Moderne Cyberangreifer sind wahre Tarnk\u00fcnstler und legen sich m\u00e4chtig ins Zeug, um ihre b\u00f6sartigen Aktivit\u00e4ten wie gew\u00f6hnliche Prozesse aussehen zu lassen. Sie verwenden legitime Tools, kommunizieren \u00fcber \u00f6ffentliche Dienste mit Command-and-Control-Servern und maskieren b\u00f6sartigen Code als normale Benutzeraktionen. Solche Aktivit\u00e4ten sind f\u00fcr herk\u00f6mmliche Sicherheitsl\u00f6sungen nahezu unsichtbar. Bestimmte Anomalien k\u00f6nnen jedoch durch die Analyse des Verhaltens konkreter Nutzer, Dienstkonten oder anderer Objekte erkannt werden. Darin besteht die Methode zur Bedrohungserkennung mithilfe der \u201eVerhaltensanalyse von Nutzern und Entit\u00e4ten\u201c, kurz UEBA. Und genau diese haben wir in der neuesten Version unseres SIEM-Systems Kaspersky Unified Monitoring and Analysis Platform implementiert.<\/p>\n
Laut Definition<\/a> ist UEBA eine Technologie, die Cyberbedrohungen identifiziert. Dazu wird das Verhalten von Nutzern, Ger\u00e4ten, Anwendungen und anderen Objekten in einem Informationssystem analysiert. Diese Technologie kann im Prinzip mit jeder Sicherheitsl\u00f6sung kombiniert werden. Unserer Meinung nach ist sie jedoch am effektivsten, wenn sie in eine SIEM-Plattform integriert wird. Ein SIEM-System, das mit UEBA-Erkennungsregeln ausgestattet ist, kann Abweichungen vom typischen Verhalten analysieren. Zuvor wird mithilfe von maschinellem Lernen das normale Verhalten eines Nutzers oder Objekts (Computer, Dienst oder anderes Element) ermittelt. Dadurch lassen sich APTs, gezielte Angriffe und Insider-Bedrohungen rechtzeitig erkennen.<\/p>\n Darum haben wir unser SIEM-System mit einem speziell entwickelten UEBA-Regelpaket ausger\u00fcstet. Es erkennt Unregelm\u00e4\u00dfigkeiten bei Authentifizierungsprozessen, in der Netzwerkaktivit\u00e4t und bei der Ausf\u00fchrung von Prozessen auf Windows-basierten Workstations und Servern. Dies erh\u00f6ht die Intelligenz unseres Systems und optimiert die Suche nach neuartigen Angriffen, die mit normalen Korrelationsregeln, Signaturen oder Kompromittierungsindikatoren nur schwer zu identifizieren sind. Jede Regel im UEBA-Paket basiert auf Verhaltensprofilen f\u00fcr Nutzer und Objekte. Die Regeln lassen sich in zwei Kategorien unterteilen:<\/p>\n\n