تعرضت منصة بيانات العملاء لدى مورد لمعالجة المطالبات الصحية للوصول من قِبل مهندس بيانات أول، وهو موظف أمضى اثني عشر عامًا في الشركة، ويملك وصولًا إداريًا مشروعًا إلى المنصة، ولا يتضمن سجله أي حوادث أمنية سابقة. وكان المهندس قد تُجووز في ترقية في Q1، ووفقًا لمقابلات ما بعد الحادث، قرر تحويل وصوله إلى مصدر دخل قبل الاستقالة. وعلى مدى ثلاثة أشهر، استخدم وصوله المعتاد إلى المنصة لتنفيذ سلسلة من الاستعلامات استخرجت سجلات العملاء على دفعات تراوحت بين خمسمئة وألفي سجل في كل جلسة. ونقلت كل جلسة البيانات إلى حساب Dropbox شخصي باستخدام أداة تصدير البيانات الداخلية لدى المورد، وهي ميزة مشروعة تُستخدم لتسليم بيانات العملاء. وبلغ إجمالي ما استُخرج سبعة عشر ألف سجل للعملاء، تضمنت الأسماء وتواريخ الميلاد وأرقام تعريف الأعضاء وسجل المطالبات. ولم يُفعَّل DLP لدى المورد لأن كل عملية تصدير كانت دون عتبة التصدير المجمّع البالغة خمسة آلاف ملف، ولأن وجهة Dropbox لم تكن مدرجة في قائمة الخدمات المحظورة لدى المورد. ولم تتضمن المراقبة لدى المورد أي نشر لـUEBA، فلم يكن هناك خط أساس سلوكي لاكتشاف أن أنماط استعلامات المهندس قد تغيرت من عمليات صيانة إلى عمليات تصدير منتظمة لدفعات صغيرة من سجلات العملاء. وجاء الاكتشاف من اعتقال المهندس لاحقًا في قضية منفصلة، مما دفع المحققين إلى فحص حساباته السحابية.
ما هي التهديدات الداخلية لدى الموردين حقًا؟
التهديدات الداخلية لدى الموردين هي خطر أن يسيء موظفو المورد أو متعاقدوه أو مستخدموه الموثوقون الذين يملكون وصولًا مشروعًا إلى أنظمة تحتوي على بيانات العملاء استخدام ذلك الوصول، عمدًا أو إهمالًا أو تحت الإكراه، بطرق تُلحق الضرر بالعميل. وتمثل خطرًا مختلفًا جوهريًا عن الهجمات الخارجية: فبينما يجب على الهجمات الخارجية التغلب على ضوابط المصادقة والتفويض، تعمل التهديدات الداخلية ضمن تلك الضوابط. فالمهاجم هو المستخدم المصرح له نفسه. ويعتمد الاكتشاف بالكامل على تحديد أن الوصول المشروع يُستخدم بطرق غير مشروعة.
مشكلة الوصول المشروع هي جوهر تحدي اكتشاف التهديدات الداخلية. فالضوابط الأمنية التي تمنع الوصول غير المصرح به، كالمصادقة والتفويض وضوابط الوصول، لا صلة لها بالتهديدات الداخلية بحكم التعريف، لأن المطلعين الداخليين مصرح لهم. ويعتمد الاكتشاف على التحليلات السلوكية التي تحدد متى تنحرف أنماط الوصول المصرح به عن السلوك الطبيعي المُرسى بطرق تتسق مع إساءة الاستخدام. وتُرسي منصات تحليلات سلوك المستخدمين والكيانات خطوط أساس سلوكية لكل مستخدم وتكتشف الانحرافات، أي التغيرات في البيانات التي يُوصل إليها وتوقيت ذلك وحجمه ووجهة نقلها، التي قد تشير إلى نشاط تهديد داخلي. ودون التحليلات السلوكية، يعتمد اكتشاف التهديدات الداخلية على DLP قائم على العتبات يستطيع المطلعون الداخليون المتمرسون التحايل عليه.
تضخيم علاقة الثقة هو بُعد التهديد الداخلي الخاص بالموردين. فموظفو المورد الذين يصلون إلى بيانات العملاء يعملون في ظل علاقة ثقة قائمة لأن خدمات المورد تتطلب ذلك الوصول. فمندوب المبيعات الدوائية الذي يتيح له وصوله إلى CRM سرقة سجلات العملاء، ومهندس البيانات في معالجة المطالبات الذي يتيح له وصوله إلى المنصة استخراج السجلات، ومسؤول الأنظمة الذي يتيح له وصوله المميز تسريب قاعدة البيانات، جميعهم يملكون وصولًا تتطلبه أدوارهم بصورة مشروعة. والثقة التي تمكّن المورد من تقديم خدماته هي الثقة ذاتها التي تمكّن التهديد الداخلي.
