Analyse du comportement des utilisateurs
La plupart des outils de sécurité sont conçus pour détecter des signatures et des schémas connus pour être malveillants. L’analyse du comportement des utilisateurs est conçue pour détecter quelque chose de plus complexe : un compte légitime et authentifié effectuant une action qu’il n’effectuerait pas en temps normal. C’est là le profil d’une menace interne, ou d’un attaquant qui a déjà dérobé des identifiants valides et qui évolue désormais dans le système en donnant l’impression d’être parfaitement autorisé à tout ce qui nécessite une authentification, sans plus. Une connexion en soi n’est pas suspecte. En revanche, une connexion à partir d’un compte qui n’a jamais accédé au serveur financier à 3am depuis un nouvel appareil, immédiatement suivie d’une exportation massive de données, l’est — et c’est précisément le type de schéma que l’UBA est conçue pour mettre en évidence.
L’idée consiste à établir une référence comportementale décrivant le fonctionnement normal des personnes et des systèmes, puis à signaler tout écart significatif par rapport à celle-ci. Lorsqu’elle est correctement mise en œuvre, cette approche permet de détecter des éléments que les outils basés sur les signatures ne peuvent structurellement pas repérer, car il n’existe aucune signature de logiciel malveillant à laquelle les comparer — il s’agit simplement d’une personne ou d’un processus agissant de manière inhabituelle.
Où cela tourne mal
Le mode de défaillance de l’UBA est presque toujours le bruit, et non l’aveuglement. Une analyse comportementale mal paramétrée génère tellement de faux positifs que les alertes finissent par être ignorées, ce qui va à l’encontre de l’objectif même du système et épuise la personne censée les surveiller. Définir correctement la base de référence et distinguer ce qui constitue un écart significatif de ce qui n’est qu’un simple mardi où quelqu’un a simplement travaillé depuis un café représente l’essentiel du travail.
Comment j’aborderais la question
Je commencerais par comprendre à quoi ressemble réellement la « normale » dans votre environnement avant de définir des seuils — les références génériques prêtes à l’emploi correspondent rarement aux schémas de fonctionnement réels d’une organisation. Il convient ensuite de définir avec soin les conditions déclenchant une alerte, en donnant la priorité aux comportements qui présentent une corrélation réelle avec le risque interne ou la compromission de comptes, plutôt qu’à tout ce qui est statistiquement inhabituel, et d’assurer l’intégration avec votre infrastructure de sécurité existante afin que les résultats de l’analyse comportementale des utilisateurs (UBA) alimentent le processus de réponse au lieu de rester dans un tableau de bord isolé que personne ne consulte. Je mettrais également en place un véritable workflow d’enquête en arrière-plan, car une alerte pour laquelle personne n’a le temps ou la procédure de donner suite est pire que l’absence totale d’alerte.
Si le risque lié aux initiés ou la compromission des identifiants constituent une réelle préoccupation et que vous souhaitez disposer d’une solution de détection capable de repérer ce que les outils basés sur les signatures ne détectent pas, contactez-moi.