UEBA 파이프라인 설계: 기준선, 이상 탐지 및 위험 점수화

가치를 제공하는 UEBA 파이프라인을 구축하려면 모든 단계에서 신중한 설계가 필요합니다. 수집하는 데이터, 구축하는 기준선, 선택하는 이상 탐지 방법, 원시 신호를 위험 점수로 변환하는 방식은 분석가가 출력을 신뢰할지 아니면 무시하도록 배울지를 결정합니다. 이 과정은 일반적으로 발생하는 순서대로 이러한 결정 사항을 살펴봅니다. 실제 조직을 위한 UEBA 파이프라인을 계획하는 보안 데이터 팀의 방식을 반영하는 서면 설계 연습을 진행합니다. 시스템이 분석가를 압도하지 않고 탐지를 개선하는지 여부를 결정하는 실질적인 절충에 중점을 둡니다. 학습 내용: - 클라우드 및 온프레미스 시스템 전반의 인증, 액세스 및 활동 로그에서 데이터 수집 계획 - 개별 역할, 동료 그룹 및 시간 패턴을 고려한 기준선 모델링 접근 방식 설계 - 통계, 클러스터링 및 최신 딥러닝 접근 방식을 포함한 이상 탐지 방법 비교 - 여러 신호를 실행 가능한 경고로 결합하는 위험 점수 시스템 구축 - 파이프라인을 현실적인 내부자 위협 및 침해 시나리오에 대해 테스트하는 평가 루틴 계획 - 분석가 결정이 시간이 지남에 따라 기준선 및 점수화를 개선할 수 있도록 하는 피드백 루프 설계 이 과정은 데이터 수집부터 기준선 모델링, 이상 탐지, 위험 점수화 및 평가까지 진행됩니다. 최종 서면 연습에서는 특정 조직 유형 및 위협 프로필을 대상으로 하는 UEBA 파이프라인에 대한 1페이지 디자인 초안을 작성하도록 요청합니다. 이 과정은 보안 분석가, 보안 업무에 새로 진입하는 데이터 엔지니어 및 컴퓨터 과학 학생을 대상으로 합니다. 깊은 UEBA 경험은 필요하지 않습니다. 이 과정은 도구 결정을 내리기 전에 종이에서 추론할 수 있는 설계 문제로 파이프라인을 다룹니다.