Pourquoi l'UEBA ne peut pas arrêter les attaques modernes

Le déficit de sécurité de l'UEBA

L'UEBA identifie les comportements anormaux des utilisateurs et des entités, mais il s'appuie sur des lignes de base prédéfinies et des modèles statistiques que les attaquants peuvent contourner. Les menaces sophistiquées, les attaques individu et les compromissions cloud contournent souvent les détections de l'UEBA, laissant les équipes de sécurité avec trop de faux positifs et un manque de visibilité en temps réel sur le comportement des attaquants.

Comment les attaquants échappent à l'UEBA

1. Attaques lentes et adaptatives 

Les attaquants se fondent dans l'activité normale, en augmentant lentement leurs privilèges pour éviter de déclencher des anomalies.

2. Les angles morts de l'Cloud et du SAAS 

L'UEBA manque souvent de visibilité sur les applications modernes cloud et SaaS, où se produisent les attaques basées sur l'identité.

3. Surcharge d'alertes et faux positifs 

L'UEBA génère un volume important d'alertes, ce qui empêche les équipes SOC de se concentrer sur les menaces réelles.

Les conséquences dans le monde réel des lacunes en matière de visibilité de l'UEBA

Dans le scénarioScattered Spider ci-dessous, l 'UEBA échoue non pas parce qu'il n'est pas pertinent, mais parce qu'il n'a pas la vitesse, la portée et la spécificité nécessaires pour détecter le comportement des attaquants dans le cadre d'une attaque hybride moderne. 

L'UEBA détecte les anomalies - les attaquants modernes s'adaptent

L'UEBA analyse le comportement, mais il lui manque la détection en temps réel et le contexte approfondi des mouvements des attaquants à travers les réseaux, les cloud et les identités. Les attaquants qui changent lentement de comportement ou qui utilisent des informations d'identification volées peuvent contourner entièrement l'UEBA.

L'UEBA applique la modélisation statistique et l'analyse comportementale de base, mais.. :

• Que se passe-t-il si un attaquant escalade lentement ses privilèges ? L'UEBA peut ne pas signaler les modifications incrémentielles comme étant malveillantes.
• Que se passe-t-il si les menaces cloud ne sont pas détectées ? L'UEBA manque souvent d'une intégration profonde avec les charges de travail SaaS et cloud hybride.
• Et s'il y avait trop de bruit ? Les équipes de sécurité sont submergées par des alertes qui ne sont pas clairement hiérarchisées.

Comment Vectra AI comble le fossé

L'UEBA identifie les écarts par rapport à un comportement normal, mais peine à détecter les attaques lentes, furtives et cloud. La plateforme Vectra AI permet de détecter les menaces en temps réel et d'identifier les mouvements des attaquants au-delà des anomalies comportementales.

• Détecte les attaques actives: L'IA identifie les menaces réelles, et pas seulement les valeurs statistiques aberrantes.
• Surveille les risques liés à l'cloud et à l'identité: Offre une visibilité approfondie des environnements hybrides et SaaS dans lesquels l'UEBA éprouve des difficultés.
• Réduit la fatigue liée à l'alerte: Fait ressortir les détections les plus probantes, en éliminant le bruit.

Vectra AI cartographie le comportement des identités au fil du temps, en suivant ce qui est considéré comme normal pour les identités humaines et non humaines. Cela permet au système de détecter les abus de privilèges, les mouvements latéraux non autorisés et les comportements d'automatisation risqués, le tout avec 96 % d'alertes en moins que les solutions UEBA traditionnelles.

Comment Vectra AI se compare-t-elle à l'UEBA ?

L'UEBA identifie les anomalies, tandis que Vectra AI détecte les menaces réelles au-delà des écarts de comportement. Voici comment ils se comparent :