‏المطلع الداخلي (Insider)

المطلع الداخلي هو كل شخص يملك وصولاً مشروعاً. ويشمل ذلك الموظفين الحاليين والمتعاقدين والاستشاريين والموظفين المؤقتين، إضافة إلى الشركاء أو الموردين الذين مُنحوا حسابات أو وصولاً عبر VPN أو دخولاً إلى المبنى. وغالباً ما يُحسب ضمنهم الموظفون السابقون الذين لم تُحذف حساباتهم نهائياً.

ما يحدد المطلع الداخلي هو الوصول المصرَّح به، لا النية ولا السلوك. فقد يكون الشخص نفسه زميلاً موثوقاً اليوم وخطراً أمنياً غداً، ولهذا يصف المصطلح دوراً لا تسمية. والنظرة الأوسع إلى هذا الدور تغطيها مخاطر المطلعين الداخليين.

تفصل ممارسات الأمن بين المطلعين بحسب النية، وبحسب من يقف فعلاً خلف الحساب. فالتصرفات غير الحذرة كثيراً ما تُلحق ضرراً يوازي الإساءة المتعمدة، لذلك لا تكفي النية وحدها معياراً.

بالنسبة إلى أدوات الأمن، يبدو الحساب المخترق مصرَّحاً به، لأنه مصرَّح به فنياً.

يقع كثير من هذه العادات ضمن تقنية المعلومات الخفية، أي أدوات لم يعتمدها أحد ولا يتابعها أحد. لا تترك هذه العادات تذكرة دعم ولا سجلاً للترخيص، لذلك لا ترى الضوابط المعتادة أياً منها أبداً.

تعود الرؤية عبر الاكتشاف الآلي الذي يُظهر ما هو مثبت ومستخدم، وعبر سجل محدَّث لمن يملك أي وصول.

تتبع الحالات الشائعة عدداً قليلاً من الأنماط:

• حساب شخصي لمشاركة الملفات يُستخدم لملفات العملاء
• بريد إلكتروني شخصي يُستخدم لإرسال قائمة أسعار
• ذاكرة USB نُسخت عليها قاعدة بيانات العملاء قبل الاستقالة
• مطبوعة تُركت في صينية طابعة مشتركة

في وحدة تحكم العميل، يحدد مدير فئات المخاطر طريقة تجميع الأحداث. وتحمل الفئات المدمجة، مثل Internal Threat، مستوى مخاطر افتراضياً، لذلك تظهر الأنشطة عالية المخاطر دون كتابة قواعد رصد من الصفر. وتوضح صفحة رصد التهديدات الداخلية كيف تدخل هذه التقييمات في التحقيقات.

كما يضع المسؤولون وسوماً للمستخدمين، مثل Suspicious وSpecial control وOffboarding، فيمكن للمراجعة أن تتتبع الشخص لا الحدث وحده.

1 / 2

• 
• 

يجب على المهاجم الخارجي أن يخترق المحيط أولاً: جدار الحماية والمصادقة وحماية نقاط النهاية. أما المطلع الداخلي فيبدأ من خلف كل ذلك. فهو يملك بيانات اعتماد صالحة، ويعرف مكان البيانات القيّمة، ويدرك نمط النشاط الطبيعي.

لهذا يصعب فصل نشاط المطلع الداخلي عن العمل المشروع أكثر من رصد هجوم خارجي. ويعالج تحليل سلوك المستخدمين والكيانات (UEBA) هذا الأمر بمقارنة كل شخص بنمطه الخاص.

«المطلع الداخلي» يصف دوراً لا تسمية تهديد، والغالبية العظمى من المطلعين لا تُلحق ضرراً أبداً. ومع ذلك يمثل كل مطلع خطراً لا يستطيع أمن المحيط رؤيته: إساءة متعمدة، أو أخطاء مكلفة، أو الاستيلاء على الحساب.

إدارة هذا الخطر عمل إدارة مخاطر المطلعين الداخليين، وتتلخص في أربع خطوات:

1. 1

   اعرف الوصول

   حدِّد الأنظمة والبيانات والمرافق التي يمكن لكل مطلع الوصول إليها.

2. 2

   راقب الاستخدام

   تابع كيف يُستخدم هذا الوصول عبر مختلف القنوات.

3. 3

   قارن بخط الأساس

   قِس نشاط كل مستخدم مقارنةً بنمطه الطبيعي.

4. 4

   تصرّف عند المخالفة

   استجب عندما يتجاوز السلوك أو المحتوى حدود السياسة.

ابدأ بالبيانات التي يسبب تسريبها أكبر ضرر، ثم بالقنوات التي يستخدمها الناس فعلاً لنقلها. فالسياسات المكتوبة لكل الملفات دفعة واحدة تنتهي بتعطيل العمل اليومي، ثم تُلغى.

للمزيد من القراءة: كيف تتعرف على مطلع داخل الشركة وتمنع أنشطته؟; كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.