L'ancien produit UEBA FortiInsight a vu son moteur d'analyse intégré à FortiSIEM. Ce qu'il faut savoir sur l'analyse comportementale des utilisateurs et des entités.
FortiInsight était la solution autonome d'analyse comportementale des utilisateurs et des entités (UEBA) de Fortinet. Elle n'apparaît plus aujourd'hui dans le catalogue produits de Fortinet : son moteur d'analyse a été intégré à FortiSIEM à partir de la version 6.1, en 2020, et c'est désormais sous la forme de la fonction UEBA de FortiSIEM que cette technologie est proposée. Si vous utilisez encore FortiInsight, c'est donc vers FortiSIEM qu'il faut regarder.
Lors de la sortie de FortiSIEM 6.1, Fortinet a annoncé que le SIEM embarquait le même moteur d'analyse UEBA que FortiInsight. Depuis, la page produit de FortiInsight n'est plus en ligne, et la documentation actuelle de FortiSIEM (branche 7.x) décrit l'UEBA comme une fonctionnalité du SIEM, avec ses propres licences. On retrouve d'ailleurs la trace de cet héritage dans FortiSIEM, dont le service d'analyse UEBA porte encore le nom technique phFortiInsightAI.
Pour les organisations qui disposent encore de licences FortiInsight, les dates exactes de fin de support figurent sur le portail Product Life Cycle du support Fortinet. Il est prudent de les consulter dès maintenant et de planifier la migration vers FortiSIEM ou vers une autre plateforme d'analyse.
L'UEBA consiste à établir, pour chaque utilisateur et chaque entité (poste, serveur, application), un profil de comportement habituel, puis à signaler les écarts significatifs. Plutôt que de chercher une signature d'attaque connue, on s'intéresse à des questions comme :
Cette approche est particulièrement utile contre les menaces internes, les comptes compromis et l'exfiltration de données, trois situations où l'attaquant utilise des accès légitimes et échappe donc aux contrôles classiques.
La documentation FortiSIEM décrit deux sources principales :
Les données sont organisées selon cinq dimensions exploitées par les modèles d'apprentissage automatique : l'utilisateur, le processus, l'appareil, les ressources accédées et l'action réalisée. Le SIEM combine ces informations avec ses autres sources (journaux, flux réseau, API cloud) pour générer des incidents.
L'analyse comportementale n'est pas magique. Elle demande :
L'UEBA est désormais une fonction courante des plateformes SIEM et XDR du marché. Si vous réévaluez votre outillage à l'occasion de la fin de FortiInsight, comparez notamment la qualité des sources de données disponibles, l'intégration avec votre gestion des identités et la charge d'exploitation. L'essentiel reste le même d'une plateforme à l'autre : des données complètes, des cas d'usage définis et une équipe pour les traiter.
L'UEBA s'exploite au sein d'un SOC. Les compétences clés sont l'analyse d'événements, la chasse aux menaces et la connaissance des outils SIEM. Ces parcours y préparent :
FortiInsight en tant que produit autonome appartient au passé, mais sa technologie se poursuit au sein de FortiSIEM. Pour les équipes concernées, la priorité est de vérifier les dates de fin de support, de planifier la transition et de renforcer les compétences d'analyse nécessaires pour tirer parti de l'UEBA.