Insider Threats | איומים פנימיים | Decripte Security

Insider threats מהווים אחד מסיכוני האבטחה המאתגרים ביותר - יחידים בעלי גישה לגיטימית המנצלים לרעה הרשאות כדי לגרום נזק מכוון או בלתי מכוון.

מהם Insider Threats?

Insider threats הם סיכוני אבטחה שמקורם מתוך הארגון - עובדים, עובדים לשעבר, קבלנים או שותפים עסקיים בעלי גישה מורשית למערכות ולנתונים המנצלים לרעה הרשאות אלו כדי לפגוע בסודיות, בשלמות או בזמינות של המידע.

סוגי Insider Threats

Insider זדוני

עובד ממורמר או מושחת שגונב נתונים במכוון, מחבל במערכות או מדליף מידע סודי. המניעים כוללים נקמה, רווח כספי או אידיאולוגיה.

Insider רשלני

משתמש שפוגע באבטחה שלא במתכוון עקב חוסר awareness או רשלנות - לוחץ על phishing, משתף אישורי גישה, מגדיר מערכות בצורה שגויה. הם מהווים את רוב התקריות.

Insider מתפרץ (מפוצח)

עובד שאישורי הגישה שלו נגנבו על ידי תוקפים חיצוניים. טכנית זה אינו insider threat אך נראה ככזה מנקודת המבט של בקרות האבטחה.

Third-Party Insider

קבלנים, יועצים או שותפים בעלי גישה מורשית המנצלים לרעה את האמון. מסוכן במיוחד בשל הקושי ב-vetting ובניטור.

אינדיקטורים להתנהגות חשודה

אינדיקטורים טכניים

• גישה למערכות/נתונים מחוץ לתחום העבודה
• הורדה המונית של קבצים סודיים
• שימוש בהתקני USB לא מורשים
• גישה מחוץ לשעות העבודה הרגילות
• ניסיונות bypass של בקרות אבטחה
• העתקת נתונים לשירותי cloud אישיים
• שימוש בכלי אנונימיזציה

אינדיקטורים התנהגותיים

• הבעת חוסר שביעות רצון מהארגון
• בעיות כספיות ידועות
• שינויים פתאומיים בהתנהגות
• שיחות על החלפת מקום עבודה
• הפרות של מדיניות אבטחה
• סירוב לצאת לחופשה או למעבר תפקיד
• קשרים חשודים עם מתחרים

זיהוי וניטור

UEBA (User Entity Behavior Analytics)

כלים המבססים baseline של התנהגות משתמשים נורמלית ומזהים חריגות מובהקות סטטיסטית. דוגמאות: Microsoft Advanced Threat Analytics, Splunk UBA, Exabeam.

DLP (Data Loss Prevention)

מנטר וחוסם ניסיונות exfiltration של נתונים רגישים דרך email, USB, cloud storage. חיוני למניעת דליפות מכוונות או מקריות.

Privileged Access Management (PAM)

שולט ומבקר את השימוש בחשבונות בעלי הרשאות. session recording מאפשר חקירה פורנזית של פעולות מנהלים.

Log Correlation ו-SIEM

קורלציה של logs ממקורות מרובים (Active Directory, file servers, email, VPN) כדי לזהות דפוסים חשודים.

תוכנית Insider Threat

רכיבים חיוניים

• Governance: מדיניות ברורה לגבי שימוש מקובל והשלכות
• People: צוות רב-תחומי (IT, Security, HR, Legal)
• Technology: UEBA, DLP, PAM, SIEM משולבים
• Processes: Workflows של חקירה ותגובה
• Training: Awareness לגבי אינדיקטורים ו-reporting

מחזור החיים של Insider Threat

• מניעה: Background checks, least privilege, segregation of duties
• זיהוי: ניטור רציף באמצעות UEBA ו-DLP
• חקירה: ניתוח פורנזי של פעילויות חשודות
• תגובה: הכלה, remediation ופעולה משמעתית/משפטית
• Recovery: שחזור נתונים וסקירת בקרות

מקרים אמיתיים ידועים לשמצה

Edward Snowden (NSA)

קבלן ביצע exfiltration של מסמכים מסווגים שחשפו תוכניות מעקב. הדבר הדגיש את הסיכונים של third-party insiders בעלי גישה מורשית.

Chelsea Manning

אנליסטית מודיעין הדליפה 750,000 מסמכים מסווגים. הדבר חשף כשלים בניטור פעילויות של משתמשים בעלי הרשאות.

Tesla Sabotage Case

עובד ממורמר שינה קוד ייצור וביצע exfiltration של נתונים סודיים. הדבר הדגים את החשיבות של זיהוי התנהגות חריגה.

בקרות מיטיגציה

בקרות טכניות

• Least privilege ו-role-based access control (RBAC)
• Multi-factor authentication לגישה רגישה
• Data classification ו-encryption
• USB device control ו-endpoint DLP
• Session recording עבור privileged users
• ניטור של cloud storage ו-email

בקרות מנהליות

• Background verification לתפקידים רגישים
• Separation of duties לפעולות קריטיות
• Mandatory vacation policies
• נהלי עזיבה קפדניים (offboarding)
• Security awareness training באופן קבוע
• מנגנוני reporting לחשדות

אתגרים ושיקולים

• Privacy vs Security: איזון בין ניטור לבין פרטיות העובדים
• False Positives: התנהגות לגיטימית עלולה להיות flagged כחשודה
• Culture Impact: ניטור מופרז עלול ליצור תרבות של חוסר אמון
• Legal Constraints: חוקי עבודה ופרטיות מגבילים את הניטור
• Investigation Complexity: ההבדל בין טעות תמת לב לזדון אינו תמיד ברור

שיטות עבודה מומלצות

• להקים תוכנית insider threat רשמית עם sponsorship ניהולי
• ליישם UEBA לזיהוי מבוסס התנהגות
• לתחזק מלאי מעודכן של נתונים רגישים ומי ניגש אליהם
• לבצע background checks בהתאם לרמת הגישה
• להכשיר מנהלים לזהות אינדיקטורים התנהגותיים
• להחזיק תהליכי חקירה ברורים תוך כיבוד הפרטיות
• לבטל גישות מיד עם סיום ההעסקה
• לטפח תרבות של אבטחה ו-reporting ללא נקמנות