ObserveIT協助事故應變加快調查工作

當不幸發生網絡安全事故,負責事故應變的同事便需要爭分奪秒,盡快調查事故的起因和堵塞有關的漏洞,避免事故再次發生。而次世代的內部威脅管理平台 ObserveIT 配合了新的雲端架構,詳細紀錄內部人士的活動,加快調查和應對的流程,從而降低受事故影響的成本。

ObserveIT 協助內部調查
. 詳細紀錄內部人士在 Endpoint、檔案、資料、應用程式和伺服器上的活動。
. 內部專門的風險行為偵測
. 容易理解,用戶等級的可見度。

通常在 ObserveIT 平台上展開內部威脅調查,都是由提示風險行為的警告開始,管理團隊可以因應自己的營運環境去微調有關的警告。以下的個案根據 Carnegie Mellon 的 CERT 學院,NITTF 和 NIST 標準的研究,包括了:

  • 資料外洩
  • 意外移動資料
  • 濫用特別權限
  • 不當使用應用程式和伺服器
  • 違規 Endpoint 活動
  • 異常系統存取

加快事故應變的調查工作
1. 從線索開始
IR 專家和調查員通常會從圍繞事故的線索開始,一般的內部威脅,都會有一些不當使用的名字或有懷疑的用戶 (例如離聯的員工或承包人士),在這個案中,正對一位名叫「kdonvan」的用戶作出調查,因為當他突然離開工作時便發生可疑的資料外洩。

2. 即時的詳細關連資料及內部威脅警告
ObserveIT 綜合公司人員的身份資料 (一般情況下是 Active Directory),能夠描繪使用者在機構內的身份,在這個案中「kdonovan」是一位 sales director,根據與 HR 的聯繫,估計這名用戶已被競爭者挖角。在任何調查中,活動的視覺證明是重要的證據,在這個案中,調查員找到使用者上載檔案到 USB 裝置的螢幕截圖,這資料增加了懷疑資料外洩到競爭者手上的可能性。

3. 檔案活動詳細資料
在調查資料外洩時,有問題資料的詳情越多越好,同時也包括使用者的活動時間線。從上方的螢幕截圖中可以看到「vacation.pdf」有有趣和可疑的紀錄,它從 CRM 系統被下載、重新命名然後經由兩個違規的渠道 (USB 和個人 Gmail) 流出,所有活動都可以從下圖中的時間線中找到。

4. 時間線中無可辯駁的證據
當把使用者所有動作放在一起,就能察覺到有異於普通、工作相關的活動,從文件的角度追蹤整個流程,從最開始、移動、重新命名和外洩,從下方的螢幕截圖可以看到使用者在下載和外洩客用敏感資料前,曾搜尋資料繞過公司的保安過濾,有這條時間線,可以知道事件發生的日期和時間,而且全部有螢光幕撮圖作為無可辯駁的證據,無需要人手從不同來源的紀錄進行交叉調查。

5. 與其他團隊輕鬆協作
內部威脅調查是一個團隊的活動,受關連的部門包括 HR、法律、管理、網絡安全和其他商業單位,ObserveIT 以時間線的事故和圖像,取代一般人難以理解的網絡安全術語,協助以上團隊作出決定,平台可以匯出「kdonovan」相關的 PDF 報告與其他團隊分享,另外還有 CSV 和 JSON 格式可以選擇。

根據整體資料評估風險
根據以上的例子,一名使用者的風險等級並不限於單一活動,如果活動與其他活動在同一檔案上發生,便可能是風險行為的徵兆。ObserveIT 協助 SOC 分析並把使用者活動視覺代,在更大範圍內協助調查事故。

資料來源:ObserveIT blog

Comments are closed