Monitorización de la actividad del usuario

Las organizaciones recurren a contratistas para realizar tareas operativas de tecnología de la información . Los proveedores remotos que tienen acceso a los datos de la empresa representan un riesgo. Incluso sin mala intención, un usuario externo como un contratista supone una importante vulnerabilidad de seguridad.

El 70 % de los usuarios empresariales habituales admitió tener acceso a más datos de los necesarios. Las cuentas generalizadas les dan acceso a datos confidenciales de la empresa. ^{[ 4 ]} Esto convierte las amenazas internas en una realidad para cualquier empresa que utilice cuentas generalizadas.

Las cuentas de administrador se supervisan rigurosamente debido a la importancia de su acceso. Sin embargo, las herramientas de registro actuales pueden generar una sobrecarga de registros en estas cuentas. Esta sobrecarga se caracteriza por la abrumadora sensación de tener que gestionar una enorme cantidad de registros generados por la gran cantidad de acciones de los usuarios. Las acciones perjudiciales pueden pasar desapercibidas fácilmente, ya que se recopilan miles de registros de usuarios a diario.

Según el Informe de incidentes de violación de datos de Verizon, “El primer paso para proteger sus datos es saber dónde están y quién tiene acceso a ellos”. ^{[ 2 ]}

La informática forense visual implica la creación de un resumen visual de la actividad potencialmente peligrosa del usuario. Cada acción del usuario se registra. Una vez finalizada la sesión del usuario, UAM crea un registro escrito y otro visual, ya sean capturas de pantalla o vídeos de las acciones realizadas por el usuario. Este registro escrito difiere del de un SIEM o una herramienta de registro , ya que captura datos a nivel de usuario, no a nivel de sistema, proporcionando registros en lenguaje natural en lugar de SysLogs (creados originalmente para la depuración). Estos registros textuales se combinan con las capturas de pantalla o los resúmenes de vídeo correspondientes. Mediante estos registros e imágenes, el componente de informática forense visual de UAM permite a las organizaciones buscar las acciones exactas del usuario en caso de un incidente de seguridad. En caso de una amenaza a la seguridad, como una filtración de datos, la informática forense visual se utiliza para mostrar con precisión las acciones del usuario y todo lo que condujo al incidente. También puede utilizarse para proporcionar pruebas a las fuerzas del orden que investiguen la intrusión .

Las alertas de actividad del usuario tienen como objetivo notificar al operador de la solución UAM sobre cualquier incidente o error relacionado con la información de la empresa. Las alertas en tiempo real permiten que el administrador de la consola reciba notificaciones al instante en que se produzca un error o una intrusión. Las alertas se agrupan para cada usuario, lo que permite crear un perfil de riesgo y una clasificación de amenazas. Las alertas se pueden personalizar según combinaciones de usuarios, acciones, hora, ubicación y método de acceso. Se pueden activar fácilmente, por ejemplo, al abrir una aplicación o al introducir una palabra clave o una dirección web. También se pueden personalizar según las acciones del usuario dentro de una aplicación, como eliminar o crear un usuario y ejecutar comandos específicos.

El análisis del comportamiento del usuario añade una capa adicional de protección que ayudará a los profesionales de la seguridad a vigilar el punto débil de la cadena. Mediante la monitorización del comportamiento del usuario, con la ayuda de un software especializado que analiza con precisión lo que hace el usuario durante su sesión, los profesionales de la seguridad pueden asignar un factor de riesgo a usuarios o grupos específicos y recibir una alerta inmediata cuando un usuario de alto riesgo realiza alguna acción que pueda interpretarse como peligrosa, como exportar información confidencial de clientes, realizar consultas de bases de datos de gran tamaño que no corresponden a sus funciones, acceder a recursos a los que no debería tener acceso, etc.

UAM recopila datos de usuario registrando la actividad de cada usuario en aplicaciones, páginas web , sistemas internos y bases de datos. UAM abarca todos los niveles y estrategias de acceso ( RDP , SSH , Telnet , ICA , inicio de sesión directo en la consola, etc.). Algunas soluciones UAM se integran con entornos Citrix y VMware .

Las soluciones UAM transcriben todas las actividades documentadas en registros de actividad del usuario. Estos registros coinciden con las reproducciones de vídeo de las acciones simultáneas. Algunos ejemplos de elementos registrados son los nombres de las aplicaciones ejecutadas, los títulos de las páginas abiertas, las URL, el texto (escrito, editado, copiado y pegado), los comandos y los scripts.

UAM utiliza tecnología de grabación de pantalla que captura las acciones individuales de cada usuario. Cada reproducción, similar a un vídeo, se guarda y se acompaña de un registro de actividad del usuario. Estas reproducciones se diferencian de la reproducción de vídeo tradicional , ya que utilizan la técnica de extracción de datos de pantalla , que consiste en compilar capturas de pantalla secuenciales para crear una reproducción similar a un vídeo . Los registros de actividad del usuario, combinados con la reproducción en formato de vídeo, proporcionan un resumen consultable de todas las acciones del usuario. Esto permite a las empresas no solo leer, sino también visualizar con precisión las acciones que realizó un usuario específico en los sistemas de la empresa.