אינדיקטורים עיקריים לאיומי Insider Cybersecurity שיש לשים לב אליהם

לזהות איומים פנימיים זה לא קל. ישנם מספר אינדיקטורים התנהגותיים שיכולים לעזור לך לראות מאיפה מגיע איום פוטנציאלי, אבל זה רק חצי מהקרב. זיהוי יעיל של איומים פנימיים דורש גם כלים מקיפים המאפשרים לך לפקח על הפעלות של משתמשים חשודים ולעקוב אחר הפעילויות שלהם. 

במאמר זה, אנו מתארים מהם אינדיקטורים של איומים פנימיים כדי לעזור לך לזהות שחקנים זדוניים פוטנציאליים. אנו מציעים גם פתרונות יעילים לניהול איומים פנימיים שתוכלו למנף אותם כדי להרתיע, לזהות ולשבש איומים פנימיים.

מי הוא איש פנים?

דבר ראשון: עלינו להגדיר מי הם מקורבים.

איש פנים הוא עובד או קבלן צד שלישי עם גישה לגיטימית לנתונים ולמערכות הקריטיים שלך. עם זאת, לא לכל פנימי יש את אותה רמת גישה, ולפיכך לא כל איש מבפנים מהווה את אותה רמת איום. Verizon מתאר את חמשת הסוגים הנפוצים ביותר של איומים פנימיים:

• עובדים ממורמרים – הרבה דברים יכולים לגרום לעובדים להיות לא מרוצים: סירוב לקידום או העלאה, יחסים לקויים עם עמיתים ומנהלים וכו'. מקורבים ממורמרים עלולים להשתמש בעמדה שלהם כדי לנקום ולגרום נזק חמור לחברה שלך.
• מקורבים זדוניים – אלה עובדים שמשתמשים לרעה או מנצלים לרעה את הגישה שלהם כדי לגנוב, להדליף או למחוק נתונים ארגוניים בעלי ערך מתוך כוונה זדונית . ההבדל העיקרי בין מקורבים זדוניים לעובדים ממורמרים טמון במוטיבציה שלהם. עובדים ממורמרים משתמשים לרעה בנתונים כתגובה רגשית, בעוד שמקורבים זדוניים מבצעים בדרך כלל פשעי סייבר למטרות רווח כספי או ריגול .
• עובדים חסרי זהירות – מקורבים יכולים להדליף נתונים או לסכן את התשתית הארגונית שלך מבלי משים . על פי הדו"ח העולמי של 2023 Cost of Insider Threats של מכון Ponemon, מקורבים רשלניים מנצחים, המהווים 55% מכלל איומי הפנים. 
• עובדים מוכשרים – כאשר עובדים או קבלנים אינם פועלים לפי שיטות עבודה מומלצות בתחום אבטחת סייבר, קל מאוד לתמרן אותם עם התקפה או יריב. בשנת 2023, 20% מהאירועים היו מעורבים במקורבים שנודע להם על פי אותו דוח.
• ספקים וקבלנים של צד שלישי – בדרך כלל, יש לך שליטה מועטה על אבטחת סייבר מהצד של משתמשי צד שלישי. למרות שאתה יכול לבקר את בקרות האבטחה שלהם כחלק מתהליך הבחירה שלך, זה עדיין לא מבטיח את הבטיחות המלאה של הנתונים הרגישים שלך.

כפי שאתה יכול לראות, לא כל מקורב מסוכן הוא איש זדון. קיים גם סיכון גדול לטעויות בשוגג , המבוצעות לרוב על ידי עובדים וקבלני משנה. כל חברה יכולה ליפול קורבן לטעויות אלו, והניסיון לחסל טעויות אנוש הוא קשה ביותר.

ההימור הטוב ביותר שלך הוא לשפר את המודעות לאיומים פנימיים בקרב העובדים שלך בנוגע לשיטות האבטחה הטובות ביותר ולהציב מדיניות אבטחת סייבר שתגביל את האפשרות של טעויות אנוש ותעזור לצמצם את הנזק במקרה של טעות.

