Tutorial: Mendeteksi aktivitas pengguna yang mencurigakan dengan analitik perilaku (UEBA)

Microsoft Defender for Cloud Apps mencakup deteksi untuk pengguna yang disusupi, ancaman orang dalam, eksfiltrasi data, dan aktivitas ransomware. Layanan ini menggunakan deteksi anomali, analitik perilaku pengguna dan entitas (UEBA), dan deteksi aktivitas berbasis aturan untuk menganalisis aktivitas pengguna di seluruh aplikasi yang terhubung.

Perubahan yang tidak sah atau tidak terduga di lingkungan cloud dapat menimbulkan risiko keamanan dan operasional. Misalnya, perubahan pada sumber daya perusahaan utama seperti server yang menjalankan situs web publik atau layanan yang Anda berikan kepada pelanggan dapat disusupi.

Defender for Cloud Apps mengambil dan menganalisis data dari beberapa sumber untuk mengidentifikasi aktivitas aplikasi dan pengguna di organisasi Anda. Analisis ini memberi analis keamanan Anda visibilitas ke dalam penggunaan cloud. Data yang dikumpulkan berkorelasi, distandarkan, dan diperkaya dengan inteligensi ancaman dan detail lokasi, untuk memberikan pandangan yang akurat dan konsisten tentang aktivitas yang mencurigakan.

Sebelum menyetel deteksi, konfigurasikan sumber data berikut:

Source Deskripsi
Log aktivitas Aktivitas dari aplikasi yang terhubung dengan API Anda.
Log penemuan Aktivitas yang diekstrak dari log lalu lintas firewall dan proksi yang Anda teruskan ke Defender for Cloud Apps. Log tersebut dianalisis menggunakan katalog aplikasi cloud, diberi peringkat, dan dinilai berdasarkan lebih dari 90 faktor risiko.
Log proksi Aktivitas dari aplikasi kontrol aplikasi akses bersyarat Anda.

Sesuaikan kebijakan berikut dengan mengatur filter dan ambang batas dinamis (UEBA) untuk melatih model deteksi mereka. Anda juga dapat menetapkan supresi untuk mengurangi deteksi positif palsu yang umum:

  • Deteksi anomali
  • Deteksi anomali pada penemuan cloud
  • Deteksi aktivitas berbasis aturan

Pelajari cara menyetel deteksi aktivitas pengguna untuk mengidentifikasi kompromi sejati dan mengurangi pemberitahuan yang tidak perlu yang dihasilkan dari volume besar deteksi positif palsu:

Fase 1: Mengonfigurasi rentang alamat IP

  • Siapkan rentang IP untuk menyempurnakan semua jenis kebijakan deteksi aktivitas pengguna yang mencurigakan.

Menyiapkan alamat IP yang diketahui membantu algoritma pembelajaran mesin mengidentifikasi lokasi yang diketahui dan menganggapnya sebagai bagian dari model pembelajaran mesin. Misalnya, menambahkan rentang alamat IP VPN Anda membantu model mengklasifikasikan rentang IP ini dengan benar dan secara otomatis mengecualikannya dari deteksi perjalanan yang tidak mungkin karena lokasi VPN tidak mewakili lokasi sebenarnya dari pengguna tersebut.

Note

Defender for Cloud Apps menggunakan rentang IP di seluruh layanan, tidak hanya untuk deteksi. Rentang IP digunakan dalam log aktivitas, Akses Bersyarat, dan banyak lagi. Misalnya, mengidentifikasi alamat IP kantor fisik memungkinkan Anda menyesuaikan cara Anda melihat dan menyelidiki log dan pemberitahuan.

Meninjau pemberitahuan deteksi anomali

Defender for Cloud Apps menyertakan serangkaian pemberitahuan deteksi anomali untuk mengidentifikasi skenario keamanan yang berbeda. Mereka mulai membuat profil aktivitas pengguna dan menghasilkan pemberitahuan segera setelah Anda menyambungkan konektor aplikasi yang relevan.

Mulailah dengan membiasakan diri dengan berbagai kebijakan deteksi. Prioritaskan skenario teratas yang menurut Anda paling relevan untuk organisasi Anda, dan sesuaikan kebijakan yang sesuai.

Fase 2: Sesuaikan kebijakan deteksi anomali

Defender for Cloud Apps mencakup beberapa kebijakan deteksi anomali bawaan yang telah dikonfigurasi sebelumnya untuk kasus penggunaan keamanan umum. Deteksi populer meliputi:

