Huomataanko yrityksessä, jos käyttäjä toimii tavallisesta poikkeavasti?
Käyttäjä kirjautuu järjestelmään oikeilla tunnuksilla, avaa tiedostoja ja käyttää sovelluksia, joihin hänellä on pääsy. Kaikki näyttää teknisesti normaalilta. Mutta entä jos sama käyttäjä alkaa yhtäkkiä ladata suuria määriä tiedostoja, kirjautuu poikkeukselliseen aikaan tai tekee muutoksia käyttöoikeuksiin?
Tietoturvauhka ei aina näy epäonnistuneina kirjautumisina, haittaohjelmahälytyksinä tai estettyinä yhteyksinä. Jos hyökkääjä on saanut käyttäjätunnukset haltuunsa, hän voi toimia ympäristössä samoilla oikeuksilla kuin tilin omistaja.
Siksi tietoturvavalvonnassa on tärkeää seurata paitsi yksittäisiä tapahtumia myös sitä, poikkeaako käyttäjän tai järjestelmän toiminta tavanomaisesta.
Miltä tavallisesta poikkeava toiminta voi näyttää?
Poikkeava käyttäytyminen ei välttämättä tarkoita mitään yksittäistä kiellettyä toimenpidettä. Kyse voi olla täysin sallituista toiminnoista, joiden määrä, ajankohta tai yhdistelmä herättää huomiota.
Tavallista suuremmat tiedostolataukset
Työntekijä käyttää SharePointia ja OneDrivea päivittäin. Yhtäkkiä hänen tunnuksillaan ladataan huomattavasti tavallista enemmän tiedostoja tai aineistoa, jota hän ei normaalisti käsittele.
Kyse voi olla tavallisesta työtehtävästä, mutta myös käyttäjätilin väärinkäytöstä tai tietojen luvattomasta keräämisestä.
Epätavalliset kirjautumiset ja käyttöoikeusmuutokset
Käyttäjä kirjautuu järjestelmään uudesta sijainnista tai poikkeukselliseen aikaan. Pian tämän jälkeen tilillä tehdään muutoksia käyttöoikeuksiin tai käyttäjäryhmiin.
Yksittäinen muutos voi olla perusteltu, mutta tapahtumien yhdistelmä voi antaa aihetta tarkempaan selvitykseen.
Käyttäjätunnukset ovat päätyneet tietovuotoon
Yrityksen sähköpostiosoitteita tai käyttäjätunnuksia voi päätyä ulkopuolisiin tietovuotoihin ilman, että organisaatio itse huomaa sitä. Jos samoihin tunnuksiin liittyy myös poikkeavia kirjautumisia, havaintojen merkitys kasvaa.
Tällaisissa tilanteissa ulkoinen uhkatieto ja Dark Web -seuranta voivat täydentää organisaation omista järjestelmistä kerättyjä lokitietoja.
Käyttäytymisanalytiikka tunnistaa normaalista poikkeavaa toimintaa
Perinteinen tietoturvavalvonta perustuu usein ennalta määriteltyihin sääntöihin. Hälytys voi syntyä esimerkiksi tietystä kirjautumistapahtumasta, epäonnistuneiden kirjautumisten määrästä tai käyttöoikeusmuutoksesta.
Käyttäytymisanalytiikka eli UEBA (User and Entity Behavior Analytics) täydentää tätä lähestymistapaa. UEBA analysoi käyttäjien ja järjestelmien toimintaa sekä muodostaa tietoa niiden tavanomaisista käyttäytymismalleista. Sen avulla voidaan tunnistaa esimerkiksi toiminnan poikkeuksellisia ajankohtia, määriä ja käyttötapoja.
Tämä on hyödyllistä erityisesti tilanteissa, joissa hyökkääjä käyttää oikeita tunnuksia eikä toiminta välttämättä laukaise perinteisiä sääntöpohjaisia hälytyksiä.
Käyttäytymisanalytiikka ei korvaa muita tietoturvan hallintakeinoja. Se tuo valvontaan uuden näkökulman: mitä käyttäjä tekee ja onko toiminta hänelle tavallista?
Poikkeava toiminta ei automaattisesti tarkoita tietoturvauhkaa
Kaikki tavallisesta poikkeava toiminta ei ole epäilyttävää.
