تهريب البيانات مقابل تسرب البيانات
تسرب البيانات هو أي كشف غير مصرح به للبيانات، سواء كان مقصودا أو عرضيا. فالموظف الذي يرسل جدول بيانات إلى حساب شخصي ليعمل من المنزل يتسبب في تسرب بسبب الإهمال، لا بسوء نية.
تهريب البيانات هو نقل متعمد وخفي للبيانات إلى وجهة خارجية يتحكم فيها مهاجم أو شخص من الداخل. وهو ينطوي على نية: يُخرج أحدهم البيانات بحيث تغادر دون أن يلاحظ أحد.
في الممارسة، تتداخل طرق الاكتشاف إلى حد كبير، لأن كليهما يتطلب مراقبة حركة البيانات وفحص المحتوى. ويبقى الفرق في النية مهما للاستجابة للحوادث وللإجراءات القانونية وتصنيف التهديدات الداخلية.
| المعيار | تسرب البيانات | تهريب البيانات |
|---|---|---|
| نية متعمدة | ||
| يمكن أن يكون عرضيا | ||
| مراقبة حركة البيانات والمحتوى |
الأساليب الشائعة للتهريب
يستخدم التهريب أي قناة يمكن أن تخرج منها البيانات بشكل مشروع من المؤسسة. ولكل قناة ضابطها الخاص، والتحكم في الأجهزة يغطي القنوات المحلية مثل USB والطباعة.
الطرق الست الأولى هي الأكثر شيوعا في الحوادث الفعلية. أما الطريقتان الأخيرتان فأقل شيوعا لكنهما أصعب في الاكتشاف.
| القناة | كيف تخرج البيانات |
|---|---|
| الشبكة | رفع عبر HTTP/HTTPS وFTP وبروتوكولات نفق مخصصة؛ التشفير يخفي المحتوى |
| البريد الإلكتروني | مرفقات أو روابط ترسل إلى عناوين خارجية، بما في ذلك البريد عبر المتصفح |
| التخزين السحابي | رفع إلى حسابات شخصية مثل Google Drive وDropbox وOneDrive وBox وMEGA |
| تطبيقات المراسلة | ملفات ترسل عبر WhatsApp وTelegram وSignal وSlack وTeams أو المحادثة عبر الويب |
| الوسائط القابلة للإزالة | نسخ إلى أقراص USB أو أقراص خارجية أو وسائط ضوئية |
| الحافظة والشاشة | نص ملصوق في تطبيقات غير معتمدة أو لقطات للشاشة |
| الطباعة | مستندات حساسة تُطبع لإخراجها ماديا |
| الإخفاء وإساءة استخدام البروتوكولات | بيانات مخفية داخل الصور أو الملفات الصوتية؛ أنفاق DNS وICMP بكميات صغيرة |
من يقوم بتهريب البيانات
ثلاثة أنواع من الجهات تقوم بتهريب البيانات:
- المتآمرون من الداخل: موظفون أو متعاقدون يسرقون البيانات عن قصد، مثل الملكية الفكرية لصالح منافس، أو قوائم العملاء، أو البيانات المالية لتنفيذ احتيال، أو معلومات لأسباب عقائدية كالإبلاغ عن المخالفات أو النشاط الاحتجاجي.
- الحسابات المخترقة: مهاجمون خارجيون سرقوا بيانات الدخول أو استولوا على جهاز. يعملون عبر صلاحية الوصول المشروعة للموظف، فيبدو النشاط مصرحا به. لهذا يندرج الموظفون المخترقون ضمن مراقبة التهديدات الداخلية.
- البرمجيات الخبيثة: أحصنة طروادة من نوع infostealer والتهديدات المتقدمة المستمرة (APT) التي تجمع البيانات محليا وترسلها إلى خادم للتحكم والقيادة.
لماذا يصعب اكتشاف التهريب
الصعوبة الأساسية أن التهريب يستخدم التطبيقات والقنوات نفسها التي يستخدمها العمل المشروع. فالموظف الذي يرفع ملفا إلى التخزين السحابي عند الساعة 2 ظهرا قد يكون يشارك اقتراحا مع عميل. أما الفعل نفسه عند الساعة 2 فجرا، إلى حساب شخصي، من مستخدم قدم استقالته، فقصة مختلفة. لا توجد إشارة واحدة حاسمة، لذلك يجمع الاكتشاف الفحوص التالية ويقيّم الخطر عبر الزمن.
- فحص المحتوى: هل تطابق البيانات أنماطا سرية أو بصمات رقمية أو تصنيفات؟ وعلى هذا الفحص يعتمد الحظر القائم على المحتوى.
