Analyse du comportement des utilisateurs

L'analyse du comportement des utilisateurs ( UBA ) ou l'analyse du comportement des utilisateurs et des entités ( UEBA ), est le concept d'analyse du comportement des utilisateurs, des sujets, des visiteurs, etc. dans un but précis. Il permet aux outils de cybersécurité de construire un profil de l'activité normale de chaque individu, en examinant les modèles de comportement humain , puis en mettant en évidence les écarts par rapport à ce profil (ou les anomalies) qui peuvent indiquer une compromission potentielle.

Selon Johna Till Johnson de Nemertes Research , la raison pour laquelle on utilise l'UBA est que « les systèmes de sécurité fournissent tellement d'informations qu'il est difficile de découvrir des informations qui indiquent vraiment un potentiel d'attaque réelle. Les outils d'analyse aident à donner un sens à la vaste quantité de données que les SIEM , IDS /IPS, les journaux système et d'autres outils collectent. Les outils UBA utilisent un type spécialisé d'analyse de sécurité qui se concentre sur le comportement des systèmes et des personnes qui les utilisent. La technologie UBA a d'abord évolué dans le domaine du marketing, pour aider les entreprises à comprendre et à prédire les habitudes d'achat des consommateurs . Mais il s'avère que l'UBA peut également être extrêmement utile dans le contexte de la sécurité. »

Le E dans UEBA étend l'analyse pour inclure les activités d'entité qui ont lieu mais qui ne sont pas nécessairement directement liées ou rattachées aux actions spécifiques d'un utilisateur, mais qui peuvent néanmoins être corrélées à une vulnérabilité, une reconnaissance, une intrusion ou une exploitation.

Le terme « UEBA » a été inventé par Gartner en 2015. L'UEBA suit l'activité des appareils, des applications, des serveurs et des données. Les systèmes UEBA produisent plus de données et offrent des options de reporting plus complexes que les systèmes UBA.

Les outils UEBA diffèrent des capacités de détection et de réponse aux points d'extrémité (EDR) dans la mesure où l'UEBA se concentre sur l'analyse du comportement de l'utilisateur tandis que l'EDR se concentre sur l'analyse du point d'extrémité . Les solutions de cybersécurité, comme l'EDR et le XDR, donnent généralement la priorité à la détection et à la réponse aux menaces externes une fois qu'un incident s'est produit. Les solutions EUBA et IRM cherchent à prévenir les risques potentiels en interne en analysant le comportement des employés.