Τι σημαίνει ανάλυση συμπεριφοράς στην ασφάλεια
Στην ασφάλεια, η ανάλυση συμπεριφοράς είναι η πρακτική της εξέτασης της παρατηρήσιμης ψηφιακής δραστηριότητας των ατόμων μέσα σε έναν οργανισμό, εργαζομένων, υπεργολάβων, διαχειριστών, ώστε να γίνει κατανοητό τι είναι φυσιολογικό και να εντοπιστεί ό,τι δεν είναι. Μονάδα της ανάλυσης δεν είναι ένα μεμονωμένο αρχείο ή μήνυμα, αλλά μοτίβα δραστηριότητας στον χρόνο: πότε εργάζονται οι άνθρωποι, ποιες εφαρμογές και ιστότοποι χρησιμοποιούν, με ποίους επικοινωνούν, ποια δεδομένα αγγίζουν και με ποια ένταση.
Η παραδοχή: τα περισσότερα εσωτερικά περιστατικά προηγούνται από παρατηρήσιμες αλλαγές συμπεριφοράς. Ένας εργαζόμενος που ετοιμάζεται να φύγει, ένας λογαριασμός που κατέλαβε εξωτερικός εισβολέας, ένας χρήστης που εκτείνεται πολύ πέρα από το σύνηθες πεδίο του, το καθένα εμφανίζεται πρώτα ως απόκλιση από ένα καθιερωμένο μοτίβο. Η ανάλυση συμπεριφοράς είναι ένας δομημένος τρόπος να εντοπίζονται αυτές οι αλλαγές έγκαιρα, αντί να ανακατασκευάζονται μετά από ένα περιστατικό.
Πώς λειτουργεί η ανάλυση συμπεριφοράς
Είτε την εκτελεί ένας αναλυτής είτε ένας αυτοματοποιημένος μηχανισμός, η ανάλυση συμπεριφοράς ακολουθεί έναν επαναλαμβανόμενο κύκλο:
Το αποτέλεσμα δεν είναι ετυμηγορία, αλλά προτεραιότητα: μια καταταγμένη λίστα ατόμων των οποίων η πρόσφατη δραστηριότητα αξίζει προσεκτικότερη ματιά, με κάθε απόκλιση συνδεδεμένη με τα γεγονότα που κρύβονται πίσω της.
- 1
Συλλογή
Δεδομένα δραστηριότητας καταγράφονται από endpoints και κανάλια: χρήση εφαρμογών και web, email και μηνύματα, λειτουργίες αρχείων, συνδέσεις συσκευών, εκτύπωση.
- 2
Γραμμή βάσης
Χτίζεται ένα προφίλ φυσιολογικής δραστηριότητας για κάθε χρήστη, ρόλο ή ομάδα, σε διάστημα αρκετά μακρύ για να συλλάβει τον ρυθμό εργασίας.
- 3
Σύγκριση
Η συνεχής δραστηριότητα συγκρίνεται με τη γραμμή βάσης και με τα όρια πολιτικής, μετρήσεις και όγκοι που σηματοδοτούν απόκλιση από τον κανόνα.
- 4
Αξιολόγηση
Οι αποκλίσεις ταξινομούνται ανά κατηγορία, πιθανή απώλεια δεδομένων, παραβίαση πολιτικής, σήματα δυσπιστίας, και παίρνουν επίπεδο κινδύνου που αντανακλά σοβαρότητα και επανάληψη.
- 5
Αντίδραση
Ο επιβεβαιωμένος κίνδυνος οδηγεί σε ειδοποίηση, έρευνα ή προληπτική ενέργεια, ενώ τα απορριφθέντα ευρήματα ρυθμίζουν τις γραμμές βάσης και τα όρια.
Βασικά πρότυπα και αποκλίσεις
Ένα βασικό πρότυπο είναι το προφίλ της κανονικής δραστηριότητας ενός χρήστη, ενός ρόλου ή μιας ομάδας, που δημιουργείται σε διάστημα αρκετά μεγάλο ώστε να καταγράφει τον ρυθμό της εργασίας. Μια απόκλιση είναι μια μετρήσιμη απομάκρυνση από αυτό το προφίλ. Η ίδια ενέργεια μπορεί να είναι συνηθισμένη για ένα άτομο και σήμα για ένα άλλο, γι΄ αυτό ένας σταθερός κανόνας για όλους χάνει πραγματικές περιπτώσεις ή πνίγει την ομάδα σε ψευδείς ειδοποιήσεις. Η σύγκριση κάθε ατόμου με το δικό του ιστορικό και με συναδέλφους του ίδιου ρόλου διατηρεί το σήμα χρήσιμο. Τα βασικά πρότυπα στηρίζονται στα δεδομένα παρακολούθησης δραστηριότητας χρηστών που έχουν ήδη συλλεχθεί, και οι αποκλίσεις εξετάζονται με βάση γνωστά μοτίβα εσωτερικών απειλών.
