Các phương pháp hay nhất để ngăn chặn các mối đe dọa nội bộ - Blog
Trong khi các tác nhân đe dọa quốc gia và tin tặc bên ngoài thường thu hút sự chú ý, thì các mối đe dọa nội bộ là một vectơ đe dọa thường bị bỏ qua. Rockwell-Boeing, Anthem Healthcare và Capital One chỉ là một vài tổ chức có hành vi vi phạm dữ liệu gây thiệt hại do người trong cuộc gây ra. Những người nội bộ như người dùng đặc quyền, nhà thầu và đối tác nhà cung cấp cũng như giám đốc điều hành đáng tin cậy thường có quyền truy cập vào “chìa khóa vương quốc” và biết các điểm yếu của hệ thống cũng như quy trình để khai thác.
Đa số 53% đã xác nhận các mối đe dọa nội bộ chống lại tổ chức của họ trong 12 tháng qua, với 27% cho biết các cuộc tấn công nội bộ đã trở nên thường xuyên hơn, theo Báo cáo về mối đe dọa nội bộ năm 2018 của An ninh mạng nội bộ. Viện Ponemon phát hiện ra rằng các mối đe dọa từ bên trong gây ra nhiều thiệt hại trong thời gian dài hơn các mối đe dọa từ bên ngoài, với chi phí trung bình là 8,7 triệu USD. Việc phát hiện và ngăn chặn các mối đe dọa nội bộ cũng như những nội dung nội bộ vô tình là rất quan trọng để giảm năng suất bị mất và chi phí ứng phó sự cố. Kích hoạt các quy trình an ninh mạng thực tế để giảm khả năng tiếp xúc với các mối đe dọa nội bộ và tăng tốc độ phản hồi nhanh chóng khi chỉ trong vài phút.
Định nghĩa mối đe dọa nội bộ
Hầu hết các chuyên gia bảo mật thông tin đều đồng ý rằng nhân viên và nhà cung cấp là mối liên kết yếu nhất khi nói đến bảo mật thông tin của tổ chức. Định nghĩa toàn diện về các mối đe dọa nội bộ cho phép các tổ chức bảo mật chuẩn bị tốt hơn cho các mối đe dọa lớn nhất có thể dẫn đến các cuộc tấn công tốn kém.
“Mối đe dọa nội bộ là bất kỳ vi phạm nào được gây ra hoặc tạo điều kiện bởi một người nội bộ, cho dù đó là người nội bộ vô tình hay người nội bộ có ác ý. ”
- Joseph Blankenship, Nhà phân tích chính của Forrester Research
Những loại mối đe dọa nội bộ này có thể đặc biệt khó phát hiện, đặc biệt nếu các tổ chức chủ yếu tập trung vào việc tăng cường an ninh bên ngoài.
Các loại mối đe dọa nội bộ
Các mối đe dọa nội bộ thường không bị phát hiện trong nhiều tháng hoặc nhiều năm, gây mất doanh thu, gián đoạn hoạt động, làm giảm danh tiếng thương hiệu và mất lòng tin của công chúng. Điều quan trọng là phải hiểu rõ các loại người trong nội bộ và động cơ của họ để cung cấp bối cảnh cho việc phòng ngừa. Theo Security Insider, có 5 loại mối đe dọa nội bộ cơ bản:
- Những người không đáp ứng với việc đào tạo nâng cao nhận thức
- Người trong cuộc vô tình
- Thông đồng nội bộ chẳng hạn như với các đối tác nhà cung cấp
- Những kẻ nội gián ác ý dai dẳng
- Nhân viên không hài lòng
Theo Dark Reading, gần 2/3 (64%) các mối đe dọa nội bộ là do người dùng gây ra rủi ro do hành vi bất cẩn hoặc lỗi của con người. Dù cố ý hay vô tình, bạn có biết liệu ai đó trong mạng của bạn có xâm phạm hoặc rò rỉ dữ liệu nhạy cảm không?
Căn chỉnh kế hoạch bảo mật với rủi ro
Các phương pháp tiếp cận truyền thống như đào tạo nâng cao nhận thức về bảo mật cung cấp nền tảng tốt nhưng chưa đủ do có thể có động cơ tài chính và rủi ro cấu hình sai từ người trong cuộc. Theo Báo cáo Điều tra Vi phạm Dữ liệu của Verizon năm 2019, một số ngành có nhiều rủi ro nội bộ hơn các ngành khác.
- Ngành hàng đầu có nhiều vi phạm trong quá khứ do nội bộ gây ra: chăm sóc sức khỏe
- Lĩnh vực có mối đe dọa nội bộ cao thứ hai: lĩnh vực công nghệ cao với bề mặt tấn công rộng lớn, cơ sở hạ tầng đám mây và nhân viên cũng như nhà cung cấp phân tán trên toàn cầu
- Ngành công nghiệp cao thứ ba: dịch vụ tài chính.
Điều đáng ngạc nhiên là ngành chăm sóc sức khỏe có ít khả năng mã hóa dữ liệu nhất, theo Viện Ponemon. Như được hiển thị bên dưới trong Hình 1, hãy tùy chỉnh chương trình đe dọa nội bộ của bạn theo rủi ro trong ngành, tài sản nhạy cảm và khẩu vị rủi ro của tổ chức.
Phát hiện và chặn các mối đe dọa nội bộ
Sử dụng cách tiếp cận thực tế đối với an ninh mạng để xác định các con đường phát hiện và ngăn chặn các mối đe dọa nội bộ. Một số biện pháp đối phó với các mối đe dọa nội bộ bao gồm:
Bảo vệ dữ liệu nhạy cảm bằng kiểm soát truy cập dựa trên vai trò: tóm lại, kiểm soát truy cập dựa trên vai trò (RBAC) cung cấp quyền hoặc quyền truy cập máy tính cho người dùng hoặc danh mục người dùng dựa trên chức năng làm việc của họ, và không còn nữa. Một kế hoạch được cân nhắc kỹ lưỡng về quản lý danh tính và quyền truy cập (IAM) có thể tạo ra các quy trình lặp lại trong khi chỉ giới hạn quyền truy cập đối với những người cần biết. Nhiều khuôn khổ tuân thủ như PCI DSS (Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán) và HIPAA (Đạo luật về trách nhiệm giải trình và cung cấp thông tin bảo hiểm y tế) yêu cầu các phương pháp để hạn chế quyền truy cập dữ liệu nhạy cảm.
Triển khai mã hóa dữ liệu: mã hóa hoặc mã hóa dữ liệu nhạy cảm có thể tạo ra rào cản tấn công đồng thời ngăn chặn quyền truy cập của nội bộ. Mặc dù mã hóa dữ liệu ở trạng thái lưu trữ và đang truyền là phương pháp tốt nhất nhưng tỷ lệ chấp nhận mã hóa trên toàn cầu là 45% - vẫn còn nhiều chỗ cần cải thiện.
Địa chỉ quản lý quyền truy cập đặc quyền (PAM): người dùng đặc quyền là những người như quản trị viên hệ thống có quyền truy cập nâng cao vào hệ thống và dịch vụ. Những “siêu người dùng” này là mục tiêu chính cho những kẻ tấn công muốn truy cập vào các máy chủ quan trọng hoặc truy cập vào các mạng nội bộ hoặc đối tác chuỗi cung ứng khác. Hạn chế quyền truy cập đặc quyền cũng làm giảm thiệt hại trong trường hợp vi phạm dữ liệu.
Xác định hành vi bất thường: sử dụng công nghệ máy học để hiểu hành vi vận hành bình thường, sau đó xác định hoạt động bất thường khác với đường cơ sở và ưu tiên hành động dựa trên cảnh báo. Phân tích hành vi người dùng và thực thể (UEBA) từ Netsurion có thể phát hiện các hoạt động đáng ngờ của nhân viên hoặc nhà thầu, chẳng hạn như đăng nhập vào những thời điểm bất thường hoặc cố gắng truy cập các tệp hoặc tài sản trí tuệ bị hạn chế.
Liên kết an ninh mạng và bảo mật vật lý: các mối đe dọa từ nội bộ an ninh mạng thường gắn liền với các hành vi vi phạm an ninh vật lý. Một số dấu hiệu của sự thỏa hiệp bao gồm những nhân viên đột nhiên muốn làm thêm ngoài giờ, tình nguyện thực hiện các dự án bí mật ngoài phạm vi công việc của họ hoặc sử dụng ổ đĩa flash khi tổ chức không cho phép sử dụng USB.
Thêm khả năng hiển thị và giám sát toàn diện: việc giám sát và cảnh báo liên tục bằng nền tảng Quản lý sự kiện và thông tin bảo mật (SIEM) có thể phát hiện cả các mối đe dọa bên trong và bên ngoài trong thời gian gần như thực. Giám sát và cảnh báo nhật ký cho phép nhân viên tiếp tục công việc của họ với những lo ngại về quyền riêng tư và xâm nhập ở mức tối thiểu. Các giải pháp như EventTracker SIEM của Netsurion tăng khả năng hiển thị mạng và cũng có thể chặn quyền truy cập của người dùng khi xảy ra hành động bất thường hoặc đáng ngờ.
Hành động bây giờ
Các mối đe dọa nội bộ xảy ra vì nhiều lý do, từ những nhân viên bất mãn đến những người nội bộ có động cơ tài chính đánh cắp dữ liệu, cho đến những sai lầm vô tình của nhân viên. Hiểu những tài sản có giá trị nhất của bạn để ưu tiên bảo vệ mối đe dọa nội bộ nhằm cân bằng giữa bảo mật và quyền riêng tư khi bạn ngăn chặn, phát hiện và ứng phó với các mối đe dọa nội bộ.
Tăng cường đào tạo nâng cao nhận thức về bảo mật về các mối đe dọa nội bộ và bao gồm phương pháp tiếp cận “nếu bạn thấy điều gì đó, hãy nói điều gì đó”. Nâng cao khả năng hiển thị hành vi của người dùng bằng tính năng giám sát liên tục, tương quan mối đe dọa nội bộ và hành vi của người dùng kết hợp với SIEM để nâng cao trạng thái bảo mật của bạn và tăng tốc thời gian phát hiện. Mặc dù các mối đe dọa nội bộ rất tốn kém nhưng các giải pháp đền bù không nhất thiết phải tốn kém hoặc mất thời gian đối với bạn hoặc các đối tác trong chuỗi cung ứng của bạn. SOC-as-a-Service của Netsurion là một cách thực tế để khắc phục những lỗ hổng nội bộ mà những nhân viên lừa đảo và những người trong nội bộ vô tình có thể khai thác.