Aucune règle ne se déclenche
L'action est autorisée. Un moteur de règles ne peut rien signaler, puisque rien n'est interdit.
Une règle de détection ne trouve que ce qu'on a su formuler. Elle est aveugle à l'administrateur qui consulte soudain des dossiers qui ne le concernent pas, ou au compte légitime dont quelqu'un d'autre s'est emparé. L'analyse comportementale apprend ce qui est normal pour chaque utilisateur et chaque machine, puis signale les écarts.
Le problème
Les défenses classiques cherchent l'intrus : une signature connue, une adresse malveillante, une exploitation de faille. Elles sont impuissantes face à quelqu'un qui utilise un compte valide pour faire des choses qu'il a techniquement le droit de faire - mais qu'il n'a jamais faites auparavant.
C'est le cas de l'employé qui télécharge la base clients trois semaines avant sa démission, comme de l'attaquant qui a volé les identifiants d'un administrateur. Dans les deux cas, aucune règle n'est violée. Seul le comportement a changé.
L'action est autorisée. Un moteur de règles ne peut rien signaler, puisque rien n'est interdit.
Le compte est réel, l'authentification est valide. Ce qui trahit, c'est l'écart avec les habitudes du titulaire.
Étalée sur des semaines et fragmentée, elle reste sous tous les seuils fixés à l'avance.
Capacités
Le principe : établir pour chaque utilisateur et chaque machine une référence de comportement - horaires, volumes, ressources habituellement consultées - puis mesurer les écarts et les cumuler en un score de risque.
Des modèles d'apprentissage automatique construisent la référence de chaque entité et la réajustent au fil du temps.
Les signaux comportementaux sont agrégés en une note unique par utilisateur ou par machine, comparable et suivie dans la durée.
Le rapprochement d'un utilisateur, de ses machines et de ses comptes de service révèle des chaînes qu'aucun signal isolé ne montre.
Chaque anomalie est présentée avec ce qui la rend anormale, plutôt que sous forme d'un score brut inexploitable.
Le bruit est réduit en amont : les analystes reçoivent les entités les plus à risque, pas la liste de toutes les déviations.
Les scores alimentent directement les investigations menées dans Enterprise Security, sans console séparée.
Ce qu'il faut savoir avant
Splunk a intégré l'analyse comportementale à Splunk Enterprise Security : elle est native à l'édition Premier et n'est pas commercialisée comme une solution indépendante. Concrètement, un projet UEBA suppose d'avoir ou de mettre en place le SIEM. Nous le disons d'emblée parce que la question du périmètre - et donc du budget - se pose au début, pas au moment de la commande.
Périmètre de détection publié par Splunk.
Se repérer dans la plateforme
SIEM
Collecte les journaux de toutes les sources et déclenche sur des règles de détection maintenues.
Voir Enterprise Security →SOAR
Exécute automatiquement les gestes de réponse répétitifs, à travers les outils déjà en place.
Voir Splunk SOAR →UEBA
Apprend le comportement habituel de chaque entité et signale les écarts, sans règle écrite à l'avance.
Un partenaire, pas seulement un revendeur
L'analyse comportementale touche à un sujet sensible : elle observe des personnes. Le projet se prépare autant sur le plan juridique que technique.
Nous vous aidons à documenter la finalité, l'information des salariés et la durée de conservation, conformément à la loi n° 18-07.
La qualité des modèles dépend entièrement des données fournies. Nous déterminons lesquelles apportent réellement du signal.
Les premières semaines produisent beaucoup de faux positifs, le temps que la référence se stabilise. Nous accompagnons cette phase.
Un score de risque mal calibré est ignoré au bout de quinze jours. Nous l'ajustons sur vos données jusqu'à ce qu'il soit suivi.
Nous évaluons votre couverture actuelle face aux menaces internes, cadrons le périmètre d'observation et le dossier juridique qui l'accompagne. Réponse sous 24 heures ouvrées.