Was ist UEBA (User and Entity Behavior Analytics)?

Was ist User and Entity Behavior Analytics (UEBA)?

User and Entity Behavior Analytics (UEBA) ist ein Sicherheitsverfahren, das für jeden Nutzer und jede Entität (Server, Dienstkonto, Gerät oder Anwendung) lernt, was normal ist, und Abweichungen davon meldet. Es richtet sich gegen Angriffe mit gültigen Zugangsdaten, bei denen jede einzelne Aktion erlaubt ist, das Muster aber nicht: ein Konto, das plötzlich Daten liest, die es nie angefasst hat, zu einer Uhrzeit, zu der es nie arbeitet, von einem Ort, von dem es sich nie anmeldet. UEBA gehört in die IT-Sicherheit. LoadFocus bietet es nicht an. Diese Seite erklärt das Konzept, damit Sie es neben den Werkzeugen einordnen können, die wir tatsächlich entwickeln.

So funktioniert UEBA

1. Ereignisse sammeln

UEBA wertet Logs aus, die ohnehin vorhanden sind: Anmeldungen, Datei- und Datenbankzugriffe, Netzwerkflüsse, Endpunktaktivität, Cloud-Audit-Logs und Identitätsdaten aus Ihrem Identitäts- und Zugriffsmanagement. Je vielfältiger die Quellen, desto besser das Bild.

2. Basislinien aufbauen

Für jeden Nutzer und jede Entität wird über einen Lernzeitraum das typische Verhalten erfasst: Arbeitszeiten, Standorte, Geräte, genutzte Systeme, Datenmengen. Dazu kommen Vergleichsgruppen, sodass ein Finanzanalyst mit anderen Finanzanalysten verglichen wird und nicht mit der ganzen Firma.

3. Abweichungen bewerten

Jedes neue Ereignis wird gegen die persönliche Basislinie und die Vergleichsgruppe bewertet, mit Statistik und häufig mit maschinellem Lernen. Ein einzelnes seltsames Ereignis ist selten wichtig. Aussagekräftig ist, wenn sich mehrere kleine Auffälligkeiten für dieselbe Identität in kurzer Zeit summieren: Dann steigt ihr Risikowert und sie rückt in der Warteschlange der Analysten nach oben.

Beispiel

Ein Dienstkonto, das bisher nur eine interne API aufgerufen hat, meldet sich nachts an einem Dateiserver an und listet Hunderte Verzeichnisse auf. Keine Regel wurde verletzt, die Zugangsdaten sind gültig. UEBA schlägt Alarm, weil dieses Konto sich noch nie so verhalten hat und kein Konto seiner Vergleichsgruppe es tut. Ein Analyst prüft dann, ob ein Geheimnis abgeflossen ist, und damit beginnt die Reaktion auf Sicherheitsvorfälle.

Wofür UEBA gut ist

• Gestohlene Zugangsdaten: eine gültige Anmeldung von unbekanntem Gerät, Ort oder Zeitpunkt.
• Missbrauch durch Insider: ungewöhnliche Massen-Downloads oder Zugriffe auf Datensätze außerhalb der normalen Arbeit.
• Laterale Bewegung: ein kompromittiertes Konto erreicht Systeme, die es nie genutzt hat.
• Nicht menschliche Identitäten: Dienstkonten, Jobs und API-Schlüssel, die sich plötzlich anders verhalten.

NIST beschreibt diesen Einsatz in SP 800-215: UEBA wird dort genannt, um Anomalien im Cloud-Zugriffsverhalten von Nutzern zu erkennen und Insider-Bedrohungen sowie fortgeschrittene Angriffe zu stoppen.

UEBA, SIEM und XDR

• SIEM sammelt und speichert Logs und wendet Korrelationsregeln für bekannte Muster an.
• UEBA legt Verhaltensbasislinien über diese Daten und findet, was keine Regel beschreibt. Es sitzt meist auf einem SIEM oder ist darin enthalten.
• XDR korreliert Signale aus Endpunkten, Netzwerk, E-Mail, Identität und Cloud und kann automatisch reagieren. Siehe Extended Detection and Response.

Häufige Fehler

• Nutzen am ersten Tag erwarten. Basislinien brauchen saubere Historie. Eine neue Installation ist laut, bis sie Ihr Normalverhalten gelernt hat.
• Zu wenige Quellen anbinden. Anmelde-Logs allein verpassen das Datenzugriffs- und Netzwerkverhalten, das eine Anomalie erst aussagekräftig macht.
• Nie nachjustieren. Schwellenwerte und Vergleichsgruppen brauchen laufende Pflege, sonst lernen Analysten, die Alarme zu ignorieren.
• UEBA als Ersatz sehen. UEBA ersetzt weder Zugriffskontrolle noch Logging noch Reaktionsprozesse. Es sortiert, was man sich ansehen sollte.
• Blinde Flecken übersehen. Aktivität auf nicht verwalteten Geräten oder in verschlüsselten Kanälen, die Sie nicht sehen, lässt sich nicht auswerten.

UEBA, APIs und die Rolle von LoadFocus

Verhaltensanalyse betrifft auch API-Verkehr: ungewöhnliche Anfragerraten, neue Abfolgen von Endpunkten oder ein Schlüssel, der aus einer neuen Region genutzt wird. Das gehört zur API-Sicherheit und zu Ihren Sicherheitswerkzeugen. LoadFocus bietet keine Sicherheitsanalyse, keine Anomalieerkennung für Nutzerverhalten und keine Bedrohungserkennung. LoadFocus liefert synthetische Prüfungen: API-Monitoring misst Verfügbarkeit und Antwortzeiten Ihrer Endpunkte in festen Intervallen, und Lasttests zeigen, wie sich Ihre Dienste unter hohem Verkehr verhalten. Beides ergibt eine Leistungsbasislinie, die Sie neben Sicherheitssignalen lesen können. Mehr dazu in unserem Leitfaden zu Best Practices für Sicherheit beim Cloud-Testing und im Glossareintrag zu Cyber-Bedrohungen.

Häufige Fragen: User and Entity Behavior Analytics

Was ist der Unterschied zwischen UEBA und UBA?

UBA analysiert nur Personen. UEBA bezieht zusätzlich Entitäten wie Server, Dienstkonten, Geräte und Anwendungen ein. UBA ist heute meist ein veralteter Begriff.

Braucht UEBA maschinelles Lernen?

Nicht zwingend. Statistische Basislinien und Regeln funktionieren, und viele Produkte kombinieren sie mit maschinellem Lernen. Regeln lassen sich in einem Audit leichter erklären, maschinelles Lernen findet dagegen Muster, für die niemand eine Regel geschrieben hat.

Kann UEBA ein SIEM ersetzen?

Nein. Ein SIEM sammelt, speichert und korreliert Logs. UEBA liest diese Daten und ergänzt eine Verhaltensbewertung, beide arbeiten also zusammen.

Welche Daten braucht UEBA?

Zuerst Authentifizierungs-Logs, dann Datei- und Datenbankzugriffe, Netzwerkflüsse, Endpunktaktivität, Cloud-Audit-Logs und Identitätsdaten. Mehr relevante Quellen ergeben eine bessere Basislinie.

Bietet LoadFocus UEBA an?

Nein. LoadFocus ist eine Performance-Plattform für Lasttests, API-Monitoring und Seitengeschwindigkeit. Es analysiert kein Nutzerverhalten auf Sicherheitsbedrohungen.