Detecção de Ameaças Internas com UEBA

Visão Geral

User and Entity Behavior Analytics (UEBA) vai além da detecção estática baseada em regras para modelar o comportamento normal de usuários, hosts e aplicativos, e então sinalizar desvios estatisticamente significativos que podem indicar ameaças internas. Usando o Elasticsearch como backend de análise, esta habilidade abrange a construção de linhas de base comportamentais a partir de logs de autenticação, eventos de acesso a arquivos e atividade de rede, o cálculo de pontuações de risco usando desvio estatístico e comparação de grupos de pares, e a correlação de múltiplos indicadores de baixa confiança em alertas de alta confiança de ameaças internas.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de ameaças internas com UEBA.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Cluster Elasticsearch 8.x ou OpenSearch 2.x com dados de auditoria de segurança.
• Fontes de log: Autenticação do Active Directory, VPN, DLP, acesso a servidor de arquivos, e-mail.
• Python 3.9+ com a biblioteca cliente elasticsearch.
• Período de linha de base de 30+ dias de dados de atividade normal do usuário.
• Grupos de pares definidos com base em departamento, cargo ou função.

Passos

Passo 1: Ingerir e Normalizar Logs de Atividade

Configure pipelines de log para ingerir logs de autenticação, acesso a arquivos, e-mail e rede no Elasticsearch com um campo de identidade de usuário unificado.

Passo 2: Construir Linhas de Base Comportamentais

Calcule linhas de base por usuário para horários de login, volume de dados, uso de aplicativos e padrões de acesso em uma janela deslizante de 30 dias usando agregações do Elasticsearch.

Passo 3: Calcular Pontuações de Anomalia

Compare a atividade atual com as linhas de base usando desvio de pontuação z e comparação de grupos de pares para gerar pontuações de risco por usuário.

Passo 4: Correlacionar e Alertar

Combine múltiplos indicadores anômalos (horário incomum + downloads grandes + acesso a novo sistema) em pontuações de risco compostas que acionam fluxos de trabalho de investigação do SOC.

Saída Esperada

Relatório JSON contendo pontuações de risco por usuário, detalhes de atividade anômala, desvios de grupo de pares e ações de investigação recomendadas.