Insider

Insider é qualquer pessoa cujo acesso é legítimo. Isso inclui funcionários atuais, prestadores de serviços, consultores, temporários e parceiros ou fornecedores que recebem contas, acesso VPN ou entrada no prédio. Ex-funcionários cujas contas nunca foram totalmente removidas também costumam entrar nessa conta.

O que define um insider é o acesso autorizado, não a intenção ou o comportamento. A mesma pessoa pode ser um colega de confiança em um dia e uma preocupação de segurança no outro, por isso o termo descreve um papel, não um rótulo. A visão mais ampla desse papel está em risco de insider.

A prática de segurança separa os insiders pela intenção e por quem está, de fato, por trás da conta. Ações descuidadas costumam causar tanto dano quanto o abuso deliberado, então a intenção sozinha é um mau critério.

Para as ferramentas de segurança, uma conta comprometida parece autorizada, porque tecnicamente é.

Muitos desses hábitos ficam dentro do shadow IT: ferramentas que ninguém aprovou e ninguém acompanha. Esses hábitos não geram chamado nem registro de licença, então os controles habituais nunca os veem.

A visibilidade volta pela descoberta automatizada, que mostra o que está instalado e em uso, e por um registro atualizado de quem tem qual acesso.

Os casos mais comuns seguem alguns padrões:

• Uma conta pessoal de compartilhamento de arquivos usada para arquivos de clientes
• Um e-mail pessoal usado para enviar uma tabela de preços
• Um pen drive copiado com a base de clientes antes da demissão
• Uma impressão deixada na bandeja de uma impressora compartilhada

No console do cliente, o gerenciador de categorias de risco define como os eventos são agrupados. Categorias prontas, como Internal Threat, já trazem um nível de risco padrão, então atividades de alto risco aparecem sem a necessidade de escrever regras de detecção do zero. A página de detecção de ameaças internas mostra como esses escores entram nas investigações.

Administradores também marcam usuários com tags do sistema, como Suspicious, Special control e Offboarding, para que a revisão possa acompanhar a pessoa, e não só um evento.

1 / 2

• 
• 

Um atacante externo precisa primeiro romper o perímetro: firewall, autenticação e proteção de endpoints. Um insider começa além de tudo isso. Ele já tem credenciais válidas, sabe onde estão os dados valiosos e conhece bem o padrão de atividade normal.

Por isso separar a atividade de um insider do trabalho legítimo é mais difícil do que detectar um ataque externo. A análise de comportamento de usuários e entidades (UEBA) lida com isso comparando cada pessoa com o próprio padrão.

“Insider” descreve um papel, não um rótulo de ameaça, e a grande maioria dos insiders nunca causa dano. Ainda assim, cada insider representa um risco que a segurança do perímetro não enxerga: uso indevido deliberado, erros caros ou tomada de conta.

Gerenciar esse risco é o trabalho da gestão de risco de insiders. Resume-se a quatro etapas:

1. 1

   Conheça o acesso

   Identifique quais sistemas, dados e instalações cada insider consegue alcançar.

2. 2

   Observe o uso

   Acompanhe como esse acesso é usado nos diferentes canais.

3. 3

   Compare com a linha de base

   Meça a atividade de cada usuário contra o padrão normal dele.

4. 4

   Aja diante de violações

   Responda quando um comportamento ou um conteúdo ultrapassa os limites da política.

Comece pelos dados que mais prejudicariam a empresa se vazassem e depois pelos canais que as pessoas realmente usam para movê-los. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho do dia a dia e são desligadas.

Leitura adicional: Como reconhecer um insider em uma empresa e prevenir suas atividades?; Como um oficial de segurança identifica um insider usando o sistema DLP?.