Työntekijä voi esimerkiksi työskennellä ulkomailta, osallistua kiireelliseen projektiin tai käsitellä tavallista enemmän tiedostoja. Tällaiset tilanteet voivat poiketa käyttäytymismalleista, vaikka kaikki olisi täysin kunnossa.
Tämän vuoksi automaattinen havainto on vasta lähtökohta.
Hälytyksen merkitystä on arvioitava suhteessa muihin tapahtumiin, käytettävissä olevaan tietoon ja organisaation toimintaympäristöön. Olennaista on erottaa aidosti huomiota vaativat tilanteet normaalista vaihtelusta.
Myös havaintojen priorisointi on tärkeää. Kaikki poikkeamat eivät vaadi välittömiä toimenpiteitä, mutta osa voi olla ensimmäisiä merkkejä laajemmasta tietoturvaongelmasta.
Kun lokitiedot ja uhkatieto yhdistetään, havaintojen merkitys tarkentuu
Organisaation omat lokitiedot kertovat, mitä järjestelmissä tapahtuu. Ulkoinen uhkatieto voi täydentää tätä kuvaa esimerkiksi tunnistamalla tunnetusti haitallisia IP-osoitteita, verkkotunnuksia tai tietovuotoihin liittyviä havaintoja.
SIEM-analytiikan, käyttäytymisanalytiikan ja uhkatiedon yhdistäminen auttaa arvioimaan, liittyvätkö eri järjestelmistä syntyvät tapahtumat toisiinsa.
Esimerkiksi tavallisesta poikkeava kirjautuminen, suuri tiedostolataus ja käyttäjätunnuksiin liittyvä tietovuotohavainto voivat yhdessä antaa enemmän aihetta selvitykseen kuin mikään näistä havainnoista yksinään.
Tietoturvahavaintojen luokittelu esimerkiksi MITRE ATT&CK -viitekehyksen mukaisesti auttaa lisäksi hahmottamaan, millaisesta toiminnasta mahdollisesti on kyse.
Keskeistä ei ole hälytysten määrä, vaan se, että olennaiset havainnot tunnistetaan ja niiden merkitys ymmärretään.
Kaita SOC yhdistää analytiikan ja asiantuntijoiden tulkinnan
Kaita SOC -palvelu kokoaa organisaation sovitut lokilähteet yhteen ja analysoi niiden tapahtumia jatkuvasti.
SIEM- ja käyttäytymisanalytiikka auttavat tunnistamaan poikkeamia, ja uhkatieto täydentää havaintoja. Keskitetyn tietoturvahavaintojen käsittelyn avulla voidaan arvioida, mitkä tapahtumat vaativat tarkempaa huomiota.
Kaitan asiantuntijat arvioivat ja priorisoivat hälytyksiä sovitun palveluajan ja toimintamallin mukaisesti. Asiakas saa ymmärrettävän tiedon havainnosta sekä käytännön toimenpidesuositukset.
Valvontaa voidaan toteuttaa esimerkiksi Microsoft 365- ja Entra ID -ympäristöissä, palvelimilla ja verkkolaitteissa. Valvonnan laajuus määritellään organisaation tarpeiden mukaan.
Tiedetäänkö teillä, mikä on normaalia käyttäjätoimintaa?
Organisaation käyttäjillä on päivittäin pääsy suuriin määriin tietoa ja erilaisiin järjestelmiin. Useimmat tapahtumat ovat täysin normaaleja, mutta niiden joukosta pitäisi pystyä tunnistamaan myös merkitykselliset poikkeamat.
Tietoturvavalvonnan kehittämisessä kannattaa kysyä, tunnistetaanko yrityksessä vain ennalta määriteltyjä uhkia vai pystytäänkö havaitsemaan myös tavallisesta poikkeavaa toimintaa.
Kaita SOC auttaa tuomaan käyttäjien ja järjestelmien tapahtumat osaksi yhteistä tietoturvavalvontaa ilman omaa SOC-tiimiä.
Tutustu Kaita SOC -palveluun ja varaa 30 minuutin kartoitus.
Saattaisit olla kiinnostunut myös näistä artikkeleista:
SOC-valvonta 2026: yksittäinen hälytys ei enää kerro koko hyökkäyksestä
Pk-yrityksen tietoturva: miten tietoturvapoikkeamat havaitaan ajoissa?