Данные, собранные с помощью поведенческой аналитики, можно использовать для совершенствования продукта или услуги, организации информационной безопасности предприятия и налаживания бизнес-процессов.
В этой статье мы исследуем тему поведенческой аналитики в ИБ, разберем ее виды, а также выгоды, которые компании могут ожидать от ее использования.
Углубимся в теорию.
Что такое поведенческая аналитика?
Поведенческая аналитика (ПА) — метод исследования, сконцентрированный на изучении и прогнозировании поведения человека. ПА предполагает сбор данных из одного и более источников для выявления закономерностей и тенденций в поведении пользователей. Анализ поведения можно осуществлять на веб-ресурсах, мобильных приложениях, мессенджерах, почтовых сервисах, интернете вещей, рабочих станциях сотрудников организации и проч.
Анализ собранных данных может дать представление о том, как действуют пользователи в определенных ситуациях, как реагируют на различные стимулы, что, в конечном итоге, помогает предсказывать их поведение или замечать аномалии.
В бизнесе поведенческая аналитика применяется для решения двух радикально разных задач:
- отслеживание поведения пользователей внутри периметра безопасности организации. Поведенческая аналитика, известная как User Entity and Behavior Analytics (UEBA), используется для совершенствования системы информационной безопасности компаний путем выявления аномалий в поведении пользователей;
- отслеживание поведения клиентов, связанное с присутствием организации в сети. Здесь поведенческая аналитика используется для сбора данных о предпочтениях, интересах и поведении клиентов. Организации могут использовать такую информацию для совершенствования продукта или услуги.
Виды поведенческой аналитики
Среди прочих выделяют 6 типов поведенческой аналитики. Каждый из них решает определенные задачи по изучению поведения человека и полагается на разные методы и приемы для сбора данных. Как правило, организации используют сразу несколько типов ПА для достижения конкретных бизнес-задач.
Описательная аналитика
Анализирует исторические данные, чтобы определить прошлые тренды и шаблоны. Этот вид аналитики используют для выявления закономерностей и взаимосвязей в поведении пользователей. Данные, полученные таким образом, могут быть использованы для более продвинутых исследований.
Прогностическая аналитика
Прогностическая аналитика использует исторические данные для прогнозирования будущих событий. Тенденции и корреляции, выявленные в описательной аналитике, помогают предсказать, к чему готовиться в будущем.
Аналитика мошенничества
Такая аналитика направлена на анализ поведенческих моделей и аномалий для предотвращения мошенничества. Как правило, для этого используется статистический анализ и алгоритмы машинного обучения — для поиска и обнаружения подозрительных событий внутри системы безопасности.
Компании используют аналитику мошенничества, чтобы выявить противоправные действия.
Предписывающая аналитика
Предписывающая аналитика позволяет не только делать прогнозы, но и рекомендует стратегии и тактики для достижения конкретных бизнес-задач. Для обработки данных предписывающей аналитики используют искусственный интеллект (ИИ) и машинное обучение (МО).
Диагностическая аналитика
Диагностическая аналитика помогает установить причины определенных событий и поведения. Использование диагностической аналитики необходимо для того, чтобы выявить, что движет поведением пользователя, какие стимулы вызывают определенные реакции и какие это реакции. Данные, полученные посредством диагностической аналитики, позволяют корректировать работу системы для регулирования нежелательной деятельности или достижения желаемых результатов.
Аналитика в реальном времени
Аналитика в реальном времени имеет важное значение для защиты от рискованного поведения, инициируемого злоумышленниками или инсайдерами.
Данная аналитика подразумевает непрерывный мониторинг данных, чтобы специалисты отдела информационной безопасности могли своевременно реагировать на инциденты, предотвращать их и ликвидировать последствия.
Сбор данных для поведенческой аналитики
Бизнес может агрегировать как данные о поведении сотрудников, так и о поведении клиентов.
