‏المتسلل إلى البيانات

يشمل المصطلح صورتين للفاعل تبدوان متطابقتين في نظر أنظمة التحكم في الوصول. ويجمع فرق الأمن الصورتين غالباً تحت التهديد الداخلي، لأن الضرر يبدأ من وصول مُنح من قبل.

المطلع الذي يسيء استخدام صلاحياته: موظف أو متعاقد أو شريك عمل يملك صلاحيات مشروعة بالفعل ويستخدمها خارج غرضها المقصود، كأن يتصفح سجلات العملاء أو المرضى بدافع الفضول، أو يجمع ملفات المشروعات قبل تقديم استقالته، أو ينسخ قاعدة عملاء لصالح جهة عمل مستقبلية.

الفاعل الخارجي ببيانات اعتماد مسروقة: مهاجم خارجي، أو برمجيته الخبيثة، يعمل ببيانات اعتماد مسروقة لكنها صحيحة، مثل كلمة مرور انتُزعت بالتصيد، أو مفتاح واجهة برمجية مسرَّب، أو جلسة مُختطفة. ويبدو ذلك لدفاعات المحيط مستخدماً شرعياً، لأنه تقنياً كذلك.

يتبع معظم المتسللين إلى البيانات نمطاً يمكن التعرف عليه في أربع مراحل.

1. 1

   الاستطلاع

   تحديد مكان البيانات القيّمة.

2. 2

   توسيع الوصول

   طلب صلاحيات إضافية أو الاستيلاء عليها.

3. 3

   التجميع

   حشد الملفات في أرشيفات أو مجلدات سحابية.

4. 4

   التهريب

   إخراج البيانات عبر البريد الإلكتروني أو الرفع إلى السحابة أو تطبيقات المراسلة أو الوسائط القابلة للإزالة.

لأن المتسلل يستخدم صلاحيات مشروعة عبر قنوات مشروعة، فأقوى الإشارات سلوكية لا تقنية، وهذا هو مجال تحليل السلوك. والمتسللون الحصيفون يعملون بالقليل وعلى مهل: عمليات نقل صغيرة موزعة على أسابيع، في ساعات العمل المعتادة، ومندمجة في النشاط الروتيني. انتبه إلى ما يلي:

• الوصول إلى مستودعات حساسة لم يفتحها المستخدم من قبل؛
• ساعات عمل أو مواقع أو أجهزة غير معتادة؛
• أحجام غير طبيعية من النسخ أو الطباعة أو الأرشفة؛
• استخدام مفاجئ لتخزين سحابي شخصي أو بريد إلكتروني عبر الويب أو وحدات USB؛
• نشاط تجميع قرب تاريخ مغادرة معروف (الاستقالة، أو انتهاء العقد، أو التسريح).

جدران الحماية وأدوات مكافحة البرمجيات الخبيثة صُمّمت لإيقاف الدخول غير المصرَّح به. أما المتسلل فهو داخل المؤسسة ومصرَّح له أصلاً، فلا ترى هذه الأدوات فيه شيئاً غير معتاد. ويقتضي الاكتشاف أمرين: خط أساس لما هو معتاد لكل مستخدم، وفحص المحتوى الذي يجري نقله، لا القناة وحدها. وهذا الفحص للمحتوى هو جوهر منع فقدان البيانات (DLP).

المتسلل الذي ينجح يتسبب في سرقة البيانات، وفي تعرض تنظيمي بموجب أطر مثل GDPR وHIPAA وPCI DSS، وفي فقدان الملكية الفكرية، وفي تحقيقات مطولة. وغالباً ما يكون الضرر أشد من الاختراقات الخارجية، لأن الوصول الموثوق يقصّر الطريق إلى أثمن البيانات.

في واجهة Anexet DLP تُدمج الأحداث المترابطة في حوادث. ومن الحادثة يستطيع المسؤول فتح نشاط ذلك المستخدم أو إضافة الحدث إلى تحقيق.

ابدأ برسم خريطة لما يستطيع كل دور الوصول إليه من بيانات حساسة، وبأي قنوات يمكن أن تخرج تلك البيانات. فمراجعات الوصول التي تتوقف عند من يحق له فتح المجلد تفوتها حالة المتسلل الذي يستطيع فتحه أصلاً. وبعد وجود هذه الخريطة، يضيف اكتشاف التهديدات الداخلية الطبقة السلوكية.

تحتاج خطوط الأساس إلى وقت لتصبح موثوقة، لذلك راجع التنبيهات الأولى مع المدير المباشر قبل استخلاص أي استنتاج عن شخص بعينه.

للمزيد من القراءة: كيف تتعرف على مطلع داخل الشركة وتمنع أنشطته؟.