UEBA nedir? İç tehdit tespitinde kullanım

İç Tehditler Neden Gözden Kaçıyor?

1. Yetkili Erişim: Tehditler yetkili hesaplardan gelir, normal faaliyetle karışır.
2. Alışılmış Davranış: Günlük işleri taklit ederek gizlenir.
3. Karmaşık Saldırılar: Küçük, uzun süreli adımlarla ilerler.
4. Güvenlik Araçlarının Sınırı: Klasik sistemler iç tehditleri zor fark eder.
5. Veri Yoğunluğu: Kritik olaylar diğer uyarılar arasında kaybolur.
6. İnsan Faktörü: Güvenlik ekipleri bazı şüpheli davranışları gözden kaçırabilir.

UEBA Nasıl Çalışır? 

UEBA (Kullanıcı ve Varlık Davranış Analitiği), kullanıcılar ve bağlı varlıklar üzerindeki şüpheli ve anormal etkinlikleri tespit etmek için veri toplama, analiz, modelleme ve uyarı süreçlerini bir araya getiren bir güvenlik çözümüdür. İşleyişi temel olarak şu adımlardan oluşur:

1. 1. Veri Toplama: Ağ, sunucu, uygulama, uç nokta ve İK sistemlerinden kullanıcı ve varlık verileri toplanır.
   2. Normal Davranış Profili: Her kullanıcı ve varlığın tipik davranış kalıpları oluşturulur.
   3. Anormallik Tespiti: Normal profilden sapmalar gerçek zamanlı olarak izlenir ve risk puanı atanır.
   4. Uyarılar ve Önceliklendirme: Risk seviyesine göre güvenlik ekiplerine uyarılar gönderilir; otomatik aksiyonlar alınabilir.
   5. Sürekli Öğrenme: Sistem, davranış değişikliklerini öğrenir, profilleri günceller ve tespit doğruluğunu artırır.

Makine Öğrenmesi UEBA’ya Ne Katar?

Makine öğrenmesi, UEBA sistemlerine kullanıcılar ve varlıklar için normal davranış kalıplarını otomatik olarak öğrenme, sapmaları ve anormallikleri insan müdahalesine gerek kalmadan tespit etme, her olayı risk seviyesine göre puanlayarak önceliklendirme, davranış değişikliklerine uyum sağlayarak yanlış pozitifleri azaltma ve karmaşık içeriden veya çok adımlı saldırıları büyük veri hacimlerinde bile fark etme yeteneği kazandırarak, güvenlik ekiplerinin kritik tehditlere odaklanmasını ve siber saldırılara karşı daha etkili bir savunma yapmasını sağlar.

UEBA’nın Kurumlara Sağladığı Katma Değer

1. Erken Tehdit Tespiti: Anomalilerle saldırılar erkenden fark edilir.
2. Risk Yönetimi: Tehditler risk puanına göre önceliklendirilir.
3. Yanlış Pozitifleri Azaltma: Gereksiz uyarılar minimize edilir.
4. İçeriden Tehdit Savunması: Yetkili hesaplardaki kötü niyetli faaliyetler tespit edilir.
5. Sürekli Öğrenme: Sistem zamanla davranışları öğrenir ve güncel kalır.
6. Entegre Güvenlik: SIEM, EDR, XDR ve IAM ile birlikte çalışır.
7. İş Sürekliliği: Veri kaybı ve operasyonel kesintiler önlenir.