Insider

Ein Insider ist jede Person, deren Zugang legitim ist. Dazu gehören aktuelle Beschäftigte, Auftragnehmer, Berater, Zeitarbeitskräfte sowie Partner oder Dienstleister, denen Konten, VPN-Zugang oder Gebäudezutritt gewährt wurden. Häufig zählen auch ehemalige Beschäftigte dazu, deren Konten nie vollständig entfernt wurden.

Entscheidend ist der autorisierte Zugang, nicht Absicht oder Verhalten. Dieselbe Person kann heute eine vertrauenswürdige Kollegin und morgen ein Sicherheitsrisiko sein. Deshalb beschreibt der Begriff eine Rolle und kein Etikett. Den umfassenderen Blick auf diese Rolle bietet das Insider-Risiko.

Die Sicherheitspraxis unterscheidet Insider nach Absicht und danach, wer tatsächlich hinter dem Konto steht. Unachtsame Handlungen richten oft ebenso viel Schaden an wie gezielter Missbrauch, deshalb ist die Absicht allein ein schlechter Maßstab.

Für Sicherheitswerkzeuge sieht ein kompromittiertes Konto autorisiert aus, weil es technisch autorisiert ist.

Viele dieser Gewohnheiten laufen über Schatten-IT: Werkzeuge, die niemand genehmigt hat und niemand überwacht. Solche Gewohnheiten hinterlassen weder Ticket noch Lizenzeintrag, deshalb sehen die üblichen Kontrollen sie nie.

Sichtbarkeit entsteht durch die automatisierte Erkennung, die zeigt, was installiert und genutzt wird, und durch ein aktuelles Verzeichnis darüber, wer welchen Zugang hat.

Die häufigsten Fälle folgen wenigen Mustern:

• Ein privates Dateifreigabe-Konto für Kundendateien
• Eine private E-Mail-Adresse für den Versand einer Preisliste
• Ein USB-Stick mit einer Kundendatenbank, kurz vor der Kündigung kopiert
• Ein Ausdruck, der im Fach eines gemeinsam genutzten Druckers liegen bleibt

In der Client-Konsole legt der Manager für Risikokategorien fest, wie Ereignisse gruppiert werden. Eingebaute Kategorien wie Internal Threat tragen bereits eine Standard-Risikostufe, sodass riskante Aktivitäten sichtbar werden, ohne Erkennungsregeln von Grund auf zu schreiben. Die Seite zur Erkennung von Insider-Bedrohungen zeigt, wie diese Bewertungen in Untersuchungen einfließen.

Administratoren markieren Benutzer außerdem mit Systemtags wie Suspicious, Special control oder Offboarding, damit eine Prüfung der Person folgt und nicht nur einem einzelnen Ereignis.

1 / 2

• 
• 

Ein äußerer Angreifer muss zuerst die Perimeter-Sicherheit überwinden: Firewall, Authentifizierung und Endpoint-Schutz. Ein Insider beginnt hinter all dem. Er verfügt bereits über gültige Zugangsdaten, weiß, wo die wertvollen Daten liegen, und kennt das normale Aktivitätsmuster.

Deshalb ist es schwieriger, Insideraktivität von legitimer Arbeit zu trennen, als einen externen Angriff zu erkennen. Die Analyse des Verhaltens von Benutzern und Entitäten (UEBA) löst dieses Problem, indem sie jede Person mit ihrem eigenen Normalmuster vergleicht.

„Insider“ beschreibt eine Rolle und kein Bedrohungsetikett, und die große Mehrheit der Insider richtet nie Schaden an. Dennoch stellt jeder Insider ein Risiko dar, das die Perimeter-Sicherheit nicht sehen kann: gezielter Missbrauch, teure Fehler oder die Übernahme eines Kontos.

Die Steuerung dieses Risikos ist Aufgabe des Insider-Risikomanagements. Sie besteht im Kern aus vier Schritten:

1. 1

   Zugang kennen

   Ermitteln Sie, auf welche Systeme, Daten und Räume jeder Insider zugreifen kann.

2. 2

   Nutzung beobachten

   Verfolgen Sie, wie dieser Zugang über alle Kanäle genutzt wird.

3. 3

   Mit der Basislinie vergleichen

   Messen Sie die Aktivität jedes Benutzers gegen sein eigenes normales Muster.

4. 4

   Auf Verstöße reagieren

   Handeln Sie, wenn Verhalten oder Inhalte die Richtlinie verletzen.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und dann mit den Kanälen, über die Menschen sie tatsächlich bewegen. Richtlinien, die für alle Dateien gleichzeitig gelten, blockieren am Ende die Alltagsarbeit und werden abgeschaltet.

Weiterlesen: Wie man einen Insider im Unternehmen erkennt und seine Aktivitäten verhindert?; Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.