Виявлення внутрішніх загроз для оборони: UEBA, сигнали та належна процедура

Найважче виявити того супротивника, якому ви вже довіряли. Інсайдер уже має перепустку, допуск і обліковий запис; дії, які він виконує, поодинці є тими самими діями, що їх щодня виконують тисячі авторизованих користувачів. Тому виявлення внутрішніх загроз — це не ловля несанкціонованого доступу, а відрізнення шкідливого наміру й недбалості від звичайної роботи, у масштабі, у середовищі, де ціна як пропущеного виявлення, так і хибного звинувачення є тяжкою. Ця стаття розглядає, як працює виявлення в оборонних середовищах з допуском: поведінкова аналітика, що встановлює, що є нормою; сигнали витоку даних і доступу, які важать найбільше; архітектура, яка їх корелює; і процедурні засоби контролю, що тримають програму виявлення в межах належної процедури.

Три класи інсайдерів і чому вони перетинаються

Програми протидії внутрішнім загрозам в оборонних організаціях зазвичай моделюють три категорії. Зловмисний інсайдер діє з наміром — шпигунство, саботаж або несанкціоноване розголошення, мотивовані ідеологією, примусом, его чи грошима. Недбалий інсайдер не має шкідливого наміру, але створює ризик через необережне поводження з таємними матеріалами, слабку операційну безпеку чи обхідні шляхи, що оминають засоби контролю. Скомпрометований інсайдер — це авторизований користувач, чиї облікові дані або особу перехопив зовнішній актор, тож його обліковий запис поводиться зловмисно, тоді як сама людина може цього не усвідомлювати.

Ці категорії важливі для реагування й винесення рішення, але на рівні виявлення їх навмисно важко розділити, бо вони породжують перехресні технічні сигнали. Обліковий запис, що ексфільтрує вихідний код о 3-й ночі, виглядає однаково — байдуже, чи це шпигун, недбалий розробник, що робить резервну копію роботи на персональний диск, чи скомпрометований обліковий запис, яким керує зловмисник. Програма виявлення, що намагається класифікувати намір наперед, зазнає невдачі; правильний дизайн виводить аномалію на поверхню, додає контекст і дає аналітику-людині та процесу винесення рішення визначити, який клас застосовний. Завдання детектора — правильно визначити, що щось є незвичним, а не оголосити чому.

UEBA: моделювання нормального, щоб аномальне виділялося

Аналітика поведінки користувачів і сутностей (UEBA) — це аналітичне ядро сучасного виявлення внутрішніх загроз. Замість зіставлення відомих шкідливих сигнатур UEBA будує статистичну модель нормальної поведінки для кожного користувача й кожної машини, а потім оцінює відхилення від цієї моделі як ризик. Ця інверсія є ключовою для внутрішніх загроз, бо інсайдер за визначенням є авторизованим користувачем, який виконує номінально дозволені дії. Немає геш-суми шкідливого ПЗ для зіставлення й немає порушеного правила фаєрвола. Єдиний сигнал — це зміна шаблону.

Практичний базовий профіль UEBA для користувача з допуском є багатовимірним. Він охоплює часові шаблони — типові вікна входу й виходу, дні активності. Він охоплює шаблони доступу — до яких хостів, сховищ, застосунків і сховищ даних користувач звертається в межах призначеної йому програми. Він охоплює шаблони обсягу — скільки даних користувач зазвичай читає, записує, друкує чи передає. І він охоплює шаблони місцеположення та пристрою — підмережі, робочі станції й методи автентифікації, які користувач звично застосовує. Відхилення в будь-якому окремому вимірі є слабким доказом; одночасне відхилення в кількох вимірах — це сигнал, вартий ескалації.

Аналіз групи рівних долає аномалію першого дня

Чистий самобазовий профіль має відому слабкість: користувач, який був аномальним від дня початку моніторингу, закріплює свою аномалію як свою норму. Аналіз групи рівних виправляє це, порівнюючи кожного користувача з поведінкою інших у тій самій ролі, програмі та рівні допуску. Аналітик, чий обсяг доступу до даних утричі більший за кожного рівного в його ланці, позначається, навіть якщо він був стабільно високим, бо релевантним базовим профілем є група, а не лише власна історія особи. Надійні впровадження UEBA запускають самобазову модель і модель групи рівних паралельно й поєднують їхні оцінки.

