exfiltracja danych

Exfiltracja danych to nieautoryzowane wyprowadzenie poufnych informacji poza kontrolowane środowisko organizacji.

Na czym polega exfiltracja danych

Exfiltracja danych to nieuprawnione skopiowanie informacji z komputera, laptopa albo innego systemu do miejsca pozostającego poza kontrolą właściciela. Istotą tego zdarzenia jest nie samo odczytanie pliku, lecz jego wyprowadzenie: przesłanie, skopiowanie, zsynchronizowanie lub zapisanie na nośniku, do którego osoba atakująca ma dostęp. Przedmiotem exfiltracji mogą być dokumenty, zdjęcia, archiwa, bazy danych aplikacji, pliki konfiguracyjne, zapisane sesje przeglądarki oraz dane uwierzytelniające. Termin opisuje skutek i kierunek przepływu informacji, a nie jeden konkretny program ani pojedynczą metodę ataku.

Do wyprowadzenia danych może dojść przez połączenie internetowe, usługę pocztową, komunikator, dysk sieciowy, chmurę synchronizującą pliki albo wymienny nośnik USB. Złośliwe oprogramowanie może wyszukiwać określone rozszerzenia plików, kopiować zawartość katalogów użytkownika lub zbierać dane z używanych aplikacji, a następnie przekazywać je do zewnętrznego serwera. W innych przypadkach sprawca wykorzystuje prawidłowo zalogowane konto, błędnie skonfigurowaną aplikację albo dostęp fizyczny do urządzenia. Sam fakt wysłania pliku nie przesądza jeszcze o jego poufności, ale nieautoryzowany transfer informacji poza kontrolowane środowisko jest sygnałem wymagającym wyjaśnienia.

Ślady nieautoryzowanego transferu informacji

Rozpoznanie exfiltracji wymaga zestawienia kilku rodzajów śladów, ponieważ pojedynczy objaw rzadko daje pewny wniosek. W systemie można sprawdzić historię uruchamiania aplikacji, ostatnio używane pliki, zadania automatyczne, programy startowe oraz nietypowe procesy działające w tle. Znaczenie ma także aktywność sieciowa: połączenia z nieznanymi adresami, regularne wysyłanie danych mimo braku pracy użytkownika, nagły wzrost ruchu wychodzącego albo komunikacja aplikacji, która nie powinna korzystać z internetu. Przydatne są również logi zapory sieciowej, systemu operacyjnego, programu antywirusowego i używanych usług synchronizacji.

Nie każdy duży transfer oznacza kradzież danych. Aktualizacja systemu, kopia zapasowa, synchronizacja zdjęć lub wysyłanie załącznika może wygenerować znaczny ruch wychodzący. Dlatego ocena powinna uwzględniać nazwę procesu, czas zdarzenia, użytkownika, lokalizację plików, adres docelowy i zgodność operacji z działaniem właściciela komputera. Warto odróżnić dane zapisane lokalnie od kopii przechowywanych w katalogach synchronizowanych automatycznie. Szczególnie istotne są nieoczekiwane archiwa, zmiany nazw plików, masowe odczytywanie dokumentów i operacje wykonywane w czasie, gdy komputer nie był używany.

Jak zabezpieczyć komputer po podejrzeniu wyprowadzenia danych

Po zauważeniu podejrzanej aktywności nie należy pochopnie kasować plików ani uruchamiać wielu narzędzi czyszczących, ponieważ może to usunąć informacje potrzebne do ustalenia przebiegu zdarzenia. Jeżeli sytuacja na to pozwala, komputer można odłączyć od sieci przez wyłączenie połączenia Wi-Fi lub odpięcie przewodu Ethernet. Odłączenie ogranicza dalszą komunikację, ale nie usuwa przyczyny. Następnie należy zabezpieczyć ważne dane, zachowując ostrożność, aby nie przenosić razem z nimi podejrzanych plików wykonywalnych. Nośnik z kopią powinien być sprawdzony przed otwarciem na innym urządzeniu.

Weryfikacja powinna objąć konta użytkowników, zapisane dane logowania, rozszerzenia przeglądarek, aplikacje uruchamiane przy starcie oraz harmonogram zadań. Hasła należy zmieniać z czystego, zaufanego urządzenia, zwłaszcza gdy istnieje podejrzenie przejęcia sesji lub zainstalowania programu rejestrującego dane. Samo usunięcie znalezionego pliku nie zawsze wystarcza, ponieważ złośliwe oprogramowanie może odtwarzać swoje składniki, wykorzystywać inne konto albo pozostawić zmienioną konfigurację systemu. Jeżeli nie da się wiarygodnie ustalić, co zostało skopiowane i kiedy, potrzebna jest pełniejsza analiza dysku, logów oraz konfiguracji sieciowej.

Diagnostyka urządzenia po podejrzanej aktywności

Na laptopie lub komputerze PC diagnostyka może obejmować sprawdzenie integralności systemu, listy procesów, autostartu, zainstalowanych programów, rozszerzeń przeglądarki, reguł zapory oraz podstawowych logów systemowych. Ważne jest również ustalenie, czy nietypowe zachowanie wynika z infekcji, błędnej konfiguracji, legalnej synchronizacji danych, awarii aplikacji czy nieautoryzowanego użycia konta. Wynik powinien rozdzielać fakty potwierdzone od hipotez: obecność nieznanego procesu jest faktem, natomiast przypisanie mu exfiltracji wymaga potwierdzenia przez analizę plików, połączeń i czasu aktywności.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzenia problemu z urządzeniem można zlecić sprawdzenie jego stanu technicznego oraz konfiguracji systemu. Przed przekazaniem sprzętu warto opisać moment wystąpienia objawów, nietypowe komunikaty, używane nośniki i zauważone transfery. Nie należy podawać haseł w treści opisu ani usuwać dowodów bez ustalenia zakresu potrzebnej diagnostyki. Jeżeli priorytetem jest zachowanie materiału do dalszej analizy, trzeba zaznaczyć to przed rozpoczęciem czynności serwisowych, ponieważ naprawa i zabezpieczenie śladów cyfrowych są odrębnymi celami.