Indicatori di Minacce Interne

Un avviso di sicurezza tradizionale è un evento: il firewall ha bloccato una connessione, un accesso è fallito cinque volte o un file dannoso è stato messo in quarantena. L'evento è chiaro e autosufficiente.

Le minacce interne raramente producono eventi così netti. Lasciano piuttosto una scia di azioni che, prese singolarmente, sono legittime. Un dipendente che questa settimana scarica il 50% di file in più del solito, accede a un progetto estraneo alla sua funzione e alle 23 carica dati su un account cloud personale non fa scattare nessun avviso isolato. Insieme, però, questi indicatori sono significativi.

Per questo i programmi sulle minacce interne lavorano con gli indicatori, cioè segnali comportamentali che compongono un quadro di rischio, e non con eventi isolati. Il lavoro analitico consiste nel combinare gli indicatori e nel seguirne l'intensificarsi nel tempo.

Gli indicatori si dividono in cinque gruppi. Altri segnali sono l'attività attorno a licenziamenti o riorganizzazioni, le violazioni delle politiche che si aggravano nel tempo e le difficoltà economiche.

Le regole che scattano su un singolo indicatore, come «avvisa quando un utente carica qualcosa sul cloud», generano una quantità enorme di falsi positivi. In un'organizzazione grande ogni giorno avvengono migliaia di caricamenti legittimi. Trattare ciascuno come un avviso rende insensibili gli analisti e fa perdere le minacce reali nel rumore.

I programmi maturi usano gli indicatori come input del punteggio di rischio, non come avvisi autonomi. Così si riducono i falsi positivi, si concentra l'attenzione degli analisti e si tutela la riservatezza dei dipendenti, evitando un controllo senza direzione.

Nessun indicatore isolato conferma una minaccia. Uno sviluppatore che resta fino a tardi per chiudere un progetto, un commerciale che invia una proposta alla posta personale per lavorare nel fine settimana o un amministratore di sistema che accede ai server di sera per manutenzione svolgono attività legittime, che però possono corrispondere a schemi di indicatori.

Il punteggio di rischio combina più indicatori per separare il segnale dal rumore. Il risultato è un punteggio di rischio prioritario per utente, non un avviso binario. Gli analisti esaminano prima i casi con il punteggio più alto, per stabilire contesto e intenzione, e solo dopo decidono la risposta.

1. 1

   Frequenza e intensificazione

   Basso se isolato; ripetuto e crescente, pesa di più

2. 2

   Combinazione

   Debole da solo, forte quando più indicatori compaiono insieme

3. 3

   Scostamento dalla linea di base

   Normale per un utente può essere anomalo per un altro

4. 4

   Peso del contesto

   Acquista peso con uscita, cambio di ruolo o provvedimento disciplinare

Gli indicatori segnalano un rischio; i riscontri accertati dimostrano un danno. Un programma maturo usa gli indicatori per dare priorità alle indagini e, nel corso di queste, raccoglie riscontri verificati prima di agire. Agire sui soli indicatori porta ad accuse infondate, mentre attendere riscontri accertati senza seguire gli indicatori significa rilevare le minacce solo dopo che il danno è avvenuto.

• Gli indicatori sono schemi comportamentali che giustificano un'indagine. Sono probabilistici: un indicatore non dimostra che una minaccia esista.
• I riscontri accertati sono attività verificata che dimostra una violazione effettiva delle politiche o un danno, come un'esfiltrazione confermata, un accesso non autorizzato documentato o una frode dimostrata.

Il motore di analisi del rischio di Anexet valuta ogni utente secondo categorie di rischio predefinite. Il gestore delle categorie qui sotto mostra queste categorie con i livelli di rischio predefiniti.

Inizia dai segnali di rilevamento delle minacce interne che riguardano i dati la cui fuga farebbe più danni, poi aggiungi canali e comportamenti un gruppo alla volta.

Un elenco breve di segnali ben calibrati è più facile da esaminare di una lunga lista di avvisi che nessuno legge.

Per approfondire: Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?; Come riconoscere un insider in azienda e prevenirne le attività?.