Dos perfiles de intruso de datos
El término abarca dos perfiles de actor que, para los sistemas de control de acceso, resultan idénticos. Los equipos de seguridad suelen agruparlos bajo amenaza interna, porque el daño empieza con un acceso que ya se había concedido.
El insider que abusa de sus derechos. Un empleado, contratista o socio comercial ya tiene derechos legítimos y los usa más allá de su propósito. Por ejemplo, revisa expedientes de clientes o pacientes por curiosidad, acumula archivos de proyecto antes de renunciar o copia una base de clientes para un futuro empleador.
El actor externo con credenciales. Un atacante externo, o su malware, opera con credenciales robadas pero válidas: una contraseña obtenida por phishing, una clave de API filtrada o una sesión secuestrada. Para las defensas perimetrales parece un usuario legítimo. Técnicamente, lo es.
Cómo actúa un intruso de datos
La mayoría de los intrusos de datos sigue un patrón reconocible en cuatro etapas.
- 1
Reconocimiento
Localizar dónde están los datos valiosos.
- 2
Ampliación del acceso
Solicitar o robar derechos adicionales.
- 3
Recopilación
Reunir archivos en carpetas comprimidas o en la nube.
- 4
Exfiltración
Sacar los datos por correo, subidas a la nube, aplicaciones de mensajería o medios extraíbles.
Señales conductuales de alerta
Como el intruso usa derechos legítimos por canales legítimos, las señales más fuertes son conductuales, no técnicas. Para eso sirve el análisis de comportamiento. Los intrusos cuidadosos trabajan poco y despacio: transferencias pequeñas repartidas en semanas, dentro del horario laboral y mezcladas con la rutina. Fíjate en:
- acceso a repositorios sensibles que la persona nunca había abierto;
- horarios, ubicaciones o dispositivos inusuales;
- volúmenes anómalos de copia, impresión o archivado;
- uso repentino de nube personal, correo web o memorias USB;
- actividad de preparación cerca de una fecha de salida conocida (renuncia, fin de contrato, despido).
Por qué son difíciles de detectar
Los cortafuegos y las herramientas antimalware frenan la entrada no autorizada. El intruso ya está dentro y tiene permiso, así que estas herramientas no ven nada raro. Detectarlo exige dos cosas: un perfil de lo normal para cada usuario y el análisis del contenido que se mueve, no solo del canal. Esa revisión del contenido es el núcleo de la prevención de pérdida de datos (DLP).
| Mecanismo | Qué verifica | Eficacia frente al intruso |
|---|---|---|
| Cortafuegos y antimalware | La entrada no autorizada | Débil: el intruso está autorizado |
| Análisis de conducta (UEBA) | La actividad frente a la línea base del usuario | Detecta desviaciones de la rutina |
| Análisis de contenido (DLP) | Qué datos se mueven y por qué canal | Puede bloquear o poner en cuarentena |
Impacto
Un intruso de datos que logra su objetivo provoca robo de datos, exposición regulatoria bajo marcos como GDPR, HIPAA y PCI DSS, pérdida de propiedad intelectual e investigaciones prolongadas. El daño suele superar al de las brechas externas, porque el acceso de confianza acorta el camino hasta los datos más valiosos.
Cómo se ve en Anexet
En la consola de Anexet DLP, los eventos relacionados se consolidan en incidentes. Desde un incidente, el administrador puede abrir la actividad de ese usuario o agregar el evento a una investigación.
Por dónde empezar
Empieza por mapear qué datos sensibles puede ver cada rol y por qué canales podrían salir. Las revisiones de acceso que se detienen en quién puede abrir una carpeta dejan pasar al intruso que ya puede abrirla. Con ese mapa, la detección de amenazas internas añade la capa conductual.
Las líneas base necesitan tiempo para ser confiables, así que conviene revisar las primeras alertas con el jefe directo antes de sacar cualquier conclusión sobre una persona.
Lectura recomendada: ¿Cómo reconocer a un insider en una empresa y prevenir sus actividades?.
Un intruso de datos rara vez parece un intruso. Tiene una contraseña válida, una credencial y una razón para estar ahí, así que es el patrón de actividad lo que lo delata.
Anexet TeamCómo lo resuelve Anexet
Anexet está construido en torno a la detección precisamente de este perfil de actor: la persona que abusa del acceso legítimo desde dentro:
La arquitectura on-premise mantiene los perfiles conductuales, el contenido capturado y los registros de investigación dentro de la infraestructura propia de la organización, algo relevante aquí porque los datos recogidos sobre una persona sospechosa de intrusión son en sí mismos muy sensibles.
Análisis conductual (UBA)
Anexet construye una línea base de la actividad normal de cada usuario y evalúa los nuevos eventos frente a ella, de modo que la desviación de un intruso de datos respecto de su propia rutina se hace visible.
Detección de anomalías
el primer acceso a datos sensibles, los volúmenes anómalos de copia, la actividad fuera de horas y el uso inusual de canales generan eventos de riesgo en lugar de pasar como trabajo «autorizado» rutinario.
Incidentes
las anomalías relacionadas se consolidan en incidentes, lo que ofrece a los equipos de seguridad un punto de partida en vez de un flujo de entradas de registro desconectadas.
Investigación
cada evento se registra con su contexto completo: usuario, marca de tiempo, canal y clasificación de contenido: de modo que un incidente pueda reconstruirse de principio a fin como material del caso.
Aplicación consciente del contenido
cuando el análisis de conducta señala un movimiento de riesgo, el análisis de contenido del DLP (tesauros de seguridad, bancos de hashes, huellas digitales, etiquetas de sensibilidad) evalúa qué se transfiere por correo, web, nube, mensajería, USB, impresión y portapapeles, y puede bloquear la transferencia o ponerla en cuarentena.
Anexet DLP
Más información