Software zur Analyse des Benutzerverhaltens (User Behavior Analytics, UBA)

Analyse des Benutzerverhaltens mit ADAudit Plus

Wie User Behavior Analytics-Software bei der Erkennung von Bedrohungen hilft

User Behavior Analytics (UBA)-Software wendet statistische Modellierung und maschinelles Lernen auf die Aktivitätsdaten an, die von Benutzern in einer IT-Umgebung generiert werden. Anstatt nach bestimmten Signaturen zu suchen, erstellt ein UBA-Tool für jeden Benutzer eine Basislinie, die definiert, was als normal gilt, und gibt eine Warnung aus, wenn die beobachtete Aktivität erheblich von dieser Basislinie abweicht. Dies ermöglicht es Unternehmen, Bedrohungen zu erkennen, die durch Regeln allein übersehen werden: den Insider, der über Wochen hinweg langsam Daten abzieht, das kompromittierte Konto, das erstmals zu einer ungewöhnlichen Uhrzeit auftaucht, oder den Angreifer, der die Perimeter-Sicherheit bereits umgangen hat und sich lateral durch Ihr Netzwerk bewegt.

ADAudit Plus wendet dies direkt auf Active Directory an, wo sich die meisten identitätsbasierten Angriffe abspielen. Das Produkt erfasst Windows-Sicherheitsereignisdaten von Domänencontrollern, Mitgliedsservern, Workstations und Dateiservern und wendet anschließend maschinelles Lernen an, um Verhaltensanomalien bei Anmeldeaktivitäten, Benutzerverwaltungsaktionen, Sperrmustern, Prozessausführung und Dateioperationen zu erkennen. Da ADAudit Plus speziell für AD-Umgebungen entwickelt wurde, sind seine Basiswerte und Erkennungsmechanismen auf die spezifischen Verhaltensmuster abgestimmt, die für IT-Administratoren und Sicherheitsteams in Windows-Infrastrukturen von Bedeutung sind.

Was ADAudit Plus überwacht und als Basiswerte erfasst

ADAudit Plus erstellt benutzer- und hostbezogene Basiswerte in sechs Verhaltensdomänen. Jeder Basiswert spiegelt das individuelle Muster für dieses Konto oder diesen Host wider, nicht einen Domänen-Durchschnitt.

Anomales Benutzerverhalten mit maschinellem Lernen erkennen

ADAudit Plus verwaltet 31 spezielle UBA-Berichte, die jeweils eine bestimmte Anomaliekategorie abdecken. Wenn die Aktivität eines Benutzers den durch seine individuelle Baseline festgelegten Schwellenwert überschreitet, erscheint das Ereignis im entsprechenden Bericht mit vollständigem Kontext, um es zu untersuchen oder zu verwerfen.

• Ein Anstieg der Anmeldefehler über die individuelle Baseline eines Benutzers hinaus, Anmeldeversuche außerhalb der festgelegten Arbeitszeiten und andere Aktionen, die eine Untersuchung rechtfertigen, werden gemeldet.
• Wenn ein Benutzer auf einen Host zugreift, auf den er zuvor noch nie zugegriffen hat, wird dies in einem speziellen Bericht als Anzeichen für eine laterale Bewegung erfasst.
• Ein plötzlicher Anstieg von Dateiveränderungen über die Basislinie eines Benutzers hinaus wird markiert – einer der stärksten Indikatoren für Ransomware, die aus Windows-Ereignisdaten gewonnen werden können.
• Ungewöhnliche Mengen an Dateilöschungen, erhöhte Anzahl an fehlgeschlagenen Dateizugriffen und Dateiaktivitäten außerhalb der normalen Arbeitszeiten werden jeweils in separaten Berichten erfasst, damit verschiedene Bedrohungsszenarien nicht in einer einzigen Warnmeldung zusammengefasst werden.

Aktive AD-Angriffe erkennen, nicht nur Anomalien

Zur Ergänzung der auf maschinellem Lernen basierenden Bedrohungserkennung verfügt ADAudit Plus über integrierte Funktionen zur Erkennung bekannter Bedrohungen. Ein Attack Surface Analyzer in ADAudit Plus erkennt mehr als 25 Active-Directory-Angriffstechniken namentlich, darunter Kerberoasting, Golden-Ticket-Angriffe, DCSync, Pass-the-Hash, Pass-the-Ticket, RID-Hijacking, DCShadow und Skeleton Key.

Das Verhalten privilegierter Benutzer überwachen

Privilegierte Konten erfordern eine genauere Verhaltensüberwachung als Standardbenutzerkonten. Kompromittierte Administrator-Anmeldedaten, ein böswilliger Insider mit erweiterten Zugriffsrechten oder ein Techniker, der über seine Rolle hinausgehende Berechtigungen angesammelt hat – all dies führt zu Verhaltensmustern, die sich von denen eines rechtmäßig agierenden Administrators im Tagesgeschäft unterscheiden.

• ADAudit Plus legt für die Aktivitäten privilegierter Benutzer separate Basiswerte fest und erfasst dabei das Volumen und den Zeitpunkt von Verwaltungsaktionen in den Bereichen Benutzerverwaltung, Gruppenverwaltung, GPO-Änderungen und Berechtigungsanpassungen.
• Es kennzeichnet Administratoren, deren Aktivitäten im Bereich der Kontoverwaltung über ihre individuelle Basislinie hinausgehen – ein Hinweis darauf, dass entweder kompromittierte Anmeldedaten verwendet werden oder dass ein Prozess zur Automatisierung von Änderungen fehlgeschlagen ist.
• Administratoraktivitäten, die zu ungewöhnlichen Zeiten stattfinden, werden nachverfolgt, um potenzielle Anzeichen für eine Kompromittierung des Kontos oder des Benutzers schnell zu erkennen.
• Die erstmalige Nutzung einer Berechtigung wird erfasst, um zu erkennen, wann ein Konto zum ersten Mal ein Recht ausübt, über das es verfügt, das es aber zuvor noch nie genutzt hat. Dies ist einer der deutlichsten Indikatoren für den Missbrauch von Berechtigungen.

Echtzeit-Warnmeldungen erhalten und die Reaktion auf Vorfälle automatisieren

Das Erkennen einer Anomalie oder eines Angriffs ist nur dann sinnvoll, wenn die richtigen Personen schnell genug davon erfahren, um handeln zu können. ADAudit Plus wird mit über 50 vorkonfigurierten Warnprofilen ausgeliefert, die die Verhaltens- und Angriffsszenarien abdecken, die am ehesten sofortige Aufmerksamkeit erfordern.

Wenn eine Warnmeldung ausgelöst wird, kann ADAudit Plus automatisch ein Ticket in unterstützten ITSM-Tools erstellen, sodass der Vorfall mit vollständigem Kontext und ohne manuelle Weiterleitung protokolliert und zugewiesen wird.

Warum native Tools zu kurz greifen

Windows-Sicherheitsereignisprotokolle enthalten die Rohdaten, auf denen UBA basiert. Das Problem ist, dass sie für die Erfassung und nicht für die Analyse konzipiert sind. Mehrere strukturelle Einschränkungen machen native Tools für Verhaltensanalysen in nennenswertem Umfang unbrauchbar.

• Sicherheitsereignisprotokolle werden lokal auf jedem Domänencontroller gespeichert. In einer Umgebung mit mehreren Domänencontrollern erfordert die Korrelation der Aktivitäten eines einzelnen Benutzers das Abrufen der Protokolle von jedem Controller einzeln; es gibt keine native konsolidierte Ansicht.
• Die Ereignisanzeige bietet keine Funktionen zur Erstellung von Basiswerten. Sie vermerkt zwar, dass 47 fehlgeschlagene Anmeldeversuche stattgefunden haben, gibt jedoch keinen Aufschluss darüber, ob dies für diesen Benutzer normal ist oder eine signifikante Abweichung von seinem üblichen Verhaltensmuster darstellt.
• PowerShell kann Protokolle über mehrere Domänencontroller hinweg aggregieren, doch das Erstellen und Pflegen der Skripte, die erforderlich sind, um das benutzerspezifische Verhalten als Basislinie zu erfassen, Abweichungen zu erkennen und konsistente Berichte zu erstellen, stellt einen erheblichen laufenden technischen Aufwand dar – und ist keine Funktion zur Sicherheitsüberwachung.
• Native Tools verfügen weder über ein Konzept für Entitäts-Basislinien für Hosts noch über eine Erkennung von Erstzugriffen und auch nicht über eine Korrelation zwischen Identitätsaktivitäten vor Ort und in der Cloud.

ADAudit Plus ersetzt diesen manuellen, fragmentierten Arbeitsablauf durch eine speziell entwickelte UBA-Engine. Basiswerte werden automatisch erstellt, Anomalien werden in speziellen Berichten sichtbar gemacht, und benannte Angriffstechniken werden erkannt und mit forensischen Zeitachsen dargestellt. Dieselben Daten, die die Verhaltenserkennung antreiben, fließen in Ihre Compliance-Berichte ein – alles über eine einzige Konsole.