Best Practices zur Eindämmung von Insider-Bedrohungen - Blog
Während nationalstaatliche Bedrohungsakteure und externe Hacker oft für Schlagzeilen sorgen, sind Insider-Bedrohungen ein oft übersehener Bedrohungsvektor. Rockwell-Boeing, Anthem Healthcare und Capital One sind nur einige wenige Organisationen mit schädlichen Datenschutzverletzungen durch Insider. Insider wie privilegierte Benutzer, Auftragnehmer und Lieferantenpartner sowie vertrauenswürdige Führungskräfte haben oft Zugriff auf die „Schlüssel zum Königreich“ und kennen System- und Prozessschwächen, die sie ausnutzen können.
Laut dem Insider Threat Report 2018 von Cybersecurity Insider hat eine Mehrheit von 53 % Insider-Bedrohungen gegen ihr Unternehmen in den letzten 12 Monaten bestätigt, wobei 27 % angaben, dass Insider-Angriffe häufiger geworden seien. Das Ponemon Institute hat herausgefunden, dass Insider-Bedrohungen länger und länger Schaden anrichten als externe Bedrohungen, mit durchschnittlichen Kosten von 8,7 Millionen US-Dollar. Das Erkennen und Blockieren von Insider-Bedrohungen und unbeabsichtigten Insidern ist von entscheidender Bedeutung, um Produktivitätsverluste und Kosten für die Reaktion auf Vorfälle zu reduzieren. Ermöglichen Sie pragmatische Cybersicherheitsprozesse, um die Gefährdung durch Insider-Bedrohungen zu verringern und eine schnelle Reaktion zu beschleunigen, wenn es auf Minuten ankommt.
Definition der Insider-Bedrohung
Die meisten Informationssicherheitsexperten sind sich einig, dass Mitarbeiter und Anbieter das schwächste Glied sind, wenn es um die Informationssicherheit von Unternehmen geht. Eine ganzheitliche Definition von Insider-Bedrohungen ermöglicht es Sicherheitsorganisationen, sich besser auf die größtmöglichen Bedrohungsvektoren vorzubereiten, die zu kostspieligen Angriffen führen können.
„Eine Insider-Bedrohung ist jeder Verstoß, der durch einen Insider verursacht oder ermöglicht wird, unabhängig davon, ob es sich um einen zufälligen Insider oder einen böswilligen Insider handelt. ”
- Joseph Blankenship, Hauptanalyst bei Forrester Research
Die Erkennung dieser Art interner Bedrohungen kann besonders schwierig sein, insbesondere wenn sich Unternehmen in erster Linie auf die Stärkung der externen Sicherheit konzentriert haben.
Arten von Insider-Bedrohungen
Insider-Bedrohungen bleiben oft über Monate oder Jahre hinweg unentdeckt und führen zu Umsatzeinbußen, Betriebsunterbrechungen, einem schwindenden Markenruf und öffentlichem Misstrauen. Es ist wichtig, die Arten von Insidern und ihre Beweggründe zu verstehen, um einen Kontext für die Prävention bereitzustellen. Laut Security Insider gibt es fünf grundlegende Arten von Insider-Bedrohungen:
- Nicht-Antwortende auf Sensibilisierungsschulungen
- Unbeabsichtigte Insider
- Insider-Absprachen, beispielsweise mit Lieferantenpartnern
- Anhaltende böswillige Insider
- Verärgerte Mitarbeiter
Laut Dark Reading werden fast zwei Drittel (64 %) der Insider-Bedrohungen von Benutzern verursacht, die durch unvorsichtiges Verhalten oder menschliches Versagen Risiken eingehen. Würden Sie überhaupt wissen, ob jemand in Ihrem Netzwerk absichtlich oder unabsichtlich vertrauliche Daten kompromittiert oder preisgibt?
Passen Sie den Sicherheitsplan an das Risiko an
Herkömmliche Ansätze wie Sicherheitsbewusstseinsschulungen bieten eine gute Grundlage, sind jedoch angesichts der möglichen finanziellen Motivation und Fehlkonfigurationsrisiken durch Insider unzureichend. Laut dem Verizon Data Breach Investigation Report 2019 stellen einige Branchen ein größeres internes Risiko dar als andere.
- Die wichtigste Branche für frühere Verstöße durch Insider: das Gesundheitswesen
- Der zweithöchste Sektor für interne Bedrohungen: der High-Tech-Sektor mit seiner riesigen Angriffsfläche, Cloud-Infrastruktur und weltweit verteilten Mitarbeitern und Anbietern
- Die dritthöchste Branche: Finanzdienstleistungen.
Überraschenderweise ist die Wahrscheinlichkeit, dass die Gesundheitsbranche ihre Daten verschlüsselt, nach Angaben des Ponemon Institute am unwahrscheinlichsten. Passen Sie Ihr Insider-Bedrohungsprogramm, wie unten in Abbildung 1 dargestellt, an das Risiko Ihrer Branche, Ihre sensiblen Vermögenswerte und die Risikobereitschaft Ihrer Organisation an.
