Sicurezza dell'identità
Perché l'UEBA non può fermare gli attacchi moderni
L'analisi del comportamento di utenti ed entità (UEBA) rileva le anomalie, ma gli aggressori adattano le loro tattiche. Scoprite perché l'UEBA non è sufficiente e come il rilevamento delle minacce guidato dall'intelligenza artificiale scopre le minacce reali in tempo reale.
Il divario di sicurezza dell'UEBA
L'UEBA identifica i comportamenti anomali di utenti ed entità, ma si basa su linee di base predefinite e modelli statistici che gli aggressori possono eludere. Le minacce sofisticate, gli attacchi interni e le compromissioni cloud spesso eludono i rilevamenti dell'UEBA, lasciando ai team di sicurezza un numero eccessivo di falsi positivi e una mancanza di visibilità in tempo reale sul comportamento degli aggressori.
Come gli aggressori eludono l'UEBA
1. Attacchi lenti e adattivi
Gli aggressori si mimetizzano nella normale attività, aumentando lentamente i privilegi per evitare di innescare anomalie.
2. Punti ciechi di Cloud e SAAS
L'UEBA spesso non ha una visibilità profonda sulle moderne applicazioni cloud e SaaS, dove si verificano gli attacchi basati sull'identità.
3. Sovraccarico di avvisi e falsi positivi
L'UEBA genera un elevato volume di avvisi, rendendo difficile per i team SOC concentrarsi sulle minacce reali.
Le conseguenze nel mondo reale delle lacune di visibilità dell'UEBA
Nello scenarioScattered Spider riportato di seguito, l'UEBA fallisce non perché sia irrilevante, ma perché non ha la velocità, la portata e la specificità necessarie per rilevare il comportamento dell'attaccante in un moderno attacco ibrido.
UEBA rileva le anomalie: gli aggressori moderni si adattano
L'UEBA analizza il comportamento, ma manca di un rilevamento in tempo reale e di un contesto profondo del movimento degli aggressori attraverso le reti, il cloud e le identità. Gli aggressori che cambiano lentamente comportamento o utilizzano credenziali rubate possono aggirare completamente UEBA.
L'UEBA applica la modellazione statistica e il baselining comportamentale, ma:
- Cosa succede se un attaccante aumenta i privilegi lentamente? UEBA potrebbe non segnalare le modifiche incrementali come dannose.
- Cosa succede se le minacce cloud non vengono rilevate? L'UEBA spesso manca di una profonda integrazione con i carichi di lavoro SaaS e cloud ibrido.
- Cosa succede se c'è troppo rumore? I team di sicurezza sono sommersi da avvisi che non hanno una chiara priorità.
Come Vectra AI colma la lacuna
L'UEBA identifica le deviazioni dal comportamento normale, ma fatica a rilevare gli attacchi lenti, furtivi e cloud. La Vectra AI Platform fornisce un rilevamento delle minacce in tempo reale che espone i movimenti degli aggressori al di là delle anomalie comportamentali.
- Rileva gli attacchi attivi: L'intelligenza artificiale identifica le minacce reali, non solo gli outlier statistici.
- Monitora i rischi cloud e dell'identità: Fornisce una visibilità approfondita sugli ambienti ibridi e SaaS, dove l'UEBA è in difficoltà.
- Riduce l'affaticamento da allerta: Rileva i rilevamenti ad alta sicurezza, eliminando il rumore.
Vectra AI mappa il comportamento delle identità nel tempo, tracciando ciò che è considerato normale per le identità umane e non umane. Ciò consente al sistema di rilevare abusi di privilegi, movimenti laterali non autorizzati e comportamenti di automazione rischiosi, il tutto con un numero di avvisi inferiore del 96% rispetto alle soluzioni UEBA tradizionali.
Come Vectra AI si confronta con UEBA
UEBA identifica le anomalie, mentre Vectra AI rileva le minacce reali al di là delle deviazioni comportamentali. Ecco come si confrontano: