多年以來，安全工作的主要目標一直關注保護環境的邊緣位置——即確保外部人員無法獲得訪問權并借此實施惡意活動。然而統計數據證明，企業內部存在的風險往往更高。正因為如此，相當一部分合規性法規要求監控系統能夠識別并清除內部威脅。根據Forrester公司的統計，58%的安全違規行為源自內部事件或者與業務合作伙伴相關。IBM公司發布的2015年網絡安全情報索引亦指出，55%的攻擊源自企業內部人員。
在今天的文章中，我們將共同了解ObserveIT公司CEO Mike McKee針對內部威脅因素給出的七步走式應用戰略。
建立主動內部威脅管理計劃
建立這一計劃的核心元素包括：
一支跨部門團隊，涵蓋人力資源、IT、企業識別與領導層。
實施員工培訓以普及并強化安全政策。在違規事件出現時發布實時通知應成為網絡安全教育計劃的主要內容。
建立用戶活動監控方案，負責追蹤特權用戶、高風險員工、遠程供應商活動——以及其他任何有權訪問您系統與數據的人員。其應能夠追蹤并對風險及行為進行可視化處理，從而確保管理人員更快檢測到內部威脅。
關注特權
明確記錄事件發生前、期間與之后曾出現的事件或警報。這將有效縮短修復前平均時間并提供確鑿的相關證據，這一點對于實施應對舉措至關重要。
企業通常能夠很好地掌握服務器統計信息，包括訪問日志、性能、正常運行時間以及系統事件。但在另一方面，企業往往很難了解誰有權直接訪問服務器。因此應創建憑證登錄(避免使用一般性登錄機制)，并利用IT申請系統以確保全部服務器活動皆處于可控范圍之內。
定期審查員工訪問控制機制
如果員工無需訪問特定帳戶，請及時撤銷其相關權限。另外，請考慮限制在企業帳戶之上使用遠程登錄應用程序或者云存儲應用。
部分企業每年執行一次此類審查，但更高頻度的審查活動(每季度或者每月)能夠更好地緩解內部威脅問題。
監控全部數據滲出點
應通過用戶活動監控與重播記錄管理來自計算機的大規模打印事務、USB數據過濾、云存儲上傳、面向個人郵箱的數據發送或者通過即時通訊軟件進行的文件發送——而非事件日志——從而梳理來自計算機的調查結果。只需要簡單按下重播按鈕，我們即可對這些數據滲出點進行快速監控及調查。
了解用戶為何要安裝/卸載軟件
企業利用虛擬桌面、非永久性鏡像及各類軟件管理工具及帳戶以控制已安裝應用程序。在多數情況下，這些集中式管理方法無法提供與用戶意圖及基本業務需求相關的信息。內部威脅管理技術能夠消除這些明顯空白，并允許企業了解人們的行為是否可能引發風險。
高度關注高風險用戶
無論是通過當面對話還是在桌面環境上設置通知橫幅，總之企業應提醒高風險用戶其正在受到監控。在多數情況下，這能夠有效阻止其從事惡意活動。員工離職時應立即更改密碼以撤銷其訪問權限。另外，請確保第三方服務供應商亦針對員工離職作出反應，即盡快取消其授權帳戶。
確保離職員工無法掌握任何企業數據。在高風險員工離職前，請認真檢查其個人計算機、手機、平板等設備上是否存在企業數據。
速度安全調查
毫無疑問，能夠快速檢測并響應事件與警報對企業而言至關重要。如果缺少正確安全工具與程序的支持，那么修復前平均時間往往將長達數周。因此，請將您的用戶活動監控方案與其它網絡安全工具加以整合，從而確保您能夠提供確鑿的相關證據并有效縮短修復前平均時間。
原文標題：How to eliminate insider threats
原文作者：Ryan Francis
京公網安備 11010502049343號