Erkennung von Insider-Bedrohungen - Was ist das und wie kann man sie verhindern?

Insider-Bedrohung erklärt

Eine Insider-Bedrohung ist eine Person mit legitimem Zugang zu Unternehmenssystemen und -daten, die bewusst oder unbewusst eine Bedrohung für eine mögliche Datenverletzung darstellt. Da zu jedem Zeitpunkt mehrere Personen mit unterschiedlichem Zugriff auf Ihre Daten zugreifen können - darunter Mitarbeiter, Berater und Lieferanten - ist die Erkennung von Insider-Bedrohungen eine Herausforderung. Tatsächlich geben 27% der CISOs an, dass die Bedrohung durch Insider die am schwierigsten zu erkennende Art von Risiko ist, und zwar aufgrund der schieren Anzahl möglicher Bedrohungen und der Personen, die für dieses Risiko verantwortlich sind.

Identifizieren Sie die drei häufigsten Insider-Bedrohungen

• Ausscheidende Mitarbeiter: Die meisten Mitarbeiter nehmen ihre Daten mit, wenn sie ihren neuen Arbeitsplatz verlassen. Wir sorgen dafür, dass Ihre wertvollsten Dateien bei Ihnen bleiben.
• Wiederholungstäter: Hinter jedem Datenrisiko steht ein Mitarbeiter, der sich wahrscheinlich nicht an die Regeln gehalten hat. Stoppen Sie die Datenexfiltration von Benutzern, die weiterhin gegen Sicherheitsrichtlinien verstoßen.
• Mitarbeiter mit hohem Risiko: Schützen Sie Ihre Daten programmatisch, indem Sie Flugrisiken und andere Mitarbeiter mit hohem Risiko überwachen.

Methoden zur Erkennung von Insider-Bedrohungen

Jeder Angestellte, Auftragnehmer oder Partner, der Zugang zu sensiblen Daten hat, könnte ein potenzielles Risiko darstellen, was die Entdeckung von Insider-Bedrohungen bekanntermaßen erschwert. Die Überwachung der Datenbewegungen in Ihrem Unternehmen, die Einführung klarer Sicherheitsrichtlinien und die Schulung Ihrer Mitarbeiter sind kluge Strategien, um potenzielle Angriffe zu verhindern, bevor sie passieren.

Überwachen Sie alle Daten und deren Bewegung

Ungewöhnliche Dateibewegungen sind ein häufiges Warnsignal, das auf eine Insider-Bedrohung hinweisen könnte. Durch ständiges Scannen Ihrer Systeme können Sie ein Basismuster der Dateibewegungen erstellen und erhalten den Kontext, den Sie benötigen, um zu wissen, ob es sich um ein Risiko handelt. Aktivitäten außerhalb dieses normalen Verhaltensmusters könnten auf eine Insider-Bedrohung hindeuten und sollten in der Reihenfolge ihrer Priorität untersucht werden:

• Datei exfiltriert: Wenn Sie eine Datei per Zip-Datei, USB oder sogar AirDrop von ihrem ursprünglichen Speicherort entfernen, können die Daten in die falschen Hände geraten.
• Zielort der Dateien: Stellen Sie sicher, dass Unternehmensdateien an Ziele verschoben werden, denen Sie vertrauen, und nicht in persönliche oder nicht genehmigte Cloud-Anwendungen.
• Quelle der Datei: Ein Blick in die Quelle kann Ihnen einen Hinweis auf die potenzielle Gefahr geben. Verdächtige Dateiquellen, wie z.B. über ProtonMail versandte Anhänge, könnten getarnte malware oder ransomware sein.
• Benutzereigenschaften und -verhaltensweisen: Untersuchen Sie alle potenziellen Anzeichen für verdächtige Insider-Aktivitäten. Überwachen Sie übermäßige Spitzen beim Herunterladen von Daten, verschieben Sie Daten zu ungewöhnlichen Tageszeiten oder verschaffen Sie sich privilegierten Zugang zu hochwertigen Daten.