Проблема базової частоти й чому домінує точність

Внутрішня загроза — це проблема з украй низькою базовою частотою. У будь-який заданий місяць кількість справді зловмисних інсайдерів в організації, на щастя, дуже близька до нуля, тоді як кількість нешкідливих поведінкових аномалій — нові проєкти, відрядження, дедлайни, зміни ролей — величезна. Детектор, налаштований суто на повноту, генеруватиме сотні сповіщень на кожен реальний випадок і потопить аналітиків у шумі. Втома від сповіщень тут не дрібна операційна незручність; це механізм, через який єдиний реальний випадок відкидається разом із хибнопозитивними. Тому центральна інженерна мета — це точність і контекст, а не сира чутливість.

Сигнали витоку даних: де намір стає спостережним

Якщо UEBA говорить вам, що шаблон користувача змістився, сигнали витоку даних часто говорять, що він робить із цим зміщенням. Ексфільтрація даних — це дія, найбезпосередніше пов'язана зі шкодою, якій програма протидії інсайдерам має запобігати, а сигнали поділяються на невелику кількість категорій високої цінності.

Міждоменний рух і пониження класифікації. Дані, що течуть з анклаву вищого рівня класифікації до нижчого або на знімні носії, — це єдиний найзначущіший сигнал у середовищі з допуском. Міждоменні рішення логують кожну передачу; програма протидії інсайдерам мусить споживати ці журнали й корелювати їх із роллю користувача — передача, яка є рутинною для уповноваженого на випуск, є тривожною для інженера-програміста.

Аномалії обсягу та стейджингу. Великі переміщення даних відносно рольового базового профілю користувача, а особливо поведінка зі стейджингом — збирання багатьох файлів в архів чи незвичну теку перед передачею — є класичними передвісниками ексфільтрації. Стейджинг цінний саме тому, що передує події втрати, даючи програмі вікно для дії, перш ніж дані залишать периметр.

Події кінцевих точок і знімних носіїв. Події запису на USB, оптичні записи й завдання друку таємних матеріалів є першорядними сигналами. У фізично ізольованих (air-gapped) анклавах, де мережевий вихід повністю заблоковано, ці сигнали кінцевих точок важать значно більше, ніж мережеві сенсори, бо знімні носії й друк — це єдині залишені шляхи ексфільтрації. Тому endpoint DLP і телеметрія хостів є хребтом виявлення на захищеній стороні.

Аномалії каналу виходу. У мережевих середовищах використання персональної вебпошти, персонального хмарного сховища чи несанкціонованого обміну файлами з керованого пристрою є сильним індикатором, як і зашифрований чи обфускований трафік до незвичних призначень. Ці сигнали мають бути налаштовані під політику організації, щоб санкціоновані інструменти не генерували постійного шуму.

Аномалії доступу та проблема привілейованого користувача

Шаблони доступу — це третій стовп. Аномалії автентифікації — входи в незвичні години, з нових пристроїв чи з нових місць — є слабкими окремими сигналами, але цінними в поєднанні. Аномалії авторизації сильніші: користувач, що звертається до сховищ, програм чи відсіків поза межами своєї потреби знати, раптовий сплеск подань запитів на доступ або повторювані події відмови в доступі, що свідчать про зондування.

Привілейовані користувачі заслуговують на особливе ставлення. Системні адміністратори, адміністратори баз даних та інженери з безпеки мають доступ, який може як спричинити найбільшу шкоду, так і стерти її докази. Програма протидії інсайдерам мусить тісно інтегруватися з керуванням привілейованим доступом, щоб привілейовані сеанси записувалися, своєчасне (just-in-time) підвищення прав логувалося, а використання адміністративних прав саме було забазовано. Привілейований обліковий запис, який починає читати поштові скриньки користувачів чи копіювати сховища облікових даних, є сигналом набагато вищого пріоритету, ніж та сама поведінка непривілейованого облікового запису.