- استخدام الوصول المشروع بنية خبيثة: ضوابط الوصول لا صلة لها باكتشاف التهديدات الداخلية
- غياب UEBA: عدم إرساء خط أساس سلوكي لاكتشاف التغيرات في أنماط الوصول
- التحايل على عتبات DLP: عمليات تصدير صغيرة على دفعات دون العتبة تتجنب الاكتشاف
- وجهة غير محظورة: خدمات تخزين سحابي مشروعة غير مدرجة في قائمة الحظر لدى DLP
- غياب مراقبة أنماط الوصول: عدم اكتشاف التغيرات في تكرار الاستعلامات وحجمها
لماذا يهم هذا
تكتسب التهديدات الداخلية لدى الموردين أهميتها بالنسبة إلى TPRM لأن العميل لا يستطيع مراقبة سلوك موظفي المورد مباشرة، فلا وصول لديه إلى UEBA الذي كان سيكتشف تغيّر نمط استعلامات مهندس البيانات، ولا رؤية على مراقبة وجهات التصدير التي كانت ستُنبّه إلى النقل إلى Dropbox، ولا آلية مباشرة لاكتشاف إساءة استخدام الوصول المشروع. وتعتمد حماية العميل من التهديدات الداخلية لدى الموردين بالكامل على برنامج اكتشاف التهديدات الداخلية لدى المورد نفسه، ومعظم التقييمات الأمنية للموردين لا تقيّم تحديدًا القدرة على اكتشاف التهديدات الداخلية.
مشكلة تحديد نطاق الوصول هي أكثر وسائل التخفيف مباشرة من جانب العميل. فكلما زادت البيانات التي يستطيع موظفو المورد الوصول إليها، اتسع الأثر المحتمل للتهديد الداخلي. والموردون الذين طبقوا مبدأ الحد الأدنى الضروري من الوصول، بقصر وصول كل موظف على بيانات العملاء التي يتطلبها دوره المحدد فقط، يقلصون نطاق ضرر التهديد الداخلي حتى عندما لا يستطيعون منعه. فمهندس البيانات الذي لا يستطيع الوصول إلا إلى مطالبات الأيام التسعين الأخيرة الخاصة بالمطالبات النشطة يُنشئ اختراقًا محتملًا أصغر من مهندس يملك وصولًا غير مقيد إلى سجل مطالبات يمتد سبع سنوات.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم ضوابط الوصول دون تقييم القدرة على اكتشاف التهديدات الداخلية. فضوابط الوصول تحد مما يستطيع المطلعون الداخليون فعله، والاكتشاف السلوكي يحدد متى يسيئون استخدام ما يستطيعون فعله. كلاهما مطلوب، ولا يغني أحدهما عن الآخر.
- تقييم ضوابط الوصول دون اكتشاف التهديدات الداخلية
- عدم السؤال عن نشر UEBA في تقييمات الموردين
- عدم تقييم تحديد نطاق وصول الموظفين: الحد الأدنى الضروري من الوصول إلى بيانات العملاء
- عدم اختبار التحايل على عتبات DLP في أنماط التهديدات الداخلية
- عدم تقييم التحقق من الخلفية وفحص الموظفين
كيف تبدو الممارسة الجيدة
تجمع برامج التهديدات الداخلية الناضجة بين تحديد نطاق الوصول بالحد الأدنى الضروري، وUEBA لاكتشاف الحالات السلوكية غير الاعتيادية، وDLP مُعدًّا لأنماط التهديدات الداخلية، ومراجعات دورية للوصول لرصد تراكم الأذونات غير الضرورية.
- UEBA مع خطوط أساس سلوكية لكل موظف: اكتشاف التغيرات في أنماط الوصول
- الحد الأدنى الضروري من الوصول: لا يصل الموظفون إلا إلى البيانات التي يتطلبها دورهم الحالي المحدد
- إعداد DLP لأنماط التهديدات الداخلية: اكتشاف التصدير على دفعات صغيرة ومراقبة التخزين السحابي
- مراجعات دورية للوصول: مراجعة ربع سنوية لمن يملك وصولًا إلى أنظمة بيانات العملاء
- فحص الموظفين والتحقق من خلفياتهم في الأدوار التي تتضمن الوصول إلى بيانات العملاء
الأدوات
UEBA: Exabeam وVaronis وMicrosoft Sentinel UEBA
تُرسي منصات UEBA خطوط أساس سلوكية لكل موظف وتكتشف الانحرافات المتسقة مع نشاط التهديد الداخلي، وتحديدًا التغيرات في أنماط الوصول إلى البيانات وسلوك التصدير وتوقيت الوصول. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورد قد نشر UEBA بخطوط أساس لكل موظف للعاملين الذين يصلون إلى بيانات العملاء يطرح السؤال المحدد حول القدرة على اكتشاف التهديدات الداخلية.
حوكمة الوصول إلى البيانات: Varonis وSecuriti
توفر منصات حوكمة الوصول إلى البيانات رؤية على من يصل إلى أي بيانات ومتى وبأي تكرار، مما يتيح مراجعات تحديد نطاق الوصول واكتشاف الحالات غير الاعتيادية في أنماط الوصول إلى البيانات معًا. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورد يستخدم أدوات حوكمة الوصول إلى البيانات لمراقبة وصول الموظفين إلى بيانات العملاء ومراجعته يطرح سؤالًا محددًا حول الرقابة على الوصول.
