Warum Indikatoren und nicht Ereignisse
Ein klassischer Sicherheitsalarm ist ein Ereignis: Die Firewall blockiert eine Verbindung, eine Anmeldung schlägt fünfmal fehl oder eine Schaddatei wird in Quarantäne verschoben. Das Ereignis ist eindeutig und in sich abgeschlossen.
Insider-Bedrohungen erzeugen selten so klare Ereignisse. Sie hinterlassen eine Spur aus Handlungen, die jede für sich legitim sind. Wer in dieser Woche 50 % mehr Dateien herunterlädt als üblich, auf ein Projekt außerhalb der eigenen Abteilung zugreift und um 23 Uhr Daten in ein privates Cloud-Konto lädt, löst keinen einzelnen Alarm aus. Zusammen sind diese Indikatoren jedoch aussagekräftig.
Deshalb arbeiten Programme gegen Insider-Bedrohungen mit Indikatoren, also mit Verhaltenssignalen, die ein Risikobild ergeben, und nicht mit einzelnen Ereignissen. Die analytische Arbeit besteht darin, Indikatoren zu verbinden und zu beobachten, wie sie sich über die Zeit verstärken.
Kategorien von Indikatoren
Indikatoren lassen sich in fünf Gruppen einteilen. Weitere Signale sind Aktivität rund um Entlassungen oder Umstrukturierungen, Richtlinienverstöße, die sich über die Zeit verschärfen, sowie finanzielle Belastung.
| Gruppe | Beispiele |
|---|---|
| Datenzugriff | Zugriff außerhalb des Auftrags, Massenkopien, Daten zu kommenden Projekten |
| Zeit und Ort | Ungewöhnliche Uhrzeiten, unbekannte Regionen und Geräte |
| Kanalmissbrauch | Private Cloud, private E-Mail, Massendruck, USB-Sticks |
| Verhalten und Kontext | Zugriff nach Kündigung oder kurz davor, Zeitplanänderungen, Produktivitätsabfall, Unzufriedenheit |
| Technisch | Schatten-IT, deaktivierte Überwachung, Rechteausweitung, Datensammlung, Verschlüsselung, Log-Löschung |
Die Gefahr von Alarmen aus einem einzelnen Indikator
Regeln, die bei einem einzelnen Indikator anschlagen, etwa „Alarm, sobald jemand etwas in die Cloud lädt“, erzeugen eine Flut von Fehlalarmen. In einer großen Organisation finden täglich Tausende legitimer Cloud-Uploads statt. Wer jeden davon als Alarm behandelt, stumpft die Analysten ab, und echte Bedrohungen gehen im Rauschen unter.
Reife Programme nutzen Indikatoren als Eingaben für die Risikobewertung und nicht als eigenständige Alarme. Das senkt Fehlalarme, bündelt die Aufmerksamkeit der Analysten und schützt die Privatsphäre der Beschäftigten, weil ungerichtete Überwachung vermieden wird.
Wie Indikatoren zu Risiko werden
Kein einzelner Indikator bestätigt eine Bedrohung. Ein Entwickler, der länger bleibt, um ein Projekt abzuschließen, wer im Vertrieb ein Angebot an das eigene private Postfach schickt, um am Wochenende daran zu arbeiten, oder ein IT-Administrator, der abends für Wartungsarbeiten auf Server zugreift, handelt legitim und kann dennoch Indikatormuster treffen.
Die Risikobewertung kombiniert mehrere Indikatoren, um Signal von Rauschen zu trennen. Ergebnis ist ein priorisierter Risikowert je Nutzer, kein binärer Alarm. Analysten prüfen zuerst die höchst bewerteten Fälle, um Kontext und Absicht zu klären, bevor sie über die Reaktion entscheiden.
- 1
Häufigkeit und Zunahme
Ein Signal ist gering; wiederkehrende, wachsende Signale sind höher
- 2
Kombination
Allein schwach, stark, wenn mehrere Signale zusammentreffen
- 3
Abweichung von der Norm
Was für eine Person normal ist, kann für andere auffällig sein
- 4
Gewicht des Kontexts
Signale gewinnen bei Kündigung, Rollenwechsel oder Disziplinarmaßnahme an Gewicht
Indikatoren und belegte Feststellungen
Indikatoren deuten auf Risiko hin, belegte Feststellungen zeigen einen Schaden. Ein reifes Programm nutzt Indikatoren, um Untersuchungen zu priorisieren, und sammelt in deren Verlauf überprüfte Feststellungen, bevor es handelt. Nur auf Indikatoren zu handeln führt zu unbegründeten Vorwürfen, und auf belegte Feststellungen zu warten, ohne Indikatoren zu beobachten, bedeutet, Bedrohungen erst nach dem Schaden zu erkennen.
- Indikatoren sind Verhaltensmuster, die eine Untersuchung rechtfertigen. Sie sind wahrscheinlichkeitsbasiert: Ein Indikator beweist nicht, dass eine Bedrohung besteht.
- Belegte Feststellungen sind überprüfte Aktivitäten, die einen tatsächlichen Richtlinienverstoß oder Schaden zeigen, etwa einen bestätigten Datenabfluss, einen dokumentierten unbefugten Zugriff oder einen nachgewiesenen Betrug.
Risikokategorien in Anexet
Die Risikoanalyse von Anexet bewertet jeden Nutzer in vorbereiteten Risikokategorien. Unten zeigt der Kategorienmanager diese Kategorien mit ihren Standardstufen.
Wo man anfangen sollte
Beginnen Sie mit den Signalen aus der Erkennung von Insider-Bedrohungen, die Daten betreffen, deren Abfluss den größten Schaden anrichten würde, und nehmen Sie dann Kanäle und Verhalten Gruppe für Gruppe hinzu.
Eine kurze Liste gut abgestimmter Signale lässt sich leichter prüfen als eine lange Liste von Alarmen, die niemand liest.
Weiterlesen: Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?; Wie man einen Insider im Unternehmen erkennt und seine Aktivitäten verhindert?.
Ein Indikator zeigt dem Analysten, wohin er schauen soll. Erst Belege zeigen, was tatsächlich passiert ist.
Anexet TeamWie Anexet das löst
Die Risikoanalyse von Anexet überführt Indikatoren für Insider-Bedrohungen in acht vorbereitete Risikokategorien, von denen jede ein Bündel von Verhaltensindikatoren darstellt.
Jede Person wird über alle Kategorien bewertet, mit Trend-Dashboards und konfigurierbaren Schwellenwertalarmen (E-Mail, Syslog, Telegram). Die Verbindung von inhaltlicher DLP-Erkennung und verhaltensbasierter Risikobewertung bedeutet, dass sowohl die Frage, welche Daten sich bewegen, als auch die Frage, wie sich die Person verhält, in das Risikobild eingehen, die beiden Indikatorarten, die bei Insider-Bedrohungen am meisten zählen.
Funktion zur Erkennung von Insider-Bedrohungen
Mehr erfahren