‏مؤشرات التهديدات الداخلية

التنبيه الأمني التقليدي حدث واضح: جدار حماية حجب اتصالاً، أو فشل تسجيل دخول خمس مرات، أو عُزل ملف خبيث. والحدث واضح وقائم بذاته.

نادراً ما تنتج التهديدات الداخلية أحداثاً بهذا الوضوح. إنها تترك أثراً من إجراءات مشروعة كلٌّ منها على حدة. فالموظف الذي ينزّل هذا الأسبوع ملفات أكثر بنسبة 50% من المعتاد، ويصل إلى مشروع خارج إدارته، ويرفع بيانات إلى حساب سحابي شخصي عند الحادية عشرة ليلاً، لا يُطلق أي تنبيه منفرد. لكن مجموع هذه المؤشرات ذو دلالة.

لهذا تعمل برامج التهديدات الداخلية بالمؤشرات، وهي إشارات سلوكية تبني صورة الخطر، لا بأحداث منفصلة. ويقوم العمل التحليلي على ربط المؤشرات ومتابعة تصاعدها مع الوقت.

تنقسم المؤشرات إلى خمس مجموعات. ومن الإشارات الأخرى النشاط المتركز حول التسريح أو إعادة الهيكلة، ومخالفات السياسات التي تتصاعد مع الوقت، والضغوط المالية.

البرامج التي تُطلق تنبيهاً بمؤشر منفرد، مثل «نبّه عند رفع أي مستخدم ملفات إلى السحابة»، تولّد سيلاً من الإنذارات الكاذبة. ففي المؤسسات الكبيرة تحدث آلاف عمليات الرفع المشروعة يومياً. ومعاملة كل منها كتنبيه تُفقد المحللين حساسيتهم، وتضيع التهديدات الحقيقية في الضجيج.

أما البرامج الناضجة فتستخدم المؤشرات مدخلاتٍ لتقييم المخاطر، لا تنبيهاتٍ مستقلة. فهذا يقلل الإنذارات الكاذبة، ويركّز انتباه المحللين، ويحمي خصوصية الموظفين بتجنّب المراقبة غير الموجّهة.

لا يؤكد مؤشر واحد وجود تهديد. فالمطوّر الذي يبقى متأخراً لإنهاء مشروع، والمندوب الذي يرسل عرض أسعار إلى بريده الشخصي ليعمل في عطلة نهاية الأسبوع، ومسؤول تقنية المعلومات الذي يدخل الخوادم ليلاً للصيانة، كلهم يقومون بأنشطة مشروعة قد تطابق أنماطاً من المؤشرات في الوقت نفسه.

يجمع تقييم المخاطر بين عدة مؤشرات ليفصل الإشارة عن الضجيج. والناتج درجة خطر مرتبة حسب الأولوية لكل مستخدم، لا تنبيه ثنائي. ويركّز المحللون أولاً على الحالات الأعلى درجة، ليحددوا السياق والنية قبل أن يقرروا الاستجابة.

1. 1

   التكرار والتصاعد

   المؤشر المنفرد خطره منخفض، وإذا تكرر وتصاعد فخطره أعلى

2. 2

   التركيبة

   ضعيف وحده، وقوي حين تقع عدة مؤشرات معاً

3. 3

   الانحراف عن خط الأساس

   ما هو طبيعي لمستخدم قد يكون شاذاً لآخر

4. 4

   ثقل السياق

   تزداد قوة المؤشرات مع المغادرة أو تغيير الدور أو الإجراء التأديبي

المؤشرات تدل على الخطر، والوقائع الثابتة تدل على الضرر. والبرنامج الناضج يستخدم المؤشرات لترتيب أولويات التحقيق، ثم يجمع خلال التحقيق وقائع متحققاً منها قبل أي إجراء. فالتصرف بناءً على المؤشرات وحدها يؤدي إلى اتهامات غير مبررة، وانتظار الوقائع دون متابعة المؤشرات يعني اكتشاف التهديد بعد وقوع الضرر.

• المؤشرات أنماط سلوكية تستدعي التحقيق، وهي احتمالية، فالمؤشر لا يثبت وجود تهديد.
• الوقائع الثابتة نشاط موثّق يُظهر مخالفة فعلية للسياسة أو ضرراً، مثل تهريب بيانات مؤكد، أو وصول غير مصرّح به موثّق، أو احتيال ثابت.

يقيّم محرك تحليل المخاطر في Anexet كل مستخدم وفق فئات مخاطر مدمجة. ويعرض مدير الفئات أدناه هذه الفئات مع مستويات المخاطر الافتراضية.

ابدأ بالإشارات المستمدة من اكتشاف التهديدات الداخلية التي تمس البيانات التي يكون تسربها أشد ضرراً، ثم أضف القنوات والسلوكيات مجموعةً تلو الأخرى.

قائمة قصيرة من الإشارات المضبوطة جيداً أسهل في المراجعة من قائمة طويلة من التنبيهات لا يقرأها أحد.

للمزيد من القراءة: كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟; كيف تتعرف على مطلع داخل الشركة وتمنع أنشطته؟.