Τι μετράει ως ανωμαλία συμπεριφοράς
Ανωμαλία είναι η απόκλιση από ένα αναμενόμενο μοτίβο, αρκετά μεγάλη ή αρκετά ασυνήθιστη στο πλαίσιό της ώστε να δικαιολογεί προσοχή. Η προσδοκία προέρχεται από μια γραμμή βάσης: ένα μοντέλο κανονικότητας που χτίζεται από το ιστορικό του ίδιου του ατόμου, την ομάδα των ομοτίμων του στον ίδιο ρόλο και τη συμπεριφορά που αναμένεται για τον ρόλο αυτό.
Δεν είναι κάθε ανωμαλία κακόβουλη. Οι προθεσμίες, τα επαγγελματικά ταξίδια και τα νέα έργα προκαλούν επίσης νόμιμες αποκλίσεις. Γι’ αυτό η ανίχνευση δίνει ενδείξεις και όχι ετυμηγορίες. Η επιβεβαίωση γίνεται κατά τη διερεύνηση, και τα σήματα που έχουν σημασία περιγράφονται στους δείκτες εσωτερικής απειλής.
| Είδος | Παράδειγμα |
|---|---|
| Σημειακή ανωμαλία | Αποστολή 2 GB από χρήστη που συνήθως μεταφέρει megabytes |
| Ανωμαλία πλαισίου | Άνοιγμα αρχείων έργου στις 3 τα ξημερώματα Σαββατοκύριακου |
| Συλλογική ανωμαλία | Συγκέντρωση αρχείων, αλλαγή επεκτάσεων, αρχειοθέτηση και μετά μεγάλη μεταφορά |
Ανίχνευση ανωμαλιών, ανάλυση συμπεριφοράς και UEBA
Οι όροι σχετίζονται, αλλά δεν είναι εναλλάξιμοι. Η ανάλυση συμπεριφοράς είναι η ευρύτερη μεθοδολογία: μελέτη του τρόπου χρήσης των εταιρικών συστημάτων από τους ανθρώπους, καθορισμός του κανονικού και ερμηνεία των αποκλίσεων. Την ασκούν αναλυτές και λογισμικό.
Η ανίχνευση ανωμαλιών συμπεριφοράς είναι η συγκεκριμένη τεχνική εργασία μέσα σε αυτήν: η αυτόματη επισήμανση δραστηριότητας που πληροί καθορισμένα κριτήρια απόκλισης από μια γραμμή βάσης. Η ανάλυση συμπεριφοράς χρηστών και οντοτήτων (UEBA) είναι η κατηγορία προϊόντων που αυτοματοποιεί ολόκληρη τη ροή. Σύντομα: η ανάλυση συμπεριφοράς θέτει τα ερωτήματα, η ανίχνευση ανωμαλιών είναι το έναυσμα και η UEBA αυτοματοποιεί τον βρόχο.
Μέθοδοι ανίχνευσης: όριο, στατιστική, μηχανική μάθηση
Κυριαρχούν τρεις οικογένειες μεθόδων, και οι περισσότερες αναπτύξεις τις συνδυάζουν.
Καμία προσέγγιση δεν είναι αυστηρά ανώτερη. Οι κανόνες ορίου είναι διαφανείς, αλλά άκαμπτοι. Τα στατιστικά μοντέλα προσθέτουν προσωπικό και ομοτιμικό πλαίσιο. Η μηχανική μάθηση εντοπίζει λεπτότερα μοτίβα, αλλά είναι πιο δύσκολο να εξηγηθεί και να ρυθμιστεί. Πολλά προγράμματα ξεκινούν με όρια και στατιστική, γιατί κάθε ειδοποίηση μπορεί να δικαιολογηθεί στους ελεγκτές. Προσθέτουν μάθηση μόνο εκεί όπου η επιπλέον ευαισθησία αξίζει την αδιαφάνεια.