Η εξέταση μιας απόκλισης είναι εξίσου σημαντική με τον εντοπισμό της. Οι αναλυτές ελέγχουν τα γεγονότα πίσω από κάθε σημειωμένη αλλαγή, και οι αποφάσεις τους επιστρέφουν στο πρότυπο, ώστε ένα αβλαβές μοτίβο, όπως η μηνιαία αναφορά κλεισίματος, να σταματά να παράγει ειδοποιήσεις.
- Ωράριο εργασίας σε σύγκριση με το συνηθισμένο πρόγραμμα του ατόμου και τον ρυθμό της ομάδας
- Όγκος μηνυμάτων, αρχείων και λήψεων ανά ώρα, ημέρα ή εβδομάδα
- Εφαρμογές, ιστότοποι και αποδέκτες που το άτομο συνήθως χρησιμοποιεί
- Αποθετήρια, κοινόχρηστοι φάκελοι και συστήματα που το άτομο συνήθως ανοίγει
Ανάλυση συμπεριφοράς έναντι ψυχολογικού προφίλ
Στην ασφάλεια, η ανάλυση συμπεριφοράς αφορά αποκλειστικά παρατηρήσιμες ενέργειες σε εταιρικά συστήματα: σε ποιους πόρους έγινε πρόσβαση, τι στάλθηκε και πού, πότε και σε ποιον όγκο. Δεν συμπεραίνει χαρακτηριστικά προσωπικότητας, στάσεις ή προθέσεις, ούτε προβλέπει τι θα μπορούσε να κάνει κάποιος εκτός των συστημάτων εργασίας. Το ψυχολογικό προφίλ είναι διαφορετική δραστηριότητα με πολύ αυστηρότερα νομικά όρια, και δεν είναι αυτό που κάνει η ανάλυση εσωτερικού κινδύνου.
Η διάκριση έχει νομική σημασία: οι ρυθμιστικές αρχές αποδέχονται την παρακολούθηση δραστηριότητας σχετικής με την εργασία όταν είναι ανάλογη, διαφανής και περιορισμένη σε σκοπό, ενώ η αξιολόγηση προσωπικοτήτων ή ιδιωτικής ζωής είναι ευαίσθητη επεξεργασία που τα περισσότερα πλαίσια περιορίζουν ή απαγορεύουν. Ένα αμυντικό πρόγραμμα κατονομάζει τους δείκτες που παρακολουθεί, δεν χαρακτηρίζει το άτομο πίσω από αυτούς.
Και ένα επιπλέον όριο: η αναλυτική συμπεριφοράς χρηστών και οντοτήτων (UEBA) είναι η τεχνολογική κατηγορία που αυτοματοποιεί την ανάλυση συμπεριφοράς με στατιστικά μοντέλα, ενώ η ίδια η ανάλυση συμπεριφοράς είναι η ευρύτερη πρακτική, που ασκείται από αναλυτές όσο και από μηχανισμούς.
Τυπικοί δείκτες συμπεριφοράς
Τα περισσότερα από αυτά τα μοτίβα εμφανίζονται πρώτα ως αλλαγή σε σχέση με το δικό τους βασικό πρότυπο. Αυτοματοποιημένα εργαλεία UEBA τα σημαίνουν, και οι αναλυτές αποφασίζουν τι σημαίνει το καθένα.
| Δείκτης | Πώς εμφανίζεται |
|---|---|
| Ασυνήθιστες ώρες εργασίας | Συνεχής δραστηριότητα πολύ εκτός του συνήθους προγράμματος του ατόμου ή της ομάδας |
| Ανωμαλίες όγκου | Πλήθος μηνυμάτων, αρχείων ή λήψεων πολύ πάνω από τη γραμμή βάσης |
| Σταδιοποίηση δεδομένων | Διάσπαρτα αρχεία συγκεντρωμένα σε αρχειοθήκες, μετονομασμένα ή ενοποιημένα πριν τη μεταφορά |
| Αλλαγή καναλιού | Αρχεία εργασίας σε προσωπικό email, μη εγκεκριμένες εφαρμογές ή ιδιωτικό χώρο αποθήκευσης |
| Επέκταση πεδίου | Αχρησιμοποίητα repositories ή κοινόχρηστοι πόροι, ή δικαιώματα πέρα από τα καθήκοντα |
Πώς φαίνεται στο Anexet
Στη λειτουργία Insider Threat Detection κάθε περιστατικό έχει επίπεδο κινδύνου και κατηγορία, ώστε ο υπεύθυνος ασφάλειας να βλέπει πού συγκεντρώνεται ο κίνδυνος πριν ανοίξει ένα μεμονωμένο γεγονός.
