Detectare amenințări cu AI (UEBA) în România

Ce este UEBA și ce prinde peste semnături

UEBA înseamnă analiza de comportament al utilizatorilor și entităților. În loc să caute un fișier cunoscut sau o semnătură, măsoară tiparul: de unde se autentifică un cont, la ce ore, ce volume citește, ce procese pornește un server, cu cine vorbește în rețea. Atacul modern folosește credențiale valide și unelte deja instalate, deci nu declanșează niciun antivirus. Abaterea de comportament rămâne singurul semnal: același cont, alt tipar. De aceea combinăm UEBA cu detecție pe rețea și cu reguli scrise explicit.

• Linie de bază pe cont, gazdă și serviciu, nu praguri din manual
• Anomalii pe autentificări, volume citite, procese, ieșiri de rețea
• Reguli Sigma pentru tehnici cunoscute, mapate pe MITRE ATT&CK
• Honeytokens: chei și fișiere-capcană care nu au motiv să fie atinse
• Corelare cu WAF, VPN și jurnalele aplicației

AI de ambele părți: campanii automatizate, triaj automatizat

Atacatorii folosesc modele ca să scrie phishing fără greșeli de limbă, să genereze variante de payload până trece filtrul și să înlănțuie recunoașterea cu exploatarea în agenți care lucrează singuri. Volumul crește, iar calitatea momelii nu mai dă de gol atacul. Apărarea folosește AI la ce face bine: învață tiparul normal din milioane de evenimente, grupează alertele legate în cazuri și scoate în față cele câteva cu context de risc. Regula deterministă rămâne pentru ce știm sigur, modelul acoperă ce nu am scris încă, iar decizia de izolare rămâne la om.

De la alertă la acțiune, fără să îngropi echipa

O detecție care produce sute de alerte zilnic e la fel de inutilă ca lipsa ei. Calibrăm în două-trei săptămâni: excludem tiparele legitime, grupăm alertele pe caz, stabilim ce merge pe e-mail, ce în chat și ce declanșează runbook-ul de răspuns. Fiecare alertă vine cu întrebarea la care răspunde și cu pașii de verificare. Ce se repetă fără valoare se elimină sau devine regulă cu prag mai clar. Măsurăm apoi câte alerte au dus la o acțiune reală.

Cum se leagă de SIEM și unde se duc orele

Detecția stă pe aceleași loguri pe care le colectează SIEM-ul, deci cele două se implementează împreună: colectoarele o dată, regulile și modelele deasupra. Ceri lucrarea din panoul de client, la „Servicii DevOps”, cu termenul propus de tine. Orele lunare din plan merg aici mai ales pe calibrare: praguri, excepții, detecții noi pentru servicii nou apărute. Sunt una la cPanel de la Advanced, una până la opt la VPS și zece la dedicate și GPU, fără report în luna următoare; investigarea unui incident amplu se facturează separat, la oră.

Cum lucrăm

1. Cererea din panou

   Ceri detecția din „Servicii DevOps”, ne spui ce conturi și servicii sunt critice și cine trebuie să primească alertele, pe ce canal.

2. Linia de bază

   Colectăm două-trei săptămâni de telemetrie, construim tiparul normal pe conturi și gazde și fixăm pragurile împreună cu tine.

3. Detecție și reglaj

   Activăm regulile Sigma, modelele de anomalie și honeytokens, apoi tăiem zgomotul până rămân doar alertele care cer o acțiune.

4. Predare cu runbook-uri

   Predăm panourile, catalogul de detecții și runbook-urile per scenariu, plus un exercițiu de verificare pe un caz real din mediul tău.

Cazuri de utilizare

Tehnologii

• Wazuh
• Suricata
• Zeek
• Falco
• Sigma
• MISP
• OpenSearch
• Grafana

Întrebări frecvente

• Ce este UEBA?

  Analiza de comportament al utilizatorilor și entităților: sistemul învață ce e normal pentru fiecare cont, server sau serviciu și semnalează abaterile. Prinde conturi compromise, abuz din interior și mișcare laterală, adică exact atacurile care folosesc credențiale valide și nu declanșează semnături.

• EDR față de XDR: care este diferența?

  EDR stă pe gazdă și vede procese, fișiere, comenzi. XDR adună mai multe surse (gazde, rețea, identitate, e-mail) și le corelează într-un singur caz. Pe servere găzduite, combinația utilă e agent de detecție pe gazdă plus vizibilitate pe rețea și loguri de aplicație.

• Ce este NDR?

  Detecția pe trafic de rețea: analizează cine vorbește cu cine, pe ce protocoale și cu ce volume, fără să depindă de un agent instalat. Prinde exfiltrarea, comunicarea cu servere de comandă și scanarea internă, inclusiv de pe dispozitive pe care nu poți instala nimic.

• Cum reduc alertele false din SIEM?

  Prin linie de bază, nu prin praguri fixe. Excluzi tiparele legitime documentat, grupezi alertele pe caz, adaugi context de risc pe activ și trimiți doar ce cere o decizie. Triajul asistat de AI ajută la grupare și sumarizare, dar excepțiile rămân scrise și revizuite.

• Poate inteligența artificială să prevină atacurile?

  Nu le previne, le detectează mai repede și le pune în context. Prevenția vine din patch-uri, drepturi minime, autentificare în doi factori și segmentare. AI-ul scurtează timpul dintre primul semnal și decizia de izolare, ceea ce limitează dauna, dar nu înlocuiește igiena de bază.

• Ce sunt honeytokens?

  Chei, fișiere sau conturi false, plasate unde nu are ce căuta un utilizator legitim. Nimeni nu le atinge în activitatea normală, deci orice acces e semnal aproape sigur. Sunt ieftine, nu produc alerte false și prind atacatorul după ce a intrat, în faza de explorare.