Monitorowanie aktywności użytkowników (UAM)

Monitorowanie aktywności użytkowników (UAM) rejestruje, co ludzie robią w systemach firmy: z jakich programów korzystają, jakie strony odwiedzają, jakie pliki otwierają i które urządzenia podłączają. Każde takie zdarzenie staje się zapisem aktywności, a UAM to praktyka zbierania i przeglądania tych zapisów jako całości.

Sama praktyka nie rozstrzyga, co jest dopuszczalne. Spisana polityka określa cel, zakres i osoby, które mogą oglądać dane. Bez niej narzędzie zbudowane do ochrony firmy może zacząć kontrolować pojedyncze osoby, dlatego zakres trzeba ustalić przed instalacją pierwszego agenta.

Agent na każdej stacji roboczej wysyła zapisy do centralnego magazynu. To, co rejestruje, zależy od profilu ustawionego dla komputera, polityki firmy i prawa obowiązującego w kraju pracownika.

Większość wdrożeń realizuje trzy cele. Pierwszy zwykle wyznacza kształt pozostałych.

• Bezpieczeństwo: punkt odniesienia dla normalnej pracy pozwala zauważyć odchylenia, na przykład duże kopiowanie w nocy. To rdzeń wykrywania zagrożeń wewnętrznych.
• Dochodzenia: po wycieku albo naruszeniu polityki zapisy pokazują, kto co zrobił, kiedy i na jakim systemie, a tego wymagają postępowania dyscyplinarne i prawne.
• Czas pracy: zagregowane dane pokazują godziny aktywności, strukturę używanych aplikacji i czas bezczynności w zespole, co wspiera ewidencję czasu i planowanie obciążenia.

Te pojęcia się nakładają, ale każde odpowiada na inne pytanie. Ochrona przed wyciekiem danych pyta, dokąd mogą trafiać wrażliwe dane, i blokuje transfery łamiące zasady. UAM pyta, co zrobiła każda osoba, a transfer danych to tylko jeden fragment tego obrazu.

Analityka zachowań użytkowników i podmiotów (UEBA) stosuje statystykę i uczenie maszynowe do takich zapisów, by oceniać nietypowe zachowania. SIEM zbiera logi bezpieczeństwa z wielu systemów i je koreluje. UAM dostarcza szczegóły aktywności, z których korzystają oba pozostałe narzędzia, a w wielu programach działają one obok siebie.

Dane z monitoringu są wrażliwe same w sobie, więc dostęp powinien być węższy niż same dane. Oddziel osoby ustalające politykę od tych, które na co dzień czytają zapisy, i przypisz każdy odczyt do określonego celu. To również element zarządzania ryzykiem wewnętrznym, prowadzonego jako proces, a nie jako narzędzie.

Moduł Anexet Activity działa na agentach stacji końcowych dla Windows, Linuksa i macOS. Każdy profil agenta decyduje, jaka aktywność jest zapisywana, więc różne grupy komputerów mogą działać według różnych zasad.

Konsola profili pokazuje te wybory w jednym miejscu: monitorowanie aktywności PC z limitem bezczynności, kontrolę schowka i przełącznik użycia keyloggera. Zrzuty ekranu i inne rodzaje rejestracji ustawia się w tym samym profilu. Drugi kadr pokazuje efekt na osi czasu użytkownika.

1 / 2

• 
• 

Monitoring pracowników jest regulowany inaczej w każdym kraju. Zgodnie z RODO wymaga podstawy prawnej, proporcjonalności do określonego celu, minimalizacji danych i przejrzystości wobec pracowników. Prawo USA jest bardziej liberalne, ale różni się w zależności od stanu, a w niektórych krajach rady pracowników muszą zatwierdzić system, zanim zacznie działać.

Dobra praktyka jest prawie wszędzie taka sama: spisana polityka, jasno określony cel, np. bezpieczeństwo, a nie kontrola każdego kroku, oraz kontrola dostępu do danych z monitoringu. Program UAM powinien obserwować systemy firmowe i aktywność, a nie prywatne życie osoby. Tworzenie profili pracowników rodzi własne pytania prawne.

Zacznij od pytania, na które ma odpowiedzieć monitoring, a potem zbieraj najmniejszy zbiór zapisów aktywności, który na nie odpowiada. Program zbudowany na każdy możliwy sygnał zwykle zostaje wyłączony, a wąski, z jasnym właścicielem, działa dalej.

Trzymaj dane na infrastrukturze, którą kontrolujesz. Przy wdrożeniu lokalnym zapisy aktywności zostają w firmie, co ma znaczenie, gdy same dane z monitoringu są wrażliwe.

Czytaj dalej: Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.