Zagrożenie wewnętrzne (insider threat)

Ataki zewnętrzne uruchamiają zabezpieczenia brzegowe, takie jak zapory sieciowe, wykrywanie włamań i ochrona antywirusowa. Zostały zaprojektowane, by zatrzymywać nieznanych sprawców. Zagrożenia wewnętrzne omijają je całkowicie: sprawca jest już w środku, ma ważne poświadczenia, a jego obecność w sieci jest oczekiwana.

Tradycyjne granice bezpieczeństwa chronią przed osobami z zewnątrz, ale nie obserwują tego, co robią osoby wewnętrzne po wejściu do systemu. Ciche wyprowadzenie plików z firmy, czyli eksfiltracja danych, może więc przejść wszystkie kontrole brzegowe, bo osoba je wykonująca ma uprawniony dostęp.

Dlatego programy ochrony przed zagrożeniami wewnętrznymi łączą zabezpieczenia techniczne (monitorowanie, zapobieganie utracie danych, analitykę zachowań) z działaniami organizacyjnymi (zarządzanie dostępem, szkolenia, procedury reagowania na incydenty). Żadne pojedyncze narzędzie nie rozwiązuje tego problemu.

Nie wszystkie osoby wewnętrzne są takie same, a ryzyko insider każdej grupy wymaga innych zabezpieczeń. Zespoły bezpieczeństwa zwykle wyróżniają trzy typy.

Osoba działająca w złej wierze nadużywa dostępu celowo: kradnie dane dla konkurenta, dopuszcza się wyłudzenia albo sabotuje systemy po wypowiedzeniu. Osoba nieuważna szkodzi przez pomyłkę lub lekceważenie zasad, na przykład wysyłając dane klientów na prywatną skrzynkę, żeby pracować z domu.

Osoba z przejętym kontem to pracownik, którego poświadczenia wykradziono albo którego urządzenie przejął zewnętrzny napastnik. Aktywność wygląda na autoryzowaną, ale pochodzi z wewnętrznego konta, dlatego podlega monitorowaniu zagrożeń wewnętrznych.

Programy ochrony przed zagrożeniami wewnętrznymi obserwują sygnały behawioralne, które odróżniają szkodliwe działanie od zwykłej pracy. Typowe wskaźniki to:

• Anomalie w dostępie do danych: pobieranie znacznie większej ilości danych, niż wymaga rola, albo otwieranie plików spoza zakresu.
• Wzorce czasu i miejsca: aktywność o nietypowych porach lub z nietypowych miejsc, albo tuż przed złożeniem wypowiedzenia.
• Nadużycie kanałów: duże wysyłki do prywatnej chmury, masowy druk lub kopie na nośniki USB.
• Naruszenia zasad: powtarzane próby obejścia zabezpieczeń, wyłączanie monitoringu albo korzystanie z shadow IT.
• Zmiany w zachowaniu: nagła zmiana rytmu pracy, spadek wydajności lub narastające niezadowolenie.

Cztery podejścia działają razem. Monitorowanie aktywności użytkowników rejestruje, co ludzie robią, a analityka zachowań użytkowników i encji wychwytuje odchylenia od normalnych wzorców. DLP pokazuje, które dane się przemieszczają, a SIEM łączy sygnały w całość.

Żaden pojedynczy wskaźnik nie potwierdza zagrożenia. Programy stosują punktację ryzyka, która łączy sygnały w czasie, aby wskazać sprawy wymagające analizy przez człowieka.

1. 1

   Zarejestruj aktywność

   Monitoring zapisuje uruchomione programy, otwarte pliki, odwiedzane witryny i przesyłane dane na każdej stacji roboczej.

2. 2

   Porównaj z normą

   Analityka zachowań ocenia każde działanie na tle wzorca danego użytkownika i norm jego grupy.

3. 3

   Śledź dane

   DLP nie pozwala, by dane wrażliwe opuściły kontrolowane kanały, niezależnie od intencji.

4. 4

   Połącz sygnały

   SIEM agreguje dzienniki z wielu systemów, dzięki czemu powiązane zdarzenia mogą zostać skorelowane i zgłoszone alertem.

Mechanizm analizy ryzyka modułu Activity ocenia użytkowników w ośmiu gotowych kategoriach, m.in. Internal Threat i Data leak. Kategoria Internal Threat obejmuje zarówno celowe, jak i nieumyślne działania pracowników.

1 / 2

• 
• 

Dojrzały program, o którym mowa w zarządzaniu ryzykiem insider, jest określonym procesem, a nie zestawem narzędzi. Angażuje bezpieczeństwo IT (monitorowanie i wykrywanie), HR (zdarzenia kadrowe i kontekst behawioralny), dział prawny (ograniczenia wynikające z prywatności i prawa pracy) oraz kierownictwo (progi eskalacji).

Jasne zasady dotyczące tego, co jest monitorowane, po co i na jakiej podstawie, są niezbędne dla skuteczności i zgodności z prawem. W wielu jurysdykcjach monitorowanie pracowników jest uregulowane i wymaga poinformowania, uzasadnionego celu oraz proporcjonalności.

Zacznij od kont i danych, których nadużycie wyrządziłoby największą szkodę, a potem zmapuj kanały, którymi faktycznie się posługują. Polityki pisane naraz dla każdego pliku blokują zwykłą pracę i są wyłączane.

Skupiony program ochrony przed zagrożeniami wewnętrznymi może poszerzyć zakres, gdy pierwsze wyniki pokażą, które sygnały mają znaczenie w praktyce.

Czytaj dalej: Jak rozpoznać insidera w firmie i powstrzymać jego działania?; Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.