Qui est considéré comme un insider
Un insider est toute personne dont l'accès est légitime. Cela inclut les salariés en poste, les prestataires, les consultants, le personnel temporaire, ainsi que les partenaires ou fournisseurs à qui ont été accordés un compte, un accès VPN ou une entrée dans les locaux. Les anciens salariés dont les comptes n'ont jamais été totalement supprimés sont généralement comptés également.
Ce qui définit un insider, c'est l'accès autorisé, et non l'intention ni le comportement. Une même personne peut être un collègue de confiance un jour et un risque pour la sécurité le lendemain, si bien que le terme désigne un rôle et non une étiquette. La vision plus large de ce rôle relève du risque lié aux insiders.
Quatre types d'insiders
La pratique de la sécurité distingue les insiders selon l'intention et selon la personne qui se trouve réellement derrière le compte. Les actes négligents causent souvent autant de dégâts que les abus délibérés, si bien que l'intention seule est un mauvais critère.
Pour les outils de sécurité, un compte compromis paraît autorisé, parce qu'il l'est techniquement.
| Type | Ce que cela signifie |
|---|---|
| Insider négligent | Imprudent ou mal informé : fichiers envoyés au mauvais destinataire, hameçonnage, ordinateur portable perdu |
| Insider malveillant | Abuse délibérément de son accès, par exemple en copiant des données clients pour un concurrent |
| Insider compromis (taupe) | Compte légitime exploité par un attaquant ou par une personne infiltrée |
| Insider tiers | Fournisseurs, informatique externalisée et auditeurs disposant d'un accès accordé |
Où se cache l'activité des insiders
Beaucoup de ces habitudes relèvent du shadow IT : des outils que personne n'a validés et que personne ne suit. Ces habitudes ne laissent ni ticket ni trace de licence, si bien que les contrôles habituels ne les voient jamais.
La visibilité revient grâce à la découverte automatisée, qui montre ce qui est installé et utilisé, et grâce à un registre à jour de qui dispose de quel accès.
Les cas courants suivent quelques schémas :
- Un compte personnel de partage de fichiers utilisé pour des dossiers clients
- Une adresse e-mail personnelle utilisée pour envoyer une grille tarifaire
- Une clé USB copiée avec une base de clients avant un départ
- Une impression oubliée dans le bac d'une imprimante partagée
À quoi cela ressemble dans Anexet
Dans la console client, le gestionnaire des catégories de risque définit la façon dont les événements sont regroupés. Les catégories intégrées, comme Internal Threat, portent déjà un niveau de risque par défaut, si bien que les activités à haut risque remontent sans qu'il faille rédiger des règles de détection depuis zéro. La page détection des menaces internes montre comment ces scores alimentent les enquêtes.
Les administrateurs étiquettent aussi les utilisateurs avec des balises système, comme Suspicious, Special control ou Offboarding, afin que la revue suive la personne et pas seulement un événement.
1 / 2
Insider et acteur externe
Un attaquant externe doit d'abord franchir le périmètre : pare-feu, authentification et protection des postes. Un insider commence derrière tout cela. Il dispose déjà d'identifiants valides, sait où se trouvent les données précieuses et connaît le schéma d'activité normal.
C'est pourquoi séparer l'activité d'un insider du travail légitime est plus difficile que détecter une attaque externe. L'analyse du comportement des utilisateurs et des entités (UEBA) répond à ce problème en comparant chaque personne à son propre historique.
| Capacité | Attaquant externe | Insider |
|---|---|---|
| Dispose d'identifiants valides | ||
| Commence derrière le pare-feu | ||
| Sait où se trouvent les données précieuses | ||
| Doit franchir le périmètre |
Comment le risque lié aux insiders est géré
« Insider » décrit un rôle et non une étiquette de menace, et la grande majorité des insiders ne cause jamais de tort. Chaque insider représente néanmoins un risque que la sécurité du périmètre ne voit pas : usage abusif délibéré, erreurs coûteuses ou prise de contrôle d'un compte.
La gestion de ce risque relève de la gestion des risques liés aux insiders. Elle se résume en quatre étapes :
- 1
Connaître l'accès
Identifiez les systèmes, les données et les locaux auxquels chaque insider peut accéder.
- 2
Observer l'usage
Suivez la façon dont cet accès est utilisé sur tous les canaux.
- 3
Comparer à la référence
Mesurez l'activité de chaque utilisateur par rapport à son propre schéma normal.
- 4
Agir sur les infractions
Réagissez lorsqu'un comportement ou un contenu franchit les limites de la politique.
Par où commencer
Commencez par les données dont la fuite serait la plus dommageable, puis par les canaux que les personnes utilisent réellement pour les transférer. Les politiques écrites pour tous les fichiers à la fois finissent par bloquer le travail courant et sont désactivées.
Pour aller plus loin : Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?; Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.
Un insider n'a jamais besoin de forcer la porte. La vraie question est ce qu'il fait de l'accès qu'il détient déjà.
Anexet TeamComment Anexet traite ce sujet
Anexet est construit autour d'une question : que font réellement les personnes disposant d'un accès légitime, avec cet accès ?
L'architecture sur site conserve l'historique d'activité et les profils comportementaux dans l'infrastructure de l'organisation elle-même. C'est important ici, car les données de surveillance des insiders sont elles-mêmes très sensibles.
Une surveillance centrée sur l'insider
Les agents installés sur les postes enregistrent l'activité des utilisateurs sur la messagerie, le web, les applications cloud, les messageries instantanées, les supports amovibles, l'impression et le presse-papiers, c'est-à-dire les canaux que les insiders utilisent pour transférer des données.
Analyse comportementale (UBA)
Anexet établit une référence de l'activité normale de chaque utilisateur et évalue les nouveaux événements par rapport à celle-ci, pour rendre visibles le raccourci risqué d'un insider négligent ou l'écart d'un insider malveillant par rapport à sa routine.
Conscience du contenu
L'analyse de contenu DLP (thésaurus de sécurité, banques de hachage, empreintes numériques, étiquettes de sensibilité) montre non seulement qui a fait quoi, mais aussi quelles données étaient concernées, et distingue un transfert courant de la circulation de contenus sensibles.
Incidents et piste d'audit
Les événements liés sont regroupés en incidents, et chaque événement est enregistré avec l'utilisateur, l'horodatage, le canal et la classification du contenu, ce qui soutient les enquêtes et les exigences de preuve.
Anexet DLP
En savoir plus