Iekšējās personas risks: samaziniet iespējas un uzlabojiet reaģēšanu

Iekšējās personas risks ietver apzinātu ļaunprātīgu izmantošanu, kļūdas un darbības, kas veiktas ar kompromitētu likumīgu kontu. Iesaistīti var būt darbinieki, darbuzņēmēji, piegādātāji un bijušie darbinieki ar saglabājušos piekļuvi. Noderīgs sākumpunkts nav saraksts ar it kā riskantiem cilvēkiem, bet gan piekļuve un darbības, kas varētu radīt kaitējumu.

Tehnoloģiju direktora uzdevums ir samazināt ļaunprātīgas izmantošanas iespējas, saglabājot likumīgo darbu, un pēc tam padarīt aizdomīgas darbības izmeklējamas. Tam nepieciešamas identitātes kontroles, datu apstrādes noteikumi, noderīga telemetrija un reaģēšanas process, kas nošķir nejaušību no konta kompromitēšanas vai apzinātas rīcības. Iespējamās sekas ietver krāpšanu, intelektuālā īpašuma zudumu, personas datu atklāšanu un darbības traucējumus. Nevienai no tām nav nepieciešams, lai uzbrucējs izmantotu programmatūras ievainojamību, ja esošās atļaujas jau ļauj veikt attiecīgo darbību.

Identificējiet augstas ietekmes ceļus

Sāciet ar vienu svarīgu biznesa procesu un kartējiet, kā kāds, izmantojot likumīgu piekļuvi, varētu radīt būtisku kaitējumu. Iekļaujiet lietotnes, administratīvās saskarnes, API, galiekārtas un ārējos pakalpojumu sniedzējus. Uz piekļuvi vērsta draudu modelēšana var palīdzēt identificēt ceļus, kas šķērso vairākas sistēmas.

Jautājiet, ko persona var lasīt, mainīt, eksportēt, dzēst vai apstiprināt, nevis tikai to, vai tai ir konts.

Katram ceļam reģistrējiet aktīva īpašnieku, pilnvarotās lomas, paredzēto nolūku, preventīvo kontroli, atklāšanas avotu un reaģētāju. Prioritizējiet pēc iespējamās ietekmes, izpildes vienkāršības un atjaunošanas spējas. Īpaša uzmanība jāpievērš sensitīvai darbībai, ko viena persona var veikt bez neatkarīgām pārbaudēm.

Rezultāts ir īss piekļuves ceļu reģistrs. Tajā precīzi jānorāda, kurai darbībai nepieciešama pienākumu nodalīšana, papildu apstiprinājums vai rūpīgāka uzraudzība.

Noņemiet nevajadzīgas pilnvaras, pirms pievienojat novērošanu

Mazāko privilēģiju princips nozīmē atļauju saskaņošanu ar pašreizējo darbu. Sāciet ar faktiskajām tiesībām, ieskaitot ligzdotas grupas, lietotnēm specifiskas lomas, deleģētu piekļuvi, pakalpojumu kontus, API marķierus un koplietotus akreditācijas datus. Sakārtots direktorija lomu saraksts var slēpt pārmērīgas atļaujas atsevišķās lietotnēs.

Lieciet biznesa īpašniekiem validēt, kāpēc katra sensitīvā tiesība ir nepieciešama. Ja iespējams, nošķiriet ikdienas kontus no administratīvajām identitātēm un aizstājiet pastāvīgu administratīvo piekļuvi ar apstiprinātu, laikā ierobežotu privilēģiju paaugstināšanu. Izmantojiet daudzfaktoru autentifikāciju, ja iespējams, pret pikšķerēšanu noturīgas metodes, lai samazinātu akreditācijas datu kompromitēšanas apdraudējumu. Autentifikācija neliedz pilnvarotai personai ļaunprātīgi izmantot atļaujas.

Pienākumu nodalīšanai jāpastāv sistēmā, nevis tikai politikā. Personai, kas maina piegādātāja maksājumu datus, nevajadzētu arī apstiprināt attiecīgo maksājumu. Ārkārtas apiešanai nepieciešams reģistrēts iemesls, noteikts derīguma termiņš un retrospektīva pārskatīšana, ko veic no darbības neatkarīga persona.

Iebūvējiet piekļuves izmaiņas personāla un piegādātāju darba plūsmās:

• Pieņemšana darbā: piešķiriet definētu lomu, nevis kopējiet kolēģa uzkrātās atļaujas.
• Pārcelšana: noņemiet novecojušu piekļuvi, ne tikai pievienojiet jaunus pienākumus.
• Aiziešana: koordinējiet konta atspējošanu, sesiju pārtraukšanu, marķieru atsaukšanu, rīcību ar ierīcēm un piegādātāju piekļuves noņemšanu.
• Pagaidu darbs: piešķiriet īpašnieku un derīguma termiņu paaugstinātai vai projektam specifiskai piekļuvei.

