Δείκτες Εσωτερικών Απειλών

Μια κλασική ειδοποίηση ασφάλειας είναι γεγονός: το τείχος προστασίας μπλοκάρει μια σύνδεση, μια σύνδεση αποτυγχάνει πέντε φορές ή ένα κακόβουλο αρχείο μπαίνει σε καραντίνα. Το γεγονός είναι σαφές και αυτοτελές.

Οι εσωτερικές απειλές σπάνια παράγουν τόσο καθαρά γεγονότα. Αφήνουν μια σειρά ενεργειών, καθεμιά από τις οποίες είναι θεμιτή μεμονωμένα. Ένας εργαζόμενος που αυτή την εβδομάδα κατεβάζει 50% περισσότερα αρχεία από το συνηθισμένο, μπαίνει σε έργο εκτός του τμήματός του και στις 23:00 ανεβάζει δεδομένα σε προσωπικό λογαριασμό cloud δεν ενεργοποιεί καμία μεμονωμένη ειδοποίηση. Μαζί, όμως, οι δείκτες έχουν σημασία.

Γι' αυτό τα προγράμματα για τις εσωτερικές απειλές βασίζονται σε δείκτες, δηλαδή σε σήματα συμπεριφοράς που συνθέτουν την εικόνα κινδύνου, και όχι σε μεμονωμένα γεγονότα. Η αναλυτική εργασία έγκειται στον συνδυασμό των δεικτών και στην παρακολούθηση της κλιμάκωσής τους.

Οι δείκτες χωρίζονται σε πέντε ομάδες. Άλλα σήματα είναι η δραστηριότητα γύρω από απολύσεις ή αναδιαρθρώσεις, οι παραβάσεις πολιτικών που κλιμακώνονται με τον χρόνο και η οικονομική πίεση.

Τα προγράμματα που ενεργοποιούνται από έναν μεμονωμένο δείκτη, όπως «ειδοποίησε όταν κάποιος χρήστης ανεβάζει αρχείο σε cloud», παράγουν τεράστιο όγκο ψευδώς θετικών. Σε μεγάλο οργανισμό γίνονται καθημερινά χιλιάδες θεμιτές μεταφορές στο cloud. Αν καθεμιά αντιμετωπιστεί ως ειδοποίηση, οι αναλυτές απευαισθητοποιούνται και οι πραγματικές απειλές χάνονται στον θόρυβο.

Τα ώριμα προγράμματα χρησιμοποιούν τους δείκτες ως είσοδο στη βαθμολόγηση κινδύνου, και όχι ως αυτόνομες ειδοποιήσεις. Έτσι μειώνονται τα ψευδώς θετικά, εστιάζεται η προσοχή των αναλυτών και σέβεται η ιδιωτικότητα των εργαζομένων, αφού αποφεύγεται η άστοχη παρακολούθηση.

Κανένας μεμονωμένος δείκτης δεν επιβεβαιώνει απειλή. Ένας προγραμματιστής που μένει αργά για να ολοκληρώσει ένα έργο, ένας πωλητής που στέλνει μια πρόταση στο προσωπικό του email για να δουλέψει το Σαββατοκύριακο ή ένας διαχειριστής IT που μπαίνει σε διακομιστές το βράδυ για συντήρηση κάνουν θεμιτές ενέργειες, που ωστόσο μπορεί να ταιριάζουν σε μοτίβα δεικτών.

Η βαθμολόγηση κινδύνου συνδυάζει πολλούς δείκτες για να ξεχωρίσει το σήμα από τον θόρυβο. Το αποτέλεσμα είναι μια ιεραρχημένη βαθμολογία κινδύνου ανά χρήστη, όχι μια δυαδική ειδοποίηση. Οι αναλυτές εξετάζουν πρώτα τις υποθέσεις με τη μεγαλύτερη βαθμολογία, για να διαπιστώσουν πλαίσιο και πρόθεση, και μετά αποφασίζουν την ενέργεια.

1. 1

   Συχνότητα και κλιμάκωση

   Ένας δείκτης είναι χαμηλός· επαναλαμβανόμενοι και αυξανόμενοι είναι υψηλότεροι

2. 2

   Συνδυασμός

   Ασθενής μόνος του, ισχυρός όταν συμβαίνουν πολλοί μαζί

3. 3

   Απόκλιση από τη βάση

   Κανονικό για έναν χρήστη, μπορεί να είναι ανώμαλο για άλλον

4. 4

   Βάρος πλαισίου

   Αποκτά βάρος με αποχώρηση, αλλαγή ρόλου ή πειθαρχικό μέτρο

Οι δείκτες υποδεικνύουν κίνδυνο, ενώ τα τεκμηριωμένα ευρήματα δείχνουν ζημιά. Ένα ώριμο πρόγραμμα χρησιμοποιεί τους δείκτες για να ιεραρχήσει τις διερευνήσεις και στη συνέχεια συγκεντρώνει επαληθευμένα ευρήματα πριν ενεργήσει. Η δράση μόνο με βάση τους δείκτες οδηγεί σε αβάσιμες κατηγορίες, ενώ η αναμονή ευρημάτων χωρίς παρακολούθηση δεικτών σημαίνει ότι οι απειλές εντοπίζονται μόνο αφού προκληθεί ζημιά.

• Οι δείκτες είναι μοτίβα συμπεριφοράς που δικαιολογούν διερεύνηση. Είναι πιθανολογικοί: ένας δείκτης δεν αποδεικνύει ότι υπάρχει απειλή.
• Τα τεκμηριωμένα ευρήματα είναι επαληθευμένη δραστηριότητα που δείχνει πραγματική παράβαση πολιτικής ή ζημιά, όπως επιβεβαιωμένη εξαγωγή δεδομένων, καταγεγραμμένη μη εξουσιοδοτημένη πρόσβαση ή αποδεδειγμένη απάτη.

Ο μηχανισμός ανάλυσης κινδύνου της Anexet βαθμολογεί κάθε χρήστη σε ενσωματωμένες κατηγορίες κινδύνου. Παρακάτω, ο διαχειριστής κατηγοριών εμφανίζει αυτές τις κατηγορίες με τα προεπιλεγμένα επίπεδα κινδύνου.

Ξεκινήστε από τα σήματα του εντοπισμού εσωτερικών απειλών που αγγίζουν τα δεδομένα των οποίων η διαρροή θα ζημίωνε περισσότερο, και στη συνέχεια προσθέστε κανάλια και συμπεριφορές, μία ομάδα κάθε φορά.

Μια σύντομη λίστα καλά ρυθμισμένων σημάτων είναι ευκολότερη στον έλεγχο από μια μακριά λίστα ειδοποιήσεων που κανείς δεν διαβάζει.

Περισσότερα: Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;; Πώς να αναγνωρίσετε έναν insider σε μια εταιρεία και να αποτρέψετε τη δραστηριότητά του;.