Сотрудники и внутренние пользователи
Поведенческий анализ пользователей чаще всего проводится для оценки состояния системы информационной безопасности организации. Данные, необходимые для проведения поведенческого анализа как авторизованных, так и неавторизованных пользователей, в основном поступают из следующих источников:
- перехват с рабочих станций (компьютеров и ноутбуков, подключенных к сети). Данный вид перехвата позволяет получить доступ к любому типу данных, включая USB и активность пользователя за ПК. Сюда также входят все каналы коммуникации, в том числе мессенджеры, почтовые сервисы, соцсети и прочее;
- перехват посредством интеграции с корпоративным почтовым сервером и Proxy-сервером;
- перехват с помощью зеркалирования нешифрованного трафика с использованием маршрутизатора со span-портом.
Важно: чтобы система информационной безопасности организации была состоятельной, следует проводить аналитику в режиме реального времени. Только такой подход может гарантировать немедленный ответ на предполагаемые угрозы для снижения рисков для бизнеса.
Клиенты
Поведенческий анализ клиентов, как правило, направлен преимущественно на повышение вовлеченности и лояльности аудитории бренда, а также для расширения спектра товаров и услуг, которые могут быть востребованы потребителями.
Поведенческий анализ клиентов проводится на основе данных из следующих источников:
- Данные веб-сайта предоставляют информацию о действиях пользователей: просмотры страниц, продолжительность сеанса и пути навигации. Эти данные указывают на предпочтения клиентов и могут быть использованы для совершенствования вашего интернет-ресурса, улучшению юзабилити, что, по итогу, увеличивает конверсию.
- Данные о транзакциях, такие как заказы клиентов, подписки и платежи, дают представление о моделях поведения, которые можно использовать для будущих предложений.
- Данные о взаимодействии с клиентами можно получить из CRM-систем, а также из менее формальных каналов, например, электронной почты или текстовых сообщений.
- Информация из соцсетей, сообщения, отзывы.
Преимущества поведенческой аналитики для бизнеса
Внедрение поведенческой аналитики дает организациям множество преимуществ, позволяющих решать широкий спектр задач в области информационной безопасности:
- Улучшение кибербезопасности и защиты данных. Информация, полученная с помощью решений поведенческого анализа, позволяет командам безопасности выявлять подозрительную активность, которая может указывать на риски и уязвимости системы. А аналитика в режиме реального времени позволяет немедленно принять упреждающие меры для устранения угрозы или ликвидации ее последствий.
- Выявление внутренних угроз. Аномальное поведение, обнаруженное аналитиками, помогает выявлять как злонамеренные, так и непреднамеренные внутренние угрозы. Затем организация может предпринять необходимые действия и при необходимости обеспечить обучение или дисциплину.
- Оптимизация операционной эффективности. Анализ поведения сотрудников за рабочими станциями позволяет дать оценку их эффективности и производительности в любой момент рабочего времени. Руководство организации может использовать аналитику для оптимизации рабочих процессов и обеспечения эффективности бизнеса.
- Улучшение процесса принятия решений. Компании могут использовать поведенческую аналитику для принятия решений по продвижению продуктов или услуг исключительно теми способами, что будут привлекательными для клиентов.
- Обеспечение соответствия нормативным требованиям. Аналитика может обнаружить пробелы в соблюдении требований регуляторов путем поиска аномального поведения, которое влияет на обработку конфиденциальных и регулируемых данных. Заблаговременное устранение пробелов позволит избежать правовых и финансовых последствий несоблюдения требований.
- Удовлетворение ожиданий клиентов. Компании должны учитывать ожидания клиентов, чтобы выжить в современной конкурентной бизнес-среде. Поведенческий анализ предлагает информацию о решениях и предпочтениях о покупке, которые позволяют компаниям создавать более приятный пользовательский опыт для привлечения и удержания клиентов.
- Получение конкурентного преимущества. Понимание поведения клиентов и удовлетворение их ожиданий могут дать компании существенное конкурентное преимущество. Например, компании могут первыми выйти на рынок с продуктами, отвечающими текущим тенденциям и даже будущим тенденциям.
Как поведенческая аналитика способствует повышению информационной безопасности?
Поведенческий анализ стал неотъемлемым компонентом повышения ИТ-безопасности организаций и способности защищать конфиденциальные и ценные ресурсы от утечек по вине сотрудников.
