Δύο προφίλ εισβολέα δεδομένων
Ο όρος καλύπτει δύο προφίλ δραστών που για τα συστήματα ελέγχου πρόσβασης φαίνονται πανομοιότυπα. Οι ομάδες ασφάλειας συχνά τα ομαδοποιούν και τα δύο κάτω από την εσωτερική απειλή, επειδή η ζημιά ξεκινά από πρόσβαση που είχε ήδη δοθεί.
Το εσωτερικό πρόσωπο που καταχράται δικαιώματα. Ένας εργαζόμενος, εξωτερικός συνεργάτης ή επιχειρηματικός εταίρος έχει ήδη νόμιμα δικαιώματα και τα χρησιμοποιεί πέρα από τον σκοπό τους. Για παράδειγμα, περιηγείται σε αρχεία πελατών ή ασθενών από περιέργεια, συσσωρεύει αρχεία έργου πριν από μια παραίτηση ή αντιγράφει μια βάση πελατών για μελλοντικό εργοδότη.
Ο εξωτερικός δράστης με διαπιστευτήρια. Ένας εξωτερικός επιτιθέμενος ή το κακόβουλο λογισμικό του δρα με κλεμμένα, αλλά έγκυρα διαπιστευτήρια: έναν κωδικό που αποσπάστηκε με phishing, ένα διαρρευσμένο κλειδί API ή μια υφαρπαγμένη συνεδρία. Για τις άμυνες περιμέτρου μοιάζει με νόμιμο χρήστη, επειδή τεχνικά είναι.
Πώς δρα ένας εισβολέας δεδομένων
Οι περισσότεροι εισβολείς δεδομένων ακολουθούν αναγνωρίσιμο μοτίβο σε τέσσερα στάδια.
- 1
Αναγνώριση
Εντοπισμός του σημείου όπου βρίσκονται τα πολύτιμα δεδομένα.
- 2
Διεύρυνση πρόσβασης
Αίτημα ή κλοπή πρόσθετων δικαιωμάτων.
- 3
Συγκέντρωση
Συσσώρευση αρχείων σε συμπιεσμένα αρχεία ή φακέλους cloud.
- 4
Εξαγωγή
Απομάκρυνση δεδομένων μέσω email, μεταφορών σε cloud, εφαρμογών μηνυμάτων ή αφαιρούμενων μέσων.
Συμπεριφορικά σημάδια προειδοποίησης
Επειδή ο εισβολέας χρησιμοποιεί νόμιμα δικαιώματα σε νόμιμα κανάλια, τα ισχυρότερα σήματα είναι συμπεριφορικά και όχι τεχνικά. Αυτό είναι το αντικείμενο της ανάλυσης συμπεριφοράς. Οι προσεκτικοί εισβολείς δουλεύουν λίγο και αργά: μικρές μεταφορές απλωμένες σε εβδομάδες, μέσα στο κανονικό ωράριο και ανάμεσα στη ρουτίνα. Δώστε προσοχή σε:
- πρόσβαση σε ευαίσθητα αποθετήρια που ο χρήστης δεν είχε αγγίξει ποτέ πριν·
- ασυνήθιστες ώρες εργασίας, τοποθεσίες ή συσκευές·
- μη κανονικοί όγκοι αντιγραφής, εκτύπωσης ή αρχειοθέτησης·
- αιφνίδια χρήση προσωπικού cloud, webmail ή μονάδων USB·
- δραστηριότητα συγκέντρωσης γύρω από γνωστή ημερομηνία αποχώρησης (παραίτηση, λήξη σύμβασης, απόλυση).
Γιατί εντοπίζονται δύσκολα
Τα τείχη προστασίας και τα εργαλεία κατά του κακόβουλου λογισμικού σταματούν τη μη εξουσιοδοτημένη είσοδο. Ο εισβολέας είναι ήδη μέσα και εξουσιοδοτημένος, οπότε αυτά τα εργαλεία δεν βλέπουν τίποτα ασυνήθιστο. Ο εντοπισμός απαιτεί δύο πράγματα: βάση αναφοράς του τι είναι κανονικό για κάθε χρήστη και έλεγχο του περιεχομένου που μετακινείται, και όχι μόνο του καναλιού. Αυτός ο έλεγχος περιεχομένου αποτελεί τον πυρήνα της πρόληψης απώλειας δεδομένων (DLP).
| Μηχανισμός | Τι ελέγχει | Αποτελεσματικότητα έναντι εισβολέα |
|---|---|---|
| Τείχος προστασίας και antimalware | Μη εξουσιοδοτημένη είσοδο | Ασθενής: ο εισβολέας είναι εξουσιοδοτημένος |
| Ανάλυση συμπεριφοράς (UEBA) | Δραστηριότητα έναντι της βάσης του χρήστη | Εντοπίζει αποκλίσεις από τη ρουτίνα |
| Ανάλυση περιεχομένου (DLP) | Ποια δεδομένα μετακινούνται και από ποιο κανάλι | Μπορεί να αποκλείσει ή να θέσει σε καραντίνα |
Επίπτωση
Ένας επιτυχημένος εισβολέας δεδομένων προκαλεί κλοπή δεδομένων, κανονιστική έκθεση σύμφωνα με πλαίσια όπως ο GDPR, ο HIPAA και το PCI DSS, απώλεια πνευματικής ιδιοκτησίας και μακροχρόνιες διερευνήσεις. Η ζημιά είναι συχνά μεγαλύτερη από ό,τι σε εξωτερικές παραβιάσεις, επειδή η έμπιστη πρόσβαση συντομεύει τη διαδρομή προς τα πολυτιμότερα δεδομένα.
