Qu'est-ce que l'analyse du comportement des utilisateurs et des entités (UEBA) ?

La cybersécurité devient de plus en plus importante pour les entreprises de toutes tailles. Il est désormais courant que même les petites entreprises utilisent une multitude d'outils tels que des SIEM, des pare-feu et des VPN pour se protéger contre les intrusions.

DÉFILEZ POUR CONTINUER AVEC LE CONTENU

Toutefois, les pirates informatiques deviennent de plus en plus sophistiqués. Leur succès dépend de leur capacité à mener des attaques sans être détectés par ces outils. Et ils y parviennent souvent. Une solution potentielle à ce problème est connue sous le nom d’analyse du comportement des utilisateurs et des entités.

Alors, qu’est-ce que l’UEBA et votre entreprise devrait-elle l’utiliser ? Découvrons-le ci-dessous.

UEBA est une solution de cybersécurité qui utilise de grands ensembles de données pour modéliser l'activité du réseau. Il analyse à la fois les utilisateurs d'un réseau et le réseau lui-même, comme les routeurs et les appareils IoT. Il recherche ensuite toute activité suspecte et alerte une entreprise chaque fois qu'une telle activité est détectée.

Il y parvient en créant une base de référence de ce à quoi ressemble l’activité normale sur un réseau. Il utilise ensuite l’apprentissage automatique pour détecter automatiquement les comportements anormaux.

Il est populaire car de nombreux produits de cybersécurité sont formés pour rechercher principalement les logiciels malveillants. Les pirates peuvent vaincre ces logiciels en entrant dans un réseau et en n’installant simplement aucun fichier malveillant.

Contrairement à cela, l'UEBA peut rechercher tout ce qui est anormal. Cela lui permet de détecter des attaques plus sophistiquées qui ne correspondent pas aux menaces connues.

Comment fonctionne l'UEBA ?

Les solutions UEBA comportent généralement trois composants principaux : analyse, intégration et présentation. Examinons-les brièvement :

Analytique

UEBA analyse le comportement de tous les utilisateurs et appareils du réseau. Cela crée une base de référence qui illustre à quoi ressemble un réseau lorsqu'une attaque ne se produit pas. Des modèles statistiques sont ensuite utilisés pour déterminer quand un utilisateur ou un appareil se comporte d'une manière inappropriée.

Intégration

Les solutions UEBA sont généralement conçues pour s'intégrer à d'autres logiciels de sécurité. Votre entreprise suit probablement déjà le comportement du réseau et votre produit UEBA devrait être capable de collecter automatiquement les données de ces produits.

Présentation

L'UEBA n'agit généralement pas contre les menaces. Au lieu de cela, il est conçu pour présenter ses données au personnel informatique pour une enquête plus approfondie. Cela peut être aussi simple que d’envoyer une alerte. Mais de nombreux produits de l'UEBA produisent également des graphiques et d'autres données statistiques que le personnel peut utiliser pour effectuer des analyses supplémentaires.

Contre quoi l’UEBA protège-t-elle ?

UEBA peut protéger contre diverses menaces que d'autres produits de sécurité ne peuvent pas protéger. Voyons ce qu'ils sont, d'accord ?

Menaces internes

Les logiciels de sécurité ont souvent du mal à détecter les menaces internes. Même si un SIEM peut facilement détecter une intrusion sur le réseau, il peut ne pas détecter qu'une personne déjà à l'intérieur d'un réseau fait quelque chose qu'elle n'est pas censée faire. Un UEBA correctement configuré comprendra le comportement normal des utilisateurs et devra générer une alerte si un utilisateur commence à faire autre chose.

Comptes d'utilisateurs compromis

Si un utilisateur se comporte anormalement, cela n’est pas toujours dû à une menace interne. Cela peut également signifier qu'un attaquant a volé le compte de l'utilisateur. Les employés des entreprises sont régulièrement ciblés par le phishing et les comptes d'utilisateurs compromis sont donc fréquents. Un UEBA peut détecter les comptes compromis dès que l'attaquant commence à faire quelque chose qui sort de l'ordinaire.

