Wykrywanie zagrożeń wewnętrznych w obronie: UEBA, sygnały i rzetelny proces

Najtrudniejszym do wykrycia przeciwnikiem jest ten, któremu już zaufałeś. Insider posiada już przepustkę, poświadczenie i dane uwierzytelniające; podejmowane przez niego działania są, indywidualnie, tymi samymi działaniami, które każdego dnia wykonują tysiące autoryzowanych użytkowników. Wykrywanie zagrożeń wewnętrznych nie polega więc na wykrywaniu nieautoryzowanego dostępu – chodzi o odróżnienie szkodliwego zamiaru i zaniedbania od zwykłej pracy, na dużą skalę, w środowisku, gdzie koszty zarówno nieodkrytego zagrożenia, jak i fałszywego oskarżenia są poważne. Ten artykuł analizuje, jak detekcja działa w obronnych środowiskach z poświadczeniami: analitykę behawioralną ustalającą, co jest normalne, sygnały utraty danych i dostępu, które mają największe znaczenie, architekturę je korelującą oraz kontrole proceduralne utrzymujące program detekcji w granicach rzetelnego procesu.

Trzy klasy insiderów i dlaczego się pokrywają

Programy dotyczące zagrożeń wewnętrznych w organizacjach obronnych zazwyczaj modelują trzy kategorie. Złośliwy insider działa z premedytacją – szpiegostwo, sabotaż lub nieautoryzowane ujawnienie motywowane ideologią, przymusem, ego lub pieniędzmi. Niedbały insider nie ma złych zamiarów, ale stwarza ryzyko poprzez nieostrożne postępowanie z niejawnymi materiałami, słabe bezpieczeństwo operacyjne lub skróty omijające kontrole. Skompromitowany insider to autoryzowany użytkownik, którego dane uwierzytelniające lub osoba zostały przejęte przez zewnętrznego aktora, więc ich konto zachowuje się złośliwie, podczas gdy sam człowiek może być tego nieświadomy.

Te kategorie mają znaczenie dla reakcji i adjudykacji, ale są celowo trudne do rozdzielenia na poziomie detekcji, ponieważ generują nakładające się sygnały techniczne. Konto eksfiltrujące kod źródłowy o 3 w nocy wygląda tak samo, niezależnie od tego, czy użytkownik jest szpiegiem, niedbałym programistą kopiującym pracę na dysk osobisty, czy skompromitowanym poświadczeniem obsługiwanym przez intruza. Program detekcji, który próbuje z góry klasyfikować zamiar, zawiedzie; poprawny projekt wydobywa anomalię na powierzchnię, dołącza kontekst i pozwala ludzkiemu analitykowi oraz procesowi adjudykacji ustalić, która klasa ma zastosowanie. Zadaniem detektora jest stwierdzenie, że coś jest niezwykłe, a nie deklarowanie dlaczego.

UEBA: modelowanie normalności, aby wykryć to, co nienormalne

Analityka zachowań użytkowników i encji (UEBA) stanowi analityczny rdzeń nowoczesnego wykrywania zagrożeń wewnętrznych. Zamiast dopasowywać znane złośliwe sygnatury, UEBA buduje statystyczny model normalnego zachowania dla każdego użytkownika i każdej maszyny, a następnie ocenia odchylenie od tego modelu jako ryzyko. Ta inwersja jest niezbędna dla zagrożeń wewnętrznych, ponieważ insider jest z definicji autoryzowanym użytkownikiem wykonującym nominalnie autoryzowane działania. Nie ma skrótu złośliwego oprogramowania do dopasowania ani naruszonej reguły zapory. Jedynym sygnałem jest zmiana wzorca.

Praktyczny punkt odniesienia UEBA dla użytkownika z poświadczeniem jest wielowymiarowy. Rejestruje wzorce czasowe – typowe okna logowania i wylogowania, dni aktywności. Rejestruje wzorce dostępu – które hosty, repozytoria, aplikacje i zasoby danych użytkownik dotyka w ramach swojego przypisanego programu. Rejestruje wzorce wolumenów – ile danych użytkownik normalnie odczytuje, zapisuje, drukuje lub transferuje. Oraz rejestruje wzorce lokalizacji i urządzeń – podsieci, stacje robocze i metody uwierzytelniania, z których użytkownik zwykle korzysta. Odchylenie w jednym wymiarze jest słabym dowodem; zbieżne odchylenie w kilku to sygnał wart eskalacji.

Analiza grupy rówieśniczej pokonuje anomalię od pierwszego dnia

Czysty punkt odniesienia oparty na historii własnej użytkownika ma znane słabości: użytkownik, który był anomaliczny od chwili, gdy rozpoczęto monitorowanie, ustanawia swoje anomalie jako normę. Analiza grupy rówieśniczej koryguje to przez porównanie każdego użytkownika z zachowaniem innych osób na tej samej roli, w tym samym programie i na tym samym poziomie poświadczeń. Analityk, którego wolumen dostępu do danych jest trzykrotnie wyższy niż każdego rówieśnika w jego komórce, jest sygnalizowany nawet jeśli konsekwentnie był wysoki – bo istotnym punktem odniesienia jest grupa, a nie tylko historia własna danej osoby. Solidne implementacje UEBA uruchamiają modele punktu odniesienia własnego i grupy rówieśniczej równolegle i łączą ich wyniki.

