Forcepoint promove debate sobre o conceito UEBA e analise comportamentalNo final de marco a empresa de seguranca Forcepointrealizou em Sao Paulo um encontro com clientes e profissionais de seguranca paraapresentar e discutir o conceito de User and Entity Behavior Analytics (UEBA).Se o nome nao foi totalmente explicativo para voce, vamos tentar ajudar. Pude me aprofundar neste conceito, pois eu mediei uma interessantissima discussao,na qual aprendi muito, realizada entre os profissionais de seguranca daForcepoint, Wellington Lobo (Gerente de Canais Brasil), William Rodrigues (SeniorSales Engineer) e Ricardo Tavares (Professor coordenador de Seguranca da Informacaoe consultor especializado em cybersecurity). Debate sobre UEBADurante muito tempo aseguranca foi pensada como um processo reativo, ou seja, era algo que asempresas precisavam lidar apenas no caso de um evento, uma invasao, uma ameacareal. Sistemas de defesa como os firewalls, incluindo os de nova geracao, bemevoluidos e sofisticados, passaram a fazer uma parte importante da tarefa deblindar a empresa das ameacas. Mas sera que isso e suficiente? Com certeza frente aostipos de ameaca que existem hoje, nem um pouco! Nem sempre o atacante estaapenas fora da organizacao. Nem sempre as possiveis ameacas sao previamenteconhecidas. A receita de assinatura do ataque ja foi importante, mas hoje emdia a abordagem deve ser bem mais minuciosa para consolidar uma protecaoefetiva. Que fique claro que as protecoes ja existentes precisam permanecer, mas algomais precisa ser considerado. Sobre isso que consiste o conceito do UEBA. Aanalise do comportamento de usuarios e entidades (que podem ser dispositivos narede), traz um nivel de analise que incrementa muito o grau de seguranca.Os usuarios internos sao monitorados constantemente e em funcao de suas acoes(que podem estar sendo feitas por eles ou por alguem que se apropriou de suascredenciais), sao confrontadas com regras e politicas estabelecidas. Dessaforma um grau de risco e atribuido a cada usuario. Da mesma forma dispositivossao monitorados em relacao ao seu comportamento. Que sentido faz um roteador reiniciarsozinho na madrugada ou porque um sensor qualquer esta recebendo acessos emvolume igual ou maior que o volume de dados que ele envia? E por que um usuarioque nao grava arquivos em midias removiveis, ou acessando fora do horario detrabalho, esta fazendo isso?Estas acoes sozinhas podem nao significar nada, mas a grande inteligencia doUEBA e a contextualizacao das analises e assim tornar muito significativo oseventos de seguranca. Outra tecnologia muito importante usada pelas empresas eo SIEM (Security Information and Event Management) que gera uma massa de dadosgrande, que em conjunto com o UEBA, com sua inteligencia, viabiliza amonitoracao e determinacao de riscos ou ameacas em progresso. A Forcepoint tem uma solucao bastante abrangente contendo sofisticacoes uteis einteressantes. O contexto de um evento gerado por um usuario e totalmente definidopor varias formas, entre elas, por meio da captura de sua sessao de uso dodispositivo (imagens e video), acesso a rede, email, etc. Estes dados podem serusados para analise forense de incidente ou mesmo para a atribuicao do grau derisco do usuario e disso decorrer maior acompanhamento das acoes ou restricaode alguns acessou ou privilegios deste usuario. Debate sobre UEBADebate sobre UEBA O conceito do UEBApode ser ainda explorado no texto