Qu'est-ce que l'UEBA (analyse du comportement des utilisateurs et entités) ?

Qu'est-ce que l'UEBA (User and Entity Behavior Analytics) ?

L'UEBA (User and Entity Behavior Analytics, analyse du comportement des utilisateurs et des entités) est une technique de sécurité qui apprend ce qui est normal pour chaque utilisateur et chaque entité (serveur, compte de service, appareil ou application), puis signale toute activité qui s'en écarte. Elle vise les menaces qui utilisent des identifiants valides : chaque action est autorisée, mais l'ensemble ne l'est pas. Un compte qui lit soudain des données qu'il n'a jamais touchées, à une heure où il ne travaille jamais, depuis un lieu où il ne se connecte jamais. L'UEBA relève de la sécurité informatique. LoadFocus ne la propose pas, et cette page explique le concept pour que vous le situiez à côté des outils que nous développons réellement.

Comment fonctionne l'UEBA

1. Collecter les événements

L'UEBA exploite des journaux qui existent déjà : connexions, accès aux fichiers et aux bases de données, flux réseau, activité des postes, journaux d'audit du cloud et données d'identité issues de votre système de gestion des identités et des accès. Plus les sources sont variées, plus l'image est fidèle.

2. Construire des références

Pour chaque utilisateur et chaque entité, le système enregistre le comportement habituel sur une période d'apprentissage : horaires, lieux, appareils, systèmes utilisés, volumes de données. Il crée aussi des groupes de pairs, afin qu'un analyste financier soit comparé à d'autres analystes financiers et non à toute l'entreprise.

3. Noter les écarts

Chaque nouvel événement est noté par rapport à la référence individuelle et au groupe de pairs, avec des statistiques et souvent de l'apprentissage automatique. Un événement étrange isolé compte rarement. Le signal utile, c'est l'accumulation de plusieurs petites anomalies pour la même identité en peu de temps : son score de risque monte et elle remonte dans la file des analystes.

Exemple

Un compte de service qui n'appelait jusque-là qu'une API interne se met à s'authentifier sur un serveur de fichiers la nuit et à lister des centaines de dossiers. Aucune règle n'a été enfreinte et les identifiants sont valides. L'UEBA le signale parce que ce compte ne s'est jamais comporté ainsi et qu'aucun compte de son groupe non plus. Un analyste vérifie alors si un secret a fuité, et c'est là que commence la réponse aux incidents.

À quoi sert l'UEBA

• Identifiants compromis : une connexion valide depuis un appareil, un lieu ou une heure inhabituels.
• Abus interne : téléchargements massifs inhabituels ou accès à des dossiers étrangers au travail habituel.
• Déplacement latéral : un compte compromis atteint des systèmes qu'il n'utilisait pas.
• Identités non humaines : comptes de service, tâches planifiées et clés d'API qui changent soudain de comportement.

Le NIST décrit cet usage dans la SP 800-215, où l'UEBA est cité comme moyen de détecter des anomalies dans le comportement d'accès au cloud des utilisateurs et d'aider à stopper les menaces internes et les attaques avancées.

UEBA, SIEM et XDR

• SIEM : collecte et stocke les journaux, applique des règles de corrélation pour les schémas connus.
• UEBA : ajoute des références comportementales sur ces données pour trouver ce qu'aucune règle ne décrit. Il s'appuie en général sur un SIEM ou y est intégré.
• XDR : corrèle des signaux issus des postes, du réseau, de la messagerie, de l'identité et du cloud, et peut réagir automatiquement. Voir détection et réponse étendues.

Erreurs fréquentes

• Attendre des résultats dès le premier jour. Les références demandent un historique propre. Un nouveau déploiement est bruyant tant qu'il n'a pas appris votre normalité.
• Lui donner trop peu de sources. Les seuls journaux de connexion ne montrent pas l'accès aux données ni le comportement réseau qui donnent du sens à une anomalie.
• Ne jamais l'ajuster. Seuils et groupes de pairs demandent un réglage continu, sinon les analystes apprennent à ignorer les alertes.
• Le prendre pour un remplaçant. L'UEBA ne remplace ni le contrôle d'accès, ni la journalisation, ni les processus de réponse. Il hiérarchise ce qu'il faut examiner.
• Ignorer les angles morts. L'activité sur des appareils non gérés ou dans des canaux chiffrés que vous ne voyez pas ne peut pas être modélisée.

UEBA, API et place de LoadFocus

L'analyse comportementale s'applique aussi au trafic d'API : cadences de requêtes inhabituelles, nouvelles séquences d'endpoints ou clé utilisée depuis une nouvelle région. Cela relève de la sécurité des API et de vos outils de sécurité. LoadFocus ne propose ni analyse de sécurité, ni détection d'anomalies sur le comportement des utilisateurs, ni détection de menaces. Il propose des contrôles synthétiques : la surveillance d'API mesure la disponibilité et les temps de réponse de vos endpoints à intervalles réguliers, et les tests de charge montrent le comportement de vos services sous fort trafic. Les deux donnent une référence de performance à lire à côté des signaux de sécurité. Pour aller plus loin, consultez notre guide des bonnes pratiques de sécurité des tests dans le cloud et l'entrée consacrée aux menaces de cybersécurité.

Questions fréquentes : analyse du comportement des utilisateurs et entités

Quelle différence entre UEBA et UBA ?

L'UBA n'analyse que les personnes. L'UEBA ajoute les entités : serveurs, comptes de service, appareils et applications. L'UBA est aujourd'hui surtout un terme hérité.

L'UEBA nécessite-t-il de l'apprentissage automatique ?

Pas obligatoirement. Les références statistiques et les règles fonctionnent, et beaucoup de produits les combinent avec de l'apprentissage automatique. Les règles s'expliquent plus facilement lors d'un audit, tandis que l'apprentissage automatique révèle des schémas pour lesquels personne n'a écrit de règle.

L'UEBA peut-il remplacer un SIEM ?

Non. Un SIEM collecte, stocke et corrèle les journaux. L'UEBA lit ces données et ajoute une notation comportementale : les deux se complètent.

De quelles données l'UEBA a-t-il besoin ?

D'abord les journaux d'authentification, puis les accès aux fichiers et aux bases de données, les flux réseau, l'activité des postes, les journaux d'audit du cloud et les données d'identité. Plus les sources pertinentes sont nombreuses, meilleure est la référence.

LoadFocus propose-t-il de l'UEBA ?

Non. LoadFocus est une plateforme de performance pour les tests de charge, la surveillance d'API et la vitesse des pages. Elle n'analyse pas le comportement des utilisateurs pour détecter des menaces de sécurité.