כעת, בואו נסתכל בצורה מפורטת יותר על המניעים הנפוצים ביותר מאחורי איומים פנימיים.

מטרות של התקפות פנימיות

מקורבים יכולים לכוון למגוון נכסים בהתאם למוטיבציה שלהם. בדרך כלל, הם מתמקדים בנתונים שניתן למכור בקלות בשוק השחור (כמו מידע אישי של לקוחות או עובדים) או שיכולים להיות חיוניים לפעילות החברה (כגון נתונים שיווקיים, מידע פיננסי או קניין רוחני). היעדים הנפוצים ביותר להתקפות פנימיות כוללות:

• מאגרי מידע
• שרתי קבצים
• נקודות קצה
• יישומים ספציפיים
• מכשירים ניידים
• רשתות
• אחסון בענן.

על פי חוק ה-3 לניהול סיכונים מבפנים יזום מאת פול פורטדו וג'ונתן קייר (נדרש מנוי לגרטנר), ניתן לסווג את פעילויות האיומים הפנימיות הנפוצות ביותר לאחת משלוש תוכניות הנחשבות כהפרת מדיניות או בלתי חוקית על פי חוק: הונאה, גניבת נתונים וחבלה במערכת. 

נוף האיומים הפנימיים משתרע מעבר לסטטיסטיקה בלבד. בספר מעבר לפחד , מומחה האבטחה המפורסם ברוס שנייר מתעמק בחקירה מקיפה של מקורבים זדוניים, ושופך אור על קטגוריות שונות ועל המניעים המניעים את פעולותיהם:

• אופורטוניסטים – המקורבים האלה לא מתכננים מראש פעולות זדוניות, אלא מחליטים לתקוף כשיש הזדמנות. קשיים כלכליים והיסטוריה של התנהגות בעייתית קודמת יכולים להיות סימני אזהרה להתקפה כזו.
• תוקפים מחושבים – בדרך כלל הרבה יותר קשה להרתיע את המקורבים האלה. הם מתכננים את הפעולות שלהם מראש ולעתים קרובות מכוונים לנתונים מאוד ספציפיים. זה יכול להיות קשה מאוד לזהות התקפות כאלה גם לאחר שהן קרו.
• תוקפים רגשיים – אלו עובדים שהמניע העיקרי שלהם להתקפה הוא רגשות ותחושות כמו פחד, חמדנות או כעס. במקום לחכות להזדמנות, הם תוקפים באופן ספונטני, ללא תוכנית מפורטת. לפעמים, הם אפילו רוצים להיתפס כדי להפנות תשומת לב לבעיות שלהם. דוגמה נפוצה לתוקף רגשי היא העובד הממורמר.
• טרוריסטים ופעילים דיגיטליים – המקורבים האלה בדרך כלל מתכננים את ההתקפות שלהם ולעיתים קרובות, במקום לגנוב נתונים, פשוט מנסים לעשות כמה שיותר נזק – למשל, על ידי פגיעה בתשתית הרשת הארגונית והוצאה מבפנים. 

מלבד ארבע הקטגוריות לעיל, ברוס שנייר גם מזכיר חברים וקשרים כקבוצה נוספת של מקורבים זדוניים שיכולים לבצע הונאה או גניבת נתונים על ידי גישה למחשבים של חבריהם או בני משפחתם. כדאי לקחת בחשבון את קבוצת המקורבים הזו כאשר מדובר בקבלני משנה ועובדים מרוחקים.

החדשות הטובות הן שלהתקפת פנים (בין אם מתוכננת או ספונטנית) יש כמה אינדיקטורים. איתורם מאפשר למנוע את ההתקפה או לפחות לקבל אזהרה מוקדמת. בוא נחקור את האינדיקטורים הנפוצים ביותר לאיומי פנים שאתה צריך לשים לב אליהם.

האינדיקטורים ההתנהגותיים העיקריים של מקורבים זדוניים

זיהוי התקפת פנים זדונית יכול להיות קשה ביותר, במיוחד כאשר יש לך עסק עם תוקף מחושב או עובד לשעבר ממורמר שיודע את הפרטים הקטנים של החברה שלך. אחת הדרכים לזהות מתקפה כזו היא לשים לב לאינדיקטורים שונים של התנהגות איום פנימי.