Πώς φαίνεται στην Anexet
Στην κονσόλα της Anexet DLP, τα σχετικά συμβάντα ενοποιούνται σε περιστατικά. Από ένα περιστατικό, ο διαχειριστής μπορεί να ανοίξει τη δραστηριότητα αυτού του χρήστη ή να προσθέσει το συμβάν σε διερεύνηση.
Από πού να ξεκινήσετε
Ξεκινήστε χαρτογραφώντας ποια ευαίσθητα δεδομένα μπορεί να βλέπει κάθε ρόλος και από ποια κανάλια μπορούν να φύγουν. Οι έλεγχοι πρόσβασης που σταματούν στο ποιος μπορεί να ανοίξει έναν φάκελο χάνουν τον εισβολέα που ήδη μπορεί. Όταν υπάρχει αυτός ο χάρτης, η ανίχνευση εσωτερικών απειλών προσθέτει το συμπεριφορικό επίπεδο.
Οι βάσεις αναφοράς χρειάζονται χρόνο για να γίνουν αξιόπιστες, γι' αυτό εξετάστε τις πρώτες ειδοποιήσεις με τον άμεσο προϊστάμενο πριν βγάλετε οποιοδήποτε συμπέρασμα για ένα πρόσωπο.
Περισσότερα: Πώς να αναγνωρίσετε έναν insider σε μια εταιρεία και να αποτρέψετε τη δραστηριότητά του;.
Ένας εισβολέας δεδομένων σπάνια μοιάζει με εισβολέα. Έχει έγκυρο κωδικό, νόμιμη πρόσβαση και λόγο να βρίσκεται εκεί, γι' αυτό το μοτίβο της δραστηριότητάς του είναι που τον προδίδει.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Η Anexet είναι χτισμένη γύρω από τον εντοπισμό ακριβώς αυτού του προφίλ δράστη: προσώπου που καταχράται νόμιμη πρόσβαση από μέσα:
Η αρχιτεκτονική on-premise κρατά τα προφίλ συμπεριφοράς, το περιεχόμενο που καταγράφηκε και τα αρχεία των διερευνήσεων εντός της υποδομής του ίδιου του οργανισμού: σημαντικό εδώ, επειδή τα δεδομένα που συλλέγονται για ένα πρόσωπο υπό υποψία είναι από μόνα τους εξαιρετικά ευαίσθητα.
Ανάλυση συμπεριφοράς (UBA)
η Anexet χτίζει βάση αναφοράς της κανονικής δραστηριότητας κάθε χρήστη και αξιολογεί τα νέα συμβάντα έναντι αυτής, ώστε η απόκλιση ενός εισβολέα δεδομένων από τη δική του ρουτίνα να γίνεται ορατή.
Ανίχνευση ανωμαλιών
η πρώτη πρόσβαση σε ευαίσθητα δεδομένα, οι μη κανονικοί όγκοι αντιγραφής, η δραστηριότητα εκτός ωραρίου και η ασυνήθιστη χρήση καναλιών παράγουν συμβάντα κινδύνου, αντί να περνούν ως ρουτινέρικη «εξουσιοδοτημένη» εργασία.
Περιστατικά
οι συναφείς ανωμαλίες ενοποιούνται σε περιστατικά, δίνοντας στις ομάδες ασφάλειας σημείο εκκίνησης αντί για μια ροή ασύνδετων καταγραφών.
Διερεύνηση
κάθε συμβάν καταγράφεται με πλήρες πλαίσιο: χρήστη, χρονοσήμανση, κανάλι και ταξινόμηση περιεχομένου: ώστε ένα περιστατικό να μπορεί να ανασυνταχθεί από την αρχή ως το τέλος ως υλικό της υπόθεσης.
Επιβολή με γνώση του περιεχομένου
όπου η ανάλυση συμπεριφοράς επισημαίνει επικίνδυνη διακίνηση, η ανάλυση περιεχομένου του DLP (θησαυροί ασφάλειας, τράπεζες hash, ψηφιακά αποτυπώματα, ετικέτες ευαισθησίας) αξιολογεί τι μεταφέρεται σε email, web, cloud, messengers, USB, εκτυπώσεις και πρόχειρο, και μπορεί να αποκλείσει ή να θέσει σε καραντίνα τη μεταφορά.
Anexet DLP
Μάθετε περισσότερα