‏اكتشاف التهديدات الداخلية

الهجوم الخارجي يُطلق الإنذارات. الجدار الناري يحجب الاتصال، ونظام كشف التسلل يرصد توقيعاً، ومضاد الفيروسات يعزل الملف. هذه أحداث قائمة على القواعد: إما أن يطابق الشيء نمطاً خبيثاً معروفاً أو لا يطابقه.

التهديدات الداخلية لا تعمل بهذه الطريقة. فالمطلع الداخلي يستخدم بيانات اعتماد وتطبيقات وقنوات مشروعة. وكل إجراء على حدة، كفتح ملف أو إرسال بريد أو رفع بيانات إلى التخزين السحابي، مصرَّح به. والتهديد يكمن في النمط، أي في تسلسل الإجراءات عبر الزمن الذي يكشف النية أو الخطر. ويتطلب اكتشافه نهجاً يختلف عن أمن المحيط.

يجمع الاكتشاف الفعّال عدة أساليب، لأن أياً منها لا يغطي كل الحالات وحده:

• المراقبة القائمة على القواعد: سياسات ثابتة تعلّم إجراءات محددة، مثل ملف يطابق البصمة الرقمية لمستند سري ويُرفع إلى حساب سحابي شخصي. وهي تلتقط الأنماط الخبيثة المعروفة، لكنها لا تلتقط الجديدة.
• خط الأساس السلوكي واكتشاف الشذوذ (UEBA): يتعلّم النظام السلوك المعتاد لكل مستخدم ويرصد الانحرافات، مثل ارتفاع مفاجئ في حجم البيانات أو الوصول إلى أنظمة خارج الدور الوظيفي. وهكذا تُكتشف تهديدات لا تطابق أي قاعدة محددة مسبقاً.
• فحص المحتوى (DLP): بدلاً من مراقبة السلوك، يراقب DLP ما يُنقل، مثل جدول يحوي أرقام بطاقات أو محتوى يطابق قاموساً لمصطلحات حساسة. وهكذا تُكتشف البيانات المعرضة للخطر فعلاً بصرف النظر عن القناة.
• تسجيل درجة المخاطر: تُدمج إشارات متعددة في درجة خطر لكل مستخدم. الإشارة الضعيفة المنفردة تعني خطراً منخفضاً، لكن تجمّع إشارات ضعيفة على شخص واحد يرفع الدرجة. وهذا يرتّب الحالات أمام انتباه المحللين المحدود.
• الإثراء بالسياق: أحداث الموارد البشرية وتغييرات الصلاحيات والسياق التنظيمي تجعل الاكتشاف أدق وتقلل الإنذارات الكاذبة.

تُقيِّم Anexet كل مستخدم وفق فئات مخاطر، ولكل فئة مستوى خطر افتراضي.

تتابع برامج الاكتشاف عبر الزمن تركيبات من هذه المؤشرات. لا يوجد مؤشر منفرد حاسم، فقيمة الاكتشاف تكمن في التركيبات والاتجاهات لا في الأحداث المعزولة.

الاكتشاف ليس اتهاماً. فعند تعليم مستخدم، تكون الخطوة التالية التحقيق لا الإجراء. ويراجع المحلل النشاط المعلَّم في سياقه:

• هل هناك تفسير عملي مشروع؟
• هل تغيّر دور المستخدم أو مشروعه مؤخراً؟
• هل تؤكد عدة مصادر بيانات هذه المؤشرات؟
• ما درجة الخطورة والأثر المحتمل؟

لا يحدد البرنامج الاستجابة إلا بعد التحقيق: إغلاق الحالة بوصفها إنذاراً كاذباً، أو تشديد المراقبة، أو تعديل الصلاحيات، أو التصعيد إلى الإدارة أو فريق الأمن للتدخل. أما تخطي التحقيق والتصرف بناءً على تنبيهات خام فيؤدي إلى اتهامات غير مبررة وفقدان الثقة وتعرض قانوني.

الاكتشاف يحدد الخطر، والمنع يوقف الضرر. وهما متكاملان.

كثير من التهديدات لا يمكن منعه مسبقاً. فقد يستخدم المطلع الداخلي قنوات لا يغطيها DLP، أو يتصرف بصورة مشروعة عند النظر إلى كل تصرف منفرداً. في هذه الحالات يكون الاكتشاف مع التحقيق السريع الدفاع الأساسي. أما للقنوات والمحتويات المعروفة فيكون المنع عبر DLP أكثر فاعلية.

للمزيد من القراءة: كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.

• DLP وقائي: يمكنه منع خروج ملف حساس من المؤسسة.
• UEBA كشفي: يحدد خطراً سلوكياً قد يتحول إلى حدث فعلي وقد لا يتحول.