von einem neuen Gerät + Herunterladen einer großen Datenmenge + Senden an eine externe E-Mail) ergibt ein hohes Risikoniveau.
5. Alarmierung und Reaktion: Wenn der Risikoschwellenwert überschritten wird, wird eine Warnung für das Informationssicherheits-Monitoringzentrum (SOC) erzeugt. Moderne UEBA-Systeme integrieren sich auch in SOAR-Plattformen für die automatische Reaktion gemäß vorgegebenen Szenarien (Playbooks).

UEBA wird aktiv zum Schutz kritischer Systeme eingesetzt, die mit dem digitalen Rubel und dem Schnellzahlungssystem (SBP) arbeiten, da es ermöglicht, Anomalien in Finanzoperationen in Echtzeit zu erkennen.

Wichtigste Vorteile von UEBA

Die Implementierung von UEBA bietet Organisationen eine Reihe entscheidend wichtiger Vorteile, die es zu einem obligatorischen Element eines modernen Sicherheitssystems machen:

• Erkennung von Insider-Bedrohungen: UEBA deckt Mitarbeiter auf, die versuchen, Daten zu stehlen oder durchsickern zu lassen, unter den Konten anderer Personen arbeiten oder zu uncharakteristischen Zeiten handeln. Dies ist besonders wichtig für den Schutz von Geschäftsgeheimnissen und personenbezogenen Daten.
• Erkennung kompromittierter Konten: Erkennung anormalen Verhaltens gestohlener oder kompromittierter Konten (z. B. Anmeldung aus einem anderen Land, uncharakteristische Aktionen). Dadurch kann der Zugriff blockiert werden, bevor der Angreifer Schaden anrichtet.
• Erkennung gezielter Angriffe (APT): Erkennung versteckter Aktivitäten von Angreifern im Netzwerk, die bereits die Schutzgrenze passiert haben und langsam und vorsichtig handeln. APT-Angriffe dauern oft Monate, und UEBA hilft, sie in frühen Phasen zu bemerken.
• Reduzierung falsch positiver Ergebnisse: ML-Algorithmen unterscheiden Anomalien genauer von gewöhnlichen Benutzerfehlern, was die Belastung des SOC reduziert und es Analysten ermöglicht, sich auf echte Bedrohungen zu konzentrieren. Die Genauigkeit von UEBA erreicht bei korrekter Konfiguration 95-99 %.
• Erkennung von Zero-Day-Angriffen: Da UEBA keine Signaturen verwendet, kann es neue, bisher unbekannte Angriffe erkennen, die keine bekannten Muster haben.

Im Rahmen der Importsubstitution entwickeln sich in Russland inländische UEBA-Lösungen aktiv, die in russische Plattformen, Systeme der elektronischen Signatur und KIS integriert sind. Dies ermöglicht die Verwendung von UEBA in staatlichen Informationssystemen und an KII-Objekten.

UEBA im Cybersicherheits-Ökosystem

UEBA ist keine isolierte Lösung, sondern Teil eines umfassenden Informationsschutz-Ökosystems. Für maximale Effektivität wird UEBA in andere Komponenten integriert:

• SIEM-Systeme: UEBA bereichert SIEM mit Verhaltensanalysedaten und fügt Sicherheitsereignissen Kontext hinzu. SIEM wiederum liefert UEBA Protokolle und Ereignisse zur Analyse.
• DLP-Systeme: UEBA hilft DLP, nicht nur die Tatsachen der Datenübertragung, sondern auch verdächtiges Verhalten vor einem Leck zu erkennen (z. B. massenhaftes Kopieren von Dateien).
• EDR/XDR: UEBA analysiert das Benutzerverhalten auf Endgeräten und ergänzt EDR-Daten über Prozesse und Dateien. Zusammen erzeugen sie ein vollständiges Bild der Aktivität.
• SOAR: UEBA überträgt Warnungen an SOAR für die automatische Reaktion: z. B. kann das System bei Erkennung einer Anomalie automatisch ein Konto blockieren oder ein Gerät isolieren.

Die Implementierung von UEBA erfordert einen integrierten Ansatz. Die Dienstleistung Planung hilft, Datenquellen zu bestimmen, ML-Algorithmen und Schwellenwerte zu konfigurieren, und Kurse Schulung ermöglichen es Analysten, effektiv mit dem Verhaltensanalysesystem zu arbeiten.