מקורבים זדוניים עלולים להתנהג בצורה שונה בהתאם לאישיותם, המוטיבציה והמטרות שלהם. עם זאת, ישנם סימנים נפוצים מסוימים של איומים פנימיים שאתה צריך להיזהר מהם:

1. מורת רוח

כפי שהוזכר לעיל, כאשר העובדים אינם מרוצים מעבודתם או תופסים עוולות מצד הארגון, יש סיכוי גבוה יותר שהם יבצעו מתקפת פנים.

ישנם סימנים רבים לעובדים ממורמרים. הברורים ביותר הם:

• סכסוכים תכופים עם עובדים וממונים
• ירידה בביצועים ואיחור כללי (מגיעים מאוחר ויוצאים מוקדם, עושים יותר טעויות מהרגיל, החמצה מתמדת של מועדים וכו')
• היעדרויות לא מוצדקות
• הפרה שיטתית של מדיניות ארגונית
• חיפוש הזדמנויות תעסוקה חלופיות

אינדיקטור זה ניתן להבחין בצורה הטובה ביותר על ידי ראש הצוות של העובד, עמיתיו או משאבי אנוש. כמובן, אומללות בעבודה לא בהכרח מובילה להתקפת פנים, אבל היא יכולה לשמש כמוטיבציה נוספת. שיחה בזמן יכולה להפחית את האיום הזה ולשפר את התפוקה של העובד.

עובדים שקיבלו הודעת סיום גם הם מהווים סיכונים ויש לפקח עליהם ללא קשר להתנהגותם עד שהם עוזבים את מקום העבודה, ובשלב זה יש לבטל מיד את הגישה שלהם לתשתית הארגונית.

2. התלהבות בלתי רגילה

לעיתים, עובד עשוי להביע התלהבות חריגה מעבודה נוספת. זה עשוי לכלול:

• הישארות מאוחרת בעבודה ללא כל בקשות ספציפיות
• מתנדב שוב ושוב לעבודה נוספת
• עבודה בשעות מוזרות
• מנסים לבצע עבודה מחוץ לתחום התפקידים הרגילים שלהם
• עבודה מהבית ללא סיבה מוצדקת

יש לראות בכל הפעולות הללו ניסיון של העובד להרחיב את הגישה שלו לנתונים רגישים. למרות שאינן בהכרח זדוניות, פעולות כאלה מחייבות אותך לפקוח עין על העובד ולוודא שהם לא מעתיקים או מתעסקים בדרך אחרת בנתונים רגישים.

3. טיולים וחופשות תכופות

אולי אנחנו חושבים על ריגול כעל משהו היישר מסרט של ג'יימס בונד, אבל הסטטיסטיקה אומרת לנו שזה איום אמיתי היום. בעוד שרוב ההפרות עדיין מונעות משיקולים פיננסיים, הריגול עומד בתור הגורם השני להפרות מידע. על פי דו"ח חקירות הפרת נתונים לשנת 2023 מאת Verizon , הריגול מגיע עד 30-32% בתעשיות מסוימות כמו מינהל ציבורי או משאבי טבע וכרייה.

נסיעות חוזרות לערים אחרות או אפילו למדינות עשויות להיות אינדיקטורים טובים לריגול. עובד עשוי לעבוד בחברה מתחרה – או אפילו בסוכנות ממשלתית – ולהעביר אליהם את הנתונים הרגישים שלך.

אינדיקטור מוקדם נוסף לאיום פנימי פוטנציאלי הוא כאשר עובד מביע נאמנות לאומית מפוקפקת. זה אולי לא רק אומר שהם עובדים עם סוכנים או חברות ממשלתיות במדינות אחרות, אלא שהם נוטים יותר לנצל הזדמנות לגנוב או להתפשר על נתונים כשהם יופיעו.

