IMMUNITY

Surveillance des comportements comptes utilisateurs (UBA Managé)

“User Behavior Analytics” est une nouvelle génération d’outils analysant le comportement des postes de travail et visant à compléter l’arsenal de protection de l’utilisateur final. Le socle de la sécurité du poste est l’antimalware. Mais l’efficacité de ce dernier est souvent amoindrie par un paramétrage visant à limiter les faux positifs (blocage intempestif d’applications légitimes) et plus généralement par l’incroyable prolifération des menaces en tous genres (phishing, botnets, usurpation d’identité etc.). Il convient donc de détecter les signaux faibles d’une compromission sans impacter le travail au quotidien de l’utilisateur et c’est là le rôle du UBA. Nos équipes gèrent le déploiement et les remontées d’alertes du UBA au quotidien, qualifie la pertinence de ces dernières et remonte l’information et le contexte à l’équipe informatique si nécessaire. Cette dernière peut alors agir rapidement car elle sait quel poste, quel utilisateur, quels processus et quels lieux sont concernés. Il existe plusieurs types de produits UBA mais les plus efficaces s’appuient sur une combination de corrélations d’événements et d’analyses statistiques (machine learning, IA). On collecte d’abord des événements système et réseau (ex : logs Windows, logs firewall) et on les concentre sur une plateforme d’analyse. Cette dernière va enrichir et contextualiser les événements (quel utilisateur utilise quelle machine, quel est le niveau de privilèges de l’utilisateur, l’événement est-il courant sur le système analysé etc.), notamment grâce à des mécanismes de « machine learning ». Les corrélations vont permettre de dégager de la masse d’information, des enchaînements d’événements suspects et statistiquement peu probables. A l’aide d’un outil UBA, on pourra par exemple se rendre compte qu’un poste se connecte à des sites peu ou pas visités par les utilisateurs habituellement et que ce comportement hors norme est suivi par une émission de trafic vers l’extérieur, elle aussi inhabituelle. Un tel enchaînement d’événements est symptomatique d’une exfiltration malicieuse de données.