Augmentation des privilèges

L'élévation de privilèges se produit lorsqu'un utilisateur se voit accorder des privilèges supplémentaires pour accéder à d'autres parties d'un réseau. C’est quelque chose dont un pirate informatique bénéficierait. Un UEBA peut être configuré pour détecter chaque fois que les privilèges d'un utilisateur sont augmentés et envoyer une alerte pour enquête.

Attaques par force brute

Les attaques par force brute impliquent des tentatives répétées d’accès aux comptes d’utilisateurs et aux réseaux. Comme cela ne fait évidemment pas partie des comportements normaux, cela peut facilement être détecté par un UEBA. Dans ce scénario, un UEBA peut générer une alerte ou être configuré pour expulser automatiquement l’attaquant.

Accès restreint aux informations

Une UEBA peut surveiller qui accède aux informations confidentielles. Il peut donc prévenir les violations de données en générant une alerte chaque fois qu'un utilisateur accède à quelque chose qui n'est pas nécessaire à son travail.

UEBA contre SIEM

Les outils de gestion des informations de sécurité et des événements sont similaires à l'UEBA mais pas tout à fait les mêmes. Les outils SIEM analysent également un réseau et génèrent des alertes chaque fois qu'une activité suspecte est détectée.

La différence est que SIEM génère une alerte uniquement lorsqu'un attaquant fait quelque chose que l'on sait être malveillant. Ainsi, si un attaquant fait attention, il peut toujours pénétrer dans un réseau et éviter d’être détecté.

UEBA est conçu pour détecter les attaques, non pas dues à un comportement malveillant mais à un comportement hors norme. Cela lui permet de détecter les attaques qui ne correspondent à aucune menace connue.

De nombreux outils SIEM intègrent désormais l'UEBA pour cette raison, mais la majorité ne le fait pas.

Toutes les entreprises devraient-elles utiliser l’UEBA ?

Toutes les entreprises devraient envisager d'utiliser une solution UEBA, mais comme pour de nombreuses nouvelles solutions de cybersécurité, il est essentiel de peser le pour et le contre avant de la mettre en œuvre.

L’UEBA est capable de détecter les menaces que SIEM ne pourrait pas détecter. Il est également capable de détecter les menaces que le personnel de sécurité pourrait manquer. Cette protection supplémentaire vaut souvent la peine d’investir, compte tenu des pertes subies après une cyberattaque réussie.

Les solutions UEBA assurent également une protection automatisée. Cela peut permettre à une entreprise de disposer d’un service de cybersécurité plus petit et, par conséquent, de réaliser d’importantes économies de salaire.

L’inconvénient de l’UEBA est qu’il est coûteux à mettre en œuvre. Cela peut dépasser le budget de nombreuses petites entreprises, même s’il n’est pas strictement nécessaire. La mise en œuvre d'une solution UEBA nécessitera également que le personnel soit formé à son utilisation, ce qui ajoutera des coûts supplémentaires.

L’UEBA ne constitue pas non plus un substitut approprié aux autres produits de cybersécurité. Même si un produit SIEM peut inclure UEBA, UEBA ne remplace pas SIEM ou tout autre produit de sécurité dont dispose déjà une entreprise.

L'UEBA offre une protection supérieure

Les produits UEBA offrent une amélioration significative par rapport aux produits SIEM standard et sont capables d'identifier des menaces qui autrement passeraient inaperçues. Alors que SIEM est souvent confronté à des menaces internes, UEBA peut détecter automatiquement les activités réseau inhabituelles des utilisateurs autorisés.

La pertinence ou non de l’UEBA pour votre entreprise dépend de votre budget cybersécurité. Bien que l'UEBA soit supérieur, le coût élevé de l'installation et le fait qu'il ne remplace pas d'autres produits constituent un inconvénient évident.