Εσωτερική Απειλή (Insider)

Οι εξωτερικές επιθέσεις ενεργοποιούν τις άμυνες περιμέτρου, όπως τα τείχη προστασίας, την ανίχνευση εισβολών και το antivirus. Αυτές σχεδιάστηκαν για να σταματούν άγνωστους δράστες. Οι εσωτερικές απειλές τις παρακάμπτουν πλήρως: ο δράστης βρίσκεται ήδη μέσα, διαθέτει έγκυρα διαπιστευτήρια και η παρουσία του στο δίκτυο είναι αναμενόμενη.

Οι παραδοσιακές περίμετροι κρατούν έξω τους εξωτερικούς, αλλά δεν παρακολουθούν τι κάνουν οι εσωτερικοί μετά την είσοδό τους. Μια διακριτική μεταφορά αρχείων έξω από την εταιρεία, δηλαδή η εξαγωγή δεδομένων, μπορεί να περάσει από όλους τους ελέγχους περιμέτρου, επειδή όποιος την κάνει έχει εξουσιοδοτημένη πρόσβαση στα δεδομένα.

Γι' αυτό τα προγράμματα εσωτερικών απειλών συνδυάζουν τεχνικούς ελέγχους, όπως παρακολούθηση, πρόληψη απώλειας δεδομένων και ανάλυση συμπεριφοράς, με οργανωτικά μέτρα, όπως διαχείριση πρόσβασης, εκπαίδευση και διαδικασίες αντιμετώπισης περιστατικών. Κανένα μεμονωμένο εργαλείο δεν λύνει μόνο του το πρόβλημα.

Δεν είναι όλοι οι insiders ίδιοι, και ο κίνδυνος insider κάθε ομάδας απαιτεί διαφορετικούς ελέγχους. Οι ομάδες ασφαλείας συνήθως διακρίνουν τρεις τύπους.

Ο κακόβουλος insider κάνει σκόπιμα κατάχρηση της πρόσβασης, για παράδειγμα για να κλέψει δεδομένα για λογαριασμό ανταγωνιστή, να διαπράξει απάτη ή να σαμποτάρει συστήματα μετά από ειδοποίηση απόλυσης. Ο αμελής insider προκαλεί ζημιά από λάθος ή από αδιαφορία για την πολιτική, για παράδειγμα στέλνοντας στοιχεία πελατών στον προσωπικό του λογαριασμό για να δουλέψει από το σπίτι.

Ο παραβιασμένος insider είναι εργαζόμενος του οποίου τα διαπιστευτήρια κλάπηκαν ή του οποίου η συσκευή τέθηκε υπό τον έλεγχο εξωτερικού επιτιθέμενου. Η δραστηριότητα φαίνεται εξουσιοδοτημένη, αλλά προέρχεται από εσωτερικό λογαριασμό, οπότε εντάσσεται στην παρακολούθηση εσωτερικών απειλών.

Τα προγράμματα εσωτερικών απειλών παρακολουθούν σήματα συμπεριφοράς που ξεχωρίζουν την επιβλαβή δραστηριότητα από την κανονική εργασία. Ορισμένοι τυπικοί δείκτες είναι:

• Ανωμαλίες πρόσβασης σε δεδομένα: λήψη πολύ περισσότερων δεδομένων από όσα χρειάζεται ο ρόλος, ή αρχεία εκτός αρμοδιότητας.
• Μοτίβα χρόνου και τοποθεσίας: δραστηριότητα σε ασυνήθιστες ώρες ή σε ασυνήθιστα σημεία, ή λίγο πριν από παραίτηση.
• Κατάχρηση καναλιών: μεγάλες μεταφορτώσεις σε προσωπικό cloud, μαζική εκτύπωση ή αντιγραφή σε USB.
• Παραβιάσεις πολιτικής: επαναλαμβανόμενες προσπάθειες παράκαμψης ελέγχων, απενεργοποίηση παρακολούθησης ή χρήση shadow IT.
• Μεταβολές συμπεριφοράς: απότομη αλλαγή ρυθμού εργασίας, πτώση παραγωγικότητας ή αυξανόμενη δυσαρέσκεια.