Pārskatiet pakalpojumu kontus atsevišķi. Dokumentējiet to nolūku, atkarības, akreditācijas datu glabāšanu un īpašnieku. Izvairieties no interaktīvas lietošanas, ja tā nav nepieciešama. Ja koplietotus akreditācijas datus vēl nevar novērst, reģistrējiet izņēmumu un kompensējošās kontroles; nepieņemiet, ka žurnāli uzticami identificēs konkrēto lietotāju.

Aizsargājiet datus un ceļu uz āru

Datu aizsardzība sākas ar zināšanām par to, kura informācija ir svarīga un kur tā pārvietojas. Klasificējiet sensitīvās datu kopas, nosakiet apstiprinātos galamērķus un definējiet, kad eksports vai ārēja kopīgošana ir likumīga. Nodrošiniet lietotājiem praktiski izmantojamu apstiprinātu ceļu, citādi kontroles var pārvirzīt darbības uz nepārvaldītiem kanāliem.

Datu noplūdes novēršana var brīdināt, bloķēt vai pieprasīt pamatojumu atlasītām pārsūtīšanām. Izmēģiniet politikas uz reprezentatīvām darba plūsmām, pirms tās plaši ieviešat. Ja tas ir būtiski riskam, testējiet mākoņa kopīgošanas saites, augšupielādes pārlūkprogrammā, sinhronizācijas klientus, noņemamus datu nesējus un drukāšanu. Pārklājums atšķiras atkarībā no platformas un kanāla; sekmīgs tests galiekārtā nepierāda aizsardzību lietotnes API.

Šifrēšana glabāšanas un pārsūtīšanas laikā aizsargā konkrētus apdraudējuma ceļus, taču pilnvarots lietotājs joprojām var iegūt atšifrētu tekstu. Apvienojiet šifrēšanu ar piekļuves robežām, eksporta ierobežojumiem un kontrolētu kopīgošanu. Aizsargājiet arī rezerves kopijas un atjaunošanas administrēšanu: pēc destruktīvas ļaunprātīgas izmantošanas ir grūtāk atjaunoties, ja viena un tā pati identitāte var mainīt ražošanas vidi un izdzēst tās rezerves kopijas.

Padariet atklāšanu samērīgu un izskaidrojamu

Vāciet signālus, kas saistīti ar augstas ietekmes ceļiem, nevis visu, ko cilvēks dara. Noderīgi notikumi var ietvert neparasti lielus eksportus, jaunu ārēju kopīgošanu, privilēģiju izmaiņas, atspējotu žurnālēšanu, atkārtotus piekļuves atteikumus vai piekļuvi sensitīviem repozitorijiem ārpus ierastajiem darba modeļiem.

Izmantojiet lietotņu audita žurnālus līdztekus identitātes, galiekārtu un mākoņa notikumiem. Drošības informācijas un notikumu pārvaldības sistēma var korelēt šos avotus; lietotāju un vienību uzvedības analītika var palīdzēt identificēt novirzes no bāzes līmeņa. Neviena no tām nepierāda nodomu. Migrācija, apstiprināta reaģēšana uz incidentu vai mainīta amata loma var izskaidrot neparastas darbības.

Katram atklāšanas noteikumam norādiet:

• Riskanto darbību un aptvertās sistēmas.
• Nepieciešamos žurnāla laukus, piemēram, darbības veicēju, laika zīmogu, objektu, darbību, rezultātu un galamērķi.
• Sagaidāmos likumīgos izņēmumus un to, kā reaģētāji tos pārbauda.
• Reaģēšanas īpašnieku, eskalācijas ceļu un nosacījumus steidzamai ierobežošanai.
• Kā komanda testēs noteikumu un mērīs tā lietderību.

Aizsargājiet žurnālus pret neatļautām izmaiņām, sinhronizējiet laika zīmogus un pārbaudiet, vai datu ielādes kļūmes ir redzamas. Testējiet brīdinājumus ar apstiprinātām darbībām drošā vidē. Izsekojiet trūkstošo telemetriju un kļūdaini pozitīvos rezultātus kā inženiertehniskus defektus, nevis tikai kā analītiķu darba slodzi.

Vispirms ieviesiet uzraudzības aizsardzības pasākumus

Pirms darbinieku darbību vākšanas nosakiet tiesisko pamatu, nolūku, privātuma aizsardzības pasākumus, piekļuves kontroles un glabāšanu. Iesaistiet atbilstošus privātuma, juridiskos, personāla un darbinieku pārstāvjus; konsultēšanās pienākumi ir atkarīgi no jurisdikcijas un konteksta.

