Что такое UBA и UEBA
План статьи
Современные компании всё чаще сталкиваются с трудноуловимыми киберугрозами. Злоумышленники действуют тише и хитрее: они могут долго изучать поведение сотрудника, получить доступ к его учётной записи и совершать действия от его имени. Такой инцидент называют инсайдерской угрозой, и он один из самых опасных, поскольку исходит изнутри. Обычные средства защиты (антивирусы, брандмауэры) не всегда способны распознать подобные атаки.
Для борьбы со скрытыми угрозами, которые маскируются под легитимную деятельность, в арсенале служб информационной безопасности закрепились системы поведенческой аналитики. Ключевые концепции здесь – UBA (User Behavior Analytics) и UEBA (User and Entity Behavior Analytics). Эти технологии не просто фиксируют события, а учатся понимать контекст нормальной работы, чтобы мгновенно сигнализировать об аномалиях.
Эволюция понятий: от UBA к UEBA
Чтобы понять, как защитить инфраструктуру в 2026 году, необходимо разобраться в терминологии и истории развития методов анализа.
Что такое UBA?
UBA (User Behavior Analytics) — это метод информационной безопасности, сфокусированный исключительно на анализе активности пользователей. Система собирает данные о действиях сотрудников (логины, доступ к файлам, запуск приложений) и строит профиль стандартного поведения. Если сотрудник, обычно работающий с документами, вдруг начинает сканировать порты сети, UBA видит отклонение и создает инцидент.
Изначально этот класс решений появился в середине 2010-х годов как ответ на неспособность классических SIEM-систем выявлять инсайдеров. Однако у подхода было ограничение: он смотрел только на людей, игнорируя «жизнь» устройств.
Что такое UEBA?
UEBA (User and Entity Behavior Analytics) — это следующая ступень эволюции. В 2026 году именно этот термин является отраслевым стандартом. Ключевое отличие — добавление буквы «E» (Entity, сущность). Система анализирует поведение не только людей, но и серверов, маршрутизаторов, IoT-устройств и сервисных аккаунтов.
UEBA позволяет строить полную картину событий. Например, если сервер начинает передавать данные в необычное время на неизвестный IP-адрес, система распознает это как угрозу, даже если учетная запись администратора при этом не использовалась. Технология собирает логи из множества источников и с помощью машинного обучения (ML) формирует базовые профили (baseline) для каждого субъекта сети.
Роль UEBA в современной кибербезопасности
В эпоху сложных целевых атак (APT) и массовых утечек данных UEBA стала критически важным элементом эшелонированной защиты. Она закрывает «слепую зону» традиционных средств, позволяя заметить злонамеренные действия под легитимным прикрытием. Статистика показывает, что значительная доля взломов происходит через компрометацию учетных данных. Классические инструменты, работающие по жестким правилам (сигнатурам), часто пропускают такие атаки, так как формально пароль введен верно.
Внедрение таких систем существенно снижает нагрузку на аналитиков SOC (Security Operations Center). Вместо тысяч разрозненных алертов специалисты получают сгруппированные инциденты с высоким приоритетом, где отфильтрован информационный шум. Это позволяет сосредоточиться на расследовании реальных инцидентов: инсайдерской активности, компрометации аккаунтов или скрытом присутствии хакеров в сети.
Принципы работы поведенческого анализа
Работа современных аналитических систем строится на алгоритмах машинного обучения, которые требуют определенного времени для «тренировки». Процесс можно разделить на четыре ключевых этапа.
Важно. Согласно стандартам ISO/IEC 27001, организация обязана определить параметры нормальной активности, чтобы эффективно выявлять аномалии. Без этапа обучения система будет генерировать слишком много ложных срабатываний.
Этапы функционирования системы:
- Сбор данных (Ingestion). Система интегрируется с источниками событий: Active Directory, VPN-шлюзами, DLP-системами, почтовыми серверами и логами рабочих станций.
- Профилирование (Baselining). На основе исторических данных формируется модель нормального поведения. Например: «Менеджер Иван работает с 9 до 18, использует 1С и Outlook, трафик — 500 МБ в день».
- Детекция аномалий. Сравнение текущей активности с профилем. Если Иван зашел в сеть в 3 часа ночи с IP-адреса другой страны и начал скачивать базу клиентов — это аномалия.
- Скоринг риска (Risk Scoring). Каждому отклонению присваивается балл опасности. При превышении порога создается алерт для службы безопасности.
