Untersuchung von Insider-Bedrohungen | Decripte Security

Insider-Bedrohungen stellen aufgrund der Kombination aus legitimem Zugriff, Systemkenntnissen und vielfältigen Motivationen einzigartige Risiken dar. Die Erkennung und Untersuchung von Insider-Bedrohungen erfordert einen spezialisierten Ansatz, der Sicherheit und den Schutz der Privatsphäre der Mitarbeiter in Einklang bringt.

Arten von Insider-Bedrohungen

Böswilliger Insider: Handelt vorsätzlich, um Schaden zu verursachen, Informationen zu stehlen oder Systeme zu sabotieren. Zu den Motiven zählen finanzieller Gewinn, Rache und Ideologie.

Fahrlässiger Insider: Hält Sicherheitsrichtlinien nicht ein und macht Fehler, die das Unternehmen einem Risiko aussetzen. Beispiele: Anklicken von Phishing-Links, Verwendung schwacher Passwörter, Weitergabe vertraulicher Informationen.

Dritte: Partner, Lieferanten und Dienstleister mit Zugriff auf interne Systeme. Sie können als Angriffsvektoren dienen oder böswillig handeln.

Ehemalige Mitarbeiter: Nach dem Offboarding nicht entzogene Zugriffe, aktive Konten mit unzulässigen Berechtigungen. Risiko von Sabotage oder Datendiebstahl.

Verhaltensindikatoren

Ungewöhnlicher Datenzugriff: Zugriff auf Informationen außerhalb des eigenen Aufgabenbereichs, zu ungewöhnlichen Zeiten oder in großen Mengen.

Ungewöhnliches Kopieren von Dateien: Übertragung großer Datenmengen auf Wechseldatenträger, persönlichen Cloud Storage oder externe E-Mail-Konten.

Anomale Netzwerkaktivität: Verbindungen zu verdächtigen Servern oder Websites, Verwendung nicht autorisierter VPNs, Versuche, Sicherheitskontrollen zu umgehen.

Richtlinienverstöße: Missachtung von Sicherheitsregeln, Versuche, Kontrollen zu umgehen, fahrlässiger Umgang mit vertraulichen Informationen.

Verhaltensänderungen: Gereiztheit, Stress, Unzufriedenheit, finanzielle oder persönliche Probleme.

Datenquellen für die Erkennung

Zugriffsprotokolle: Authentifizierung, Dateizugriff, Datenbanken, Anwendungen.

Netzwerkprotokolle: Netzwerkverkehr, Verbindungen, Bandbreitennutzung.

Endpoint-Protokolle: Benutzeraktivität, Prozesse, Dateien, angeschlossene Geräte.

E-Mail-Protokolle: Versand, Empfang, Anhänge, angeklickte Links.

DLP-Protokolle: Erkennung von Datenabflüssen, Kopieren vertraulicher Dateien.

HR-Daten: Mitarbeiterhistorie, Leistungsbeurteilungen, Beschwerden, interne Untersuchungen.

UEBA - User and Entity Behavior Analytics

UEBA nutzt Machine Learning, um das Verhalten von Benutzern und Entitäten (Geräte, Anwendungen) zu analysieren und Anomalien zu erkennen, die auf eine Insider-Bedrohung hinweisen.

Verhaltens-Baseline: Legt normale Aktivitätsmuster für jeden Benutzer und jede Entität fest.

Anomalieerkennung: Identifiziert Abweichungen von der Baseline, etwa Zugriff auf ungewöhnliche Daten, untypische Zeiten oder anomale Datenübertragungen.

Risikopriorisierung: Weist Benutzern und Entitäten Risikobewertungen auf Grundlage der erkannten Anomalien zu.

SIEM-Integration: Sendet Warnmeldungen an das SIEM zur Untersuchung und Incident Response.

Data Loss Prevention (DLP)

DLP überwacht und kontrolliert den Fluss vertraulicher Informationen, um Datenabflüsse zu verhindern.

Content Awareness: Analysiert den Inhalt von Dateien, E-Mails und Netzwerkverkehr, um sensible Informationen zu identifizieren (Kreditkartendaten, personenbezogene Daten, Geschäftsgeheimnisse).

Policy Enforcement: Wendet Sicherheitsrichtlinien an, um Aktivitäten, die gegen die Regeln verstoßen, zu blockieren, zu melden oder zu protokollieren.

Endpoint DLP: Kontrolliert das Kopieren von Dateien auf Wechseldatenträger, in den Cloud Storage sowie den Druck.

Network DLP: Überwacht den Netzwerkverkehr, um Datenexfiltration über E-Mail, Web und FTP zu erkennen.