Архітектура кореляції: перетворення сигналів на справу

Жоден окремий сигнал не є справою. Архітектура, що робить виявлення внутрішніх загроз робочим, — це шар кореляції, який сплавляє багато слабких сигналів в єдину, оцінену розповідь про ризик на ідентичність. Конвеєр даних поглинає журнали ідентифікації та доступу, телеметрію кінцевих точок, події DLP і міждоменних передач, а також — що критично — контекстні джерела, такі як статус HR, рівень допуску та призначення на програму, а потім нормалізує все до спільної ідентичності, щоб розрізнені події зводилися до однієї особи й одного набору машин.

Двигун оцінювання поєднує аномалії за допомогою зваженої або графової моделі. Графове подання особливо ефективне: ідентичності, машини, сховища даних і події стають вузлами та ребрами, а оцінка ризику поширюється по графу в міру накопичення пов'язаних аномалій. Визначальна дисципліна дизайну — та сама, що керує інтеграцією SIEM і SOAR для оборони: довіру треба поширювати, а ніколи не згортати. Аналітик завжди має бачити сигнали, що роблять внесок, їхні окремі ваги та невизначеність моделі — а не єдине непрозоре число, подане як факт.

Збагачення — це те, що робить результат придатним до дії. Сплеск доступу, збагачений HR-позначкою про звільнення, поданою три дні тому, подією запису на USB того ж вечора й аномалією обсягу в групі рівних, формує зв'язну розповідь, на яку аналітик може діяти впевнено. Той самий сплеск доступу без жодного навколишнього контексту — це шум. Цінність шару кореляції вимірюється тим, скільки нешкідливої аномалії він може придушити, зберігаючи рідкісну справжню справу.

Належна процедура: виявлення в юридичних та етичних межах

Програма протидії внутрішнім загрозам діє на персонал, який вона має захищати, що робить належну процедуру першорядною вимогою дизайну, а не запізнілою думкою про відповідність. Помилка тут підриває довіру, запрошує юридичні та профспілкові виклики й зрештою підриває мандат програми. Засоби контролю, що тримають виявлення обґрунтованим, є процедурними й технічними, і, що прикметно, вони не вимагають збирати менше — вони вимагають збирати й використовувати дані з дисципліною.

Обґрунтована програма оприлюднює чітку політику моніторингу, яку підтверджує кожен користувач із допуском, тож немає двозначності щодо очікування приватності. Вона рівнево розподіляє збір так, щоб неопрацьований вміст — суть файлу, лист, запис сеансу — відкривався лише за визначених порогів і з авторизацією, тоді як рутинна аналітика працює на метаданих. Вона розділяє функцію виявлення та функцію винесення рішення, щоб аналітики, які виводять аномалії на поверхню, не були тими людьми, що ухвалюють наслідки. Вона вимагає подвійної авторизації та незмінного журналу аудиту, перш ніж будь-який аналітик зможе деанонімізувати ідентичність чи ескалувати справу. І вона зберігає доказову цілісність протягом усього процесу, щоб будь-яке передання справи витримувало пізніший юридичний перегляд.

Культурне обрамлення важить не менше за засоби контролю. Сповіщення — це відкриття розслідування, а ніколи не вирок. Більшість ескалацій розв'язуються як пояснювана, нешкідлива поведінка, і програма мусить трактувати цей результат як успіх процесу, а не як невдачу знайти провину. Там, де автоматизоване ухвалення рішень торкається кар'єри людини, людина має лишатися відповідальною за судження, а міркування мають бути переглядуваними.

Зведення докупи

Ефективне виявлення внутрішніх загроз у середовищі з допуском — це дисциплінована комбінація чотирьох речей: поведінкових базових профілів, що змушують аномальне виділятися; сигналів витоку даних і доступу, що розкривають, що означає аномалія; архітектури кореляції, що сплавляє слабкі сигнали в оцінені й збагачені справи; і рамки належної процедури, що тримає все підприємство обґрунтованим. Жодна з цих речей не працює сама по собі. UEBA без збагачення ховає аналітиків; сенсори витоку даних без поведінкового контексту продукують шум; а будь-що з цього без належної процедури стає тягарем. Програми, що працюють, — це ті, що спроєктовані заради точності та підзвітності з першого рішення дизайну, а не ті, що просто збирають найбільше.