Ja piemērojama VDAR, tās 5., 6., 13.–14. un 32. pants attiecas uz principiem, likumīgu apstrādi, pārredzamību un drošību. 35. pants prasa novērtējumu par ietekmi uz datu aizsardzību, ja apstrāde, visticamāk, radīs augstu risku. Drošības mērķi šīs prasības neatceļ.

Kā praktisku rekomendāciju dodiet priekšroku šauri definētiem notikumu metadatiem, nevis uzmācīgai satura vākšanai, ja tie atbild uz izmeklēšanas jautājumu. Ierobežojiet piekļuvi lietām, dokumentējiet glabāšanas lēmumus un neuzskatiet personīgos apstākļus vai domstarpības darbavietā par pārkāpuma pierādījumu. Automatizētiem vērtējumiem nepieciešama cilvēka validācija.

Palīdziet cilvēkiem agri ziņot par kļūdām

Nodrošiniet acīmredzamu ziņošanas ceļu par nejaušu kopīgošanu, pazaudētām ierīcēm, aizdomīgiem pieprasījumiem un negaidītām darbībām kontā. Izskaidrojiet, par ko ziņot: sistēmu, aptuveno laiku, iesaistīto informāciju, saņēmējus un jau veiktās darbības. Darbiniekiem nevajadzētu klasificēt incidentu, pirms viņi lūdz palīdzību.

Padariet apmācību specifisku darbam. Finanšu komandām nepieciešami maksājumu datu izmaiņu pārbaudes scenāriji; izstrādātājiem nepieciešami piemēri par repozitorijiem un noslēpumu apstrādi; atbalsta darbiniekiem nepieciešamas vadlīnijas par klientu datu eksportu un uzdošanos par citu personu. Iekļaujiet darbuzņēmējus un priviliģētos administratorus.

Reaģējiet konstruktīvi uz savlaicīgiem ziņojumiem. Pasakiet ziņotājam, vai pārtraukt lietot ierīci, saglabāt ziņojumu vai nesazināties ar saņēmēju, kamēr reaģēšanas komanda nav sniegusi norādījumus. Skaidras instrukcijas neļauj labi domātai satīrīšanai iznīcināt pierādījumus vai paplašināt apdraudējumu.

Reaģējiet uz faktiem, nevis etiķetēm

Brīdinājums ir izmeklēšanas pavediens, nevis pārkāpuma pierādījums. Noskaidrojiet kontekstu un aizsargājiet visu iesaistīto konfidencialitāti. Šķietami derīga darbība kontā var atspoguļot kļūdu, automatizāciju, nozagtu sesiju vai apzinātu ļaunprātīgu izmantošanu; ierobežošanas vajadzības var pārklāties, kamēr sekas darba attiecībās atšķiras.

Lietojamā reaģēšanas rokasgrāmatā būtu jāaptver pieci lēmumi:

1. Šķirošana: apstipriniet notikumu, skartos aktīvus, sensitivitāti, pilnvarojumu un to, vai kaitējums turpinās. Pārbaudiet apstiprinātās izmaiņas un sazinieties ar procesa īpašnieku caur uzticamu kanālu.
2. Saglabāšana: attiecīgā gadījumā saglabājiet atbilstošos žurnālus, identitātes notikumus, kopīgošanas ierakstus un oriģinālos failus. Reģistrējiet vākšanas laiku, avotu, izmeklētāju un apstrādi. Ierobežojiet piekļuvi lietas materiāliem.
3. Ierobežošana: izvēlieties samērīgus pasākumus, piemēram, sesiju atsaukšanu, eksporta ierobežošanu, kopīgošanas atspējošanu vai paaugstināto privilēģiju noņemšanu. Pirms konta atspējošanas izvērtējiet pakalpojumu atkarības, neaizkavējot steidzamu aizsardzību.
4. Koordinēšana: atkarībā no faktiem iesaistiet drošības komandu, sistēmas īpašnieku, privātuma speciālistus, juristus un personāla daļu. Rīcībai darba attiecībās un nodošanai tiesībaizsardzības iestādēm nepieciešamas atbilstošas pilnvaras, nevis automatizēta brīdinājuma slieksnis.
5. Atjaunošana: atjaunojiet apstiprināto piekļuvi un konfigurācijas, nomainiet skartos akreditācijas datus, validējiet datu integritāti un uzraugiet, vai notikums neatkārtojas.

Nosakiet, kas var atļaut steidzamu ierobežošanu, un alternatīvu kontaktpersonu gadījumam, ja ir iesaistīts priviliģēts administrators vai parastais lēmumu pieņēmējs.

