Γιατί ο εντοπισμός είναι το δύσκολο μέρος
Μια εξωτερική επίθεση ενεργοποιεί συναγερμούς. Το τείχος προστασίας μπλοκάρει μια σύνδεση, το σύστημα ανίχνευσης εισβολών επισημαίνει μια υπογραφή και το antivirus απομονώνει ένα αρχείο. Πρόκειται για γεγονότα βάσει κανόνων: κάτι ταιριάζει με γνωστό κακόβουλο μοτίβο ή δεν ταιριάζει.
Οι εσωτερικές απειλές δεν λειτουργούν έτσι. Το πρόσωπο με εσωτερική πρόσβαση χρησιμοποιεί νόμιμα διαπιστευτήρια, εφαρμογές και κανάλια. Κάθε μεμονωμένη ενέργεια, όπως το άνοιγμα ενός αρχείου, η αποστολή email ή η μεταφορά δεδομένων στο cloud, είναι εξουσιοδοτημένη. Η απειλή βρίσκεται στο μοτίβο, στον συνδυασμό ενεργειών στον χρόνο που αποκαλύπτει πρόθεση ή κίνδυνο. Ο εντοπισμός της απαιτεί άλλη προσέγγιση από την ασφάλεια περιμέτρου.
Μέθοδοι εντοπισμού
Ο αποτελεσματικός εντοπισμός συνδυάζει πολλές μεθόδους, γιατί καμία δεν καλύπτει μόνη της όλες τις περιπτώσεις:
- Παρακολούθηση βάσει κανόνων: σταθερές πολιτικές επισημαίνουν συγκεκριμένες ενέργειες, π.χ. αρχείο με το ψηφιακό αποτύπωμα εμπιστευτικού εγγράφου που ανεβαίνει σε προσωπικό cloud. Πιάνουν γνωστά μοτίβα, αλλά όχι τα νέα.
- Συμπεριφορική βάση αναφοράς και ανίχνευση ανωμαλιών (UEBA): το σύστημα μαθαίνει τη συνήθη συμπεριφορά κάθε χρήστη και επισημαίνει αποκλίσεις, π.χ. αιφνίδια αύξηση όγκου δεδομένων ή πρόσβαση σε συστήματα εκτός ρόλου. Εντοπίζει απειλές που δεν αντιστοιχούν σε κανέναν κανόνα.
- Έλεγχος περιεχομένου (DLP): αντί για τη συμπεριφορά, το DLP ελέγχει τι μεταφέρεται, π.χ. φύλλο εργασίας με αριθμούς καρτών ή περιεχόμενο που ταιριάζει σε λεξικό ευαίσθητων όρων. Εντοπίζει τα δεδομένα που πραγματικά κινδυνεύουν, ανεξάρτητα από το κανάλι.
- Βαθμολόγηση κινδύνου: πολλά σήματα συνδυάζονται σε μία βαθμολογία κινδύνου ανά χρήστη. Ένα μεμονωμένο ασθενές σήμα σημαίνει χαμηλό κίνδυνο, αλλά πολλά ασθενή σήματα στο ίδιο πρόσωπο ανεβάζουν τη βαθμολογία. Έτσι ιεραρχούνται οι υποθέσεις.
- Εμπλουτισμός με πλαίσιο: συμβάντα ανθρώπινου δυναμικού, αλλαγές πρόσβασης και οργανωτικό πλαίσιο κάνουν τον εντοπισμό ακριβέστερο και μειώνουν τα ψευδώς θετικά.
Κατηγορίες κινδύνου στην πράξη
Η Anexet αξιολογεί κάθε χρήστη με βάση κατηγορίες κινδύνου. Κάθε κατηγορία έχει προεπιλεγμένο επίπεδο κινδύνου.
Οι δείκτες συμπεριφοράς που έχουν σημασία
Τα προγράμματα εντοπισμού παρακολουθούν συνδυασμούς αυτών των δεικτών στον χρόνο. Κανένας μεμονωμένος δείκτης δεν είναι αποφασιστικός, γι'αυτό η αξία βρίσκεται στους συνδυασμούς και στις τάσεις.
