UEBA

UEBA (User and Entity Behavior Analytics) to analityka, która wykrywa zagrożenia przez wychwytywanie odstępstw od wyuczonego wzorca zachowania użytkownika albo innego podmiotu: hosta, adresu IP, aplikacji. Microsoft opisuje UEBA jako budowanie dynamicznych profili zachowań dla użytkowników, hostów, adresów IP, aplikacji i innych podmiotów oraz porównywanie bieżącej aktywności z ustaloną linią bazową ^[2]. MITRE D3FEND, powołując się na definicję firmy Gartner, opisuje pokrewną analitykę zachowań użytkowników (UBA) jako proces wykrywania zagrożeń wewnętrznych, ataków ukierunkowanych i oszustw finansowych przez statystyczną analizę wzorców ludzkiego zachowania ^[1]. Litera E w skrócie rozszerza tę analizę z ludzi na podmioty techniczne.

Jak działa

Punktem wyjścia są logi zbierane przez SIEM. Moduł UEBA uczy się z nich, co jest normalne dla danego konta, i ocenia każde nowe zdarzenie względem tej normy. Microsoft wymienia cztery rodzaje odstępstw branych pod uwagę przy nadawaniu oceny ryzyka: odstępstwa w lokalizacji, urządzeniach i środowiskach, zmiany w czasie i częstotliwości względem historii podmiotu, różnice względem grupy porównawczej oraz odstępstwa od wzorców całej organizacji ^[2].

Grupy porównawcze (peer groups) Microsoft Sentinel wylicza dynamicznie: dla użytkownika wskazuje 20 najbliższych osób na podstawie członkostwa w grupach zabezpieczeń, listach mailingowych i innych powiązaniach ^[2]. Pojedyncze zdarzenie otrzymuje ocenę priorytetu od 0 do 10, a zachowanie rozłożone w czasie ocenę anomalii od 0 do 1 ^[2].

Obie oceny liczy się inaczej. Ocena priorytetu łączy rzadkość podmiotu, na przykład użytkownika, urządzenia albo kraju, z oceną szeregu czasowego, która wychwytuje nietypowe wzorce w czasie, takie jak nagły wzrost nieudanych logowań ^[2]. Ocena anomalii pochodzi z modelu uczenia maszynowego wytrenowanego na danych danego środowiska ^[2]. Wysoka ocena anomalii często idzie w parze z wysokim priorytetem, ale nie zawsze ^[2].

Microsoft dodaje nad surowymi logami warstwę zachowań, która streszcza powiązane zdarzenia w postaci „kto co zrobił komu”, z objaśnieniem w języku naturalnym i odwzorowaniem na techniki MITRE ATT&CK ^[2]. D3FEND zwraca uwagę na zasadniczą różnicę: zamiast śledzić urządzenia albo zdarzenia bezpieczeństwa, analityka zachowań śledzi użytkowników systemu ^[1].

Przebieg analizy przy logowaniu na stronę pokazuje schemat poniżej.

RYS. 1Nietypowe logowanie oceniane przez UEBA

UEBA a wykrywanie sygnaturowe

Podejście behawioralne uzupełnia wykrywanie sygnaturowe. D3FEND odróżnia dwa podejścia: jedne techniki wychwytują wzorce, takie jak powtarzane próby logowania z jednego adresu, duże pobrania plików albo nietypowy dostęp, inne dopasowują zdarzenia do sztywnej definicji złego zachowania ^[1]. W tekście opisującym moduł UEBA jednego z producentów Sekurak podaje, że odpowiada on za analizę zachowań użytkowników, wykrywanie anomalii i klasyfikację ryzyka, czyli funkcje, które nie wynikają wprost z wykrytego wzorca ataku ^[4].

Zagrożenia, które wykrywa

Microsoft wskazuje przejęte konta, ataki z wewnątrz i lateral movement jako typowe cele UEBA ^[2]. Najważniejszy z nich jest atak na prawdziwe konta. MITRE ATT&CK opisuje technikę T1078, w której przeciwnik zdobywa i nadużywa danych logowania istniejących kont, by uzyskać dostęp początkowy, utrwalić obecność, podnieść uprawnienia albo ukryć się ^[3]. Według MITRE przeciwnicy mogą wykorzystywać konta nieaktywne, na przykład osób, które odeszły z organizacji, bo właściciel nie zauważy nietypowej aktywności ^[3]. MITRE zaznacza też, że przeciwnik może celowo nie używać złośliwego oprogramowania ani narzędzi, poprzestając na legalnym dostępie, jaki dają przejęte dane logowania, aby utrudnić wykrycie ^[3]. Poprawne hasło nie zostawia sygnatury; zdradza je dopiero zachowanie.

Do tej grupy należą przejęcie konta po credential stuffing, działania osoby z wewnątrz (insider) i konta, które nagle zaczynają robić rzeczy spoza swojej roli.

W WordPressie

WordPress nie ma wbudowanego modułu UEBA, ale dostarcza zdarzeń, z których taki moduł korzysta. Hak wp_login uruchamia się po udanym zalogowaniu i przekazuje login oraz obiekt użytkownika ^[5]. Hak wp_login_failed uruchamia się po nieudanym logowaniu i przekazuje login lub adres e-mail wraz z obiektem błędu ^[6]. Wtyczka rejestrująca aktywność może wysyłać te zdarzenia do zewnętrznego systemu analizy.

add_action( 'wp_login', function ( $login, $user ) {
    error_log( sprintf( 'login ok: %s ip=%s', $login, $_SERVER['REMOTE_ADDR'] ?? '-' ) );
}, 10, 2 );

Dokumentacja WordPressa przypomina, że logi serwera pozwalają ustalić adres IP, czas i działania atakującego ^[7]. Dla UEBA na stronie WordPress sensowne sygnały to logowanie administratora z nowego kraju, logowanie na konto dawno nieużywane ^[3] oraz pojawienie się nowego użytkownika z rolą administratora, opisane jako nieautoryzowane konto administratora.

Dobre praktyki

• Zapewnij dość długą historię zdarzeń; profil powstaje z danych z przeszłości ^[2]. Wymaga to przemyślanej retencji logów.
• Traktuj ocenę UEBA jako wskazówkę do triażu. Microsoft podaje przykład pierwszej operacji w Azure: ocena priorytetu jest wysoka, bo zdarzenie jest pierwsze, a ocena anomalii niska, bo takie zdarzenia zdarzają się często ^[2].
• Ograniczaj szum, bo nadmiar alertów prowadzi do zmęczenia alertami (alert fatigue).
• Wyłączaj nieużywane konta; nieaktywne konto to wygodne ukrycie dla atakującego ^[3].
• Łącz UEBA z uwierzytelnianiem wieloskładnikowym (MFA), które utrudnia samo przejęcie konta, oraz z danymi z EDR i XDR.