insider fraud

Insider fraud to oszustwo popełniane przez osobę posiadającą legalny, wewnętrzny dostęp do systemów organizacji.

Na czym polega insider fraud w systemie informatycznym

Insider fraud oznacza oszustwo popełnione przez osobę, która ma legalne konto, uprawnienia lub dostęp fizyczny do zasobów organizacji. Sprawca może być pracownikiem, współpracownikiem albo wykonawcą zewnętrznym działającym w ramach przyznanego dostępu. Istotą zjawiska nie jest samo włamanie do systemu, lecz wykorzystanie prawidłowo uzyskanej pozycji do wykonania czynności sprzecznej z celem nadanych uprawnień. Przykładem może być zmiana danych w aplikacji finansowej, utworzenie nieuprawnionego użytkownika, pobranie plików objętych ograniczeniami albo usunięcie śladów w systemie.

W praktyce trzeba odróżnić insider fraud od zwykłego błędu użytkownika. Pomyłkowe usunięcie dokumentu lub przypadkowe kliknięcie podejrzanego odnośnika nie jest oszustwem, jeżeli nie występuje zamiar uzyskania korzyści albo ukrycia działania. Ocena intencji należy do postępowania wyjaśniającego, natomiast systemy informatyczne powinny rejestrować fakty: konto wykonujące operację, czas, adres źródłowy, użyte urządzenie, zakres zmienionych danych oraz wynik operacji.

Uprawnienia, konta uprzywilejowane i rozdzielenie obowiązków

Jednym z głównych obszarów ryzyka jest nadmiarowy dostęp. Konto powinno otrzymywać tylko takie uprawnienia, które są niezbędne do wykonywania określonej pracy. Zasada najmniejszych uprawnień ogranicza skutki nadużycia, ponieważ przejęte lub umyślnie wykorzystane konto nie może wykonywać dowolnych operacji w całym środowisku. Szczególnej kontroli wymagają konta administratorów, operatorów systemów finansowych, osób zatwierdzających płatności oraz użytkowników mających możliwość eksportu dużych zbiorów danych.

Ważnym zabezpieczeniem jest rozdzielenie obowiązków. Ta sama osoba nie powinna samodzielnie wprowadzać kontrahenta, zmieniać jego rachunku, zatwierdzać przelewu i usuwać informacji o operacji. Mechanizm akceptacji wieloosobowej może wymagać zatwierdzenia przez drugiego użytkownika, a system może blokować konfliktujące role. Po zmianie stanowiska lub zakończeniu współpracy należy niezwłocznie odebrać niepotrzebne uprawnienia, wyłączyć konto oraz unieważnić aktywne sesje i tokeny dostępu.

W przypadku kont uprzywilejowanych przydatne jest używanie osobnego konta administracyjnego zamiast wykonywania codziennej pracy na koncie o szerokich prawach. Dostęp administracyjny powinien być uwierzytelniany wieloskładnikowo, a operacje wymagające podwyższonych uprawnień powinny pozostawiać jednoznaczny zapis w dzienniku audytowym. Współdzielenie haseł utrudnia przypisanie czynności konkretnej osobie, dlatego każde konto powinno mieć indywidualnego właściciela.

Ślady w logach i wykrywanie nietypowych operacji

Wykrywanie insider fraud wymaga korelacji wielu źródeł informacji. Sam log logowania może potwierdzić, że konto uzyskało dostęp, ale nie wyjaśni, jakie dane zostały odczytane ani czy wykonano zmianę konfiguracji. Warto analizować logowania poza typowym harmonogramem, dostęp z nowego urządzenia, nagły wzrost liczby pobieranych plików, masowe zmiany rekordów, tworzenie reguł przekierowania oraz próby wyłączenia rejestrowania zdarzeń.

Dzienniki powinny zawierać co najmniej identyfikator użytkownika, znacznik czasu, rodzaj operacji, obiekt, którego dotyczyła czynność, rezultat oraz źródło żądania, jeżeli aplikacja takie dane zna. Czas na systemach musi być synchronizowany, ponieważ bez spójnych znaczników czasu trudno odtworzyć kolejność zdarzeń. Logów audytowych nie należy przechowywać wyłącznie na tym samym komputerze, na którym działa monitorowana aplikacja. Administrator mający możliwość modyfikacji aplikacji nie powinien móc bez śladu usuwać jej dzienników.

Reguły detekcji mogą generować alert po wystąpieniu zdarzeń, które odbiegają od profilu pracy, lecz alert nie jest jeszcze dowodem oszustwa. Logowanie z domu może być prawidłowe, podobnie jak duży eksport danych wykonany podczas zaplanowanego zamknięcia miesiąca. Dlatego zdarzenia trzeba zestawiać z harmonogramem, zakresem obowiązków, zatwierdzeniami i historią zmian. Po wykryciu podejrzanej aktywności należy zabezpieczyć kopie logów, ustalić zakres zdarzenia i ograniczyć dostęp tak, aby nie zatrzeć dowodów ani nie przerwać bez potrzeby prawidłowej pracy systemu.

Ograniczanie skutków nadużycia na laptopie i komputerze PC

Na komputerze użytkownika sygnałem ostrzegawczym mogą być nieoczekiwane programy do zdalnego sterowania, nowe konta lokalne, nieznane zadania automatyczne, wyłączona ochrona systemowa albo nietypowe połączenia wychodzące. Żaden z tych objawów samodzielnie nie przesądza o insider fraud, ponieważ podobne ślady mogą powstać po legalnej aktualizacji lub awarii. Diagnostyka powinna obejmować historię logowania, lokalne dzienniki zdarzeń, listę użytkowników, autostart, zadania harmonogramu oraz integralność podstawowych ustawień bezpieczeństwa.

Przed czyszczeniem urządzenia trzeba ustalić, czy znajdują się na nim dane potrzebne do wyjaśnienia zdarzenia. Pochopne usunięcie plików, reinstalacja systemu albo wylogowanie wszystkich kont może zniszczyć informacje o przebiegu operacji. Bezpieczniejsze jest odłączenie komputera od sieci w sposób uzgodniony z osobą odpowiedzialną za system, zachowanie istotnych logów i wykonanie kopii materiału do analizy. Hasła należy zmieniać z zaufanego urządzenia, a nie z komputera, którego stan jest kwestionowany.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów oraz komputerów PC, w tym analizę objawów związanych z konfiguracją systemu, kontami użytkowników i nieprawidłowym działaniem oprogramowania. Zakres czynności powinien zostać ustalony na podstawie stanu urządzenia i dostępnych informacji, ponieważ techniczna diagnoza komputera nie zastępuje postępowania prawnego ani organizacyjnego dotyczącego podejrzenia oszustwa.