Εξαγωγή δεδομένων έναντι διαρροής δεδομένων
Η διαρροή δεδομένων είναι κάθε μη εξουσιοδοτημένη έκθεση δεδομένων, είτε σκόπιμη είτε τυχαία. Ένας υπάλληλος που στέλνει ένα λογιστικό φύλλο σε προσωπικό λογαριασμό email για να δουλέψει από το σπίτι προκαλεί διαρροή από αμέλεια, όχι από κακή πρόθεση.
Η εξαγωγή δεδομένων είναι η σκόπιμη, κρυφή μεταφορά δεδομένων σε εξωτερικό προορισμό που ελέγχει ένας επιτιθέμενος ή ένα εσωτερικό πρόσωπο. Προϋποθέτει πρόθεση: κάποιος μεταφέρει δεδομένα έτσι ώστε να φύγουν χωρίς να γίνουν αντιληπτά.
Στην πράξη, οι μέθοδοι εντοπισμού επικαλύπτονται σε μεγάλο βαθμό, γιατί και οι δύο απαιτούν παρακολούθηση της κίνησης των δεδομένων και έλεγχο του περιεχομένου. Η διαφορά στην πρόθεση εξακολουθεί να έχει σημασία για την αντιμετώπιση συμβάντων, τις νομικές ενέργειες και την ταξινόμηση εσωτερικών απειλών.
| Κριτήριο | Διαρροή δεδομένων | Εξαγωγή δεδομένων |
|---|---|---|
| Σκόπιμη πρόθεση | ||
| Μπορεί να είναι τυχαία | ||
| Παρακολούθηση κίνησης και περιεχομένου |
Συνήθεις μέθοδοι εξαγωγής
Η εξαγωγή χρησιμοποιεί κάθε κανάλι από το οποίο τα δεδομένα μπορούν νόμιμα να βγουν από έναν οργανισμό. Κάθε κανάλι χρειάζεται δικό του έλεγχο, και ο έλεγχος συσκευών καλύπτει τα τοπικά κανάλια, όπως USB και εκτύπωση.
Οι πρώτες έξι μέθοδοι είναι οι πιο συνηθισμένες σε πραγματικά περιστατικά. Οι δύο τελευταίες είναι σπανιότερες, αλλά δυσκολότερες να εντοπιστούν.
| Κανάλι | Πώς βγαίνουν τα δεδομένα |
|---|---|
| Δίκτυο | Μεταφορτώσεις μέσω HTTP/HTTPS, FTP, προσαρμοσμένα πρωτόκολλα tunneling· η κρυπτογράφηση κρύβει το περιεχόμενο |
| Συνημμένα ή σύνδεσμοι που στέλνονται σε εξωτερικές διευθύνσεις, συμπεριλαμβανομένου του webmail | |
| Αποθήκευση στο cloud | Μεταφορτώσεις σε προσωπικούς λογαριασμούς, όπως Google Drive, Dropbox, OneDrive, Box, MEGA |
| Εφαρμογές μηνυμάτων | Αρχεία που στέλνονται μέσω WhatsApp, Telegram, Signal, Slack, Teams ή web chat |
| Αφαιρούμενα μέσα | Αντίγραφα σε USB, εξωτερικούς δίσκους ή οπτικά μέσα |
| Πρόχειρο και οθόνη | Κείμενο επικολλημένο σε μη εγκεκριμένες εφαρμογές ή φωτογραφίες της οθόνης |
| Εκτύπωση | Ευαίσθητα έγγραφα εκτυπωμένα για φυσική αφαίρεση |
| Στεγανογραφία και κατάχρηση πρωτοκόλλων | Δεδομένα κρυμμένα σε εικόνες ή ήχο· tunneling DNS/ICMP σε μικρές ποσότητες |
Ποιος εξάγει δεδομένα
Τρεις κατηγορίες φορέων εξάγουν δεδομένα:
- Κακόβουλοι εσωτερικοί: υπάλληλοι ή συνεργάτες που κλέβουν δεδομένα σκόπιμα, όπως πνευματική ιδιοκτησία για έναν ανταγωνιστή, καταλόγους πελατών, οικονομικά δεδομένα για απάτη ή πληροφορίες για ιδεολογικούς λόγους, όπως η καταγγελία παρατυπιών ή ο ακτιβισμός.