1 / 2
Νομικοί και ηθικοί περιορισμοί
Δομημένη πάνω στην παρακολούθηση εργαζομένων, η ανάλυση συμπεριφοράς διέπεται από το εργατικό δίκαιο και την προστασία δεδομένων. Στην ΕΕ και στο Ηνωμένο Βασίλειο, ο GDPR απαιτεί θεμιτή βάση, καθορισμένο σκοπό, αναλογικότητα και διαφάνεια, οι εργαζόμενοι πρέπει να γνωρίζουν ότι υπάρχει παρακολούθηση και τι καλύπτει, ενώ μπορεί να απαιτείται διαβούλευση με όργανα εργαζομένων. Άλλες δικαιοδοσίες θέτουν δικούς τους κανόνες ενημέρωσης, και η ελαχιστοποίηση δεδομένων ισχύει παντού: συλλέγετε όσα απαιτεί ο σκοπός, και τίποτα περισσότερο.
Πρακτικές διασφαλίσεις: γραπτή πολιτική παρακολούθησης που κοινοποιείται στο προσωπικό, περιορισμός των καταγραφών συμπεριφοράς σε καθορισμένους ρόλους, όρια διατήρησης και σαφής διαχωρισμός μεταξύ ανάλυσης ασφάλειας και αξιολόγησης απόδοσης. Η νομική γραμμή περνά ανάμεσα στην παρατήρηση δραστηριότητας σε εταιρικούς πόρους και στην κρυφή παρακολούθηση ατόμων.
Από πού να ξεκινήσετε
Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο και μετά από τα κανάλια που πραγματικά χρησιμοποιούν. Ένα σαφές πρόγραμμα διαχείρισης κινδύνου εσωτερικών απειλών χρειάζεται μια σύντομη λίστα δεικτών που ο οργανισμός μπορεί να εξηγήσει στο προσωπικό του.
Πριν μια απόκλιση γίνει συμπέρασμα, ελέγξτε τα γεγονότα πίσω της και το πλαίσιο της εργασίας. Μια απόκλιση είναι ένα ερώτημα που χρειάζεται απάντηση, όχι ετυμηγορία για το άτομο.
Περισσότερα: Profiling.
Το χρήσιμο ερώτημα δεν είναι ποιος φαίνεται ασυνήθιστος, αλλά τι άλλαξε στη δουλειά και γιατί.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Στο Anexet, η ανάλυση συμπεριφοράς παρέχεται από τον μηχανισμό Risk Analysis: χτίζει ένα μοτίβο συμπεριφοράς για κάθε εργαζόμενο, αποδίδει επίπεδο κινδύνου και κρατά και τα δύο ενημερωμένα όσο συμβαίνουν περιστατικά, έτσι ο υπεύθυνος ασφάλειας δεν βλέπει μόνο μεμονωμένες παραβιάσεις, αλλά πώς αλλάζει η συμπεριφορά στον χρόνο.
Επειδή η παρακολούθηση συμπεριφοράς αγγίζει το εργατικό δίκαιο, ο μηχανισμός είναι χτισμένος για διαφάνεια: η ανάλυση τρέχει σε καθορισμένες κατηγορίες με ρητά επίπεδα, εξ ολοκλήρου στην on-premise υποδομή του πελάτη, ο προμηθευτής δεν έχει πρόσβαση στα δεδομένα παρακολούθησης, και κάθε εύρημα καταλήγει σε πλήρες και αποδιδόμενο ίχνος ελέγχου, όχι σε αδιαφανή βαθμολογία.
Κατηγορίες κινδύνου
οι αποκλίσεις ταξινομούνται σε οκτώ έτοιμες κατηγορίες, μεταξύ των οποίων Διαρροή δεδομένων, Εσωτερική απειλή, Απιστία εργαζομένων, Λανθασμένη συμπεριφορά, Παράβαση νόμου και Παράβαση ωραρίου εργασίας, μαζί με τις δικές σας προσαρμοσμένες κατηγορίες.
Επίπεδα και τάσεις κινδύνου
κάθε περιστατικό βαθμολογείται ως Υψηλό, Μέσο ή Χαμηλό, κάθε χρήστης φέρει μια συνολική και μια μη αναθεωρημένη τιμή κινδύνου, και τα γραφήματα τάσεων ανακατασκευάζονται αυτόματα όσο αλλάζει η συμπεριφορά.
Εντοπισμός αποκλίσεων
στατιστικοί κανόνες ασφάλειας επισημαίνουν απομακρύνσεις από τους φυσιολογικούς όγκους, για παράδειγμα, μετρήσεις μηνυμάτων ή μεταφορές αρχείων πάνω από όριο μέσα σε μια ώρα, μέρα ή εβδομάδα.
Ειδοποιήσεις ορίων
ο διαχειριστής Ειδοποιήσεων στέλνει ειδοποίηση μέσω email ή Telegram όταν ο κίνδυνος ενός χρήστη, στην επιλεγμένη κατηγορία και περίοδο, υπερβεί διαμορφωμένο όριο.
Από το σήμα στην έρευνα
μια επισημασμένη απόκλιση συνδέεται με τη γραμμή χρόνου δραστηριότητας του χρήστη και το γράφημα σχέσεων, ώστε να μπορεί να εξεταστεί και να προστεθεί σε δομημένη έρευνα με πλήρες και αποδιδόμενο ίχνος ελέγχου.
Λειτουργία εντοπισμού εσωτερικών απειλών
Μάθετε περισσότερα