מלבד זאת, נסיעות תכופות יכולות להעיד גם על שינוי בנסיבות הכלכליות, המהווה כשלעצמו אינדיקציה טובה לאיום פנימי פוטנציאלי.

4. שינויים בלתי מוסברים בנסיבות הכלכליות

אם עובד משלם באופן בלתי צפוי את חובותיו או מבצע רכישות יקרות מבלי שיהיו לו מקורות הכנסה נוספים ברורים, זה יכול להיות אינדיקציה לכך שהוא עשוי להרוויח מהנתונים הרגישים שלך בצד.

ישנם מספר תרחישים לכך:

• ניתן לפנות לעובד על ידי מתחרה ולהכריח אותו לבצע ריגול תעשייתי.
• עובד רשאי להעתיק ולמכור את הנתונים שלך למטרות רווח .
• עובד עשוי להקים עסק מתחרה ולהשתמש בנתונים שלך, כגון רשימות לקוחות, כדי לקחת את נתח השוק שלך.

בסך הכל, כל שינוי בלתי צפוי ומהיר בנסיבות הפיננסיות מהווה סיבה לדאגה ויש להתייחס אליו כאינדיקטור רציני למעקב צמוד. אם אתה רוצה ללמוד עוד על אינדיקטורים התנהגותיים הקשורים לאיומי פנים, עיין במאמר שלנו על דיוקן של מקורבים זדוניים .

אבל כסף הוא לא הדרך היחידה לכפות על עובדים – אפילו נאמנים – לבצע ריגול תעשייתי. חברות מתחרות ומדינות זרות יכולות לפעמים להשתמש במידע מזיק כדי לסחוט או לאיים על העובדים שלך.

לדוגמה, מידע על התמכרות קודמת לסמים או בעיות בחוק יכול לשמש ביעילות נגד עובד אם הוא נופל לידיים הלא נכונות. אחת הדרכים להגביל זאת היא להשתמש בבדיקות רקע כדי לוודא שלעובדים אין היסטוריה לא נחשפת שיכולה לשמש לסחיטה.

5. רצון בלתי צפוי לעזוב חברה

כאשר עובד מחליט לפתע לעזוב את הארגון שלך מבלי לספק הודעה או הסבר, זה יכול להעיד על איום פנימי. יתרה מכך, אם עובד עוזב מוריד כמויות גדולות של נתונים רגישים לפני העזיבה, הדבר אמור להעלות דגלים אדומים.

כמו כן, עליך לזכור כי עשוי להיות סיכון מוגבר לפעולות זדוניות אם עובד עוזב את החברה בנסיבות שליליות, כגון מחלוקת או סיום. בהתחשב בכך, עליך להסתכל על פעילויות רשת קודמות של עובדים עוזבים ולוודא שהם לא עשו שום דבר חריג או ניגשו לנתונים שלא היו צריכים. שווה להסתכל אחורה על הפעילות שלהם ב-90 הימים האחרונים לפחות.  

זה גם חיוני כדי להבטיח תהליך יציאה תקין – הקפד לבטל מיד את הרשאות הגישה של עובדים עוזבים, להשבית את החשבונות שלהם ולמחוק אותם מקבוצות דוא"ל ומרשימות תפוצה.

אינדיקטורים של איום פנימי דיגיטלי שיש לשים לב אליהם

מלבד אינדיקטורים של איום התנהגות, ישנם כמה אינדיקטורים דיגיטליים שאתה יכול לזהות. האינדיקטורים העיקריים של איומי סייבר דיגיטליים כוללים:

• זמני כניסה חריגים – אם עובדים או ספקים נכנסים למערכת שלך בזמנים חריגים, זה עשוי להיות סימן שהם מנסים לגשת למידע הרגיש שלך מבלי להתגלות.
• גישה לנתונים שמשתמשים אינם זקוקים להם כדי לבצע את האחריות שלהם – כאשר משתמשים מחפשים גישה לנתונים רגישים מעבר להיקף תפקידיהם, זהו גם דגל אדום של איום פנימי זדוני. 
• חיפוש אחר נתונים רגישים – משתמשים לגיטימיים עם חיפושים מוגברים במערכת עשויים גם להיות אינדיקטורים פוטנציאליים לאיומים פנימיים מכיוון שהם עשויים לנסות למצוא ולחלץ נתונים סודיים. 
• הורדות והעברות נתונים גדולים – אם אתה מזהה עליות בנפח תעבורת הרשת שלך, זה יכול לאותת שמספר רב של קבצים ארגוניים מועתקים או נשלחים בדוא"ל מחוץ לארגון שלך למטרות זדוניות.
• שימוש בהתקני USB לא מורשים – אחד האינדיקטורים המרכזיים לאיום פנימי הוא כאשר משתמש מפעיל שאילתות ומוריד נתונים קריטיים למכשירים לא מורשים.
• יצירת חשבונות ספקים חדשים ואישורי הזמנות רכש – כאשר משתמשים יוצרים חשבונות ספקים חדשים, הזמנות רכש או דרישות, יש לחקור את הפעולות שלהם מכיוון שהם עשויים ליצור חשבונות "רפאים" או הזמנות למטרות רווח כספי.
• השבתת אנטי-וירוסים או חומות אש – מקורבים עשויים להשבית את בקרות האבטחה כדי למנוע זיהוי בזמן ביצוע פעילויות לא מורשות.
• התקנת תוכנה ללא סנקציות – שחקנים זדוניים עלולים לנסות לעקוף את בקרות האבטחה ולחלץ נתונים רגישים באמצעות כלים של צד שלישי.   

אתה צריך לקחת את הפעולות האלה ברצינות ולשקול אותן באיומים פוטנציאליים. צעד חיוני להתמודדות עם סיכונים פנימיים הוא יצירת אסטרטגיה מקיפה. בואו נחקור מהו ניהול סיכונים פנימיים וכיצד להפוך אותו ליעיל.

אסטרטגיית מניעת איומים פנימיים

כדי לנקוט בגישה הוליסטית למניעת סיכונים פנימיים, תזדקק לאסטרטגיה מקיפה המורכבת מהשלבים המרכזיים הבאים: 

אכיפת מדיניות אבטחת סייבר

כל מי שעובד עם הנתונים הקריטיים שלך צריך לדעת את העשה ואל תעשה לשמירה על אבטחת הדברים. ליתר דיוק, עליך להגדיר קווים מנחים לשימוש במערכות ארגוניות, צעדים לנקוט במקרה של אירוע אבטחת סייבר וכיצד לזהות שחקן זדוני פוטנציאלי. כל המידע הזה צריך להיות מתועד במדיניות אבטחת הסייבר שלך .

זה יעזור לך לשפר את המודעות הכללית לאבטחת סייבר ולמזער את מספר איומי הפנים הלא מכוונים והן מכוונים.

הגבר את ההגנה על הנכסים הקריטיים שלך

זהה את הנכסים הקריטיים של הארגון שלך, תעדוף אותם וקבע את המצב הנוכחי של ההגנה עליהם. תעדוף את ההגנה על הנכסים הרגישים שלך בהתאם לרמת ההשפעה שלהם על הארגון שלך. לאחר מכן, אתה יכול להגביל את משטח ההתקפה על ידי צמצום הגישה לנכסים היקרים ביותר שלך רק למינימום המינימלי של אנשים ורק לזמן מסוים שהם צריכים כדי לבצע את תפקידיהם. 

זהו גם תרגול יעיל לחלק משימות קריטיות ואת זכויות הגישה המתאימות בין מספר משתמשים כדי להפחית את הסיכון לניצול לרעה של הרשאות . 

צור קו בסיס להתנהגות משתמש רגילה

עם היכולת להבחין בין התנהגות רגילה להתנהגות חשודה, אתה יכול לזהות פעילות משתמשים שעלולה להיות מסוכנת לפני שמתרחש אירוע אבטחת סייבר. שקול ליישם פתרונות ניתוח התנהגות של משתמשים וישות (UEBA) כדי לעקוב אחר התנהגות המשתמש. UEBA אוספת תחילה נתוני פעילות משתמש (זמני כניסה ויציאה נפוצים, דינמיקה של הקשות וכו'), מנתחת אותם ויוצרת קו בסיס של התנהגות נורמלית עבור כל משתמש ברשת שלך. ברגע שתזוהה חריגה מקו הבסיס הזה, תקבל הודעה להמשך חקירת האירוע.

