UEBAは何の略か（5分で読めるUEBA入門付き）

本連載の第4～5回では、内部不正のリスクや可視化の重要性について紹介してきました。本稿では内部不正の行動を特定するために必要なUEBAとUBAについて解説したのち、UEBAを搭載した次世代SIEMの有用性、Exabeamの強みについてご紹介します。

UEBAは何の略か

UEBAはUser and Entity Behavior Analytics（ユーザとエンティティの行動分析）を縮めた頭字語で、ユーザの行動を分析し、高度な分析を適用して異常行動を検知するサイバーセキュリティツールの分野です。この頭字語を1語ずつ説明します。

簡単なオリエンテーション：UEBA、および関連するセキュリティトレンド

UEBAとは何か

UEBAは、機械学習とディープラーニングを利用して社内ネットワーク上のユーザやそのほかのエンティティの通常の行動を学習し、異常行動を検知します。そして、その行動にセキュリティ上の影響があるかどうかを推定することができる、新しい分野のセキュリティソリューションです。

相互関連付けルールや既知の攻撃パターンにもとづく従来型のセキュリティツールと異なり、UEBAはノイズに紛れた新しいタイプの攻撃やインシデントを特定できます。これには、ゼロデイ攻撃や内部不正が含まれます。

UBAは何の略か

UEBAが何の略か説明したところで、今度はUBAを定義しましょう。UBAは、User Behavior Analytics（ユーザ行動分析）の略で、UEBAに似ていますが「E」がありません。

UBAとは何か

UBA（User Behavior Analytics）は、2014年にガートナー社が造語したUEBAカテゴリの旧称です。以前の定義では、UBAツールは個人ユーザやユーザのグループの行動のみに対して分析していました。

2015年に、ガートナー社は定義を改訂して「E」を追加し、カテゴリの名前をUEBA（User and Entity Behavior Analytics：ユーザとエンティティの行動分析）に変更しました。この広くなった定義では、UEBAツールはルータ、サーバ、エンドポイント、アプリケーションなどネットワーク上のユーザ以外のエンティティについても、基準となる行動を分析し、異常を検知する機能を備えています。

UEBAとUBAの違いとは?

UBAは個々のユーザの行動に注目しますが、UEBAは企業ネットワーク上で動作する新しいエンティティや多様なエンティティも分析できます。さらに、既存の内部不正に加え、外的脅威からも保護します。

UEBAとSIEMの違いとは?

SIEM（Security Information and Event Management）システムは、セキュリティオペレーションセンター（SOC）の重要なインフラです。SIEMは多くのエンタープライズシステムやそのほかのセキュリティツールと連動して、企業全体のセキュリティログとイベントをすべて収集します。また、これらのイベントを分析して、セキュリティチーム向けのアラートを生成します。

UEBAはSIEMと深く関連しています。それは、多くの機能が共通しているためです。どちらも企業ネットワークからイベントを収集し、分析してアラートを生成します。しかし、UEBAソリューションが分析面に注力するのに対して、SIEMシステムは非常に幅広いセキュリティデータの扱いに長け、セキュリティアナリスト向けにデータを整理します。これによりSOCでは、系統立てた処理が可能になります。

次世代SIEM（UEBA搭載）とは何か

2017年に、ガートナー社は、SIEMプラットフォームにいくつかの高度な機能を組み込むべきであると提案しました。そのひとつがUEBAです。具体的には、ガートナー社はSIEMプラットフォームにUEBAソリューションを組み込んでセットで提供するように、ベンダー各社に呼びかけました。ガートナー社が直接「次世代SIEM」について言及しているわけではありませんが、同社の文書には、次世代SIEMに搭載するべき機能の概要が記載されています。この呼びかけに従ったセキュリティプラットフォームのひとつがExabeamです。これは、UEBA機能とセキュリティ自動化機能が搭載された次世代SIEMです。

UEBAはインシデントレスポンスにどのように役立つか

UEBAは、現代のインシデントレスポンスにおける重要な要素です。過去には、セキュリティアナリストは大量のアラートを選別して「本物の」セキュリティインシデントを発見し、それからさらに追加のエビデンスを調べ、何が起こったかを明らかにしていました。

UEBAはこのプロセスの大部分を自動化します。具体的には、セキュリティ上で特に重要性のあるイベントを特定し、同じセキュリティインシデントの一部を構成している可能性がある関連イベントをまとめます。このように、UEBAは組織がより迅速に正確なインシデントレスポンスを実行できるように支援してくれるのはもちろん、セキュリティアナリストの貴重な時間も節約することができます。

5分で読めるUEBA入門

UEBAシステムのコンポーネント

上位のUEBAユースケース

UEBAが組み込まれた次世代SIEMの例

UEBAテクノロジーが組み込まれた最新のSIEMソリューションの一例は、Exabeamのセキュリティマネジメントプラットフォームです。Exabeamには以下のUEBA機能があります。

・ルールやシグネチャに依存しないインシデント検知：
事前定義の相互関連付けルールや脅威パターンなしで異常行動やリスクのある行動を特定し、誤検知を抑えた意味のあるアラートを提供します。

・セキュリティインシデントタイムライン：
セッションをつなぎ合わせて、ひとつのセキュリティインシデントの完全なタイムラインを複数のユーザ、IPアドレス、ITシステムにまたがって作成します。

・ピアのグループ化：
組織内で同じロールを持つユーザなどの類似エンティティを動的にグループ化し、グループ全体の通常行動を分析することで、異常行動を検知します。

・ラテラルムーブメント：
システムに侵入した攻撃者はネットワーク内を移動し、さまざまなIPアドレスや認証情報を使ってますます多くのシステムへのアクセス権を獲得します。Exabeamは複数のソースからのデータを組み合わせ、ネットワーク内で攻撃者がたどった道筋を明らかにします。

デモ版のExabeamを用意しているので、ぜひUEBA、SIEM、SOARが統合されたプラットフォームをお試しください。

また、UEBAテクノロジーの詳細は、弊社の「Essential Guide to SIEM」（SIEM基本ガイド）のUEBAに関する章をご覧ください。

• ORION CASSETTO
  Exabeam, Inc. ディレクター、プロダクトマーケティング

[PR]提供：マクニカネットワークス