Due profili di intruso di dati
Il termine comprende due profili di attore che, per i sistemi di controllo degli accessi, risultano identici. I team di sicurezza li raggruppano spesso sotto la minaccia interna, perché il danno inizia da un accesso già concesso.
L'insider che abusa dei diritti. Un dipendente, un collaboratore o un partner commerciale possiede già diritti legittimi e li usa oltre la finalità prevista. Ad esempio consulta per curiosità i fascicoli di clienti o pazienti, accumula file di progetto prima delle dimissioni o copia una banca dati clienti per un futuro datore di lavoro.
L'attore esterno con credenziali. Un attaccante esterno, o il suo malware, opera con credenziali rubate ma valide: una password ottenuta con il phishing, una chiave API trapelata o una sessione dirottata. Per le difese perimetrali sembra un utente legittimo, perché tecnicamente lo è.
Come agisce un intruso di dati
La maggior parte degli intrusi di dati segue uno schema riconoscibile in quattro fasi.
- 1
Ricognizione
Individuare dove si trovano i dati di valore.
- 2
Ampliamento dell'accesso
Richiedere o sottrarre diritti aggiuntivi.
- 3
Raccolta
Riunire i file in archivi o cartelle cloud.
- 4
Esfiltrazione
Portare i dati fuori tramite e-mail, caricamenti nel cloud, app di messaggistica o supporti rimovibili.
Segnali comportamentali di allarme
Poiché l'intruso usa diritti legittimi su canali legittimi, i segnali più forti sono comportamentali, non tecnici, ed è proprio il terreno dell'analisi comportamentale. Gli intrusi accorti lavorano poco e piano: piccoli trasferimenti distribuiti su settimane, nell'orario di lavoro e mescolati alla routine. Presta attenzione a:
- accesso ad archivi sensibili che la persona non aveva mai aperto prima;
- orari, luoghi o dispositivi insoliti;
- volumi anomali di copia, stampa o archiviazione;
- uso improvviso di cloud personale, webmail o chiavette USB;
- attività di raccolta a ridosso di una data di uscita nota (dimissioni, fine contratto, licenziamento).
Perché sono difficili da rilevare
Firewall e strumenti antimalware sono costruiti per fermare l'ingresso non autorizzato. L'intruso è già dentro ed è autorizzato, quindi questi strumenti non vedono nulla di anomalo. Il rilevamento richiede due elementi: una linea di base di ciò che è normale per ogni utente e l'analisi del contenuto che viene spostato, non solo del canale. Questo controllo del contenuto è il cuore della prevenzione della perdita di dati (DLP).
| Meccanismo | Che cosa verifica | Efficacia contro l'intruso |
|---|---|---|
| Firewall e antimalware | L'ingresso non autorizzato | Debole: l'intruso è autorizzato |
| Analisi comportamentale (UEBA) | L'attività rispetto alla linea di base dell'utente | Individua gli scostamenti dalla routine |
| Analisi del contenuto (DLP) | Quali dati si muovono e su quale canale | Può bloccare o mettere in quarantena |
Impatto
Un intruso di dati che riesce nel suo intento causa furto di dati, esposizione normativa rispetto a quadri come il GDPR, l'HIPAA e il PCI DSS, perdita di proprietà intellettuale e indagini lunghe. Il danno supera spesso quello delle violazioni esterne, perché l'accesso fiduciario accorcia il percorso verso i dati di maggior valore.
Come si vede in Anexet
Nella console di Anexet DLP gli eventi collegati vengono consolidati in incidenti. Da un incidente l'amministratore può aprire l'attività di quell'utente oppure aggiungere l'evento a un'indagine.
Da dove iniziare
Inizia mappando quali dati sensibili può raggiungere ciascun ruolo e attraverso quali canali quei dati potrebbero uscire. Le verifiche degli accessi che si fermano a chi può aprire una cartella lasciano passare l'intruso che già può aprirla. Una volta pronta la mappa, il rilevamento delle minacce interne aggiunge lo strato comportamentale.
Le linee di base richiedono tempo per diventare affidabili, quindi esamina i primi alert con il responsabile diretto prima di trarre qualsiasi conclusione su una persona.
Per approfondire: Come riconoscere un insider in azienda e prevenirne le attività?.
Un intruso di dati raramente sembra un intruso. Ha una password valida, un accesso legittimo e un motivo per essere lì, quindi a tradirlo è lo schema della sua attività.
Anexet TeamCome Anexet affronta questo
Anexet è costruita proprio attorno al rilevamento di questo profilo di attore: una persona che abusa di un accesso legittimo dall'interno:
L'architettura on-premise mantiene i profili comportamentali, i contenuti acquisiti e i registri d'indagine dentro l'infrastruttura dell'organizzazione stessa: aspetto significativo qui, perché i dati raccolti su una persona sospettata di intrusione sono essi stessi altamente sensibili.
Analisi comportamentale (UBA)
Anexet costruisce una linea di base dell'attività normale di ciascun utente e valuta i nuovi eventi rispetto a essa, così che lo scostamento di un intruso di dati dalla propria routine diventi visibile.
Rilevamento delle anomalie
il primo accesso a dati sensibili, volumi anomali di copia, attività fuori orario e un uso insolito dei canali generano eventi di rischio invece di passare come lavoro «autorizzato» di routine.
Incidenti
le anomalie collegate vengono consolidate in incidenti, offrendo ai team di sicurezza un punto di partenza anziché un flusso di voci di log slegate.
Indagine
ogni evento è registrato con il contesto completo: utente, marca temporale, canale e classificazione del contenuto: così che un incidente possa essere ricostruito dall'inizio alla fine come materiale del caso.
Applicazione consapevole del contenuto
dove l'analisi comportamentale segnala un movimento a rischio, l'analisi di contenuto del DLP (tesauri di sicurezza, banche di hash, impronte digitali, etichette di riservatezza) valuta che cosa viene trasferito su posta, web, cloud, messaggistica, USB, stampa e appunti, e può bloccare o mettere in quarantena il trasferimento.
Anexet DLP
Scopri di più