‏التهديد الداخلي (Insider)

تُفعّل الهجمات الخارجية دفاعات المحيط، مثل الجدران النارية وكشف التسلل ومكافحة الفيروسات، وهي مصممة لإيقاف فاعلين مجهولين. أما التهديدات الداخلية فتتجاوز هذه الدفاعات كلياً، لأن الفاعل موجود في الداخل أصلاً ويملك بيانات اعتماد صالحة، ووجوده على الشبكة متوقع.

تُبقي المحيطات التقليدية الغرباء خارجاً، لكنها لا تراقب ما يفعله المطلعون بعد دخولهم. ويمكن لنقل هادئ للملفات خارج الشركة، أي تهريب البيانات، أن يمر من كل فحوص المحيط، لأن من ينفذه يملك وصولاً مصرحاً به إلى البيانات.

لذلك تجمع برامج التهديدات الداخلية بين ضوابط تقنية، مثل المراقبة ومنع فقدان البيانات وتحليل السلوك، وإجراءات تنظيمية، مثل حوكمة الوصول والتدريب وإجراءات الاستجابة للحوادث. ولا توجد أداة واحدة تحل المشكلة وحدها.

ليس كل المطلعين متشابهين، وخطر المطلع الداخلي في كل فئة يتطلب ضوابط مختلفة. وتميز فرق الأمن عادةً بين ثلاثة أنواع.

المطلع سيئ النية يسيء استخدام وصوله عمداً، كأن يسرق بيانات لصالح منافس، أو يرتكب احتيالاً، أو يخرّب الأنظمة بعد إشعار بإنهاء الخدمة. أما المطلع المهمل فيتسبب في الضرر بخطأ أو باستخفاف بالسياسات، كأن يرسل بيانات العملاء إلى حسابه الشخصي ليعمل من المنزل.

المطلع المخترَق موظف سُرقت بيانات اعتماده، أو استولى مهاجم خارجي على جهازه. يبدو النشاط مصرحاً به، لكنه يصدر من حساب داخلي، ولذلك يندرج ضمن مراقبة التهديدات الداخلية.

ترصد برامج التهديدات الداخلية إشارات سلوكية تميز النشاط الضار عن العمل الاعتيادي. ومن المؤشرات النموذجية:

• شذوذ في الوصول إلى البيانات: تنزيل بيانات تفوق ما يحتاجه الدور، أو فتح ملفات خارج النطاق المسموح.
• أنماط الوقت والموقع: نشاط في ساعات أو أماكن غير معتادة، أو قبيل تقديم الاستقالة.
• إساءة استخدام القنوات: رفع كميات كبيرة إلى تخزين شخصي، أو طباعة جماعية، أو نسخ على USB.
• مخالفات السياسة: محاولات متكررة لتجاوز الضوابط، أو تعطيل المراقبة، أو استخدام shadow IT.
• تحولات السلوك: تغيّرات مفاجئة في إيقاع العمل، أو تراجع الإنتاجية، أو استياء متزايد.

تعمل المقاربات الأربع معاً. تُسجّل مراقبة نشاط المستخدمين ما يفعله الأشخاص، بينما يرصد تحليل سلوك المستخدمين والكيانات الانحرافات عن الأنماط المعتادة. ويكشف DLP البيانات المتحركة، ويربط SIEM الإشارات ببعضها.

لا يؤكد أي مؤشر منفرد وجود تهديد. وتستخدم البرامج تقييم المخاطر، الذي يجمع الإشارات عبر الزمن، لتحديد الحالات التي تحتاج إلى تحقيق بشري.

1. 1

   تسجيل النشاط

   تسجل المراقبة البرامج المشغّلة والملفات المفتوحة والمواقع المزارة والبيانات المنقولة على كل جهاز عمل.

2. 2

   المقارنة بالمعتاد

   يقارن تحليل السلوك كل إجراء بنمط المستخدم نفسه وبأعراف مجموعته.

3. 3

   تتبع البيانات

   يُبقي DLP البيانات الحساسة داخل القنوات الخاضعة للرقابة، أياً كانت نية النقل.

4. 4

   ربط الإشارات

   يجمع SIEM السجلات من أنظمة متعددة، فتُربط الأحداث ذات الصلة ويصدر التنبيه.

يقيّم محرك تحليل المخاطر في وحدة Activity المستخدمين ضمن ثماني فئات جاهزة، من بينها Internal Threat وData leak. وتشمل فئة Internal Threat الأنشطة المتعمدة وغير المقصودة للموظفين معاً.

1 / 2

• 
• 

البرنامج الناضج، كما يُوصف في إدارة خطر المطلع الداخلي، عملية محددة وليس مجرد مجموعة أدوات. ويشارك فيه أمن تقنية المعلومات للمراقبة والاكتشاف، والموارد البشرية للأحداث الوظيفية والسياق السلوكي، والشؤون القانونية لقيود الخصوصية وقانون العمل، والإدارة لعتبات التصعيد.

تُعد القواعد الواضحة حول ما يُراقب ولماذا وعلى أي أساس قانوني أمراً أساسياً للفعالية والامتثال. وفي كثير من الولايات القضائية تخضع مراقبة الموظفين للتنظيم، وتستلزم الإبلاغ وغرضاً مشروعاً وتناسباً.

ابدأ بالحسابات والبيانات التي يسبب سوء استخدامها أكبر ضرر، ثم حدد القنوات التي يستخدمونها فعلياً. فالسياسات المكتوبة لكل ملف في وقت واحد تعطل العمل اليومي وتنتهي بإيقافها.

يمكن لـبرنامج التهديدات الداخلية المركّز أن يوسّع نطاقه حين تُظهر النتائج الأولى الإشارات المهمة عملياً.

للمزيد من القراءة: كيف تتعرف على مطلع داخل الشركة وتمنع أنشطته؟; كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.