- Παραβιασμένοι λογαριασμοί: εξωτερικοί επιτιθέμενοι που έκλεψαν διαπιστευτήρια ή πήραν τον έλεγχο μιας συσκευής. Δρουν μέσω της νόμιμης πρόσβασης του υπαλλήλου, οπότε η δραστηριότητα φαίνεται εξουσιοδοτημένη. Γι' αυτό οι παραβιασμένοι εσωτερικοί εντάσσονται στην παρακολούθηση εσωτερικών απειλών.
- Κακόβουλο λογισμικό: trojan infostealer και προηγμένες επίμονες απειλές (APT) που συλλέγουν δεδομένα τοπικά και τα στέλνουν σε διακομιστή ελέγχου (command-and-control).
Γιατί η εξαγωγή είναι δύσκολο να εντοπιστεί
Η βασική δυσκολία είναι ότι η εξαγωγή χρησιμοποιεί τις ίδιες εφαρμογές και κανάλια με τη νόμιμη εργασία. Ένας υπάλληλος που ανεβάζει ένα αρχείο στο cloud στις 2 μ.μ. μπορεί να μοιράζεται μια πρόταση με πελάτη. Η ίδια ενέργεια στις 2 π.μ., σε προσωπικό λογαριασμό, από κάποιον που έχει ήδη παραιτηθεί, είναι διαφορετική ιστορία. Κανένα μεμονωμένο σήμα δεν είναι αποδεικτικό, οπότε ο εντοπισμός συνδυάζει τους ελέγχους παρακάτω και βαθμολογεί τον κίνδυνο στον χρόνο.
- Έλεγχος περιεχομένου: ταιριάζουν τα δεδομένα με εμπιστευτικά μοτίβα, ψηφιακά αποτυπώματα ή ετικέτες; Σε αυτόν τον έλεγχο βασίζεται ο αποκλεισμός με βάση το περιεχόμενο.
- Πλαίσιο: πότε, πού και από ποιον: εκτός ωραρίου, ασυνήθιστη τοποθεσία ή υπάλληλος που αποχωρεί.
- Όγκος και μοτίβο: μαζική λήψη που ακολουθείται από εξωτερική μεταφόρτωση είναι κλασική ένδειξη.
Πρόληψη και αντιμετώπιση
Η πρόληψη και η αντιμετώπιση συνδυάζουν πέντε δυνατότητες:
- 1
Επιβολή πολιτικών DLP
Αποτροπή εξόδου ευαίσθητων δεδομένων από ελεγχόμενα κανάλια, με βάση την ταξινόμηση περιεχομένου.
- 2
Παρακολούθηση τοπικών καναλιών
Ορατότητα σε USB, πρόχειρο και εκτύπωση, που τα εργαλεία δικτύου δεν βλέπουν.
- 3
Καθορισμός φυσιολογικής συμπεριφοράς
Η ανάλυση συμπεριφοράς (UEBA) δημιουργεί προφίλ τυπικής δραστηριότητας και επισημαίνει αποκλίσεις.
- 4
Περιορισμός πρόσβασης
Πρόσβαση μόνο στα δεδομένα που χρειάζονται για τη δουλειά περιορίζει τη ζημιά από κάθε παραβιασμένο λογαριασμό.
- 5
Έρευνα και διατήρηση αποδείξεων
Καθορισμός του ποιος, τι, πότε και πού, αποτροπή νέων μεταφορών και διατήρηση των αποδείξεων για νομικές ή πειθαρχικές ενέργειες.