Problem podstawowej częstości zdarzeń i dlaczego precyzja dominuje

Zagrożenie wewnętrzne to ekstremalny problem niskiej podstawowej częstości zdarzeń. W danym miesiącu liczba rzeczywiście złośliwych insiderów w organizacji jest, na szczęście, bardzo bliska zeru, podczas gdy liczba niegroźnych anomalii behawioralnych – nowe projekty, podróże, spiętrzenia terminów, zmiany ról – jest ogromna. Detektor dostrojony wyłącznie pod kątem czułości wygeneruje setki alertów na jedną prawdziwą sprawę i utopi analityków w szumie. Zmęczenie alertami nie jest tu drobną uciążliwością operacyjną; to mechanizm, dzięki któremu jedna prawdziwa sprawa zostaje odrzucona razem z fałszywymi alarmami. Centralnym celem inżynieryjnym jest więc precyzja i kontekst, a nie surowa czułość.

Sygnały utraty danych: gdzie zamiar staje się obserwowalny

Jeśli UEBA informuje, że wzorzec użytkownika się zmienił, sygnały utraty danych często mówią, co robi z tą zmianą. Eksfiltracja danych to działanie najbardziej bezpośrednio powiązane ze szkodą, której program insiderski ma zapobiegać, a sygnały dzielą się na niewielką liczbę kategorii o wysokiej wartości.

Ruch między domenami i reklasyfikacja w dół. Dane przepływające z enklawy o wyższej klasyfikacji w kierunku niższej lub w kierunku nośników wymiennych stanowią najważniejszy sygnał w środowisku z poświadczeniami. Rozwiązania między domenami rejestrują każdy transfer; program insiderski musi konsumować te logi i korelować je z rolą użytkownika – transfer rutynowy dla organu wydającego jest alarmujący w przypadku inżyniera oprogramowania.

Anomalie wolumenów i stagingu. Duże przemieszczenia danych w stosunku do punktu odniesienia roli użytkownika, a zwłaszcza zachowanie stagingowe – zbieranie wielu plików do archiwum lub do nietypowego katalogu przed transferem – to klasyczne prekursory eksfiltracji. Staging jest cenny właśnie dlatego, że poprzedza zdarzenie utraty, dając programowi okno do działania przed opuszczeniem danych przez system.

Zdarzenia punktów końcowych i nośników wymiennych. Zdarzenia zapisu USB, nagrywania na nośniki optyczne i drukowania niejawnych materiałów to sygnały pierwszorzędne. W enklawach z separacją fizyczną (air-gap), gdzie sieciowy ruch wychodzący jest całkowicie zablokowany, sygnały te mają znacznie większe znaczenie niż czujniki sieciowe, ponieważ nośniki wymienne i drukowanie to jedyne pozostałe ścieżki eksfiltracji. Endpoint DLP i telemetria hosta stanowią więc kręgosłup detekcji po stronie wysokiego bezpieczeństwa.

Anomalie kanału eksfiltracji. W środowiskach sieciowych silnym wskaźnikiem jest korzystanie z osobistej poczty webmail, osobistej pamięci w chmurze lub niesankcjonowanego udostępniania plików z zarządzanego punktu końcowego, podobnie jak zaszyfrowany lub zaciemniony ruch do nietypowych celów. Sygnały te muszą być dostrojone do polityki organizacyjnej, aby sankcjonowane narzędzia nie generowały stałego szumu.

Anomalie dostępu i problem uprzywilejowanych użytkowników

Wzorce dostępu stanowią trzeci filar. Anomalie uwierzytelniania – logowania o nietypowych godzinach, z nowych urządzeń lub z nowych lokalizacji – to słabe indywidualne sygnały, lecz wartościowe w połączeniu. Anomalie autoryzacji są silniejsze: użytkownik uzyskujący dostęp do repozytoriów, programów lub przedziałów poza swoim zakresem need-to-know, nagły wzrost składanych wniosków o dostęp lub powtarzające się zdarzenia odmowy dostępu sugerujące sondowanie systemu.

Uprzywilejowani użytkownicy zasługują na szczególne traktowanie. Administratorzy systemów, administratorzy baz danych i inżynierowie bezpieczeństwa posiadają dostęp, który może zarówno powodować największe szkody, jak i zacierać ich ślady. Program insiderski musi ściśle integrować się z zarządzaniem dostępem uprzywilejowanym, tak aby sesje uprzywilejowane były nagrywane, elewacja just-in-time była logowana, a samo korzystanie z uprawnień administracyjnych stanowiło punkt odniesienia. Konto uprzywilejowane rozpoczynające czytanie skrzynek pocztowych użytkowników lub kopiowanie magazynów poświadczeń to sygnał o znacznie wyższym priorytecie niż to samo zachowanie konta nieuprzywilejowanego.

