Esfiltrazione di Dati

Una fuga di dati è qualsiasi esposizione non autorizzata di dati, intenzionale o accidentale. Un dipendente che invia un foglio di calcolo a un account personale per lavorare da casa causa una fuga per negligenza, non per dolo.

L'esfiltrazione di dati è il trasferimento deliberato e nascosto di dati verso una destinazione esterna controllata da un attaccante o da una persona interna. Presuppone un'intenzione: qualcuno porta i dati fuori in modo che escano senza essere notati.

In pratica i metodi di rilevamento si sovrappongono molto, perché entrambi richiedono di monitorare i movimenti dei dati e di ispezionarne il contenuto. La differenza di intenzione resta però importante per la risposta agli incidenti, le azioni legali e la classificazione delle minacce interne.

L'esfiltrazione usa qualsiasi canale attraverso cui i dati possono uscire legittimamente da un'organizzazione. Ogni canale richiede un controllo specifico, e il controllo dei dispositivi copre i canali locali, come USB e stampa.

I primi sei metodi sono i più comuni negli incidenti reali. Gli ultimi due sono più rari, ma più difficili da rilevare.

Tre tipi di attori esfiltrano dati:

• Insider malintenzionati: dipendenti o collaboratori che rubano dati di proposito, come proprietà intellettuale per un concorrente, elenchi di clienti, dati finanziari per una frode o informazioni per motivi ideologici, come la segnalazione di illeciti o l'attivismo.
• Account compromessi: attaccanti esterni che hanno rubato credenziali o preso il controllo di un dispositivo. Agiscono attraverso l'accesso legittimo del dipendente, quindi l'attività appare autorizzata. Per questo gli insider compromessi rientrano nel monitoraggio delle minacce interne.
• Malware: trojan infostealer e minacce persistenti avanzate (APT) che raccolgono dati localmente e li inviano a un server di comando e controllo.

La difficoltà centrale è che l'esfiltrazione usa le stesse applicazioni e gli stessi canali del lavoro legittimo. Un dipendente che carica un file nel cloud alle 14 può star condividendo una proposta con un cliente. La stessa azione alle 2 di notte, verso un account personale, da parte di chi ha già dato le dimissioni, è un'altra storia. Nessun segnale isolato è conclusivo: per questo il rilevamento combina i controlli seguenti e valuta il rischio nel tempo.

• Ispezione del contenuto: i dati corrispondono a schemi riservati, impronte digitali o etichette? Su questo controllo si basa il blocco basato sul contenuto.
• Contesto: quando, da dove e chi: fuori orario, posizione insolita o dipendente in uscita.
• Volume e schema: un download massiccio seguito da un upload esterno è una firma classica.

Prevenzione e risposta combinano cinque capacità:

1. 1

   Applicare le policy DLP

   Impedire che i dati sensibili escano dai canali controllati, in base alla classificazione del contenuto.

2. 2

   Sorvegliare i canali locali

   Visibilità su USB, appunti e stampa, che gli strumenti di rete non vedono.

3. 3

   Definire il comportamento normale

   L'analisi comportamentale (UEBA) costruisce un profilo dell'attività tipica e segnala le deviazioni.

4. 4

   Limitare gli accessi

   L'accesso ai soli dati necessari riduce il danno causato da un singolo account compromesso.

5. 5

   Indagare e conservare le prove

   Stabilire chi, cosa, quando e dove, bloccare i trasferimenti successivi e conservare le prove per azioni legali o disciplinari.

Nella console Anexet, un'email intercettata si apre su una scheda AI che elenca le possibili minacce, come l'occultamento di informazioni, e un breve riepilogo della conversazione. La schermata avverte anche che l'output dell'IA non è sempre affidabile, quindi l'analista legge il messaggio prima di agire. I messaggi segnalati possono essere aggiunti a un caso di indagine.

Parta dai dati la cui fuga farebbe più danni, poi mappi i canali che le persone usano davvero per spostarli. Le regole che bloccano tutto già dal primo giorno vengono spesso disattivate, e a quel punto non si controlla più niente.

Il modulo Anexet DLP funziona on-premise e copre i canali descritti sopra.

Per approfondire: Sistemi DLP — che cosa sono e come funzionano; Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.