Аналитика поведения пользователей и сущностей (UEBA)
§§IBT7§§¶@definition¶UEBA — аналитика поведения пользователей и сущностей, выявляющая аномалии по действиям людей, устройств и учётных записей.¶@plain¶Проще говоря, «Аналитика поведения пользователей и сущностей (UEBA)» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¶@use¶В практике ИБ термин «Аналитика поведения пользователей и сущностей (UEBA)» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.¶@example¶При разборе цепочки событий аналитик SOC обращается к понятию «Аналитика поведения пользователей и сущностей (UEBA)»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.¶@compare¶Оркестрация, автоматизация и реагирование (SOAR)¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/orkestratsiya-avtomatizatsiya-i-reagirovanie-soar¦SOAR — платформа оркестрации, автоматизации и реагирования, связывающая средства ИБ и исполняющая сценарии обработки инцидентов.¤Playbook¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/playbook¦Playbook — описанный сценарий реагирования с условиями, действиями, ролями и точками принятия решения.¶@steps¶Получить телеметрию¦Для «Аналитика поведения пользователей и сущностей (UEBA)» собирают нужные события с активом, временем и контекстом источника.¤Применить аналитику¦Правило или специалист сопоставляет признаки с ожидаемым и подозрительным поведением.¤Провести триаж¦Результат «Аналитика поведения пользователей и сущностей (UEBA)» проверяют, оценивают серьёзность и определяют требуемое действие.¤Улучшить обнаружение¦Итог расследования возвращают в правила, плейбуки, источники данных и контроль качества.¶@resources¶¶@related¶Оркестрация, автоматизация и реагирование (SOAR)¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/orkestratsiya-avtomatizatsiya-i-reagirovanie-soar¤Playbook¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/playbook¤Тикет безопасности¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/tiket-bezopasnosti¶@faq¶Что такое «Аналитика поведения пользователей и сущностей (UEBA)» простыми словами?¦Проще говоря, «Аналитика поведения пользователей и сущностей (UEBA)» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.