Analiza zachowań

W bezpieczeństwie analiza zachowań to praktyka badania obserwowalnej aktywności cyfrowej osób wewnątrz organizacji, pracowników, wykonawców, administratorów, aby zrozumieć, co jest normalne, i dostrzec to, co normalne nie jest. Jednostką analizy nie jest pojedynczy plik ani wiadomość, lecz wzorce aktywności w czasie: kiedy ludzie pracują, jakich aplikacji i stron używają, z kim się komunikują, jakich danych dotykają i jak intensywnie.

Założenie jest takie, że większości incydentów wewnętrznych towarzyszą obserwowalne zmiany zachowania. Pracownik przygotowujący się do odejścia, konto przejęte przez osobę z zewnątrz, użytkownik wykraczający daleko poza zwykły zakres, każdy z nich ujawnia się najpierw jako odchylenie od ustalonego wzorca. Analiza zachowań to ustrukturyzowany sposób zauważania tych zmian wcześnie, zamiast odtwarzania ich po incydencie.

Niezależnie od tego, czy prowadzi ją analityk, czy zautomatyzowany silnik, analiza zachowań przebiega w powtarzalnym cyklu:

Wynikiem nie jest werdykt, lecz priorytet: uszeregowana lista osób, których ostatnia aktywność zasługuje na bliższe spojrzenie, a każde odchylenie jest powiązane ze zdarzeniami, które za nim stoją.

1. 1

   Zbieranie danych

   Dane o aktywności są rejestrowane z punktów końcowych i kanałów: użycie aplikacji i sieci WWW, poczta i komunikatory, operacje na plikach, podłączenia urządzeń, drukowanie.

2. 2

   Budowa linii bazowej

   Dla każdego użytkownika, roli lub grupy tworzony jest profil normalnej aktywności, w okresie na tyle długim, aby uchwycić rytm pracy.

3. 3

   Porównanie

   Bieżąca aktywność jest porównywana z linią bazową i progami polityk, liczbami i wolumenami, które oznaczają odstępstwo od normy.

4. 4

   Ocena

   Odchylenia są klasyfikowane według kategorii, potencjalna utrata danych, naruszenie polityki, sygnały nieuczciwości, i otrzymują poziom ryzyka odzwierciedlający wagę i powtarzalność.

5. 5

   Reakcja

   Potwierdzone ryzyko prowadzi do alertowania, badania albo działania prewencyjnego; odrzucone ustalenia dostrajają linie bazowe i progi.

Wzorzec bazowy to profil normalnej aktywności jednego użytkownika, roli lub grupy, zbudowany w okresie wystarczająco długim, by uchwycić rytm pracy. Odchylenie to mierzalne odejście od tego profilu. Ta sama czynność może być rutyną dla jednej osoby i sygnałem dla innej, dlatego sztywna reguła napisana dla wszystkich albo przeoczy prawdziwe przypadki, albo zasypie zespół fałszywymi alertami. Porównanie każdej osoby z jej własną historią i z kolegami na tym samym stanowisku utrzymuje wartość sygnału. Wzorce bazowe opierają się na już zebranych danych monitorowania aktywności użytkowników, a odchylenia ocenia się na tle znanych wzorców zagrożeń wewnętrznych.

Przegląd odchylenia jest równie ważny jak jego wykrycie. Analitycy sprawdzają zdarzenia stojące za każdą zgłoszoną zmianą, a ich decyzje wracają do wzorca. Dzięki temu nieszkodliwy schemat, na przykład raport na koniec miesiąca, przestaje generować alerty.

• Godziny pracy na tle zwykłego grafiku osoby i rytmu zespołu
• Liczba wiadomości, plików i pobrań na godzinę, dzień lub tydzień
• Aplikacje, strony i adresaci, z których osoba zwykle korzysta
• Repozytoria, zasoby sieciowe i systemy, które osoba zwykle otwiera

W bezpieczeństwie analiza zachowań dotyczy wyłącznie obserwowalnych działań w systemach firmowych: do których zasobów uzyskano dostęp, co wysłano, dokąd, kiedy i w jakiej objętości. Nie wnioskuje się w niej o cechy osobowości, postawy ani zamiary i nie przewiduje się, co człowiek mógłby zrobić poza systemami służbowymi. Profilowanie psychologiczne to inna działalność, o znacznie ostrzejszych granicach prawnych, i to nie ona jest istotą analizy ryzyka insider.

To rozróżnienie ma znaczenie prawne: organy nadzoru akceptują monitorowanie aktywności związanej z pracą, gdy jest proporcjonalne, przejrzyste i ograniczone celowością, podczas gdy ocenianie osobowości czy życia prywatnego jest wrażliwym przetwarzaniem, które większość ram prawnych ogranicza lub zakazuje. Obronny program nazywa wskaźniki, które śledzi; nie charakteryzuje osoby stojącej za nimi.

Jeszcze jedna granica: analityka zachowań użytkowników i encji (UEBA) to kategoria technologiczna, która automatyzuje analizę zachowań modelami statystycznymi; sama analiza zachowań to szersza praktyka, uprawiana zarówno przez analityków, jak i silniki.

Większość tych wzorców pojawia się najpierw jako zmiana względem własnego wzorca osoby. Zautomatyzowane narzędzia UEBA je oznaczają, a o ich znaczeniu decydują analitycy.

W module Insider Threat Detection każdy incydent ma poziom ryzyka i kategorię, więc oficer bezpieczeństwa widzi, gdzie koncentruje się ryzyko, zanim otworzy pojedyncze zdarzenie.

1 / 2

• 
• 

Zbudowana na monitorowaniu pracowników analiza zachowań podlega prawu pracy i ochronie danych. W Unii Europejskiej i Wielkiej Brytanii RODO wymaga uprawnionej podstawy, określonego celu, proporcjonalności i przejrzystości, pracownicy muszą wiedzieć, że monitorowanie istnieje i czego obejmuje, a wymagana może być także konsultacja z reprezentacją pracowników. Inne jurysdykcje mają własne reguły powiadamiania; minimalizacja danych obowiązuje wszędzie: zbieraj tego, czego wymaga cel, i nic więcej.

Praktyczne zabezpieczenia: pisemna polityka monitoringu zakomunikowana personelowi, ograniczenie dostępu do zapisów behawioralnych do określonych ról, limity retencji oraz wyraźne rozdzielenie analizy bezpieczeństwa od oceny wyników pracy. Granica prawna przebiega między obserwowaniem aktywności na zasobach firmowych a ukrytą inwigilacją osób.

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem od kanałów, którymi naprawdę są przesyłane. Dobry program zarządzania ryzykiem wewnętrznym opiera się na krótkiej liście wskaźników, które organizacja potrafi wyjaśnić pracownikom.

Zanim odchylenie stanie się wnioskiem, sprawdź zdarzenia, które za nim stoją, i kontekst pracy. Odchylenie to pytanie do wyjaśnienia, a nie wyrok wobec człowieka.

Czytaj dalej: Profilowanie.