Модуль UBA

Назначение

Модуль User Behavior Analytics (UBA) формирует поведенческие профили пользователей, хостов, сервисных учетных записей и других объектов. Текущие события сравниваются с накопленным профилем, а выявленные отклонения преобразуются в риск-баллы.

Источником может быть любой индекс

Для наполнения списка объектов и построения профилей можно использовать любой индекс или индекс-паттерн с подходящими полями. Также можно использовать индекс-агрегатор, например модуль Inventory или индекс, сформированный каким-либо иным образом. Его можно использовать как удобный промежуточный агрегатор: собрать данные из нескольких источников, нормализовать поля, обогатить записи и подготовить по одной актуальной записи на объект.

Индекс для наполнения списка объектов и индексы с событиями для профилирования могут различаться. Например, объекты можно загружать из подготовленного справочного индекса, а поведение анализировать по журналам аутентификации.

Полный цикл работы

1. Подготовка объектов. В типе объекта задаются базовые и дополнительные поля. Конфигурация заполнения читает выбранный индекс, применяет временной и пользовательский фильтры, сопоставляет поля источника с полями типа и формирует список объектов UBA.
2. Построение профиля. Политика профилирования выбирает события каждого объекта по полям идентификации, выполняет алгоритмы и записывает эталонные значения в профильные индексы.
3. Выявление аномалий. Задание по расписанию сопоставляет текущие события с профильными индексами. При отклонении активное действие начисляет риск-балл объекту.
4. Расчет скоринга. Расчет скоринга агрегирует активные баллы с учетом срока их жизни. Итоговый балл, история начислений и результаты профилирования отображаются в профиле объекта.

Сквозной идентификатор объекта

На всех этапах должен использоваться один и тот же нормализованный идентификатор:

• Поле идентификатора объекта в конфигурации заполнения определяет уникальный объект во входных данных
• базовое поле типа объекта хранит это значение в объекте UBA
• Поля для идентификации объекта в индексах политики сопоставляют события с базовым полем объекта
• поле идентификатора в задании выявления аномалий связывает событие с профильным индексом и начисленным баллом

Различия в регистре, формате или составе идентификатора нарушают сопоставление. Например, значения ivanov, IVANOV и domain\\ivanov следует заранее привести к единому формату либо осознанно настроить игнорирование регистра.

Рекомендуемый порядок настройки

1. Настроить тип объекта и совместимый тип скоринга
2. Подготовить уникальные входные записи и заполнить список объектов
3. Создать политику профилирования и проверить результаты ее запуска
4. Создать задание выявления аномалий с активным действием начисления риск-балла
5. Настроить расчет скоринга
6. Проверить результат в профиле объекта

Готовый набор значений для всех этапов приведен в сквозном примере настройки.

Примеры отклонений

• подключение по VPN в необычное для пользователя время
• подключение по VPN из новой страны или города
• первый запуск ранее неиспользуемой программы
• необычно большой объем отправленной почты