Отчет Data Breach Investigations Report 2019 от компании Verizon показал рост инсайдерских атак. 05.06.2019 16:25Каждый год исчерпывающий отчет Data Breach Investigations Report (DBIR) от компании Verizon предоставляет отрасли глубокий анализ последних тенденций изменений, связанных с инцидентами кибербезопасности. Из отчета этого года следует, что последние 4 года количество инцидентов, связанных с инсайдерскими угрозами, растет на 5%, начиная с низкого показателя в 2015. Отчет этого года также показал, что 34% всех нарушений случилось вследствие инсайдерских атак.
В этой статье мы тщательным образом рассмотрим данные этого отчета об инсайдерских атаках и объясним, как снизить риски в вашей компании.
Акцент на отрасль: число инсайдерских угроз в здравоохранении превосходит число внешних угроз
Утечки данных в сфере здравоохранения чаще, чем в других отраслях, происходят по вине инсайдеров (60% утечек связаны с действиями инсайдеров). Здравоохранение – это единственная отрасль, где число случаев хищения данных по вине инсайдеров превосходит число хищений по вине внешних лиц. По крайней мере, согласно этому отчету. Стоит отметить, что некоторые эксперты, такие как Shawn Thompson из Insider Threat Management Group, полагают, что эти цифры могут быть выше.
Если быть точным, то отчет DBIR указывает на стремительное наступление случайных инсайдерских угроз в секторе здравоохранения. Учитывая жесткие требования регуляторов (как HIPAA) и необходимость быстро принимать решения, чтобы оставаться конкурентоспособным, ошибки стали угрожающими, приводя к инсайдерским угрозам. Использование краденных учетных данных, несанкционированное использование привилегий, фишинговые атаки – три наиболее частых встречающихся типа подтвержденных атак.
За здравоохранением следует сектор ИТ, где 44% нарушений безопасности были вызваны внутренними лицами. Большинство этих нарушений также было случайным, но вызвано привилегированными пользователями. Системные администраторы часто оказывались ответственными за неправильную конфигурацию и публикацию ошибок, которые приводили к большинству этих инсайдерских нарушений. Большая часть таких неправильных конфигураций связана с облачными БД, где часто содержатся наиболее критичные данные компании.
Следом идет сектор финансовых услуг, в котором 36% нарушений безопасности связаны с инсайдерами. Кража учетных записей и фишинговые атаки являются наиболее частыми типами нарушений в этой области. Неправомерное использование привилегий также часто встречается в этой отрасли, что связано с ценной финансовой информацией и персональными данными.
И наконец, в государственном секторе с инсайдерами связаны 30% нарушений безопасности. Лица, аффилированные с государственным сектором, являются причиной 79% всех нарушений, связанных с внешними угрозами, при этом неправильное использование привилегий и ошибки инсайдеров составляют 30% всех нарушений безопасности. На обнаружение многих из этих нарушений потребовались месяцы или годы, труднее всего обнаружить неправильное использование привилегий.
Вывод: наиболее интересно здесь то, что ваша программа защиты от инсайдерских угроз зависит от вашей отрасли, так как в разных отраслях встречаются разные атаки и инциденты. Вместо использования единого подхода было бы лучше при разработке стратегии защиты от инсайдерских угроз оценить ваши слабые места и сравнить их с общими векторами атак в вашей отрасли.
Системные администраторы и рост атак, спонсируемых государствами
Под инсайдерской угрозой понимают ситуацию, когда кто-то близкий к компании, имеющий доступ к информационным ресурсам, использует этот доступ для негативного воздействия на критическую информацию или системы компании. При таком определении инсайдерских угроз в отчете DBIR отмечается повышение двух особых векторов атак – системные администраторы и атаки, спонсируемые государством.
Хотя идея со злобными системными администраторами с враждебными намерениями больше напоминает фильм, инсайдерские инциденты, вызванные непреднамеренными действиями администраторов – реальность. Наиболее частые ошибки админов:
Неправильная конфигурация серверов, которая допускает непреднамеренный доступ к важным данным;
Публикация данных на общедоступных серверах вместо частных или с контролируемым доступом.
Как уже упоминалось в абзаце, посвященном государственному сектору, в последний год выросло число злоумышленников, спонсируемых государством. Сплошь и рядом доверенные инсайдеры запускают спонсируемые государством угрозы, проникая сквозь внешнюю защиту компании и похищая конфиденциальные данные по просьбе правительства какой-либо страны.
Вывод: эти внутренние деятели, выполняющие атаки по заказу государств, уязвимы к вербовке во время финансовых или карьерных проблем, поэтому было бы хорошо разработать социальные (HR и обучение мерам безопасности) и технические меры предупреждения подобных инсайдерских угроз.
Белые воротнички – популярные цели для социальной инженерии
К сожалению, чем выше ваш статус в компании, тем больше вероятность стать целью фишинга или социальной инженерии. Отчет DBIR обнаружил, что для топ-менеджмента вероятность стать жертвой социальной инженерии выше в 12 раз, в 9 раз выше вероятность стать причиной утечки данных в результате подобных атак. Интересно заметить, что подобные типы социальной инженерии сейчас на подъеме. Топ менеджмент – заманчивая цель для хакера, конечно же, а их плотный график означает, что они с большей вероятностью щелкнут на ссылке до того, как подумают о том, что ссылка может быть вредоносной.
Вывод: иногда, когда компании проводят обучение по противодействию инсайдерским атакам и по повышению общей безопасности, топ-менеджмент не участвует в этих мероприятиях. У них обычно дел по горло. Но такие атаки показали, что обучение противодействию инсайдерским атакам должно быть для каждого сотрудника компании, включая и даже фокусируясь на белых воротничках.
Что делать с инсайдерскими угрозами в вашей компании
Резкий скачок случаев инсайдерских атак в последние 4 года указал на необходимость комплексной стратегии управления инсайдерскими угрозами. Эффективная стратегия объединяет обучение основам кибер безопасности (чтобы избежать этих дорогостоящих ошибок) и использование технологий для идентификации и риска инсайдерских угроз и избавления от них. Платформы, предназначенные для управления инсайдерскими угрозами, такие как ObserveIT, могут помочь компаниям быстро идентифицировать и исследовать потенциальные инциденты. Эксперты по ИБ могут использовать ObserveIT для получения полной видимости действий пользователя и операций с данными и знать о действиях, времени и мотивах действий каждого пользователя.