Рейтинг UBA в Инфраскопе
Рейтинг UBA в Infrascope — это механизм оценки «подозрительности» команд, который дополняет классические White/Black key политики.
Каждой команде можно назначить «стоимость» в баллах, а каждому пользователю — пороговое значение ubaThreshold, при превышении которого некоторые команды автоматически превращаются для него в запрещенные.
Рейтинг UBA действует как Grey key. Пока пользователь не превысил свой порог, команда ему разрешена, но после накопления достаточного количества баллов именно эта команда рассматривается системой как Black key для конкретного пользователя.
Как это устроено технически
У каждого пользователя в свойствах задан параметр ubaThreshold (порог: аналитика поведения пользователей), который можно увидеть в свойствах пользователя. Значение по умолчанию — 50.
При создании ключа политики выбирается тип Рейтинг UBA.
После выбора этого типа появляется поле рейтинга поведения пользователя, куда администратор вписывает, сколько баллов будет начисляться за выполнение данной команды.
Пример (команда date)
Допустим, создается policy key для команды date с типом User behavior rating и значением Rate = 20.
Этот ключ связывается с device realm, чтобы распространяться на нужные устройства.
Каждый раз, когда пользователь с назначенной политикой выполняет команду date, ему добавляется 20 баллов.
После трех запусков date он набирает 60 баллов и превышает порог 50 по ubaThreshold.
С этого момента команда date превращается в Black key именно для этого пользователя, и он больше не может ее выполнять.
Таким образом Infrascope отслеживает накопительный риск, разовая команда может быть допустимой, но повторяющееся использование постепенно переводит ее в разряд запрещенных.
Практические сценарии использования
1. Контроль аномальной активности администратора
Команды, которые часто используются при разведке и подготовке атак (просмотр конфигураций, маршрутов, информации о пользователях и т.д.), можно оформить как рейтинг UBA. При нормальной работе админ вызовет их несколько раз и не превысит порог. Если же начинается массовый просмотр конфигов и системных параметров, суммарный балл быстро пересекает ubaThreshold, и эти команды блокируются для конкретного пользователя.
2. Защита от злоупотребления редкими, но опасными командами
Команды изменения времени, массового удаления, отключения логирования, изменения прав доступа можно не запрещать полностью, а пометить высоким Rate. Тогда единичное использование по регламенту будет возможно, но попытка злоупотреблять такими командами приведет к автоматической блокировке их исполнения.
3. Надзор за внешними подрядчиками и временными аккаунтами
Для подрядчиков создается политика, в которой рабочие команды идут как White key, а потенциально опасные — как Рейтинг UBA с умеренным или высоким Rate. Это позволяет объективно фиксировать «нагрузку» подозрительных команд и автоматически блокировать их при выходе за рамки нормального поведения, не вмешиваясь вручную.
4. Гибкая адаптация под разные роли пользователей
Порог ubaThreshold можно настраивать по типу пользователя, опытным администраторам его поднять, начинающим — снизить. В результате один и тот же набор Grey‑команд для одних пользователей будет безопасно доступен, а для других — быстро превратится в Black key при попытке злоупотребления.