Eksfiltracja danych

Wyciek danych to każde nieautoryzowane ujawnienie danych, celowe lub przypadkowe. Pracownik, który wysyła arkusz na prywatne konto e-mail, żeby pracować z domu, powoduje wyciek przez zaniedbanie, a nie ze złej woli.

Eksfiltracja danych to celowe, ukryte przeniesienie danych do zewnętrznego miejsca kontrolowanego przez napastnika lub pracownika. Zakłada intencję: ktoś wynosi dane tak, żeby nikt tego nie zauważył.

W praktyce metody wykrywania bardzo się pokrywają, bo obie wymagają monitorowania przepływu danych i analizy treści. Różnica w intencji nadal ma znaczenie przy reagowaniu na incydent, w postępowaniu prawnym i przy klasyfikacji zagrożeń wewnętrznych.

Eksfiltracja wykorzystuje każdy kanał, którym dane mogą legalnie opuścić organizację. Każdy kanał wymaga osobnej kontroli, a lokalne, takie jak USB czy drukowanie, obsługuje kontrola urządzeń.

Pierwszych sześć metod jest najczęstszych w realnych incydentach. Dwie ostatnie są rzadsze, ale trudniejsze do wykrycia.

Dane wynoszą trzy rodzaje podmiotów:

• Złośliwi pracownicy wewnętrzni: pracownicy lub współpracownicy, którzy kradną dane celowo, np. własność intelektualną dla konkurenta, bazy klientów, dane finansowe do oszustwa albo informacje z przyczyn ideowych, np. sygnalizowania nieprawidłowości lub aktywizmu.
• Przejęte konta: zewnętrzni napastnicy, którzy ukradli dane logowania lub przejęli urządzenie. Działają przez uprawniony dostęp pracownika, więc aktywność wygląda na autoryzowaną. Dlatego przejęte konta podlegają monitorowaniu zagrożeń wewnętrznych.
• Złośliwe oprogramowanie: trojany typu infostealer i zaawansowane trwałe zagrożenia (APT), które zbierają dane lokalnie i wysyłają je na serwer sterujący.

Główna trudność polega na tym, że eksfiltracja korzysta z tych samych aplikacji i kanałów co zwykła praca. Pracownik wysyłający plik do chmury o 14:00 może udostępniać propozycję klientowi. Ta sama czynność o 2 w nocy, na prywatne konto, przez osobę, która złożyła wypowiedzenie, to już inna historia. Żaden pojedynczy sygnał nie jest rozstrzygający, dlatego wykrywanie łączy poniższe kontrole i ocenia ryzyko w czasie.

• Analiza treści: czy dane pasują do poufnych wzorców, odcisków cyfrowych lub etykiet? Na tym sprawdzeniu opiera się blokowanie oparte na treści.
• Kontekst: kiedy, skąd i kto: po godzinach, nietypowa lokalizacja, pracownik odchodzący z firmy.
• Wolumen i wzorzec: masowe pobranie, po którym następuje zewnętrzne wysłanie, to klasyczny sygnał.

Zapobieganie i reakcja łączą pięć możliwości:

1. 1

   Egzekwowanie polityk DLP

   Zatrzymanie wysyłania wrażliwych danych przez kontrolowane kanały, na podstawie klasyfikacji treści.

2. 2

   Monitorowanie kanałów lokalnych

   Widoczność USB, schowka i drukowania, których nie widzą narzędzia sieciowe.

3. 3

   Ustalenie normalnego zachowania

   Analityka behawioralna (UEBA) buduje profil typowej aktywności i zgłasza odchylenia.

4. 4

   Ograniczenie dostępu

   Dostęp tylko do danych potrzebnych do pracy ogranicza szkody z przejęcia dowolnego konta.

5. 5

   Badanie i zabezpieczenie dowodów

   Ustalenie kto, co, kiedy i gdzie, powstrzymanie kolejnych transferów oraz zachowanie dowodów do postępowania prawnego lub dyscyplinarnego.

W konsoli Anexet przechwycony e-mail otwiera się na karcie AI, która wskazuje możliwe zagrożenia, np. ukrywanie informacji, i krótkie podsumowanie rozmowy. Ekran zaznacza też, że odpowiedzi AI nie zawsze są wiarygodne, więc analityk nadal czyta wiadomość przed podjęciem decyzji. Oznaczoną wiadomość można dodać do sprawy w module dochodzeń.

Zacznij od danych, których wyciek najbardziej by zaszkodził, a potem zmapuj kanały, którymi ludzie je faktycznie przenoszą. Reguły blokujące wszystko od pierwszego dnia zwykle są wyłączane, a wtedy nie ma już żadnego monitoringu.

Moduł Anexet DLP działa on-premise i obejmuje kanały opisane powyżej.

Czytaj dalej: Systemy DLP — czym są i jak działają; Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.