Загроза зсередини більша, ніж ви думаєте
Хакери ззовні - це лише частина загроз. Статистика безпеки вказує на те, що внутрішні загрози (дії працівників, контрагентів і партнерів з доступом до систем) відповідають за понад половину дорогих інцидентів. Частина з них - це свідомі дії невірних працівників. Більшість - це помилки: хтось відправив файл у неправильну скриньку, скопіював дані на приватний диск, клікнув на фішинговий посилання з рахунку з широкими повноваженнями.
У обох випадках наслідки можуть бути катастрофічними: втрата даних клієнтів, порушення законодавства про захист даних, фінансові штрафи, втрата репутації, судові справи. PAM (Privileged Access Management) та DLP (Data Loss Prevention) - це технологічні відповіді на ці загрози.
PAM: контроль над привілейованими обліковими записами
Привілейовані облікові записи (адміністратори систем, DBA, DevOps, сервісні облікові записи) мають доступ до всього. Компрометація такого облікового запису - це компрометація цілого середовища. PAM впроваджує принцип мінімальних привілеїв та повний контроль над кожною привілейованою сесією.
Ключові механізми PAM охоплюють:
- Сховище паролів (Password Vault): паролі до привілейованих облікових записів зберігаються у зашифрованому сховищі. Користувачі ніколи не знають реального пароля, система автоматично його змінює після кожної сесії.
- Запис сесії: кожна привілейована сесія записується (відео + клавіатура). У разі інциденту у вас є повний запис того, що, коли та хто зробив.
- Just-in-Time Access: привілеї надають на час виконання конкретного завдання та автоматично скасовуються після його завершення. Ніхто не має постійного доступу до виробництва.
- Мультифакторна аутентифікація: кожен вхід на привілейований обліковий запис вимагає МФА, без винятків.
DLP: захист даних від витоку
Data Loss Prevention - це система, яка відстежує потік даних в організації та блокує неавторизований перехід конфіденційних відомостей. DLP діє на трьох рівнях:
- Data in Use: моніторинг дій користувача на робочій станції: копіювання в буфер обміну, спроба друку, знімок екрана, передача файлу в неавторизовану програму.
- Data in Motion: інспекція мережевого трафіку: електронна пошта, HTTP, FTP, хмара. Система розпізнає закономірності конфіденційних даних (номери PESEL, дані платіжних карт, пункти NDA) та блокує або попереджає.
- Data at Rest: сканування дисків та репозиторіїв у пошуках конфіденційних даних, що зберігаються поза авторизованими місцями.
UEBA: виявлення аномалій поведінки
User and Entity Behavior Analytics (UEBA) - це шар AI над PAM та DLP. Система будує базову лінію нормальної поведінки кожного користувача: коли він входить, до яких систем, скільки даних обробляє, звідки. Коли з'являються відхилення від норми (вхід о 3 годині ночі, масове завантаження даних, доступ з невідомої країни), система генерує сигнал та може автоматично заблокувати сесію до часу верифікації.
UEBA виявляє атаки, які обходять периметральні системи. Викрадене пароль - це лише половина успіху для нападника: якщо його поведінка відрізняється від поведінки законного користувача, UEBA ідентифікує загрозу.
Впровадження PAM/DLP у відповідності з NIS2 та GDPR
Директива NIS2 і GDPR накладають на організації обов'язок впровадження відповідних технічних та організаційних заходів захисту даних. PAM і DLP визнаються галузевим стандартом у цьому плані. Правильно впроваджені, вони суттєво знижують ризик порушення та є доказом належної турботи у разі інциденту. ESKOM AI впроваджує PAM і DLP з повною документацією політик безпеки, тренінгами для працівників та регулярними аудитами з відповідності.