Zagrożenie zewnętrzne

Zagrożenia bezpieczeństwa klasyfikuje się zwykle według pochodzenia sprawcy. Zagrożenie zewnętrzne stwarza ktoś, kto nie ma żadnej uprawnionej relacji z organizacją: pojedynczy haker, zorganizowana grupa przestępcza, podmiot działający na zlecenie państwa lub zautomatyzowane narzędzia skanujące internet w poszukiwaniu wystawionych usług. Zagrożenie wewnętrzne pochodzi od kogoś, komu organizacja już przyznała dostęp: pracownika, współpracownika lub partnera.

Rozróżnienie ma znaczenie, bo obie klasy pokonują różne zabezpieczenia. Napastnik z zewnątrz musi najpierw wejść, a zagrożenia wewnętrzne są już w środku i całkowicie omijają ochronę brzegową.

Napastnicy z zewnątrz zwykle wchodzą kilkoma dobrze znanymi drogami. Wiadomość phishingu klonującego, czyli kopia prawdziwego maila, to jeden ze sposobów na zdobycie prawidłowego hasła.

Czysty podział na osoby wewnętrzne i zewnętrzne załamuje się w praktyce. Gdy napastnik z zewnątrz zdobędzie prawidłowe hasło pracownika, działa przez konto osoby wewnętrznej.

Ten scenariusz hybrydowy opisuje się często jako przejęte konto osoby wewnętrznej. Sprawca jest zewnętrzny, ale dostęp i aktywność wyglądają wewnętrznie. Należy do najbardziej szkodliwych wzorców ataku.

1. 1

   Zdobycie prawidłowego hasła

   Przez phishing, wpis z narzędzia kradnącego dane albo wyciek poświadczeń.

2. 2

   Logowanie jako pracownik

   Każdy system widzi uprawnionego, uwierzytelnionego użytkownika. Na brzegu sieci nic nie zostało przełamane.

3. 3

   Przejęcie uprawnień

   Zabezpieczenia brzegowe są pominięte, a napastnik przejmuje uprawnienia użytkownika.

Część wykrywania zagrożeń wewnętrznych w Anexet dodaje do pulpitu widżet ryzyka użytkowników. Pokazuje użytkowników według ryzyka i może ograniczyć się do ryzyka, którego nikt jeszcze nie przejrzał, dzięki czemu konto, którego zachowanie się zmieniło, łatwiej zauważyć.

Żaden pojedynczy sygnał nie dowodzi, że w środku jest napastnik z zewnątrz. Porządkowanie sygnałów według tego, co sugerują, pozwala zespołowi bezpieczeństwa skupić się na kontach, które mają największe znaczenie.

Ostatnim krokiem bywa zwykle eksfiltracja danych, dlatego transfer nietypowym kanałem wymaga uwagi nawet wtedy, gdy logowanie wygląda normalnie.

Klasyczna obrona przed napastnikami z zewnątrz koncentruje się na brzegu sieci: zapory, systemy zapobiegania włamaniom, filtrowanie poczty, szybkie łatanie, uwierzytelnianie wieloskładnikowe i zarządzanie powierzchnią ataku.

Poświadczenia można wykraść niezależnie od siły brzegu, dlatego dojrzałe programy zakładają też, że napastnicy mogą wejść. Dodają kontrole oparte na tożsamości, zasadę minimalnych uprawnień i monitorowanie wewnętrzne, takie jak monitorowanie aktywności użytkowników, analityka behawioralna i zapobieganie utracie danych. Kontrole te obserwują, co uwierzytelnieni użytkownicy faktycznie robią. Zwrot ku architekturom zero trust to odzwierciedla: samo położenie w sieci nie ustanawia już zaufania.

Większość luk bierze się z traktowania poprawnego logowania jako dowodu, że pracuje uprawniony użytkownik. Trzeba patrzeć na to, co robi konto, a nie tylko na to, jak się zalogowało. Sygnały warto porównać z wskaźnikami zagrożeń wewnętrznych, zanim zdecyduje się, które wymagają bliższej uwagi.

• Traktowanie ochrony brzegowej jako jedynej linii obrony
• Uznawanie udanego logowania za dowód, że właściciel konta pracuje
• Alarmowanie o każdej anomalii, przez co prawdziwe sygnały giną w szumie
• Przeglądanie ryzyka dopiero po incydencie, a nie wtedy, gdy się pojawia

Zacznij od kont, które mają dostęp do najbardziej wrażliwych danych, a potem od kanałów, którymi mogą je wynieść. Alerty związane z tymi kontami warto badać w pierwszej kolejności.

Czytaj dalej: Zagrożenia bezpieczeństwa informacji; Malware: 7 najgroźniejszych programów w 2025 roku.