Οι τέσσερις προσεγγίσεις λειτουργούν μαζί. Η παρακολούθηση δραστηριότητας χρηστών καταγράφει τι κάνουν τα άτομα, ενώ η ανάλυση συμπεριφοράς χρηστών και οντοτήτων εντοπίζει αποκλίσεις από τα συνήθη μοτίβα. Το DLP δείχνει ποια δεδομένα μετακινούνται και το SIEM συνδέει τα σήματα μεταξύ τους.

Κανένας μεμονωμένος δείκτης δεν επιβεβαιώνει απειλή. Τα προγράμματα χρησιμοποιούν βαθμολόγηση κινδύνου, που συνδυάζει σήματα στον χρόνο, για να αποφασίσουν ποιες περιπτώσεις χρειάζονται ανθρώπινη εξέταση.

1. 1

   Καταγραφή δραστηριότητας

   Η παρακολούθηση καταγράφει προγράμματα που εκκινούν, αρχεία που ανοίγουν, ιστοσελίδες και δεδομένα που μεταφέρονται σε κάθε σταθμό εργασίας.

2. 2

   Σύγκριση με το συνηθισμένο

   Η ανάλυση συμπεριφοράς συγκρίνει κάθε ενέργεια με το μοτίβο του ίδιου του χρήστη και με τα πρότυπα της ομάδας του.

3. 3

   Παρακολούθηση δεδομένων

   Το DLP κρατά τα ευαίσθητα δεδομένα μέσα σε ελεγχόμενα κανάλια, ανεξάρτητα από την πρόθεση.

4. 4

   Σύνδεση σημάτων

   Το SIEM συγκεντρώνει αρχεία καταγραφής από πολλά συστήματα, ώστε τα σχετικά συμβάντα να συσχετίζονται και να ειδοποιούν.

Η μονάδα ανάλυσης κινδύνου του Activity βαθμολογεί τους χρήστες σε οκτώ έτοιμες κατηγορίες, μεταξύ των οποίων οι Internal Threat και Data leak. Η κατηγορία Internal Threat καλύπτει τόσο τις σκόπιμες όσο και τις ακούσιες ενέργειες των εργαζομένων.

1 / 2

• 
• 

Ένα ώριμο πρόγραμμα, όπως περιγράφεται στη διαχείριση κινδύνου insider, είναι καθορισμένη διαδικασία και όχι απλώς σύνολο εργαλείων. Εμπλέκει την ασφάλεια πληροφορικής (παρακολούθηση και εντοπισμός), το ανθρώπινο δυναμικό (εργασιακά συμβάντα και συμπεριφορικό πλαίσιο), τη νομική υπηρεσία (περιορισμούς ιδιωτικότητας και εργατικού δικαίου) και τη διοίκηση (όρια κλιμάκωσης).

Σαφείς κανόνες για το τι παρακολουθείται, γιατί και με ποια νομική βάση είναι απαραίτητοι για την αποτελεσματικότητα και τη συμμόρφωση. Σε πολλές δικαιοδοσίες η παρακολούθηση εργαζομένων ρυθμίζεται και απαιτεί ενημέρωση, θεμιτό σκοπό και αναλογικότητα.

Ξεκινήστε από τους λογαριασμούς και τα δεδομένα των οποίων η κακή χρήση θα προκαλούσε τη μεγαλύτερη ζημιά, και στη συνέχεια καταγράψτε τα κανάλια που πραγματικά χρησιμοποιούν. Πολιτικές που γράφονται για κάθε αρχείο ταυτόχρονα μπλοκάρουν τη συνηθισμένη δουλειά και τελικά απενεργοποιούνται.

Ένα πρόγραμμα εσωτερικών απειλών με εστιασμένο πεδίο μπορεί να επεκταθεί, όταν τα πρώτα αποτελέσματα δείξουν ποια σήματα έχουν σημασία στην πράξη.

Περισσότερα: Πώς να αναγνωρίσετε έναν insider σε μια εταιρεία και να αποτρέψετε τη δραστηριότητά του;; Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.