Πώς φαίνεται στο Anexet
Στην κονσόλα του Anexet, ένα αναχαιτισμένο email ανοίγει με μια καρτέλα AI που παραθέτει πιθανές απειλές, όπως απόκρυψη πληροφοριών, και μια σύντομη περίληψη της συζήτησης. Η οθόνη αναφέρει επίσης ότι η έξοδος της AI δεν είναι πάντα αξιόπιστη, οπότε ο αναλυτής διαβάζει το μήνυμα πριν από κάθε ενέργεια. Τα σημειωμένα μηνύματα μπορούν να προστεθούν σε μια υπόθεση έρευνας.
Από πού να ξεκινήσετε
Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο, και μετά χαρτογραφήστε τα κανάλια που πραγματικά χρησιμοποιούν οι άνθρωποι για να τα μεταφέρουν. Οι κανόνες που μπλοκάρουν τα πάντα από την πρώτη μέρα συνήθως απενεργοποιούνται, και τότε δεν παρακολουθείται τίποτα.
Η μονάδα Anexet DLP λειτουργεί on-premise και καλύπτει τα κανάλια που περιγράφηκαν παραπάνω.
Περισσότερα: Συστήματα DLP — τι είναι και πώς λειτουργούν; Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.
Η εξαγωγή σπάνια μοιάζει με επίθεση. Μοιάζει με μια συνηθισμένη μεταφόρτωση σε μια συνηθισμένη απογευματινή ώρα.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Η ενότητα DLP της Anexet έχει σχεδιαστεί ειδικά για τον εντοπισμό και τον αποκλεισμό της εξαγωγής δεδομένων σε όλα τα κανάλια που θα μπορούσε να χρησιμοποιήσει ένας insider ή ένας παραβιασμένος λογαριασμός:
Η αρχιτεκτονική on-premise σημαίνει ότι όλα τα δεδομένα εντοπισμού, το καταγεγραμμένο περιεχόμενο και τα αρχεία διερεύνησης μένουν εντός της υποδομής του οργανισμού. Αυτό έχει σημασία όταν η ίδια η υπόθεση αφορά ευαίσθητα ή ρυθμιζόμενα δεδομένα που δεν πρέπει να φύγουν προς cloud τρίτου.
Πολιτικές αποκλεισμού
Οι πολιτικές αποκλεισμού λειτουργούν σε 11 τύπους καναλιών: HTTP(S), SMTP, FTP, MAPI, μηνύματα, εκτύπωση, πρόχειρο, εξωτερική αποθήκευση, κοινόχρηστους πόρους δικτύου, διεργασίες και μεταφορές αρχείων. Οι συνθήκες μπορούν να βασίζονται σε αντικείμενα ταξινόμησης περιεχομένου, όπως αντιστοίχιση θησαυρού, hash, ψηφιακό αποτύπωμα ή ετικέτα ευαισθησίας.
Καταγραφή στα endpoints
Η αναχαίτιση στο endpoint καταγράφει το περιεχόμενο του αρχείου στον σταθμό εργασίας πριν το κρύψει η κρυπτογράφηση. Δίνει ορατότητα σε μεταφορτώσεις στο cloud, μεταφορές αρχείων μέσω μηνυμάτων και τοπικά κανάλια (USB, πρόχειρο, εκτύπωση), που δεν βλέπουν τα εργαλεία μόνο δικτύου.
Ανάλυση κινδύνου
Η μηχανή Ανάλυσης Κινδύνου βαθμολογεί τους χρήστες σε οκτώ προκατασκευασμένες κατηγορίες κινδύνου. Συνδυάζει σήματα διαρροής δεδομένων με συμπεριφορικούς δείκτες, όπως χρονικά μοτίβα και ανωμαλίες όγκου, ώστε να ιεραρχεί τις υποθέσεις προς διερεύνηση.
Έρευνες
Η ενότητα Διερευνήσεων δημιουργεί υποθέσεις από τα καταγεγραμμένα συμβάντα. Οι υποθέσεις μπορούν να εξαχθούν για νομική ή πειθαρχική χρήση.
Λειτουργία αποκλεισμού μεταφοράς δεδομένων
Μάθετε περισσότερα