UEBA

User & Entity Behaviour Analytics (UEBA) erkennt ungewöhnliches Verhalten von Personen, Konten und Geräten. Es vergleicht aktuelle Aktivitäten mit einem gelernten Normalverhalten.

So funktioniert es

UEBA wertet über Wochen aus, wann sich ein Konto anmeldet, auf welche Systeme es zugreift und wie viele Daten es bewegt. Daraus entsteht ein Profil pro Person, Konto oder Gerät. Weicht eine Aktivität stark davon ab, erhöht das System einen Risikowert. Ab einer Schwelle entsteht ein Alert.

Ein Beispiel

Ein Mitarbeitender aus der Buchhaltung greift sonst auf drei Anwendungen zu. An einem Samstag lädt sein Konto 40 GB aus einem Dateiserver der Entwicklung herunter. Einzeln wäre keiner dieser Schritte verboten. UEBA erkennt die Abweichung, und das SOC prüft, ob das Konto übernommen wurde.

Worauf Sie achten sollten

• Lernphase: Das Normalverhalten braucht einige Wochen. In dieser Zeit entsteht mehr Noise.
• Datenqualität: Ohne saubere Zuordnung von Konten zu Personen sind die Profile ungenau.
• Erklärbarkeit: Analysten müssen nachvollziehen können, warum ein Risikowert gestiegen ist.
• Kombination: UEBA allein liefert Hinweise, selten eindeutige Belege. Es braucht weitere Quellen.

Schweiz und Regulierung

UEBA wertet das Verhalten von Mitarbeitenden aus. Nach Art. 26 ArGV 3 sind Überwachungssysteme unzulässig, die in erster Linie das Verhalten der Mitarbeitenden überwachen. Sicherheitsüberwachung ist möglich, wenn sie einem anderen Zweck dient, verhältnismässig ist und die Mitarbeitenden informiert sind. Das revDSG verlangt zudem einen klaren Zweck und Transparenz.

Typische Fehler

Viele Organisationen erwarten von UEBA fertige Einschätzungen. In der Praxis liefert es Hinweise, die ein Analyst mit weiteren Daten prüfen muss. Ein zweiter Fehler sind veraltete Stammdaten. Wenn Stellenwechsel oder Austritte nicht nachgeführt werden, stimmen die Profile nicht mehr. Binden Sie deshalb das HR-System oder das Identity-System als Quelle ein. Das verbessert die Qualität der Hinweise spürbar.

So setzen wir es um

Wir nutzen Verhaltensanalysen vor allem für Identitäten und Konten. Die Auswertung ist auf Sicherheitszwecke beschränkt und wird mit Ihnen im Onboarding abgestimmt.