Высокая степень риска утраты данных вынуждает компании автоматизировать процесс управления возможностями привилегированных пользователей. При этом речь зачастую идет не только о способах управления учетными записями. Системы, их контролирующие, обычно ограничиваются лишь определением того, кто, где и когда работал под тем или иным логином. Сейчас этих сведений бизнесу уже не хватает: важнее предотвратить вредоносное действие, оценив его алгоритм, а также собрать доказательства для возможных судебных разбирательств. И здесь речь идет уже о мониторинге действий сотрудников.

Компании, работающие на рынке контекстной интеллектуальной информационной безопасности, все чаще заявляют, что пароль, как традиционный способ защиты доступа, уже малоэффективен. Его легко взломать, а статистика говорит о росте преступлений, связанных с утечкой информации именно из инсайдерских источников. Речь, в том числе, об администраторах систем, у которых самые широкие полномочия, а пароли не являются тайной. В кредитно-финансовом секторе России, по данным компании «Инфосистемы Джет», годовой объем совершенных хищений в 2015 г. вырос на 26,5%. Одной из причин этого стало как раз внутреннее мошенничество.

В сфере информационной безопасности большую роль начинают играть особые системы, которые работают с данными. Они используют операционную аналитику и способны к машинному обучению.

Как противостоять угрозам

Специалисты одного из мировых лидеров в обеспечении информационной безопасности — венгерской компании Balabit — выделяют несколько узких мест традиционных решений. Это файрволл, который можно легко обойти, обладая правами администратора. Ничего не гарантируют логины и система управления безопасностью (SIEM), где можно настроить списки регистрируемых событий или вовсе удалить логи. Бесполезны и менеджеры паролей — эти системы сложные, дороги, а в случае возникновения проблем могут скрыть их инициатора.

Отличительной чертой ИТ-продуктов, обеспечивающих информационную безопасность, принято считать их способность работать с большими данными, сочетать многоуровневые средства анализа и помогать выделять потенциально опасные зоны. Balabit предлагает комплексный контроль привилегированного доступа к ИТ-системам. При этом, не происходит ограничения бизнес-процессов. Мониторинг ведется за счет интегрированных решений, которые собирают и обрабатывают информацию о действиях администраторов. Этим целям служат три ключевых продукта компании: Shell Control Box, syslog-ng и Blindspotter. Все вместе они объединяются в пакет Contextual Security Intelligence.

Syslog-ng — это система управления логами, которая собирает, обрабатывает и предоставляет критические данные о системных событиях. Shell Control Box — устройство мониторинга активности. Оно контролирует привилегированный доступ к удаленным ИТ-системам и записывает совершаемые операции. Blindspotter — решение, создающее профили действий пользователей с целью выявления аномального поведения.

Анализ поведения пользователей

Решение Blindspotter идет по следам цифровых отпечатков, оставляемых пользователями и администраторами в ИТ-инфраструктуре. На панели мониторинга система классифицирует события и выделяет среди них наиболее подозрительные. В число объектов оценки действий также входят анализ движений мышки и динамика работы на клавиатуре.

Таким образом, можно составить профиль поведения сотрудника. После получения данных запускаются специальные алгоритмы их изучения. Они определяют значимость сведений и позволяют преобразовать большие объемы данных в конкретную информацию. Уже на ее основе можно принимать решения. Для этого, в свою очередь, используется сразу несколько алгоритмов, что позволяет изучить ситуацию с разных ракурсов.

Blindspotter работает без шаблонов «заведомо плохого» поведения. Продукт не требует развертывания каких-либо зондов или агентов. Используются данные, которые уже доступны и продолжают поступать. Программа обнаруживает отклонения от нормы с помощью разнообразных алгоритмов машинного обучения. Дальше, само собой, в дело вступают живые люди из службы безопасности. Не исключены и случаи ложной тревоги. Однако для бизнеса гораздо важнее получить информацию с небольшой погрешностью, чем не получить ее вовсе. Тем более, со временем, процент неверно трактованных действий снижается — помогает все то же машинное обучение. На программном уровне возможно и расставление приоритетов.

Системные и персонифицированные учетные записи, которые используются людьми и скриптами соответственно — это типичные случаи нарушения правил информационной безопасности. И то, и другое — потенциальные угрозы для бизнеса, потому что дают взломщику доступ ко многим службам и «учеткам», используемым в скрипте. Blindspotter видит отличия поведения человека от автоматизированных действий. Отдел информационной безопасности получает все необходимые сведения о проблеме до того, как небольшая брешь превращается в крупные неприятности.

Как засечь и прервать нарушение

Shell Control Box (SCB) — это специальное устройство, работающее на каналах взаимодействия серверов и пользователей, которые к ним обращаются. Оно изолирует конфиденциальные системы от злоумышленников или тех, у кого нет права доступа к данным. Кроме того, SCB записывает все операции санкционированного доступа к закрытой информации. Это делает возможным предоставление сведений об ошибках, вызванных человеческим фактором, либо при нетипичном поведении. Вся эта работа происходит в реальном времени.

При обнаружении потенциально опасной команды или запуска нежелательного приложения, SCB может отправить письмо на электронную почту с оповещением о событии, записать его в системные логи, сохранить в базе данных, а также немедленно прервать подключение. Устройство может быть как физическим, так и виртуальным и поддерживает разные режимы работы, в том числе, маршрутизатора. Для упрощения интеграции в среды, защищенные брандмауэром, SCB поддерживает трансляцию сетевых адресов и источника, и назначения (SNAT и DNAT).

страницы:  1  |  2  |  следующая