Architektura korelacji: przekształcanie sygnałów w sprawę

Żaden pojedynczy sygnał nie tworzy sprawy. Architektura, która sprawia, że wykrywanie zagrożeń wewnętrznych jest wykonalne, to warstwa korelacji łącząca wiele słabych sygnałów w jedną, ocenioną narrację ryzyka na tożsamość. Potok danych pobiera logi tożsamości i dostępu, telemetrię punktów końcowych, zdarzenia DLP i transferów między domenami oraz – co kluczowe – źródła kontekstowe, takie jak status HR, poziom poświadczeń i przypisanie do programu, a następnie normalizuje wszystko do wspólnej tożsamości, tak aby różne zdarzenia rozwiązywały się do jednej osoby i jednego zestawu maszyn.

Silnik oceniający łączy anomalie przy użyciu modelu ważonego lub opartego na grafie. Reprezentacja grafowa jest szczególnie skuteczna: tożsamości, maszyny, zasoby danych i zdarzenia stają się węzłami i krawędziami, a wynik ryzyka propaguje się przez graf w miarę gromadzenia się powiązanych anomalii. Definiująca dyscyplina projektowa jest taka sama jak ta, która rządzi integracją SIEM i SOAR dla celów obronnych: pewność musi być propagowana, nigdy nie zwinięta. Analityk powinien zawsze widzieć sygnały składowe, ich indywidualne wagi i niepewność modelu – nie jedną nieprzejrzystą liczbę przedstawioną jako fakt.

Wzbogacanie to to, co sprawia, że wynik jest użyteczny. Skok dostępu wzbogacony o flagę rezygnacji z HR złożoną trzy dni wcześniej, zdarzenie zapisu USB tego samego wieczoru i anomalię wolumenu grupy rówieśniczej tworzy spójną narrację, na podstawie której analityk może działać z pewnością. Ten sam skok dostępu bez otaczającego kontekstu to szum. Wartość warstwy korelacji mierzy się tym, ile niegroźnych anomalii jest w stanie stłumić, zachowując rzadką prawdziwą sprawę.

Rzetelny proces: detekcja w granicach prawnych i etycznych

Program dotyczący zagrożeń wewnętrznych działa na sile roboczej, którą ma chronić, co sprawia, że rzetelny proces jest wymogiem projektowym pierwszego rzędu, a nie dodatkiem dotyczącym zgodności. Popełnienie błędu w tym zakresie niszczy zaufanie, naraża na wyzwania prawne i związkowe, a ostatecznie podważa mandat programu. Kontrole utrzymujące detekcję w granicach zasadności mają charakter proceduralny i techniczny, i – co warte odnotowania – nie wymagają zbierania mniej danych – wymagają zbierania i wykorzystywania danych z dyscypliną.

Zasadny program publikuje jasną politykę monitorowania, którą każdy użytkownik z poświadczeniem potwierdza, eliminując wszelkie niejasności dotyczące oczekiwań prywatności. Segmentuje zbieranie danych tak, aby surowe treści – zawartość pliku, e-maila, nagrania sesji – były otwierane wyłącznie po przekroczeniu określonych progów i za stosowną autoryzacją, podczas gdy rutynowa analityka operuje na metadanych. Oddziela funkcję detekcji od funkcji adjudykacji, tak aby analitycy wydobywający na powierzchnię anomalie nie byli osobami decydującymi o konsekwencjach. Wymaga podwójnej autoryzacji i niezmiennego śladu audytowego przed deanonimizacją tożsamości lub eskalacją sprawy przez analityka. Oraz zachowuje integralność dowodową przez cały czas, tak aby każde skierowanie wytrzymało późniejszą kontrolę prawną.

Oprawienie kulturowe ma tak samo duże znaczenie jak kontrole. Alert to otwarcie dochodzenia, nigdy wyrok. Większość eskalacji rozwiązuje się jako wyjaśnialne, niegroźne zachowanie, a program musi traktować ten wynik jako sukces procesu, a nie porażkę w znalezieniu wykroczenia. Tam, gdzie automatyczne podejmowanie decyzji dotyczy kariery człowieka, człowiek musi pozostawać odpowiedzialny za osąd, a rozumowanie musi być możliwe do sprawdzenia.

Podsumowanie

Skuteczne wykrywanie zagrożeń wewnętrznych w środowisku z poświadczeniami to zdyscyplinowane połączenie czterech elementów: punktów odniesienia behawioralnego wydobywających na powierzchnię to, co nienormalne, sygnałów utraty danych i dostępu ujawniających, co anomalia oznacza, architektury korelacji łączącej słabe sygnały w ocenione i wzbogacone sprawy oraz ram rzetelnego procesu utrzymujących całe przedsięwzięcie w granicach zasadności. Żaden z nich nie działa samodzielnie. UEBA bez wzbogacania przytłacza analityków; czujniki utraty danych bez kontekstu behawioralnego produkują szum; a którykolwiek z nich bez rzetelnego procesu staje się zobowiązaniem. Programy, które działają, to te projektowane z myślą o precyzji i rozliczalności od pierwszej decyzji projektowej, a nie te, które po prostu zbierają najwięcej danych.