UEBA

Définition

UEBA (User and Entity Behavior Analytics) est une approche de détection de sécurité reposant sur la modélisation comportementale des utilisateurs et des entités techniques d'un système d'information, comme les machines ou les comptes de service, afin d'identifier des écarts significatifs par rapport à un profil d'activité habituel, plutôt que de s'appuyer exclusivement sur des signatures d'attaque connues ou des règles statiques prédéfinies. Appliquée à un environnement Active Directory, l'UEBA établit une base de référence propre à chaque compte — horaires de connexion habituels, machines fréquemment utilisées, volume typique de requêtes LDAP, ressources habituellement accédées — et signale les déviations suspectes, comme une connexion Domain Admin depuis une machine inhabituelle, un volume anormal de demandes de tickets Kerberos caractéristique d'un Kerberoasting massif, ou une activité de réplication suspecte évocatrice d'une attaque DCSync. Cette approche comportementale se révèle particulièrement efficace pour détecter des techniques d'attaque n'exploitant aucune vulnérabilité logicielle spécifique, comme l'ACL Abuse ou l'usage légitime détourné d'outils d'administration natifs, échappant structurellement à une détection par signature classique. Des solutions comme Microsoft Defender for Identity intègrent nativement des capacités UEBA dédiées à la protection de l'identité en environnement Active Directory et Entra ID, complétant les mécanismes de détection basés sur des règles statiques par une couche d'analyse comportementale adaptative continue.