User and Entity Behavior Analysis
Unterschätztes Risiko Insider-Angriff
Fortsetzung des Artikels von Teil 1
User and Entity Behavior Analysis (UEBA) mithilfe von Machine Learning
User and Entity Behavior Analysis (UEBA) ist ein Cybersecurity-Prozess zur Verfolgung verdächtiger oder bösartiger Verhaltensweisen. UEBA-Tools überwachen das Nutzerverhalten von Mitarbeitern und externen Auftragnehmern mit Zugriff auf Anwendungen, Konten und Servern, die sensible Daten speichern. Dabei nutzen UEBA-Tools fortschrittliche Machine Learning-Algorithmen in Kombination mit statistischen Auswertungsmethoden, um potentielle Insiderbedrohungen zu ermitteln. Hierzu wird ein Standard-Verhaltensprofil des jeweiligen Nutzers erstellt, mit Informationen wie Ort und Geräten, von denen sich ein User in der Regel anmeldet, auf welche Dateien und Server er normalerweise zugreift, wie oft und zu welcher Zeit, welche Zugriffsrechte er aktuell hat und vieles mehr.
Angenommen, ein Benutzer lädt jeden Tag eine bestimmte Datenmenge von einem bestimmten Gerät herunter und greift jede Woche auf eine bestimmte Anzahl von Servern zu. Stellt das Analyse-Tool fest, dass der Account plötzlich Gigabytes an Daten von einem fremden Standort herunterlädt oder auf neue Server zugreift, wird es Alarm schlagen.
UEBA-Tools können somit selbstlernend auf Basis von Berechtigungen und Zugriffsrechten des jeweiligen Nutzers arbeiten. Mit Hilfe von Algorithmen kann UEBA spezifische Verhaltensmuster, Anomalien sowie Insider-Bedrohungen erkennen, die bei herkömmlicher menschlicher Überwachung eventuell völlig unbemerkt bleiben würden. Zudem schützt UEBA so auch vor Bedrohungen von außen: Für Cyberkriminelle mag es beispielsweise mithilfe von Phishing-Angriffen relativ simpel sein, Anmeldeinformationen wie Benutzername und Passwort eines Mitarbeiters abzugreifen, doch es wird schwierig werden, das Standardverhalten des jeweiligen Benutzers im Netzwerk nachzuahmen.
Interne und externe Bedrohungen im Überblick, gegen die UEBA schützen kann
Insider-Bedrohungen: Die Motivation von böswilligen Insidern ist vielfältig, von finanziellem Gewinn durch den Verkauf personenbezogener Daten oder Weitergabe von Industrie- und Geschäftsgeheimnissen bis hin zum Löschen unternehmenskritischer Daten als Racheakt aufgrund einer Entlassung.
UEBA-Abwehrmechanismus: Durch integriertes Machine Learning kann das UEBA-Tool Sicherheits-, Richtlinienverstöße und Privilegien-Missbrauch durch Mitarbeiter eines Unternehmens erkennen und Sicherheitsteams bei verdächtigen Insideraktivitäten direkt alarmieren.
Gehackte privilegierte Konten: Häufig haben Führungskräfte erweiterte Zugriffsrechte und verfügen aufgrund ihrer Unternehmensposition auch über besondere Berechtigungen. In anderen Fällen erhalten externe Auftragnehmer oder leitende Angestellte auch kurzfristigen Zugriff auf sensible Daten, beispielsweise für ein Projekt. Cyberkriminelle sind stets auf der Suche nach derart privilegierten Konten, um möglichst lukrative Informationen zu erbeuten.
UEBA-Abwehrmechanismus: Privilegierte Konten können sowohl durch böswillige Insider als auch unachtsame Mitarbeiter gefährdet werden, die versehentlich sensible Informationen preisgeben. Durch die unmittelbare Erkennung untypischen Verhaltens unterstützt UEBA IT-Teams darin, kompromittierte Konten auszusortieren, bevor ein Hacker Schaden anrichten kann. Darüber hinaus weiß das Analyse-Tool auch, wann privilegierte User angelegt wurden, und überwacht, ob sie überhaupt noch Zugriff auf bestimmte Daten benötigen oder über nicht mehr notwendige Berechtigungen verfügen.
Passwort-Angriffe: Hat ein Hacker ein Passwort abgegriffen, kann er mithilfe simpler Brute Force-Attacken Variationen des Kennworts ausprobieren, um in weitere Konten des Opfers einzudringen. Angreifer nutzen hierbei die Wahrscheinlichkeit aus, dass Nutzer bestimmte Abwandlungen des gleichen Passworts für verschiedene Accounts verwenden.
UEBA-Abwehrmechanismus: Sobald Hacker Zugang zu Logins und Passwörtern haben, werden sie im nächsten Schritt wahrscheinlich Firewalls, Server-Einträge oder Authentifizierungssysteme von Drittanbietern angreifen. UEBA ist in der Lage, Brute Force-Attacken zu erkennen und den Zugang zu angegriffenen Systemen sofort zu sperren.
Mit entsprechenden Richtlinien wie regelmäßiger Mitarbeiterschulung und datenzentrischen Sicherheitstechnologien vermeiden Unternehmen, dass ihre Daten in die falschen Hände geraten. UEBA-Tools können hier IT-Teams maßgeblich unterstützen, verdächtiges Nutzerverhalten schnell zu erkennen und alarmieren proaktiv, bevor es zu einem Sicherheitsverstoß kommt.
Christoph M. Kumpa ist Director DACH & EE bei Digital Guardian
- Unterschätztes Risiko Insider-Angriff
- User and Entity Behavior Analysis (UEBA) mithilfe von Machine Learning
Lesen Sie mehr zum Thema
