Dlaczego wykrywanie jest najtrudniejsze
Atak z zewnątrz uruchamia alarmy. Zapora blokuje połączenie, system wykrywania włamań oznacza sygnaturę, a antywirus poddaje plik kwarantannie. To zdarzenia oparte na regułach: coś pasuje do znanego złego wzorca albo nie pasuje.
Zagrożenia wewnętrzne działają inaczej. Osoba wewnętrzna używa uprawnionych poświadczeń, aplikacji i kanałów. Każde działanie z osobna jest dozwolone: otwarcie pliku, wysłanie wiadomości, przesłanie danych do chmury. Zagrożenie tkwi we wzorcu, czyli w połączeniu działań w czasie, które ujawnia zamiar lub ryzyko. Wykrycie wymaga innego podejścia niż ochrona obwodu sieci.
Metody wykrywania
Skuteczne wykrywanie łączy kilka warstw, bo żadna metoda nie wychwytuje wszystkich przypadków:
- Monitorowanie oparte na regułach: stałe polityki oznaczają konkretne działania, np. plik pasujący do odcisku dokumentu poufnego wysłany na prywatne konto w chmurze. Wychwytują znane złe wzorce, ale nie nowe.
- Profilowanie zachowań i wykrywanie anomalii (UEBA): system uczy się normalnego zachowania każdego użytkownika i oznacza odchylenia, np. nagły wzrost wolumenu danych lub dostęp do systemów spoza roli. Wychwytuje zagrożenia, które nie pasują do żadnej reguły.
- Analiza treści (DLP): zamiast zachowania DLP sprawdza, co jest przenoszone, np. arkusz z numerami kart albo treść zgodną ze słownikiem terminów wrażliwych. Wychwytuje dane faktycznie zagrożone, niezależnie od kanału.
- Punktacja ryzyka: wiele sygnałów łączy się w jedną ocenę ryzyka dla użytkownika. Pojedynczy słaby sygnał oznacza niskie ryzyko, ale kilka zbiegających się na jednej osobie podnosi ocenę. To porządkuje sprawy pod ograniczoną uwagę analityków.
- Wzbogacanie o kontekst: zdarzenia kadrowe, zmiany uprawnień i kontekst organizacyjny zwiększają trafność i ograniczają fałszywe alarmy.
Kategorie ryzyka w praktyce
Anexet ocenia każdego użytkownika według kategorii ryzyka. Każda kategoria ma domyślny poziom ryzyka.
Wskaźniki behawioralne, które mają znaczenie
Programy wykrywania śledzą w czasie kombinacje poniższych wskaźników. Żaden pojedynczy wskaźnik nie jest rozstrzygający, dlatego wartość daje ich połączenie i trendy, a nie pojedyncze zdarzenie.
| Wskaźnik | Przykłady |
|---|---|
| Anomalie dostępu do danych | Masowe pobieranie, pliki spoza roli lub działu, nagłe zainteresowanie nieużywanymi systemami |
| Wzorce czasu i lokalizacji | Aktywność po godzinach, nietypowe lokalizacje, aktywność przed zmianą roli lub odejściem |
| Nadużywanie kanałów | Prywatna chmura, prywatna poczta, masowy druk, kopie na USB, shadow IT |
| Zmiany w zachowaniu | Spadek wydajności, obchodzenie polityk, wyłączanie narzędzi, niezadowolenie |
| Wzorce przemieszczania danych | Gromadzenie w lokalnym folderze, pakowanie plików, przesyłanie na zewnątrz |
Etap wyjaśnienia sprawy
Wykrycie nie jest oskarżeniem. Gdy użytkownik zostanie oznaczony, kolejnym krokiem jest wyjaśnienie, a nie działanie. Analityk ocenia aktywność w kontekście:
- Czy istnieje uzasadnione wyjaśnienie biznesowe?
- Czy rola lub projekt użytkownika niedawno się zmieniły?
- Czy kilka źródeł danych potwierdza wskaźniki?
- Jaka jest waga sprawy i możliwy skutek?
Wybór reakcji
Dopiero po wyjaśnieniu program decyduje o reakcji: zamyka sprawę jako fałszywy alarm, zwiększa nadzór, zmienia uprawnienia albo przekazuje ją kierownictwu lub bezpieczeństwu. Pominięcie wyjaśnienia i działanie na surowych alertach prowadzi do bezpodstawnych oskarżeń, utraty zaufania i ryzyka prawnego.
Wykrywanie a zapobieganie
Wykrywanie identyfikuje ryzyko, a zapobieganie blokuje szkodę. Oba podejścia się uzupełniają.
Wielu zagrożeń nie da się zablokować z wyprzedzeniem. Osoba wewnętrzna może korzystać z kanałów nieobjętych DLP albo działać w sposób dozwolony sam w sobie. W takich przypadkach główną obroną są wykrywanie i szybkie wyjaśnienie. Dla znanych kanałów i treści skuteczniejsza jest prewencja DLP.
Czytaj dalej: Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.
- DLP działa prewencyjnie: może zablokować wyjście pliku wrażliwego poza organizację.
- UEBA działa detekcyjnie: wykrywa ryzyko behawioralne, które może, ale nie musi przerodzić się w rzeczywiste zdarzenie.
Osoba wewnętrzna rzadko działa jednym krokiem. Sygnał tkwi w sekwencji i tam wykrywanie zyskuje sens.
Anexet TeamJak rozwiązuje to Anexet
Anexet realizuje wykrywanie zagrożeń wewnętrznych dzięki integracji modułów Activity i DLP:
Architektura on-premise oznacza, że wszystkie dane detekcyjne, oceny ryzyka i akta spraw pozostają w infrastrukturze organizacji: ma to znaczenie, bo dane o wykrywaniu zagrożeń wewnętrznych należą do najwrażliwszych, jakie organizacja posiada.
Dane behawioralne
agenty na stacjach roboczych zbierają aktywność użytkowników: aplikacje, pliki, aktywność w sieci, komunikatory, wzorce czasowe: dostarczając materiał wejściowy do analizy zachowań.
Silnik analizy ryzyka
ocenia każdego użytkownika w ośmiu gotowych kategoriach ryzyka („zagrożenie wewnętrzne”, „wyciek danych”, „nielojalność pracowników”, „niewłaściwe zachowanie”, „aktywność nieproduktywna”, „naruszenie prawa”, „wykorzystanie zasobów firmy”, „naruszenie harmonogramu pracy”), łącząc wiele sygnałów w jedną uporządkowaną ocenę ryzyka.
Detekcja oparta na treści (DLP)
tezaurusy bezpieczeństwa, banki skrótów, cyfrowe odciski i etykiety poufności wykrywają ruch danych wrażliwych niezależnie od kanału: to uzupełnienie sygnałów behawioralnych po stronie treści.
Moduł postępowań
oznaczone sprawy są wyjaśniane w uporządkowanych aktach budowanych z wykrytych zdarzeń, z możliwością eksportu materiału na potrzeby dyscyplinarne albo prawne.
Menedżer powiadomień
alerty progowe (e-mail, syslog, Telegram) eskalują sprawę, gdy oceny ryzyka przekroczą ustalone granice, co umożliwia szybkie wyjaśnienie.
Funkcja wykrywania zagrożeń wewnętrznych
Dowiedz się więcej