קבל נראות לתוך פעילות המשתמש 

אתה עשוי להגביר את הנראות לגבי האופן שבו משתמשים מטפלים בנתונים הרגישים שלך על ידי פריסת תוכנת ניטור . בעזרת כלי ניטור פעילות משתמשים, תוכל לקבל תצוגה ברורה של האפליקציות שהעובדים שלך משיקים, באילו אתרים הם מבקרים, אילו התקני USB הם מכניסים, מה הם מקלידים וכו'. אתה יכול למנף מידע כזה כדי לזהות פעילות חשודה ולהפחית את הסיכוי של פרצת מידע ואירועי אבטחת סייבר אחרים. 

צור תוכנית איומים פנימיים

התחל תוכנית איומים פנימיים אם אין לך. תוכנית איומים פנימיים מקיפה עוזרת לך לא רק לזהות איומים פנימיים אלא גם למנוע אותם ולמתן את ההשלכות שלהם. לקבלת התוצאות הטובות ביותר, גבה את התוכנית שלך עם תוכנה לניהול איומים פנימיים.

הגן על עצמך מפני איומים פנימיים עם Syteca

Syteca היא פלטפורמת אבטחת סייבר ייעודית המציעה פונקציונליות מקיפה למניעת איומים פנימיים:

ניהול זהויות – אמת את זהויות המשתמש הניגשות לנכסים הרגישים שלך באמצעות אימות דו-גורמי . הבחנה בין משתמשי חשבונות משותפים ומובנים הודות לתכונת האימות המשנית. 

ניהול גישה מועדף – יישם בקרת גישה פרטנית, שלח סיסמאות חד פעמיות וספק למשתמשים אישורים זמניים כאשר הם צריכים לגשת לנתונים הרגישים שלך.

ניטור פעילות המשתמש – הקלט את פעילות המשתמש על המסך מגובה במטא נתונים של טקסט עשיר בהקשר כולל שמות של יישומים וחלונות פעילים, אתרי אינטרנט שביקרו בהם, הקלדות מקשים, פקודות שבוצעו, התקני USB מחוברים וכו'.

התרעה ותגובה לאירועים – צור התראות מבוססות כללים וניטור הפעלות משתמש חשודות בזמן אמת כדי לזהות מיד אינדיקטורים של איומים פנימיים. הצג הודעת אזהרה למשתמשים או חסום אותם לחלוטין כאשר הם מתנהגים בזדון.

ביקורת ודיווח – קבל דוחות מקיפים כדי לבסס את ההקשר של פעילות המשתמש. ניתן גם לייצא דוחות בפורמט מוצפן לחקירה משפטית.

מַסְקָנָה

כל ארגון חשוף לאיומים פנימיים, וגילוים יכול להיות די קשה. כדי לגרום לזיהוי איומים פנימיים לעבוד, עליך להיות מודע לסימני אזהרה של איומים פנימיים – התנהגות חשודה ופעילות דיגיטלית של העובדים שלך ושל צדדים שלישיים. בנוסף, פריסת פתרון יעיל להגנה מפני איומים פנימיים תעזור לך לזהות פעילות חריגה ברשת שלך.

Syteca היא פלטפורמת ניהול סיכונים פנימיים במחזור מלא המשלבת ניהול זהות וגישה, ניטור פעילות משתמשים, פונקציונליות של תגובה לאירועים ותכונות רבות אחרות בעלות ערך. על ידי מינוף של Syteca, אתה יכול להצטיין בזיהוי, הרתעה ושיבוש איומים פנימיים.

מוכן לנסות את Syteca? גש להדגמה עכשיו!

לקוחות מ-70+ מדינות כבר משתמשים ב-Syteca. גש לפורטל ההדגמה

גש לפורטל ההדגמה