Deteksi Deskripsi
Perjalanan yang tidak memungkinkan Aktivitas dari pengguna yang sama di lokasi yang berbeda dalam periode yang lebih pendek dari waktu perjalanan yang diharapkan antara dua lokasi.
Aktivitas dari negara yang jarang Aktivitas dari lokasi yang tidak baru-baru ini dikunjungi atau tidak pernah dikunjungi oleh pengguna.
Deteksi malware Memindai file di aplikasi cloud Anda dan menjalankan file mencurigakan melalui mesin inteligensi ancaman Microsoft untuk memeriksa apakah file tersebut terkait dengan malware yang diketahui.
Aktivitas ransomware Unggahan file ke cloud yang mungkin terinfeksi ransomware.
Aktivitas dari alamat IP yang mencurigakan Aktivitas dari alamat IP yang diidentifikasi oleh Microsoft Threat Intelligence sebagai berisiko.
Penerusan kotak masuk yang mencurigakan Mendeteksi aturan penerusan kotak masuk yang mencurigakan yang ditetapkan pada kotak masuk pengguna.
Beberapa aktivitas pengunduhan file yang tidak biasa Mendeteksi beberapa aktivitas unduhan file dalam satu sesi sehubungan dengan garis besar yang dipelajari, yang dapat menunjukkan upaya pelanggaran.
Aktivitas administratif yang tidak biasa Mendeteksi beberapa aktivitas administratif dalam satu sesi sehubungan dengan garis besar yang dipelajari, yang dapat menunjukkan upaya pelanggaran.

Note

Beberapa deteksi anomali berfokus pada mendeteksi skenario keamanan bermasalah, sementara yang lain membantu mengidentifikasi dan menyelidiki perilaku pengguna anomali yang mungkin belum tentu menunjukkan penyusupan. Untuk deteksi tersebut, Anda dapat menggunakan Perilaku yang tersedia dalam pengalaman berburu tingkat lanjut Microsoft Defender.

  1. Kebijakan cakupan untuk pengguna atau grup tertentu

    Kebijakan cakupan untuk pengguna tertentu dapat membantu mengurangi kebisingan dari pemberitahuan yang tidak relevan dengan organisasi Anda. Anda dapat mengonfigurasi setiap kebijakan untuk menyertakan atau mengecualikan pengguna dan grup tertentu, seperti dalam contoh berikut:

    • Simulasi serangan
      Banyak organisasi menggunakan pengguna atau grup untuk terus mensimulasikan serangan. Terus-menerus menerima pemberitahuan dari aktivitas pengguna ini menciptakan kebisingan yang tidak perlu. Siapkan kebijakan Anda untuk mengecualikan pengguna atau grup ini. Tindakan ini membantu model pembelajaran mesin mengidentifikasi pengguna ini dan menyempurnakan ambang dinamis mereka.
    • Deteksi yang ditargetkan
      Anda mungkin ingin menyelidiki grup pengguna VIP tertentu seperti anggota admin atau grup Chief Experience Officer (CXO). Dalam hal ini, buat kebijakan untuk aktivitas yang ingin Anda deteksi dan pilih untuk hanya menyertakan sekumpulan pengguna atau grup yang Anda minati.

  2. Menyesuaikan deteksi anomali saat masuk

    Pemberitahuan yang dihasilkan dari aktivitas masuk yang gagal mungkin menunjukkan bahwa seseorang mencoba menargetkan satu atau beberapa akun pengguna.

    Kredensial yang telah dibobol merupakan salah satu penyebab umum pengambilalihan akun dan aktivitas yang tidak sah. Perjalanan yang tidak memungkinkan, aktivitas dari alamat IP yang mencurigakan, dan peringatan deteksi negara atau wilayah yang jarang membantu Anda menemukan aktivitas yang menunjukkan akun berpotensi disusupi.

  3. Sesuaikan sensitivitas perjalanan yang mustahilKonfigurasikan penggeser sensitivitas yang menentukan tingkat penekanan yang diterapkan pada perilaku anomali sebelum memicu peringatan perjalanan yang mustahil. Organisasi yang tertarik dengan keakuratan tinggi harus mempertimbangkan untuk meningkatkan tingkat sensitivitas. Jika organisasi Anda memiliki banyak pengguna yang melakukan perjalanan, pertimbangkan untuk menurunkan tingkat sensitivitas untuk menekan aktivitas dari lokasi umum pengguna yang dipelajari dari aktivitas sebelumnya. Anda dapat memilih dari tingkat sensitivitas berikut:

    • Rendah: Supresi sistem, tenant, dan pengguna
    • Sedang: Supresi sistem dan pengguna
    • Tinggi: Hanya penekanan sistem

    Where:

    Jenis supresi Deskripsi
    System Deteksi bawaan yang selalu disembunyikan.
    Tenant Aktivitas umum berdasarkan aktivitas sebelumnya di penyewa. Misalnya, menyembunyikan aktivitas dari ISP yang sebelumnya telah memicu peringatan dalam organisasi Anda.
    User Aktivitas umum berdasarkan aktivitas sebelumnya dari pengguna tertentu. Misalnya, menekan aktivitas dari lokasi yang biasanya digunakan oleh pengguna.

Fase 3: Sesuaikan kebijakan deteksi anomali penemuan cloud

Anda dapat menyempurnakan beberapa kebijakan deteksi anomali penemuan cloud bawaan atau membuat kebijakan Anda sendiri untuk mengidentifikasi skenario lain yang layak diselidiki. Kebijakan ini menggunakan log penemuan cloud, dengan kemampuan penyesuaian yang berfokus pada perilaku aplikasi yang tidak wajar dan eksfiltrasi data.

