Ameaças Internas um Guia CISO

Ameaças internas: um guia do CISO

Segurança de Dados , Detecção de Ameaças 

Inside Out Security Blog » Segurança de Dados » Ameaças Internas : Um Guia do CISO

[pic 1]

Por

[pic 2]

Jeff Petters 

Atualizada: 27/02/2019

Ameaças internas são um problema real e crescente. De acordo com a recente Verizon DBIR, insiders são cúmplices em 28% das violações de dados em 2017. Discriminadas pela vertical, insiders são responsáveis ​​por 54% das violações de dados na indústria de saúde e 34% na administração pública. Hacking (48%) e malware (30%) foram as duas principais táticas usadas para roubar dados, enquanto erro humano (17%) e uso indevido de privilégios (12%) também foram eliminados.

[pic 3]

O que tudo isso significa? Os insiders possuem recursos e privilégios que podem ser usados ​​por eles mesmos ou por maus atores para roubar dados importantes - tornando o trabalho de um CISO identificar e construir uma defesa contra todos esses vetores de ataque ainda mais complicada.

O que é uma ameaça interna?

Uma ameaça interna é um incidente de segurança que se origina na organização segmentada. Isso não significa que o ator deva ser um funcionário ou diretor atual da organização. Eles podem ser consultores, ex-funcionários, parceiros comerciais ou membros do conselho.

Qualquer pessoa que tenha conhecimento privilegiado e / ou acesso aos dados confidenciais, à TI ou aos recursos de rede da organização deve ser considerada uma ameaça interna potencial.

Tipos de ameaças internas

Então, quem são os possíveis atores em uma ameaça interna ?

Primeiro, temos o Turncloak : esse é um insider que rouba dados maliciosamente . Na maioria dos casos, é um funcionário ou contratado - alguém que deve estar na rede e ter credenciais legítimas, mas está abusando de seu acesso por diversão ou lucro. Temos visto todos os tipos de motivos que impulsionam esse tipo de comportamento: alguns tão sinistros quanto vender segredos a governos estrangeiros, outros tão simples quanto levar alguns documentos a um concorrente após a resignação.

Em seguida, temos o peão : Este é apenas um funcionário normal - um doador que comete um erro que é explorado por um vilão: seja um laptop perdido ou por engano, enviando um documento sensível por e-mail para a pessoa errada.

Finalmente, temos o Impostor : Considerando que o Turncloak é um insidioso legítimo, o impostor é realmente um estranho que adquiriu as credenciais de um insider. Eles estão na sua rede posando como um funcionário legítimo. Seu objetivo é encontrar o maior tesouro de informações ao qual seu "host" tem acesso e exfiltrá-lo sem ser notado.

Indicadores Comportamentais Comuns de uma Ameaça Interna

Como você identifica uma ameaça interna? Existem comportamentos comuns que sugerem uma ameaça interna - seja digital ou pessoalmente. Esses indicadores são importantes para os CISOs, agentes de segurança e suas equipes monitorarem, rastrearem e analisarem, a fim de identificar potenciais ameaças internas.

[pic 4]

Sinais de aviso digital 

• Download ou acesso a quantidades substanciais de dados
• Acessando dados confidenciais não associados à sua função de trabalho
• Acessando dados que estão fora de seu perfil comportamental
• Múltiplas solicitações de acesso a recursos não associados à sua função de trabalho
• Usando dispositivos de armazenamento não autorizados (por exemplo, unidades USB ou disquetes)
• Rastreamento de rede e pesquisas por dados confidenciais
• Coleta de dados, copiando arquivos de pastas sensíveis
• Enviando e-mails com dados confidenciais fora da organização

Sinais de aviso humanos 

• Tentativas de contornar a segurança
• Freqüentemente no escritório durante as horas de folga
• Exibe um comportamento insatisfeito em relação aos colegas de trabalho
• Violação de políticas corporativas
• Discussões de renúncia ou novas oportunidades

Embora os avisos comportamentais humanos possam ser uma indicação de possíveis problemas, ter análise e análise digital é uma das formas mais eficazes de proteção contra ameaças internas. O User Behavior Analytics (UBA) e a análise de segurança ajudam a detectar possíveis ameaças internas, analisando e alertando quando um usuário se comporta de maneira suspeita ou fora de seu comportamento típico.

Lutando contra ameaças internas

Uma violação de dados de 10 milhões de registros custa uma organização em torno de US $ 3 milhões - e, como diz o velho ditado, “uma grama de prevenção vale um quilo de cura”.

Como pessoas de dentro já estão dentro, você não pode confiar nas medidas tradicionais de segurança de perímetro para proteger sua empresa. Além disso, uma vez que é um insider - quem é o principal responsável por lidar com a situação? É IT, ou RH, é uma questão legal? Ou é tudo 3 e a equipe do CISO? Criar e socializar uma política para agir em ameaças internas potenciais precisa vir do topo da organização.

A chave para explicar e corrigir ameaças internas é ter a abordagem correta - e as soluções certas para detectar e proteger contra ameaças internas.

Passos para um Plano de Defesa contra Ameaças Internas :

1. Monitore arquivos, e-mails e atividades em suas principais fontes de dados
2. Identifique e descubra onde seus arquivos confidenciais vivem
3. Determine quem tem acesso a esses dados e quem deve ter acesso a esses dados
4. Implementar e manter um modelo de privilégio mínimo por meio de sua infraestrutura

1. Eliminar o grupo de acesso global
2. Colocar os proprietários de dados encarregados de gerenciar permissões para seus dados e expirar o acesso temporário rapidamente

1. Aplique a análise de segurança para alertar sobre comportamentos anormais, incluindo:

1. Tenta acessar dados confidenciais que não fazem parte da função normal do trabalho
2. Tenta obter permissões de acesso a dados confidenciais fora dos processos normais
3. Maior atividade de arquivos em pastas sensíveis
4. Tenta alterar logs do sistema ou excluir grandes volumes de dados
5. Grandes quantidades de dados enviados por e-mail para fora da empresa, fora da função normal de trabalho

1. Socialize e treine seus funcionários para adaptar uma mentalidade de segurança de dados

É igualmente importante ter um plano de resposta para responder a uma potencial violação de dados :

1. Identifique ameaças e tome medidas

1. Desativar e / ou efetuar logoff do usuário quando uma atividade ou comportamento suspeito é detectado
2. Determinar quais usuários e arquivos foram afetados

1. Verificar a precisão (e gravidade) da ameaça e alertar as equipes apropriadas (Jurídico, RH, TI, CISO)
2. Remediar

1. Restaurar dados excluídos, se necessário
2. Remova quaisquer direitos de acesso adicionais usados ​​pelo usuário
3. Analise e remova qualquer malware usado durante o ataque
4. Reativar quaisquer medidas de segurança contornadas

1. Investigue e execute análise forense no incidente de segurança
2. Agências de conformidade e regulamentação de alertas, conforme necessário

O segredo para se defender contra ameaças internas é monitorar seus dados, coletar informações e acionar alertas sobre comportamentos anormais.

A Varonis Data Security Platform identifica quem tem acesso aos seus dados, classifica seus dados confidenciais, alerta suas equipes sobre possíveis ameaças e ajuda a manter um modelo com menos privilégios. Com os recursos adequados, o CISO / CIO pode obter visibilidade dos usuários com maior risco e reunir as informações necessárias para evitar ameaças internas.