| Δείκτης | Παραδείγματα |
|---|---|
| Ανωμαλίες πρόσβασης σε δεδομένα | Μαζικές λήψεις, αρχεία εκτός ρόλου, ξαφνικό ενδιαφέρον για αχρησιμοποίητα συστήματα |
| Μοτίβα χρόνου και τοποθεσίας | Δραστηριότητα εκτός ωραρίου, ασυνήθιστες περιοχές, δραστηριότητα πριν από αποχώρηση |
| Καταχρηστική χρήση καναλιών | Μεταφορές σε προσωπικό cloud, προσωπικό email, μαζικές εκτυπώσεις, αντιγραφές σε USB |
| Μεταβολές συμπεριφοράς | Αλλαγές παραγωγικότητας, παράκαμψη πολιτικών, απενεργοποίηση εργαλείων ασφάλειας |
| Μοτίβα διακίνησης δεδομένων | Συγκέντρωση σε τοπικό φάκελο, συμπίεση μεγάλων αρχείων, μεταφορές σε εξωτερικούς προορισμούς |
Το στάδιο της διερεύνησης
Ο εντοπισμός δεν είναι κατηγορία. Όταν ένας χρήστης επισημαίνεται, το επόμενο βήμα είναι η διερεύνηση, όχι η ενέργεια. Ο αναλυτής εξετάζει την επισημασμένη δραστηριότητα μέσα στο πλαίσιό της:
- Υπάρχει θεμιτή επιχειρησιακή εξήγηση;
- Άλλαξε πρόσφατα ο ρόλος ή το έργο του χρήστη;
- Επιβεβαιώνουν οι δείκτες πολλές πηγές δεδομένων;
- Ποια είναι η σοβαρότητα και ο πιθανός αντίκτυπος;
Η επιλογή της αντίδρασης
Μόνο μετά τη διερεύνηση το πρόγραμμα αποφασίζει την αντίδραση: κλείσιμο της υπόθεσης ως ψευδώς θετικής, ενίσχυση της παρακολούθησης, αναπροσαρμογή δικαιωμάτων ή κλιμάκωση στη διοίκηση ή στην ασφάλεια. Η παράλειψη της διερεύνησης και η ενέργεια βάσει ωμών ειδοποιήσεων οδηγεί σε αβάσιμες κατηγορίες, απώλεια εμπιστοσύνης και νομική έκθεση.
Εντοπισμός έναντι πρόληψης
Ο εντοπισμός αναγνωρίζει τον κίνδυνο, ενώ η πρόληψη σταματά τη ζημιά. Είναι συμπληρωματικά.
Πολλές απειλές δεν μπορούν να αποτραπούν εκ των προτέρων. Ένα πρόσωπο με εσωτερική πρόσβαση μπορεί να χρησιμοποιεί κανάλια που το DLP δεν καλύπτει ή να συμπεριφέρεται θεμιτά όταν εξετάζεται μεμονωμένα. Σε αυτές τις περιπτώσεις, η κύρια άμυνα είναι ο εντοπισμός μαζί με γρήγορη διερεύνηση. Για γνωστά κανάλια και περιεχόμενο, η πρόληψη μέσω DLP είναι αποτελεσματικότερη.
Περισσότερα: Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.
- Το DLP είναι προληπτικό: μπορεί να εμποδίσει ευαίσθητο αρχείο να βγει εκτός οργανισμού.
- Το UEBA είναι ανιχνευτικό: εντοπίζει συμπεριφορικό κίνδυνο που μπορεί ή όχι να καταλήξει σε πραγματικό γεγονός.
Ένα πρόσωπο με εσωτερική πρόσβαση σπάνια ενεργεί με ένα μόνο βήμα. Το σήμα βρίσκεται στην ακολουθία, και εκεί αποδεικνύεται η αξία του εντοπισμού.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Η Anexet υλοποιεί τον εντοπισμό εσωτερικών απειλών μέσω της ενοποίησης των μονάδων Activity και DLP:
Η αρχιτεκτονική on-premise σημαίνει ότι όλα τα δεδομένα εντοπισμού, οι βαθμολογίες κινδύνου και οι φάκελοι υποθέσεων παραμένουν στην υποδομή του οργανισμού: και αυτό έχει σημασία, καθώς τα δεδομένα εντοπισμού εσωτερικών απειλών είναι από τα πιο ευαίσθητα που διατηρεί ένας οργανισμός.
Δεδομένα συμπεριφοράς
οι agents στους σταθμούς εργασίας συλλέγουν τη δραστηριότητα των χρηστών: εφαρμογές, αρχεία, δραστηριότητα στο web, μηνύματα, χρονικά μοτίβα: παρέχοντας την πρώτη ύλη της συμπεριφορικής ανάλυσης.
Μηχανισμός ανάλυσης κινδύνου
βαθμολογεί κάθε χρήστη σε οκτώ έτοιμες κατηγορίες κινδύνου («εσωτερική απειλή», «διαρροή δεδομένων», «έλλειψη αφοσίωσης εργαζομένων», «ανάρμοστη συμπεριφορά», «μη παραγωγική δραστηριότητα», «παράβαση νόμου», «χρήση πόρων της εταιρείας», «παράβαση ωραρίου εργασίας»), συνδυάζοντας πολλά σήματα σε μία ιεραρχημένη βαθμολογία.
Εντοπισμός βάσει περιεχομένου (DLP)
θησαυροί ασφάλειας, τράπεζες hash, ψηφιακά αποτυπώματα και ετικέτες ευαισθησίας εντοπίζουν τη διακίνηση ευαίσθητων δεδομένων ανεξάρτητα από το κανάλι: το συμπλήρωμα περιεχομένου στα συμπεριφορικά σήματα.
Μονάδα ερευνών
οι επισημασμένες υποθέσεις διερευνώνται μέσα σε δομημένους φακέλους που συγκροτούνται από τα εντοπισμένα συμβάντα, με εξαγωγή υλικού για πειθαρχική ή νομική χρήση.
Διαχειριστής ειδοποιήσεων
οι ειδοποιήσεις κατωφλίου (email, syslog, Telegram) κλιμακώνουν την υπόθεση όταν οι βαθμολογίες κινδύνου περάσουν τα καθορισμένα όρια, επιτρέποντας έγκαιρη διερεύνηση.
Λειτουργία εντοπισμού εσωτερικών απειλών
Μάθετε περισσότερα