Сравнение традиционных SIEM и UEBA
Часто возникает вопрос: зачем нужна UEBA, если в компании уже внедрена SIEM-система? Ответ кроется в методологии обнаружения. SIEM (Security Information and Event Management) — это инструмент для сбора логов и анализа по правилам. UEBA — это инструмент аналитики на основе ИИ.
| Критерий | SIEM (Классический подход) | UEBA (Поведенческий подход) |
|---|---|---|
| Объект анализа | Все события безопасности и логи. | Поведение пользователей и сущностей (устройств). |
| Метод обнаружения | Сигнатуры и правила корреляции (If-Then). | Машинное обучение и поиск аномалий (отклонений от профиля). |
| Тип угроз | Известные атаки, нарушения регламентов. | Инсайдеры, скомпрометированные аккаунты, Zero-day. |
| Результат | Централизованное хранение логов, отчетность (Compliance). | Выявление скрытых угроз, снижение False Positive. |
В современных реалиях эти классы решений конвергируют. Ведущие SIEM-платформы (Next-Gen SIEM) уже включают в себя модули UEBA, создавая единую экосистему мониторинга.
Популярные решения и стандарты
Рынок UEBA предлагает множество инструментов, от надстроек над существующими системами до самостоятельных платформ. Среди известных решений можно выделить Splunk UBA, Exabeam и Microsoft Sentinel. Все они используют продвинутые алгоритмы для выявления так называемых peer group analysis — сравнения поведения сотрудника с его коллегами по отделу.
- Соответствие международным стандартам
Внедрение поведенческой аналитики помогает закрыть требования ключевых стандартов ИБ. Например, NIST SP 800-53 требует обеспечения детального журналирования и аудита событий, что является базой для UEBA. Стандарт ISO/IEC 27001:2022 (контроль A.8.16) прямо предписывает мониторинг активности для выявления аномального поведения систем и пользователей.
UBA и Falcongaze SecureTower
DLP-система Falcongaze SecureTower обладает UBA-модулем Анализ рисков. Он позволяет отслеживать аномальные и потенциально опасные для организации изменения в поведении сотрудников.
Модуль определяет суммарный уровень риска, идущий от сотрудников, на основе случившихся инцидентов. Специалист по безопасности может сам настраивать уровень риска для каждого конкретного инцидента. В результате формируется ТОП-список сотрудников, представляющих повышенную угрозу. Изменение уровней риска автоматически отражается на динамическом графике временных тенденций поведения сотрудников.
Модуль анализа рисков автоматически генерирует всю необходимую информацию и отчеты для проведения работы по исследованию тенденций поведения пользователей.
ДЛП-система Falcongaze SecureTower также позволяет контролировать сотрудников на рабочих местах, проводя учет эффективности используемого рабочего времени и анализируя все входящие, исходящие и циркулирующие данные внутри компании, блокируя неправомерную передачу. Систему информационной безопасности Фалконгейз можно попробовать бесплатно в течение 30-ти дней.
Часто задаваемые вопросы
- Заменяет ли UEBA антивирус и SIEM?
Нет, UEBA не заменяет базовые средства защиты. Это аналитическая надстройка, которая работает с данными, собранными SIEM и другими системами. Антивирус блокирует вредоносный код, а UEBA выявляет подозрительные действия легитимных пользователей.
- Сколько времени нужно системе UEBA для обучения?
Для формирования корректных базовых профилей (baseline) обычно требуется от 2 до 4 недель непрерывного сбора данных. В этот период система накапливает статистику, чтобы минимизировать ложные срабатывания в будущем.
- Как UEBA помогает против инсайдеров?
Инсайдеры часто имеют легальный доступ к данным, поэтому их сложно поймать на нарушении правил. UEBA замечает изменение паттернов: например, сотрудник начал скачивать больше файлов, чем обычно, или заходить в системы в нерабочее время.
- Что такое риск-скоринг в UEBA?
Это метод приоритезации инцидентов. Каждому аномальному действию присваивается балл. Если сумма баллов пользователя превышает порог, система создает инцидент. Это позволяет аналитикам не отвлекаться на мелкие отклонения.
- Нужна ли UEBA малому бизнесу?
Полноценные UEBA-системы могут быть избыточны и дороги для малого бизнеса. Однако элементы поведенческого анализа сейчас встраиваются во многие доступные EDR и облачные решения безопасности, что делает технологию доступнее.
.jpg)