Erkennen und blockieren Sie Insider-Bedrohungen
Nutzen Sie einen pragmatischen Ansatz zur Cybersicherheit, um Wege zur Erkennung und Abwehr von Insider-Bedrohungen zu finden. Zu den Gegenmaßnahmen gegen Insider-Bedrohungen gehören:
Schützen Sie sensible Daten mit rollenbasierten Zugriffskontrollen: Kurz gesagt, rollenbasierte Zugriffskontrollen (RBAC) gewähren einem Benutzer oder einer Benutzerkategorie basierend auf Rechten oder Computerzugriff ihre Arbeitsfunktion und nicht mehr. Ein gut durchdachter Plan für das Identitäts- und Zugriffsmanagement (IAM) kann wiederholbare Prozesse schaffen und gleichzeitig den Zugriff nur auf diejenigen beschränken, die dies wissen müssen. Viele Compliance-Rahmenwerke wie PCI DSS (Payment Card Industry Data Security Standard) und HIPAA (Healthcare Insurance Portability and Accountability Act) erfordern Methoden zur Einschränkung des Zugriffs auf sensible Daten.
Implementieren Sie Datenverschlüsselung: Die Verschlüsselung oder Verschlüsselung sensibler Daten kann eine Angriffsbarriere darstellen und gleichzeitig den Zugriff von Insidern abschrecken. Während die Verschlüsselung von Daten im Ruhezustand und während der Übertragung eine bewährte Methode darstellt, liegt die weltweite Akzeptanzrate für die Verschlüsselung bei 45 % - was viel Raum für Verbesserungen lässt.
Address Privileged Access Management (PAM): Privilegierte Benutzer sind solche wie Systemadministratoren mit erhöhtem Zugriff auf Systeme und Dienste. Diese „Superuser“ sind Hauptziele für Angreifer, die Zugriff auf wichtige Server erhalten oder auf andere interne Netzwerke oder Lieferkettenpartner zugreifen möchten. Durch die Beschränkung des privilegierten Zugriffs wird auch der Schaden im Falle einer Datenschutzverletzung verringert.
Identifizieren Sie anomales Verhalten: Nutzen Sie maschinelles Lernen, um das normale Betriebsverhalten zu verstehen, identifizieren Sie dann anomale Aktivitäten, die vom Ausgangswert abweichen, und priorisieren Sie Maßnahmen auf der Grundlage von Warnungen. User and Entity Behavior Analytics (UEBA) von Netsurion kann verdächtige Aktivitäten eines Mitarbeiters oder Auftragnehmers erkennen, wie z. B. das Einloggen zu ungewöhnlichen Zeiten oder den Versuch, auf eingeschränkte Dateien oder geistiges Eigentum zuzugreifen.
Verknüpfen Sie Cybersicherheit und physische Sicherheit: Insider-Bedrohungen im Bereich der Cybersicherheit sind oft mit Verstößen gegen die physische Sicherheit verknüpft. Zu den Indikatoren für Kompromisse zählen unter anderem Mitarbeiter, die plötzlich Lust auf zusätzliche Arbeit nach Feierabend haben, sich ehrenamtlich für vertrauliche Projekte außerhalb ihres Arbeitsbereichs engagieren oder ein Flash-Laufwerk verwenden, wenn das Unternehmen keine USB-Sticks zulässt.
Fügen Sie umfassende Sichtbarkeit und Überwachung hinzu: Durch ständige Überwachung und Alarmierung mit einer SIEM-Plattform (Security Information and Event Management) können sowohl interne als auch externe Bedrohungen nahezu in Echtzeit erkannt werden. Protokollüberwachung und Alarmierung ermöglichen es den Mitarbeitern, ihrer Arbeit mit minimalem Eingriff und minimalen Datenschutzbedenken nachzugehen. Lösungen wie EventTracker SIEM von Netsurion erhöhen die Netzwerktransparenz und können auch den Benutzerzugriff blockieren, wenn ungewöhnliche oder verdächtige Aktionen auftreten.
Ergreift Maßnahmen jetzt
Insider-Bedrohungen können aus zahlreichen Gründen auftreten, von verärgerten Mitarbeitern über finanziell motivierte Insider, die Daten stehlen, bis hin zu unwissenden Fehlern von Mitarbeitern. Machen Sie sich mit Ihren wertvollsten Vermögenswerten vertraut und priorisieren Sie den Schutz vor Insider-Bedrohungen, der Sicherheit und Datenschutz in Einklang bringt, während Sie interne Bedrohungen verhindern, erkennen und darauf reagieren.
Verstärken Sie die Schulung des Sicherheitsbewusstseins zu Insider-Bedrohungen und integrieren Sie den Ansatz „Wenn Sie etwas sehen, sagen Sie etwas“. Verbessern Sie die Transparenz des Benutzerverhaltens durch kontinuierliche Überwachung, interne Bedrohungskorrelation und Benutzerverhalten in Verbindung mit SIEM, um Ihren Sicherheitsstatus zu verbessern und die Zeit bis zur Erkennung zu verkürzen. Während Insider-Bedrohungen kostspielig sind, müssen Kompensationslösungen für Sie oder Ihre Lieferkettenpartner weder teuer noch zeitaufwändig sein. SOC-as-a-Service von Netsurion ist eine praktische Möglichkeit, interne Lücken zu schließen, die betrügerische Mitarbeiter und unbeabsichtigte Insider ausnutzen können.