Untersuchungsprozess

1. Warnmeldung: Eingang einer Warnmeldung von UEBA, DLP, SIEM oder einer anderen Quelle.

2. Triage: Erste Bewertung der Warnmeldung, um festzustellen, ob es sich um einen Fehlalarm oder einen echten Vorfall handelt.

3. Beweismittelsicherung: Erfassung von Protokollen, Endpoint-Daten, E-Mails, Zugriffsaufzeichnungen.

4. Analyse: Analyse der Beweise, um den Umfang des Vorfalls, die Auswirkungen und die Ursache zu bestimmen.

5. Eindämmung: Maßnahmen, um die Ausbreitung des Vorfalls oder weitere Schäden zu verhindern (Konto deaktivieren, Gerät isolieren, Zugriff entziehen).

6. Behebung: Beseitigung der Schwachstellen, die den Vorfall ermöglicht haben, Stärkung der Sicherheitskontrollen.

7. Disziplinarische/Rechtliche Maßnahmen: Ergreifen geeigneter Maßnahmen gegen den beteiligten Mitarbeiter, sofern zutreffend.

Rechtliche und ethische Aspekte

Privatsphäre: Sicherheit und den Schutz der Privatsphäre der Mitarbeiter in Einklang bringen und übermäßige oder invasive Überwachung vermeiden.

Transparenz: Mitarbeiter über die Überwachungsrichtlinien und die Risiken von Insider-Bedrohungen informieren.

Diskriminierung: Entscheidungen auf Grundlage von Herkunft, Religion, Geschlecht oder anderen geschützten Merkmalen vermeiden.

Ordnungsgemäßes Verfahren: Sicherstellen, dass Mitarbeiter die Möglichkeit haben, sich zu verteidigen, bevor Disziplinarmaßnahmen ergriffen werden.

Compliance: Einhaltung der Datenschutzgesetze und -vorschriften (LGPD, DSGVO).

Richtlinien und Verfahren

Informationssicherheitsrichtlinie: Klare Regeln zur Nutzung von Unternehmensressourcen, zum Datenzugriff und zum Schutz vertraulicher Informationen festlegen.

Richtlinie zur akzeptablen Nutzung: Grenzen für die Nutzung von Internet, E-Mail und sozialen Medien festlegen.

Passwortrichtlinie: Starke Passwörter, regelmäßige Änderungen und Multi-Faktor- Authentifizierung vorschreiben.

DLP-Richtlinie: Regeln zum Schutz vertraulicher Daten festlegen, Kopien und Übertragungen kontrollieren.

Untersuchungsverfahren: Die Schritte beschreiben, die im Falle einer vermuteten Insider-Bedrohung zu befolgen sind.

Schulung und Sensibilisierung

Sicherheitsschulung: Mitarbeiter über die Risiken von Insider-Bedrohungen aufklären, wie man Phishing erkennt, Passwörter schützt und Vorfälle meldet.

Phishing-Simulationen: Die Fähigkeit der Mitarbeiter testen, bösartige E-Mails zu erkennen.

Regelmäßige Kommunikation: Newsletter, Intranet-Beiträge und Erinnerungen zum Thema Sicherheit versenden.

Sicherheitskultur: Ein Umfeld schaffen, in dem Sicherheit geschätzt wird und sich Mitarbeiter wohlfühlen, Vorfälle zu melden.

Kontinuierliche Überwachung

Protokollüberwachung: Zugriffs-, Netzwerk- und Endpoint-Protokolle analysieren, um verdächtige Aktivitäten zu erkennen.

E-Mail-Überwachung: Prüfen, ob vertrauliche Informationen aus dem Unternehmen versendet werden.

Überwachung von Wechseldatenträgern: Das Kopieren von Dateien auf USB-Sticks und externe Festplatten kontrollieren.

Verhaltensanalyse: UEBA einsetzen, um Anomalien im Benutzerverhalten zu identifizieren.

Incident Response

Incident-Response-Plan: Die Schritte festlegen, die im Falle eines Insider-Bedrohungsvorfalls zu befolgen sind.

Incident-Response-Team: Verantwortliche für jede Phase des Prozesses benennen.

Kommunikation: Relevante Stakeholder über den Vorfall informieren.

Behebung: Die Schwachstellen beseitigen, die den Vorfall ermöglicht haben.

Disziplinarische/Rechtliche Maßnahmen: Geeignete Maßnahmen gegen den beteiligten Mitarbeiter ergreifen.

Unterstützende Technologien

SIEM: Zentralisiert Protokolle aus verschiedenen Quellen zur Analyse und Erkennung von Vorfällen.

UEBA: Analysiert das Verhalten von Benutzern und Entitäten, um Anomalien zu erkennen.

DLP: Überwacht und kontrolliert den Fluss vertraulicher Informationen.

CASB: Schützt Daten in Cloud-Anwendungen.

EDR: Erkennt und reagiert auf Bedrohungen an Endpoints.