Wskaźniki zagrożeń wewnętrznych

Klasyczny alert bezpieczeństwa to zdarzenie: zapora zablokowała połączenie, logowanie nie udało się pięć razy albo złośliwy plik trafił do kwarantanny. Zdarzenie jest jednoznaczne i samodzielne.

Zagrożenia wewnętrzne rzadko dają tak wyraźne zdarzenia. Zostawiają ślad działań, z których każde z osobna jest uprawnione. Pracownik, który w tym tygodniu pobiera o 50% więcej plików niż zwykle, sięga po projekt spoza swojego działu i o 23:00 wysyła dane na prywatne konto w chmurze, nie wywołuje żadnego pojedynczego alertu. Razem jednak te wskaźniki mają znaczenie.

Dlatego programy przeciwdziałania zagrożeniom wewnętrznym opierają się na wskaźnikach, czyli sygnałach zachowania, które budują obraz ryzyka, a nie na pojedynczych zdarzeniach. Praca analityczna polega na łączeniu wskaźników i obserwowaniu, jak narastają w czasie.

Wskaźniki dzielą się na pięć grup. Inne sygnały to aktywność wokół zwolnień lub reorganizacji, naruszenia polityk, które narastają w czasie, oraz trudności finansowe.

Reguły uruchamiane przez jeden wskaźnik, na przykład „alert, gdy użytkownik wysyła coś do chmury”, generują lawinę fałszywych alarmów. W dużej organizacji każdego dnia odbywają się tysiące uprawnionych przesłań do chmury. Traktowanie każdego z nich jako alertu uśpi analityków i sprawi, że prawdziwe zagrożenia zginą w szumie.

Dojrzałe programy używają wskaźników jako danych wejściowych do oceny ryzyka, a nie jako samodzielnych alertów. Zmniejsza to liczbę fałszywych alarmów, skupia uwagę analityków i chroni prywatność pracowników, unikając nieukierunkowanej obserwacji.

Żaden pojedynczy wskaźnik nie potwierdza zagrożenia. Programista, który zostaje po godzinach, by dokończyć projekt, handlowiec, który wysyła ofertę na prywatną skrzynkę, by pracować w weekend, czy administrator, który wieczorem loguje się na serwery w celach konserwacji, wykonują uprawnione czynności, które mogą jednocześnie pasować do wzorców wskaźników.

Ocena ryzyka łączy kilka wskaźników, by oddzielić sygnał od szumu. Wynikiem jest uporządkowana ocena ryzyka dla każdego użytkownika, a nie alarm binarny. Analitycy sprawdzają przypadki o najwyższej ocenie, by ustalić kontekst i zamiar, zanim zdecydują o reakcji.

1. 1

   Częstotliwość i narastanie

   Pojedynczy sygnał to niskie ryzyko; powtarzające się i nasilające sygnały to wyższe

2. 2

   Połączenie

   Słaby sam z siebie, mocny, gdy występuje kilka naraz

3. 3

   Odchylenie od normy

   To, co normalne dla jednej osoby, może być anomalią dla innej

4. 4

   Waga kontekstu

   Sygnały zyskują wagę przy odejściu, zmianie roli lub karze

Wskaźniki sugerują ryzyko, a potwierdzone fakty dowodzą szkody. Dojrzały program używa wskaźników, by ustalić kolejność spraw do wyjaśnienia, a w trakcie wyjaśniania zbiera potwierdzone ustalenia, zanim podejmie działanie. Działanie wyłącznie na podstawie wskaźników prowadzi do bezpodstawnych oskarżeń, a czekanie na fakty bez obserwowania wskaźników oznacza wykrycie zagrożenia dopiero po wyrządzeniu szkody.

• Wskaźniki to wzorce zachowań uzasadniające wyjaśnienie sprawy. Są probabilistyczne: wskaźnik nie dowodzi, że zagrożenie istnieje.
• Potwierdzone fakty to zweryfikowana aktywność, która pokazuje rzeczywiste naruszenie polityki lub szkodę, na przykład potwierdzone wyprowadzenie danych, udokumentowany nieuprawniony dostęp albo wykazane nadużycie.

Silnik analizy ryzyka Anexet ocenia każdego użytkownika w ramach wbudowanych kategorii ryzyka. Poniżej menedżer kategorii pokazuje je wraz z domyślnymi poziomami ryzyka.

Zacznij od sygnałów z wykrywania zagrożeń wewnętrznych, które dotyczą danych, których wyciek najbardziej by zaszkodził, a potem stopniowo dodawaj kanały i zachowania, jedną grupę naraz.

Krótka lista dobrze dostrojonych sygnałów łatwiej przejrzeć niż długa lista alertów, których nikt nie czyta.

Czytaj dalej: Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?; Jak rozpoznać insidera w firmie i powstrzymać jego działania?.