Análise de comportamento de usuários e entidades (UEBA)

UEBA é a sigla para User and Entity Behavior Analytics (Análise do comportamento de usuários e entidades).

As soluções UEBA aumentam as práticas e os processos de segurança cibernética existentes por meio de aprendizado de máquina sofisticado. Quando combinadas com ZTNA, XDR e EPP, elas constituem uma abordagem mais moderna e completa para a segurança e a continuidade dos negócios.

Uma ferramenta UEBA é qualquer software ou plataforma com funcionalidade UEBA incorporada. Ela pode ser pura (totalmente dedicada ao UEBA) ou incorporada (o UEBA é incluído como parte da funcionalidade geral).

No contexto da UEBA, uma entidade é qualquer elemento não humano capaz de agir - de forma autônoma ou sob a direção de um agente humano - em uma rede. Isso inclui, mas não se limita a:

• Pontos finais
• Software e aplicativos
• Dispositivos móveis
• Outras redes ou organizações
• Sistemas de TI, como hardware de rede
• Ameaças não humanas (por exemplo, ransomware, malware)
• Outros negócios

A UBA (User Behavior Analytics, análise do comportamento do usuário) concentra-se apenas em atores humanos. A UEBA, por outro lado, analisa o comportamento dos dispositivos e máquinas em uma rede, além do comportamento dos usuários. A UEBA também se concentra mais em ameaças externas do que a UBA.

Tirando isso, os dois são praticamente idênticos.  

Os três pilares da UEBA, conforme definidos pelo Gartner, são as funções essenciais que uma solução ou estrutura de UEBA deve adotar para ser eficaz. São eles:

1. Casos de uso. O UEBA deve definir e abordar vários casos de uso distintos
2. Dados. Uma solução UEBA deve ser capaz de ingerir dados de várias fontes de dados predefinidas, como data lakes, repositórios de dados ou por meio de um SIEM sem agentes de instrumentação dedicados.  
3. Análises. A UEBA requer uma abordagem relativamente complexa para a segurança cibernética algorítmica, aproveitando várias técnicas de modelagem de ameaças e aprendizado de máquina, como modelos estatísticos, monitoramento baseado em regras, análise comportamental e detecção de assinatura de ameaças.

As ferramentas de gerenciamento de eventos e informações de segurança (SIEM) agregam e contextualizam os dados de eventos do sistema para permitir um gerenciamento em tempo real mais eficaz das ameaças ativas. O UEBA se concentra mais no comportamento do que nos eventos, o que lhe permite detectar ataques mais sofisticados que um SIEM poderia ignorar. É importante observar que o UEBA e o SIEM não são mutuamente excludentes - na verdade, o Gartner considera o UEBA um recurso das plataformas modernas de SIEM.

Os ambientes operacionais de negócios são cada vez mais complexos e dinâmicos - configurar sistemas de segurança baseados em regras para aderir a esse ecossistema é insustentável, na melhor das hipóteses. Mais importante ainda, os agentes de ameaças modernos são inteligentes. Suas táticas são frequentemente projetadas para confundir as soluções de segurança legadas com foco na prevenção.

A UEBA também desempenha um papel importante no Zero Trust Network Access (ZTNA) e ajuda a empresa a reduzir falsos positivos e alertas desnecessários.