Dwa profile intruza danych
Pojęcie obejmuje dwa profile sprawców, które dla systemów kontroli dostępu wyglądają identycznie. Zespoły bezpieczeństwa często zaliczają oba do zagrożeń wewnętrznych, bo szkoda zaczyna się od dostępu, który już został przyznany.
Osoba wewnętrzna nadużywająca uprawnień. Pracownik, współpracownik albo partner biznesowy ma już uprawniony dostęp i wykorzystuje go poza zamierzonym celem. Przegląda na przykład akta klientów z ciekawości, gromadzi pliki projektowe przed złożeniem wypowiedzenia albo kopiuje bazę klientów dla przyszłego pracodawcy.
Osoba z zewnątrz działająca na poświadczeniach. Napastnik albo jego złośliwe oprogramowanie działa na wykradzionych, ale prawidłowych poświadczeniach: hasło zdobyte przez phishing, wyciekły klucz API albo przejętą sesję. Dla zabezpieczeń brzegowych wygląda to jak uprawniony użytkownik, bo technicznie nim jest.
Jak działa intruz danych
Większość intruzów danych trzyma się rozpoznawalnego schematu w czterech etapach.
- 1
Rozpoznanie
Ustalenie, gdzie znajdują się wartościowe dane.
- 2
Rozszerzanie dostępu
Wnioskowanie o dodatkowe uprawnienia albo ich wykradanie.
- 3
Gromadzenie
Zbieranie plików w archiwach lub folderach chmurowych.
- 4
Wyprowadzanie
Przenoszenie danych na zewnątrz pocztą, przez chmurę, komunikatory albo nośniki wymienne.
Behawioralne sygnały ostrzegawcze
Intruz danych korzysta z uprawnionego dostępu na uprawnionych kanałach, więc najmocniejsze sygnały są behawioralne, a nie techniczne. To zadanie analizy zachowań. Ostrożni intruzi działają mało i wolno: niewielkie transfery rozłożone na tygodnie, w normalnych godzinach pracy i wtopione w rutynę. Warto zwrócić uwagę na:
- dostęp do wrażliwych repozytoriów, których użytkownik nigdy wcześniej nie otwierał;
- nietypowe godziny pracy, lokalizacje albo urządzenia;
- nienaturalne wolumeny kopiowania, drukowania albo pakowania;
- nagłe korzystanie z prywatnej chmury, poczty w przeglądarce albo nośników USB;
- gromadzenie danych w okolicach znanej daty odejścia (wypowiedzenie, koniec umowy, zwolnienie).
Dlaczego trudno je wykryć
Zapory i narzędzia antywirusowe mają zatrzymać nieuprawnione wejście. Intruz danych jest już w środku i ma uprawnienia, więc te narzędzia nie widzą nic podejrzanego. Wykrycie wymaga dwóch rzeczy: profilu tego, co jest normalne dla danego użytkownika, oraz analizy przenoszonej treści, a nie tylko kanału. Ta kontrola treści to rdzeń zapobiegania utracie danych (DLP).
| Mechanizm | Co sprawdza | Skuteczność wobec intruza |
|---|---|---|
| Zapora i antywirus | Nieuprawnione wejście | Słaba: intruz jest uprawniony |
| Analiza zachowań (UEBA) | Aktywność względem normy użytkownika | Wychwytuje odchylenia od rutyny |
| Analiza treści (DLP) | Jakie dane i którym kanałem są przenoszone | Może zablokować albo skierować do kwarantanny |
Skutki
Skuteczny intruz danych powoduje kradzież danych, ryzyko regulacyjne na gruncie RODO (GDPR), HIPAA i PCI DSS, utratę własności intelektualnej oraz długie postępowania wyjaśniające. Szkody są często większe niż przy naruszeniach z zewnątrz, bo zaufany dostęp skraca drogę do najcenniejszych danych.
Jak to wygląda w Anexet
W konsoli Anexet DLP powiązane zdarzenia są łączone w incydenty. Z poziomu incydentu administrator może otworzyć aktywność tego użytkownika albo dodać zdarzenie do postępowania.
Od czego zacząć
Zacznij od mapy: jakie wrażliwe dane może zobaczyć każda rola i którymi kanałami mogą wyjść. Przeglądy dostępu, które kończą się na pytaniu, kto może otworzyć folder, nie widzą intruza, który już może. Gdy mapa istnieje, wykrywanie zagrożeń wewnętrznych dokłada warstwę behawioralną.
Profile zachowań potrzebują czasu, żeby stać się wiarygodne, więc pierwsze alerty warto omówić z przełożonym, zanim wyciągnie się wniosek o konkretnej osobie.
Czytaj dalej: Jak rozpoznać insidera w firmie i powstrzymać jego działania?.
Intruz danych rzadko wygląda jak intruz. Ma ważne hasło, identyfikator i powód, żeby tam być, dlatego zdradza go wzorzec aktywności.
Anexet TeamJak rozwiązuje to Anexet
Anexet jest zbudowany właśnie wokół wykrywania tego profilu sprawcy: osoby nadużywającej uprawnionego dostępu od wewnątrz:
Architektura on-premise utrzymuje profile behawioralne, przechwyconą treść i zapisy postępowań w infrastrukturze samej organizacji: co jest tu istotne, bo dane zbierane o osobie podejrzewanej o wtargnięcie same są wysoce wrażliwe.
Analiza behawioralna (UBA)
Anexet buduje profil normalnej aktywności każdego użytkownika i ocenia nowe zdarzenia względem niego, dzięki czemu odejście intruza danych od własnej rutyny staje się widoczne.
Wykrywanie anomalii
pierwsze w historii sięgnięcie po dane wrażliwe, nienaturalne wolumeny kopiowania, aktywność poza godzinami pracy i nietypowe korzystanie z kanałów generują zdarzenia ryzyka, zamiast przechodzić jako rutynowa „uprawniona” praca.
Incydenty
powiązane anomalie są łączone w incydenty, co daje zespołom bezpieczeństwa punkt wyjścia, a nie strumień odizolowanych wpisów w dziennikach.
Wyjaśnianie sprawy
każde zdarzenie jest zapisywane z pełnym kontekstem: użytkownikiem, znacznikiem czasu, kanałem i klasyfikacją treści: więc incydent można odtworzyć od początku do końca jako materiał sprawy.
Egzekwowanie świadome treści
tam, gdzie analiza zachowań oznaczy ryzykowny ruch, analiza treści DLP (tezaurusy bezpieczeństwa, banki skrótów, cyfrowe odciski, etykiety poufności) ocenia, co jest przenoszone w poczcie, sieci, chmurze, komunikatorach, na nośnikach USB, w druku i schowku, i może zablokować albo skierować transfer do kwarantanny.
Anexet DLP
Dowiedz się więcej