Novērtējiet paziņošanas pienākumus atsevišķi. Saskaņā ar VDAR 33. un 34. pantu pārziņi bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc uzzināšanas izvērtē paziņošanu uzraudzības iestādei, ja vien nav ticams, ka pārkāpums radīs risku personu tiesībām un brīvībām. Apstrādātāji bez nepamatotas kavēšanās paziņo pārziņiem. Augsts risks var prasīt informēt skartās personas, ievērojot 34. panta izņēmumus. Reģistrējiet nepaziņošanas pamatojumu un pārbaudiet citus piemērojamos līgumiskos vai tiesību aktos noteiktos pienākumus.

Praktisks piemērs: neparasts klientu datu eksports

Ilustratīvi pieņēmumi: atbalsta lietotnē ir klientu kontaktinformācija; vadītāji var eksportēt ierobežotu ierakstu skaitu apstiprinātiem gadījumiem; atsevišķa integrācijas identitāte veic plānotu atskaišu sagatavošanu.

Brīdinājums ziņo, ka vadītājs eksportē ievērojami vairāk ierakstu, nekā atbilst viņa parastajai darba slodzei. Analītiķis pārbauda eksporta tvērumu, galamērķi, identitātes notikumus un apstiprinātā gadījuma atsauci. Jauns pieteikšanās konteksts palielina bažas, taču nepierāda, kas rīkojās.

Reaģēšanas komanda saglabā lietotnes un identitātes žurnālus, atsauc aizdomīgo sesiju un uz laiku noņem lietotāja eksporta atļauju. Tā pārbauda, vai plānotā integrācija nav skarta, pirms maina plašāku piekļuvi. Caur uzticamu kontaktu vadītājs apstiprina, ka viņš nav pieprasījis eksportu.

Darba hipotēze kļūst par konta kompromitēšanu. Izmeklētāji izvērtē akreditācijas datu un sesijas atklātību, ja iespējams, identificē saņēmējus vai galamērķus un novērtē pienākumus paziņot par pārkāpumu. Atjaunošana ietver konta nodrošināšanu un atļauju validēšanu.

Kontroles pārskatīšanā atklājas, ka ikdienas atbalsta darbam nebija nepieciešamas plašas eksporta tiesības. Korektīvā darbība ir šaurāka loma, apstiprinājums lielākiem eksportiem un testēts brīdinājums. Pierādījumi ietver konfigurācijas ierakstus, kontrolētu testu un pārskatītāja apstiprinājumu, nevis apgalvojumu, ka katrs turpmākais eksports tiks novērsts.

Saglabājiet pierādījumus, kas parāda, ka kontroles darbojas

Pēc gadījuma vai mācībām reģistrējiet faktus, reaģēšanu, ietekmi un uzlabojumus. Izvērtējiet, vai to veicināja pārmērīgas atļaujas, trūkstoši apstiprinājumi, neskaidras instrukcijas vai nepilnīga telemetrija. Katrai korektīvajai darbībai piešķiriet īpašnieku, izpildes termiņu un pārbaudes metodi.

Noderīgi pārliecības pierādījumi ietver tiesību pārskatīšanas ar noņemšanas ierakstiem, privilēģiju paaugstināšanas vēsturi, aiziešanas procesa testus, atklāšanas noteikumu testus, žurnālu pārklājuma pārbaudes un mācības, kas demonstrē eskalācijas ceļu. Mēriet kontroļu rezultātus, piemēram, noņemtu piekļuvi, kuras termiņš beidzies, un brīdinājumus ar pietiekamu kontekstu, nevis tikai pabeigto apmācību skaitu.

Secani sasaista riskus, kontroļu ieviešanu un pierādījumus pārvaldītā kontekstā. Vienam piekļuves ceļam komandas var modelēt attiecīgās sistēmas, pievienot pārskatīšanas eksportus un testu ierakstus, piešķirt nepilnību novēršanas uzdevumus un saglabāt cilvēku pārskatīšanas lēmumus. Atļauju un API piekļuves dokumentācijā aprakstīta tikai validācijai paredzēta OSCAL API loma – konkrēts piemērs tam, kā piešķirt akreditācijas datiem spēju, kas ierobežota ar to paredzēto uzdevumu. Ievietojiet piekļuves pārskatīšanas eksportus, uzraudzības konstatējumus un apstiprinātos reaģēšanas lēmumus šajā savienotajā kontroles ierakstā.

Sāciet, testējot vienu augstas ietekmes piekļuves ceļu un eskalācijas ceļu tā ļaunprātīgas izmantošanas gadījumā. Pārliecinieties, ka nevajadzīgas pilnvaras ir noņemtas, nozīmīgs notikums ir redzams un pilnvarots reaģētājs var rīkoties ar pietiekamiem pierādījumiem un kontekstu.