Insider Threats | 内部威胁 | Decripte Security

内部威胁是最具挑战性的安全风险之一——拥有 合法访问权限的人员滥用特权，造成有意或无意的损害。

什么是内部威胁？

内部威胁是源自组织内部的安全风险——员工、 前员工、承包商或业务合作伙伴，他们对系统和数据拥有授权访问权限， 却滥用这些特权来破坏信息的机密性、完整性或可用性。

内部威胁的类型

恶意内部人员

心怀不满或被收买的员工，蓄意窃取数据、破坏系统或 泄露机密信息。动机包括报复、经济利益或意识形态。

疏忽内部人员

由于缺乏 awareness 或疏忽大意而无意中危及安全的用户——点击 phishing、共享凭证、错误配置系统。他们占事件的大多数。

被入侵内部人员

凭证被外部攻击者窃取的员工。从技术上讲，这不是 内部威胁，但从安全控制的角度来看却表现得像是内部威胁。

Third-Party Insider

拥有特权访问权限并滥用信任的承包商、顾问或合作伙伴。 由于难以进行 vetting 和监控，风险尤其高。

可疑行为的指标

技术指标

• 访问工作范围之外的系统/数据
• 大量下载机密文件
• 使用未授权的 USB 设备
• 在通常工作时间之外访问
• 试图 bypass 安全控制
• 将数据复制到个人 cloud 服务
• 使用匿名化工具

行为指标

• 对组织表达不满
• 已知的财务问题
• 行为突然改变
• 讨论换工作
• 违反安全策略
• 拒绝休假或调岗
• 与竞争对手存在可疑关系

检测与监控

UEBA (User Entity Behavior Analytics)

建立正常用户行为 baseline 并检测具有统计显著性 异常的工具。示例：Microsoft Advanced Threat Analytics、Splunk UBA、 Exabeam。

DLP (Data Loss Prevention)

监控并阻止通过 email、USB、cloud storage 对敏感数据进行 exfiltration 的尝试。 对于防止有意或意外泄露至关重要。

Privileged Access Management (PAM)

控制并审计特权账户的使用。session recording 可对管理员操作进行 取证调查。

Log Correlation 与 SIEM

对来自多个来源（Active Directory、file servers、email、VPN）的 logs 进行关联，以 识别可疑模式。

内部威胁计划

核心组成部分

• Governance：关于可接受使用及后果的明确策略
• People：多学科团队（IT、Security、HR、Legal）
• Technology：集成的 UEBA、DLP、PAM、SIEM
• Processes：调查与响应 workflows
• Training：关于指标和 reporting 的 awareness

内部威胁生命周期

• 预防：Background checks、least privilege、segregation of duties
• 检测：通过 UEBA 和 DLP 进行持续监控
• 调查：对可疑活动进行取证分析
• 响应：遏制、remediation 以及纪律/法律措施
• Recovery：数据恢复和控制措施审查

著名的真实案例

Edward Snowden (NSA)

一名承包商 exfiltrate 了机密文件，曝光了监控计划。这凸显了 拥有特权访问权限的 third-party insiders 的风险。

Chelsea Manning

一名情报分析员泄露了 750,000 份机密文件。这暴露了在 监控特权用户活动方面的不足。

Tesla Sabotage Case

一名心怀不满的员工修改了制造代码并 exfiltrate 了机密数据。 这表明了检测异常行为的重要性。

缓解控制措施

技术控制措施

• Least privilege 和 role-based access control (RBAC)
• 针对敏感访问的 Multi-factor authentication
• Data classification 和 encryption
• USB device control 和 endpoint DLP
• 针对 privileged users 的 Session recording
• 对 cloud storage 和 email 的监控

管理控制措施

• 针对敏感岗位的 Background verification
• 针对关键操作的 Separation of duties
• Mandatory vacation policies
• 严格的离职流程（offboarding）
• 定期的 Security awareness training
• 用于上报可疑情况的 reporting 机制

挑战与考量

• Privacy vs Security：在监控与员工隐私之间取得平衡
• False Positives：合法行为可能被 flagged 为可疑
• Culture Impact：过度监控可能造成不信任的文化
• Legal Constraints：劳动法和隐私法限制监控
• Investigation Complexity：无意失误与恶意之间的区别并不总是清晰

最佳实践

• 建立由高层 sponsorship 的正式内部威胁计划
• 实施 UEBA 以进行基于行为的检测
• 保持对敏感数据及其访问者的最新清单
• 开展与访问级别相称的 background checks
• 培训管理者识别行为指标
• 建立尊重隐私的明确调查流程
• 员工离职后立即撤销访问权限
• 营造安全和 reporting 的文化，杜绝报复