Rilevamento delle Minacce Interne

Un attacco esterno fa scattare degli allarmi. Un firewall blocca una connessione, un sistema di rilevamento delle intrusioni segnala una firma, l'antivirus mette un file in quarantena. Sono eventi basati su regole: qualcosa corrisponde a uno schema malevolo noto oppure no.

Le minacce interne non funzionano così. La persona interna usa credenziali, applicazioni e canali legittimi. Ogni singola azione, come aprire un file, inviare un'e-mail o caricare dati sul cloud, è autorizzata. La minaccia sta nello schema: nella combinazione di azioni nel tempo che rivela intenzione o rischio. Rilevarla richiede un approccio diverso dalla sicurezza perimetrale.

Un rilevamento efficace combina più metodi, perché nessuno da solo copre tutti i casi:

• Monitoraggio basato su regole: politiche fisse segnalano azioni specifiche, per esempio un file con l'impronta di un documento riservato caricato su un account cloud personale. Colgono gli schemi noti, non quelli nuovi.
• Baseline comportamentale e rilevamento delle anomalie (UEBA): il sistema apprende il comportamento normale di ogni utente e segnala gli scostamenti, per esempio un improvviso aumento del volume di dati o l'accesso a sistemi fuori dal ruolo. Così si colgono minacce che non corrispondono ad alcuna regola predefinita.
• Ispezione dei contenuti (DLP): anziché il comportamento, il DLP osserva ciò che viene trasferito, per esempio un foglio di calcolo con numeri di carta o un testo che corrisponde a un dizionario di termini sensibili. Coglie i dati realmente a rischio, qualunque sia il canale.
• Punteggio di rischio: più segnali vengono combinati in un punteggio di rischio per utente. Un singolo segnale debole indica rischio basso, ma più segnali convergenti sulla stessa persona alzano il punteggio. I casi vengono così ordinati rispetto all'attenzione limitata degli analisti.
• Arricchimento contestuale: eventi delle risorse umane, variazioni di accesso e contesto organizzativo rendono il rilevamento più preciso e riducono i falsi positivi.

Anexet valuta ogni utente in base a categorie di rischio. Ogni categoria ha un livello di rischio predefinito.

I programmi di rilevamento seguono nel tempo combinazioni di questi indicatori. Nessun indicatore isolato è decisivo: il valore nasce dalle combinazioni e dalle tendenze, non da eventi isolati.

Rilevare non significa accusare. Quando un utente viene segnalato, il passo successivo è indagare, non agire. L'analista esamina l'attività segnalata nel suo contesto:

• Esiste una spiegazione aziendale legittima?
• Il ruolo o il progetto della persona è cambiato di recente?
• Più fonti di dati confermano gli indicatori?
• Qual è la gravità e il possibile impatto?

Solo dopo l'indagine il programma decide la risposta: chiudere il caso come falso positivo, intensificare il monitoraggio, modificare gli accessi o passare alla direzione o alla sicurezza per un intervento. Saltare l'indagine e agire su avvisi grezzi porta ad accuse infondate, perdita di fiducia ed esposizione legale.

Il rilevamento individua il rischio, la prevenzione blocca il danno. Sono complementari.

Molte minacce non si possono prevenire in anticipo. Una persona interna può usare canali non coperti dal DLP, oppure agire in modo legittimo se considerata da sola. In questi casi la difesa principale è il rilevamento unito a un'indagine rapida. Per canali e contenuti noti, la prevenzione tramite DLP è più efficace.

Per approfondire: Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.

• Il DLP è preventivo: può impedire che un file sensibile esca dall'organizzazione.
• L'UEBA è investigativo: individua un rischio comportamentale che può tradursi o meno in un evento reale.