UEBA (User and Entity Behavior Analytics) ist ein Sicherheitsansatz, der das Verhalten von Benutzern und anderen Entitäten mithilfe von maschinellem Lernen und statistischer Analyse überwacht. Der Begriff wurde 2015 von Gartner als Weiterentwicklung von User Behavior Analytics (UBA) geprägt: Statt nur Menschen stehen auch Geräte, Anwendungen, Dienstkonten und IP-Adressen im Fokus.
Wie funktioniert UEBA?
UEBA-Systeme bauen zunächst eine Baseline des Normalverhaltens auf: Wann loggt sich ein Mitarbeiter ein, welche Daten lädt er herunter, von welchen Geräten arbeitet er? Anschließend erkennen sie Abweichungen von diesem Profil und bewerten deren Risiko. Eine Anmeldung um 3 Uhr nachts aus einem fremden Land, massenhaftes Herunterladen von Dokumenten oder ungewöhnliche Zugriffe auf sensible Systeme lösen Alarme aus.
Typische Einsatzfelder
- Insider-Bedrohungen: Auffälliges Verhalten von berechtigten Nutzern, etwa Datendiebstahl vor dem Jobwechsel.
- Kompromittierte Konten: Angreifer, die gestohlene Zugangsdaten nutzen, weichen typischerweise vom normalen Verhaltensprofil ab.
- Zero-Day-Erkennung: Da UEBA nicht nur Signaturen bekannter Angriffe vergleicht, kann es auch unbekannte Angriffsmuster über Anomalien finden.
Als Datenquellen dienen Logins, VPN- und E-Mail-Verbindungen, DLP-Ereignisse sowie Cloud- und Verzeichnisdienste. UEBA-Funktionen sind heute häufig in XDR- und SIEM-Plattformen integriert und ergänzen dort die regelbasierte Erkennung.
Abgrenzung zu verwandten Verfahren
Während UEBA das Verhalten einzelner Nutzer und Entitäten profiliert, beobachtet NDR das Verhalten des gesamten Netzwerkverkehrs. Beide Ansätze liefern Anomalie-Erkennung auf unterschiedlichen Ebenen und werden in modernen SOCs kombiniert — auch innerhalb von MDR-Dienstleistungen, deren Analysten UEBA-Bewertungen für die Triage nutzen.
Verwandte Grundlagen: XDR, SIEM, Anomalie-Erkennung, UEBA, Threat Hunting.