Sesuaikan pemantauan penggunaan

Atur filter penggunaan untuk mengontrol cakupan, dan periode aktivitas untuk mendeteksi perilaku anomali. Misalnya, terima pemberitahuan untuk aktivitas anomali dari karyawan tingkat eksekutif.

Atur sensitivitas peringatan

Untuk mengurangi notifikasi yang tidak perlu, atur tingkat sensitivitas notifikasi. Gunakan penggeser sensitivitas untuk mengontrol jumlah pemberitahuan berisiko tinggi yang dikirim per 1.000 pengguna per minggu. Sensitivitas yang lebih tinggi membutuhkan lebih sedikit varians untuk dianggap sebagai anomali dan menghasilkan lebih banyak peringatan. Secara umum, tetapkan sensitivitas rendah untuk pengguna yang tidak memiliki akses ke data rahasia.

Fase 4: Menyetel kebijakan deteksi (aktivitas) berbasis aturan

Kebijakan deteksi berbasis aturan melengkapi kebijakan deteksi anomali dengan persyaratan khusus organisasi. Buat kebijakan berbasis aturan menggunakan salah satu templat kebijakan Aktivitas.

Jika organisasi Anda tidak memiliki kehadiran apa pun di negara atau wilayah tertentu, buat kebijakan yang mendeteksi aktivitas anomali dari lokasi tersebut. Untuk organisasi dengan cabang besar di negara atau wilayah tersebut, aktivitas tersebut normal dan tidak masuk akal untuk mendeteksi aktivitas tersebut.

  1. Bukatemplat Kebijakan> dan atur filter Jenis ke Kebijakan aktivitas. Siapkan filter aktivitas untuk mendeteksi perilaku yang tidak normal untuk lingkungan Anda.
  2. Atur volume aktivitas
    Pilih volume aktivitas yang diperlukan sebelum deteksi memunculkan pemberitahuan. Jika organisasi Anda tidak memiliki kehadiran di suatu negara atau wilayah, bahkan satu aktivitas saja sudah cukup signifikan untuk memicu peringatan. Kegagalan masuk tunggal bisa menjadi kesalahan manusia dan hanya menarik jika ada banyak kegagalan dalam waktu singkat.
  3. Sesuaikan filter aktivitas
    Atur filter yang Anda perlukan untuk mendeteksi jenis aktivitas yang ingin Anda beri tahu. Misalnya, untuk mendeteksi aktivitas dari negara atau wilayah, gunakan parameter Lokasi .
  4. Sesuaikan notifikasi
    Untuk mengurangi pemberitahuan yang tidak perlu, atur batas pemberitahuan harian.

Fase 5: Mengonfigurasi pemberitahuan

Note

Microsoft tidak digunakan lagi fitur Pemberitahuan/SMS (pesan teks) pada 15 Desember 2022. Jika Anda ingin menerima pemberitahuan teks, gunakan Microsoft Power Automate untuk otomatisasi pemberitahuan kustom. Untuk informasi selengkapnya, lihat Mengintegrasikan dengan Microsoft Power Automate untuk otomatisasi pemberitahuan kustom.

Untuk mendapatkan pemberitahuan langsung kapan saja sepanjang hari, pilih untuk menerimanya melalui email.

Anda mungkin juga menginginkan kemampuan untuk menganalisis pemberitahuan dalam konteks pemberitahuan lain yang dipicu oleh produk lain di organisasi Anda. Analisis ini memberi Anda pandangan holistik tentang potensi ancaman. Misalnya, Anda mungkin ingin berkorelasi antara peristiwa berbasis cloud dan lokal untuk melihat apakah ada bukti mitigasi lain yang mengonfirmasi serangan.

Anda dapat menggunakan Microsoft Power Automate untuk memicu otomatisasi pemberitahuan kustom. Saat pemberitahuan dipicu, Anda dapat:

  • Siapkan buku panduan
  • Membuat masalah di ServiceNow
  • Mengirim email persetujuan untuk menjalankan tindakan tata kelola kustom saat pemberitahuan dipicu

Gunakan panduan berikut untuk mengonfigurasi pemberitahuan Anda:

  1. Email
    Pilih opsi ini untuk menerima pemberitahuan melalui email.
  2. SIEM
    Ada beberapa opsi integrasi SIEM, termasuk Microsoft Sentinel, Microsoft Graph Security API, dan SIEM generik lainnya. Pilih integrasi yang paling sesuai dengan kebutuhan Anda.
  3. otomatisasi Power Automate
    Buat playbook otomatisasi yang Anda perlukan dan tetapkan playbook tersebut sebagai tindakan Power Automate untuk peringatan kebijakan.

Fase 6: Menyelidiki dan memulihkan

Untuk mengoptimalkan perlindungan Anda, siapkan tindakan remediasi otomatis untuk meminimalkan risiko terhadap organisasi Anda. Kebijakan ini memungkinkan Anda menerapkan tindakan tata kelola dengan pemberitahuan sehingga risiko terhadap organisasi Anda berkurang bahkan sebelum Anda mulai menyelidiki. Jenis kebijakan menentukan tindakan yang tersedia, termasuk tindakan seperti menjeda pengguna atau memblokir akses ke sumber daya yang diminta.

  • Last updated on