| Προσέγγιση | Πώς λειτουργεί | Δυνατά σημεία | Περιορισμοί |
|---|---|---|---|
| Κανόνες ορίου | Σταθερά όρια δραστηριότητας ανά περίοδο, π.χ. 50 μηνύματα την ώρα | Απλοί στη ρύθμιση, την κατανόηση και τον έλεγχο | Στατικοί και τυφλοί στο πλαίσιο· ένα όριο, εκτός αν διαχωριστεί ανά ομάδα |
| Στατιστική ανίχνευση | Συγκρίνει τη δραστηριότητα με την κατανομή του ατόμου ή της ομάδας ομοτίμων | Προσαρμόζεται σε κάθε χρήστη και ρόλο· εντοπίζει σταδιακή απόκλιση | Απαιτεί ιστορικό· ευαίσθητη στην εποχικότητα και σε μολυσμένες γραμμές βάσης |
| Μηχανική μάθηση | Τα μοντέλα μαθαίνουν τη συνήθη συμπεριφορά και μετρούν την ασυμφωνία | Εντοπίζει λεπτές, πολυδιάστατες αποκλίσεις | Αδιαφανής· απαιτεί δεδομένα και εξειδίκευση· δύσκολη εξήγηση |
Ψευδώς θετικά και κόπωση ειδοποιήσεων
Τα ψευδώς θετικά είναι το κεντρικό λειτουργικό πρόβλημα. Προκύπτουν από νόμιμες αλλαγές που η γραμμή βάσης δεν έχει ακόμη απορροφήσει, όπως προθεσμίες, ταξίδια, αναδιοργανώσεις ή εποχικές αιχμές. Προκύπτουν επίσης από ανιχνευτές που έχουν ρυθμιστεί υπερβολικά αυστηρά.
Οι γραμμές βάσης, που χτίζονται μέσω κατάρτισης προφίλ, προσθέτουν δικό τους θόρυβο. Η ψυχρή εκκίνηση συμβαίνει όταν ένας νέος υπάλληλος δεν έχει ιστορικό, οπότε η ανίχνευση στηρίζεται σε μοτίβα ομοτίμων. Η παρέκκλιση (drift) συμβαίνει όταν αλλαγμένα έργα και ωράρια κάνουν ένα παρωχημένο μοντέλο να επισημαίνει συνηθισμένη δραστηριότητα.
Το κόστος συσσωρεύεται σε κόπωση ειδοποιήσεων: οι αναλυτές παύουν να εμπιστεύονται τις ειδοποιήσεις και οι πραγματικές αποκλίσεις χάνονται στον θόρυβο.
Ο περιορισμός είναι διαδικασία. Ρύθμιση των ορίων με βάση τη μετρημένη φυσιολογική διακύμανση. Προσθήκη πλαισίου ομάδας ομοτίμων, ώστε τα μοτίβα ολόκληρης της ομάδας να μην επισημαίνονται μέλος προς μέλος. Τροφοδότηση των κανόνων με καλοήθεις εκβάσεις. Επιβεβαίωση των αδύναμων σημάτων με ανεξάρτητα στοιχεία, όπως ο έλεγχος του τι μεταφέρθηκε πραγματικά, πριν από την κλιμάκωση.
Από την ανωμαλία στη δράση
Η ανίχνευση αποδίδει μόνο όταν το αποτέλεσμά της αλλάζει μια έκβαση. Μια επισημασμένη απόκλιση πηγαίνει στη διαλογή, στο πλαίσιο μιας διερεύνησης περιστατικού ασφάλειας, όπου ένας αναλυτής ακολουθεί τρία βήματα.
- 1
Επιβεβαίωση σοβαρότητας
Ο αναλυτής εκτιμά πόσο σοβαρή είναι η απόκλιση.
- 2
Συγκέντρωση πλαισίου
Ελέγχει τι προσπελάστηκε, τι στάλθηκε και από πού.
- 3
Απόφαση
Κλείνει την υπόθεση, τη συνεχίζει υπό παρακολούθηση ή επεμβαίνει.