- السياق: متى وأين ومن: خارج ساعات العمل، أو موقع غير معتاد، أو موظف في طور المغادرة.
- الحجم والنمط: تنزيل كبير يتبعه رفع خارجي بصمة كلاسيكية.
الوقاية والاستجابة
تجمع الوقاية والاستجابة بين خمس قدرات:
- 1
فرض سياسات DLP
منع خروج البيانات الحساسة عبر القنوات الخاضعة للرقابة، استنادا إلى تصنيف المحتوى.
- 2
مراقبة القنوات المحلية
رؤية USB والحافظة والطباعة، وهي قنوات لا تراها أدوات الشبكة.
- 3
تحديد السلوك الطبيعي
يبني التحليل السلوكي (UEBA) ملفا للنشاط المعتاد ويعلّم الانحرافات.
- 4
تقييد الوصول
الوصول إلى البيانات الضرورية للعمل فقط يحد من الضرر الناتج عن أي حساب مخترق.
- 5
التحقيق وحفظ الأدلة
تحديد من وماذا ومتى وأين، ووقف عمليات النقل اللاحقة، والاحتفاظ بالأدلة لأي إجراء قانوني أو تأديبي.
كيف يبدو الأمر في Anexet
في وحدة تحكم Anexet، تُفتح الرسالة الإلكترونية المعترَضة على تبويب الذكاء الاصطناعي الذي يسرد التهديدات المحتملة، مثل إخفاء المعلومات، وملخصا قصيرا للمحادثة. وتذكر الشاشة أيضا أن مخرجات الذكاء الاصطناعي ليست موثوقة دائما، لذلك يقرأ المحلل الرسالة قبل أي إجراء. ويمكن إضافة الرسائل المعلَّمة إلى ملف تحقيق.
من أين تبدأ
ابدأ بالبيانات التي يكون تسربها أشد ضررا، ثم ارسم خريطة القنوات التي يستخدمها الناس فعلا لنقلها. فالقواعد التي تحظر كل شيء من اليوم الأول تُعطَّل عادة، ويصبح بعدها كل شيء بلا مراقبة.
تعمل وحدة Anexet DLP داخل البنية التحتية للمؤسسة (on-premise) وتغطي القنوات الموصوفة أعلاه.
للمزيد من القراءة: أنظمة DLP: ما هي وكيف تعمل; كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.
نادرا ما يبدو التهريب كهجوم، بل يبدو كرفع عادي في يوم عمل عادي.
Anexet Teamكيف تعالج Anexet ذلك
صُممت وحدة DLP في Anexet خصيصاً لاكتشاف تهريب البيانات وحظره عبر كل القنوات التي قد يستخدمها مطلع داخلي أو حساب مخترق:
تعني البنية المحلية (on-premise) أن جميع بيانات الاكتشاف والمحتوى الملتقط وملفات التحقيق تبقى داخل بنية المؤسسة التحتية. وهذا مهم عندما تتعلق حالة التهريب نفسها ببيانات حساسة أو خاضعة للتنظيم لا ينبغي أن تصل إلى سحابة طرف ثالث.
سياسات الحظر
تعمل سياسات الحظر على 11 نوعاً من القنوات: HTTP(S) وSMTP وFTP وMAPI وتطبيقات المراسلة والطباعة والحافظة والتخزين الخارجي ومشاركات الشبكة والعمليات ونقل الملفات. ويمكن ربط الشروط بكائنات تصنيف المحتوى، مثل مطابقة المكنز والتجزئة والبصمة الرقمية وتصنيف الحساسية.
الالتقاط على نقاط النهاية
يلتقط الاعتراض على نقطة النهاية محتوى الملف على محطة العمل قبل أن يخفيه التشفير. ويوفر رؤية لعمليات الرفع إلى السحابة، ونقل الملفات عبر تطبيقات المراسلة، والقنوات المحلية (USB والحافظة والطباعة) التي لا تراها أدوات الشبكة وحدها.
تحليل المخاطر
يقيّم محرك تحليل المخاطر المستخدمين ضمن ثماني فئات مخاطر جاهزة. ويجمع بين إشارات تسرب البيانات والمؤشرات السلوكية، مثل أنماط التوقيت وشذوذ الحجم، لتحديد أولويات الحالات المطلوب التحقيق فيها.
التحقيقات
تبني وحدة التحقيقات ملفات القضايا من الأحداث المسجلة. ويمكن تصدير هذه الملفات للاستخدام القانوني أو التأديبي.
ميزة حظر نقل البيانات
اعرف المزيد