تحديات الحوكمة
يتمثل تحدي الحوكمة في اكتشاف التهديدات الداخلية لدى الموردين في بُعد خصوصية الموظفين. فمراقبة سلوك الموظفين عبر UEBA تتطلب الموازنة بين المصالح الأمنية المشروعة وحقوق الموظفين في الخصوصية، وهو توتر تنظمه القوانين على نحو مختلف بين الولايات القضائية. ويكمن حل الحوكمة في المراقبة على مستوى الوصول إلى البيانات بدلًا من مستوى السلوك الفردي، أي اكتشاف أنماط الوصول غير الاعتيادية دون الحاجة إلى مراقبة تدخلية للموظفين.
- السؤال عمّا إذا كان UEBA منشورًا للموظفين الذين يصلون إلى بيانات العملاء
- السؤال عن تحديد نطاق الوصول إلى بيانات العملاء بالحد الأدنى الضروري
- السؤال عن إعداد DLP لاكتشاف التصدير على دفعات صغيرة
- السؤال عن فحص الموظفين في الأدوار التي تتضمن الوصول إلى بيانات العملاء
- السؤال عن وتيرة مراجعة الوصول إلى أنظمة بيانات العملاء
إذا كنت فريقًا صغيرًا
لكل مورد من الفئة 1 يملك وصولًا مباشرًا إلى بيانات عملاء حساسة، اطرح سؤالين. أولًا: هل UEBA منشور لاكتشاف أنماط الوصول غير الاعتيادية إلى البيانات لدى الموظفين الذين يصلون إلى بياناتنا؟ ثانيًا: هل يقتصر وصول الموظفين على الحد الأدنى الضروري، وتحديدًا، هل يستطيع مهندس البيانات الوصول إلى جميع سجلات العملاء أم إلى السجلات التي يتطلبها دوره الحالي فقط؟ يتناول هذان السؤالان بُعدي الاكتشاف ونطاق الضرر في مخاطر التهديدات الداخلية لدى الموردين.
- السؤال عمّا إذا كان UEBA يشمل الموظفين الذين يصلون إلى بيانات العملاء
- السؤال عمّا إذا كان وصول الموظفين إلى بيانات العملاء مقتصرًا على الحد الأدنى الضروري
- السؤال عن إعداد DLP لرصد أنماط التصدير على دفعات صغيرة
- السؤال عن فحص الموظفين في الأدوار التي تتضمن الوصول إلى بيانات العملاء
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة للموظفين الذين يصلون إلى بيانات عملائنا، هل تُراقب أنماط وصولهم عبر UEBA لاكتشاف السلوك غير الاعتيادي، وهل يقتصر وصولهم على الحد الأدنى الضروري بدلًا من الوصول غير المقيد إلى جميع سجلات العملاء؟»
ما تتوقعه دليلًا
- تأكيد نشر UEBA للموظفين الذين يصلون إلى بيانات العملاء
- توثيق تحديد نطاق الوصول بالحد الأدنى الضروري
- إعداد DLP لاكتشاف التصدير على دفعات صغيرة
- وتيرة مراجعة الوصول إلى أنظمة بيانات العملاء
ينبغي سؤال المورد الذي يؤكد وجود ضوابط الوصول عمّا إذا كانت المراقبة السلوكية تشمل الموظفين المحددين الذين يصلون إلى بيانات العملاء. فضوابط الوصول تحدد ما هو مسموح، وUEBA يكتشف متى يُساء استخدام ما هو مسموح.
كيف تُثبت ذلك
- سجلات نشر UEBA للموظفين الذين يصلون إلى بيانات العملاء
- توثيق تحديد نطاق الوصول بالحد الأدنى الضروري
- إعداد DLP لأنماط التهديدات الداخلية
- سجلات فحص الموظفين في أدوار الوصول إلى البيانات
الخلاصة الرئيسية
وصول مشروع. حساب سحابي شخصي. سبعة عشر ألف سجل. ثلاثة أشهر. لا اكتشاف حتى اعتقال لا صلة له بالأمر. منحت ضوابط الوصول المهندس الوصول الذي يتطلبه دوره بالضبط، وكان ذلك الوصول هو الاختراق. كان UEBA سيكتشف تغيّر نمط الاستعلامات، وكان الحد الأدنى الضروري من الوصول سيقلص النطاق القابل للاستخراج، وكان DLP المُعدّ لاكتشاف التصدير على دفعات صغيرة سيُنبّه إلى عمليات التصدير الصغيرة المتكررة. لم يكن أيٌّ من ذلك قائمًا. التهديد الداخلي هو خطر أن يُستخدم الوصول المشروع بطريقة غير مشروعة. ويعتمد الاكتشاف على إدراك أن الوصول المشروع يُنتج سلوكًا غير مشروع. ضوابط الوصول تحمي من المستخدمين غير المصرح لهم، والاكتشاف السلوكي يحمي من المستخدمين المصرح لهم الذين يتحولون إلى تهديدات.