insider threat

Insider threat to zagrożenie bezpieczeństwa pochodzące od osoby mającej autoryzowany dostęp do zasobów organizacji.

Na czym polega insider threat

Insider threat oznacza zagrożenie bezpieczeństwa wynikające z dostępu, jaki dana osoba posiada do systemów, urządzeń, aplikacji albo informacji organizacji. „Insider” nie musi być pracownikiem działającym celowo na szkodę firmy. Może to być również wykonawca, administrator, były pracownik z nadal aktywnym kontem albo użytkownik, którego poświadczenia zostały przejęte przez osobę z zewnątrz. Istotą tego zagrożenia jest połączenie zaufanego dostępu z możliwością wykonania operacji, które normalnie byłyby zablokowane dla nieuprawnionego użytkownika.

W praktyce wyróżnia się przede wszystkim działania umyślne, zaniedbania oraz sytuacje, w których konto uprawnionego użytkownika zostaje wykorzystane przez napastnika. Przykładem działania umyślnego może być skopiowanie poufnych plików na prywatny nośnik. Zaniedbanie obejmuje między innymi wysłanie dokumentu do niewłaściwego odbiorcy, pozostawienie odblokowanego komputera albo użycie tego samego hasła w wielu usługach. Przejęte konto może natomiast posłużyć do logowania, pobierania danych lub uruchamiania poleceń bez wiedzy właściciela.

Źródła zagrożenia w codziennej pracy systemu

Ryzyko insider threat rośnie wtedy, gdy uprawnienia są przyznawane szerzej, niż wymaga tego zakres obowiązków. Konto użytkownika może mieć dostęp do katalogów, udziałów sieciowych, aplikacji lub funkcji administracyjnych, które nie są potrzebne do wykonywania pracy. Jeżeli takie konto zostanie przejęte albo użyte niezgodnie z przeznaczeniem, zakres możliwych działań napastnika będzie większy. Z tego powodu stosuje się zasadę najmniejszych uprawnień, czyli przyznawanie dostępu wyłącznie do zasobów koniecznych dla konkretnego zadania.

Niebezpieczne są także niekontrolowane kopie danych, prywatne dyski USB, synchronizacja z osobistymi usługami chmurowymi oraz instalowanie programów bez zatwierdzenia. Samo użycie nośnika nie oznacza jeszcze incydentu, ale może utrudnić ustalenie, gdzie znalazły się pliki i kto miał do nich dostęp. Problemem bywają również konta współdzielone. Gdy kilka osób korzysta z tego samego loginu, dziennik zdarzeń nie pozwala wiarygodnie przypisać operacji konkretnej osobie, a analiza incydentu staje się mniej dokładna.

Jak wykrywać nietypowe działania użytkownika

Wykrywanie insider threat opiera się na zestawieniu tożsamości użytkownika, przyznanych mu uprawnień oraz wykonywanych operacji. Znaczenie mają między innymi logowania o nietypowej porze, dostęp do dużej liczby plików, masowe kopiowanie danych, próby odczytu katalogów niezwiązanych z obowiązkami oraz nagłe użycie funkcji administracyjnych. Pojedyncze zdarzenie nie musi oznaczać nadużycia, ponieważ może wynikać z legalnego zadania. Dopiero porównanie z typowym sposobem pracy oraz innymi zapisami dziennika pozwala ocenić, czy zachowanie wymaga wyjaśnienia.

Podstawą analizy są kompletne i chronione logi systemowe. Powinny zawierać co najmniej identyfikator konta, czas operacji, adres lub urządzenie źródłowe oraz rodzaj wykonanej czynności, o ile dany system takie informacje rejestruje. Przydatne jest oddzielenie uprawnień do wykonywania operacji od uprawnień do usuwania lub zmiany logów. Wieloskładnikowe uwierzytelnianie ogranicza ryzyko wykorzystania samego hasła, ale nie zastępuje kontroli uprawnień i monitorowania działań po poprawnym zalogowaniu. Reakcja może obejmować czasowe zablokowanie konta, odebranie konkretnego uprawnienia, zabezpieczenie logów oraz sprawdzenie, czy doszło do kopiowania lub modyfikacji danych.

Ograniczanie skutków incydentu na komputerze

Na laptopie lub komputerze PC ograniczanie zagrożenia zaczyna się od rozdzielenia kont zwykłych i administracyjnych, aktualizacji systemu oraz usunięcia nieużywanych kont. Każdy użytkownik powinien korzystać z własnego loginu, a dostęp do folderów i aplikacji powinien być nadawany według rzeczywistej potrzeby. Przy zmianie stanowiska albo zakończeniu współpracy należy niezwłocznie wyłączyć konto i unieważnić zapisane sesje, klucze dostępu oraz inne poświadczenia. W przypadku podejrzenia incydentu nie należy pochopnie kasować plików ani czyścić historii zdarzeń, ponieważ takie działania mogą usunąć ślady potrzebne do ustalenia przebiegu zdarzeń.

Diagnostyka komputera może obejmować sprawdzenie lokalnych kont, grup użytkowników, zainstalowanych programów, harmonogramu zadań, podłączanych nośników oraz zapisów logowania dostępnych w systemie. Zakres analizy zależy od rodzaju urządzenia, systemu operacyjnego i tego, jakie dane zostały zachowane przed wystąpieniem problemu. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów stacjonarnych PC oraz diagnostykę podzespołów, gdy podejrzenie incydentu towarzyszy problemom z działaniem komputera.