Выделяют две основные категории решений для поведенческой аналитики, которые доступны бизнесу:
- UBA. Аналитика поведения пользователей (UBA) ориентирована на использование систем мониторинга для отслеживания, сбора и анализа поведения людей в ИТ-системах. Ограничение мониторинга пользователями-людьми игнорирует многие другие типы объектов, которые могут взаимодействовать с ИТ-средой.
- UEBA. Аналитика пользовательских объектов и поведения (UEBA) включает мониторинг ИТ-устройств, процессов и приложений для более полного наблюдения за потенциальными угрозами. Все системы UEBA построены с использованием трех основных компонентов.
Три столпа UEBA
- Сбор и агрегирование данных. Платформы UEBA собирают и агрегируют данные из нескольких источников в ИТ-среде. Источники включают журналы сетей, серверов, устройств и других компонентов инфраструктуры. Более разнообразные и полные источники данных приводят к повышению эффективности за счет предоставления дополнительной информации аналитическим системам.
- Поведенческая аналитика. Алгоритмы машинного обучения и статистические модели используются для реализации передовых методов анализа собранных данных. Инструменты анализируют данные и определяют базовые показатели нормального поведения пользователей и объектов. Непрерывный мониторинг и анализ поведения в среде позволяют обнаружить подозрительные действия или аномальные закономерности, которые являются признаками нарушений политики или угроз безопасности. Машинное обучение позволяет инструменту развиваться для устранения возникающих угроз и изменения базовых показателей при необходимости.
- Оценка рисков и варианты использования. Оповещения, генерируемые аналитическими механизмами, необходимо оценивать и классифицировать, чтобы специалисты отдела безопасности могли эффективно использовать их. Оценка должна основываться на различных факторах, включая серьезность, потенциальное воздействие и вероятность того, что обнаруженное поведение является опасным для ИБ. Инструменты можно настроить для выявления признаков конкретных киберинцидентов, таких как злонамеренное инсайдерство, скомпрометированные учетные данные пользователя и др.
Инструменты UEBA часто используются вместе с другими решениями безопасности, такими SIEM-системы и системы, которые предотвращают утечку данных из периметра безопасности предприятий вследствие человеческого фактора (DLP-системы).
Примеры инструментов UEBA в действии
Следующие примеры иллюстрируют некоторые распространенные типы подозрительного и злонамеренного поведения, которые могут выявить инструменты UEBA:
- Скомпрометированные учетные записи. Учетные записи, демонстрирующие странное или ненормальное поведение, могут указывать на то, что они были скомпрометированы и используются злоумышленниками для кражи данных или других мошеннических целей.
- Инсайдерские угрозы. Платформа UEBA может обнаруживать потенциальные инсайдерские угрозы, идентифицируя пользователей, пытающихся получить доступ к ограниченным данным или системам.
- Мошенническое администрирование учетных записей. Необычное создание или изменение учетной записи, обнаруженное инструментами UEBA, может указывать на заражение вредоносным ПО, создающим поддельные учетные данные.
Как программное обеспечение для предотвращения потери данных использует поведенческий анализ
Программное обеспечение для предотвращения потери данных по вине сотрудников (DLP) использует поведенческий анализ, чтобы защитить ценную информацию организации. Платформа выявляет аномальное или подозрительное поведение в отношении конфиденциальных или ценных данных, чтобы предотвратить их преднамеренное или случайное неправомерное использование.
DLP-системы в реальном времени мониторят все коммуникационные каналы внутри периметра безопасности организации и анализируют огромные массивы данных на предмет аномального поведения сотрудников или нарушения установленных правил безопасности.
При выявлении нарушений система оповестит ответственное лицо или, если это настроено заранее, заблокирует потенциально опасное действие.
Кроме того, DLP-системы можно использовать для мониторинга эффективности и производительности сотрудников компании, а также для оценки лояльности специалистов.
В заключение
Поведенческий анализ нашел широкое применение в различных жизненных сферах: в психологии, экономике, праве, маркетинге и проч.
Использование ПА в бизнесе позволит не только оптимизировать бизнес-процессы и улучшить положение компании на рынке, но и поможет существенно укрепить систему информационной безопасности предприятия, т.е. действовать на упреждение рисков, таких как утечка и компрометация данных, инсайдерство, передача конфиденциальных данных и проч.