Πώς φαίνεται στο Anexet
Και οι δύο μηχανισμοί ορίων εμφανίζονται στην κονσόλα ως στατιστικοί κανόνες και ειδοποιήσεις τιμής κινδύνου· και τα δύο αποτελούν μέρος της λειτουργίας εντοπισμού εσωτερικών απειλών.
1 / 2
Νομικά όρια και τεκμηρίωση
Επειδή η τεχνική στηρίζεται στην παρακολούθηση εργαζομένων, λειτουργεί μέσα σε νομικά όρια. Στις περισσότερες δικαιοδοσίες, συμπεριλαμβανομένου του GDPR, η παρακολούθηση απαιτεί καθορισμένο σκοπό, αναλογικότητα και διαφάνεια απέναντι στο προσωπικό.
Ένα αξιόπιστο πρόγραμμα τεκμηριώνει τι μετρούν οι γραμμές βάσης, ποιος βλέπει τα ευρήματα και για πόσο καιρό διατηρούνται τα αρχεία.
Περισσότερα: Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.
Η γραμμή βάσης δείχνει πώς μοιάζει το κανονικό. Μια ειδοποίηση έχει νόημα μόνο όταν κάποιος την ελέγξει απέναντι σε αυτό το κανονικό.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Στο Anexet, η ανίχνευση ανωμαλιών συμπεριφοράς στηρίζεται σε δύο μηχανισμούς με όρια: τους στατιστικούς κανόνες ασφαλείας, που ενεργοποιούνται όταν η δραστηριότητα χρήστη ή δικτύου υπερβαίνει ρυθμισμένα αριθμητικά όρια, και τη μηχανή Risk Analysis, που μετατρέπει τα ενεργοποιημένα περιστατικά σε μοτίβα συμπεριφοράς ανά χρήστη με επίπεδα και τάσεις κινδύνου. Η ανίχνευση τρέχει με όρια ρυθμισμένα από αναλυτή και όχι με αυτομαθαίνοντα μοντέλα· κάθε κανόνας είναι ρητός, ελέγξιμος και ρυθμίζεται.
Η αρχιτεκτονική on-premise κρατά τα δεδομένα συμπεριφοράς και τις βαθμολογίες κινδύνου μέσα στην υποδομή του οργανισμού· κάθε εύρημα καταλήγει σε ένα πλήρες και αποδιδόμενο ίχνος ελέγχου, όχι σε μια αδιαφανή βαθμολογία.
Στατιστικοί κανόνες ασφαλείας
ένας κανόνας ενεργοποιείται όταν μια μέτρηση δραστηριότητας υπερβαίνει ένα όριο εντός ώρας, ημερολογιακής ημέρας, εβδομάδας ή προσαρμοσμένης περιόδου, π.χ. πάνω από 50 άμεσα μηνύματα σε μία ώρα, ανά χρήστη ή σε όλο το δίκτυο.
Οκτώ κατηγορίες κινδύνου
τα περιστατικά ταξινομούνται σε οκτώ έτοιμες κατηγορίες: εσωτερική απειλή, διαρροή δεδομένων, απιστία εργαζομένων, λανθασμένη συμπεριφορά, μη παραγωγική δραστηριότητα, παραβίαση νόμου, δαπάνη εταιρικών πόρων και παραβίαση ωραρίου εργασίας, συν προσαρμοσμένες κατηγορίες.
Επίπεδα και τάσεις κινδύνου
κάθε περιστατικό βαθμολογείται Υψηλό, Μέσο ή Χαμηλό· κάθε χρήστης έχει συνολική τιμή και τιμή κινδύνου χωρίς έλεγχο, και τα γραφήματα τάσεων ανοικοδομούνται αυτόματα καθώς αλλάζει η συμπεριφορά.
Ειδοποιήσεις ορίου
ο διαχειριστής ειδοποιήσεων μπορεί να ειδοποιεί με email ή Telegram μόλις ο κίνδυνος ενός χρήστη σε επιλεγμένη κατηγορία υπερβεί ρυθμισμένο όριο.
Λειτουργία εντοπισμού εσωτερικών απειλών
Μάθετε περισσότερα