Untersuchen Sie ungewöhnliches Datenverhalten

Es reicht nicht aus, nur Anzeichen für einen möglichen Insider-Angriff zu erkennen. Es ist wichtig, dass Sie eine gründliche Untersuchung durchführen. Nicht alle ungewöhnlichen Verhaltensweisen sind problematisch, aber sie sollten trotzdem untersucht werden. Um diese Taktik effektiv zu gestalten, ist es nach Ansicht von Mimecast wichtig, kontextbezogene Indikatoren hinzuzufügen, die priorisiert werden können, um Daten effektiv vor Mitarbeitern zu schützen, bei denen die Wahrscheinlichkeit eines Lecks oder Diebstahls von Dateien am größten ist. Wenn dann ein ungewöhnliches Datenverhalten eines Mitarbeiters auftritt, können die Sicherheitsteams eingreifen und nachforschen. Einige Verhaltensweisen, die eine Untersuchung erfordern könnten, sind:

• Neue Benutzerkonten erstellen
• Kopieren von Daten, die nichts mit ihrer Arbeit zu tun haben
• Verwendung nicht autorisierter Anwendungen
• Umbenennen von Dateien zur verdeckten Exfiltration
• Erhöhung der Zugriffsberechtigungen

Überlegene Erkennung von Insider-Bedrohungen erfordert neue Lösungen

Die Erkennung von Insider-Bedrohungen wird schnell zu einer wichtigen Priorität für IT-Abteilungen. Während die meisten Unternehmen über einen wirksamen Schutz vor malware und Viren und einige über Lösungen zum Schutz vor fortgeschrittenen Bedrohungen verfügen, gibt es nur wenige Unternehmen, die über Tools zur Abwehr von Insider-Bedrohungen verfügen.

Eine überlegene Technologie zur Erkennung von Insider-Bedrohungen muss in der Lage sein, drei verschiedene Profile von Insider-Bedrohungen zu erkennen und zu beseitigen:

• Der unvorsichtige Insider. Für Mitarbeiter, die Sicherheitsrichtlinien ignorieren oder die Gefahren von Bedrohungen wie bösartigen E-Mail-Anhängen nicht verstehen, müssen Lösungen zur Erkennung von Insider-Bedrohungen Aktionen verhindern (wie die Weitergabe von geistigem Eigentum über ungesicherte E-Mails), die das Unternehmen gefährden könnten.
• Der kompromittierte Insider. Erfolgreiche Angriffe wie advanced persistent threat und Impersonation Fraud basieren oft auf der Fähigkeit des Angreifers, das E-Mail-Konto eines ahnungslosen Benutzers durch malware, phishing E-Mails oder Social Engineering zu übernehmen. Die Erkennung von Insider-Bedrohungen muss Tools zur Identifizierung und Beseitigung dieser Bedrohungen bieten, bevor Benutzer kompromittiert werden können.
• Der bösartige Insider. In einigen Fällen lassen Mitarbeiter eines Unternehmens absichtlich Daten durchsickern, stehlen Informationen oder versuchen, das Unternehmen zu schädigen. Um diese Angriffe zu verhindern, muss die Erkennung von Insider-Bedrohungen in der Lage sein, den internen E-Mail-Verkehr automatisch zu überwachen und die Administratoren vor verdächtigen Aktivitäten zu warnen.

Wie man auf Insider-Bedrohungen reagiert

Der wohl wichtigste Schritt nach der Erkennung von Insider-Bedrohungen ist die Reaktionsstrategie, die die IT- und Sicherheitsabteilung verfolgt. Während das Verhindern der Datenexfiltration im Vorfeld eine "schnelle Lösung" für einen laufenden Datenschutzverstoß sein kann, müssen Sie einen umfassenden Reaktionsplan entwickeln und ausführen, um Vorfälle von Insider-Bedrohungen im Laufe der Zeit zu reduzieren.

• Setzen Sie Erwartungen: Kommunizieren Sie die Sicherheitsrichtlinien klar und deutlich mit Ihren Benutzern. Wenn Sie sich darauf einigen, was bei der Weitergabe von Daten akzeptabel ist und was nicht, können Sie Ihre Mitarbeiter zur Rechenschaft ziehen, wenn gegen diese festgelegten Regeln verstoßen wird.
• Verhalten ändern: Echtzeit-Feedback und zeitnahe Schulungsvideos sind entscheidend, wenn es darum geht, die Sicherheitsgewohnheiten eines Benutzers zu verbessern. Diese Praktiken nehmen die Mitarbeiter in die Pflicht und helfen ihnen, sich an bewährte Praktiken zu halten, was letztlich das Verhalten im Laufe der Zeit verändert.
• Bedrohungen eindämmen: Selbst wenn Sie Ihre Mitarbeiter schulen und zur Rechenschaft ziehen, ist das Risiko von Insider-Bedrohungen unvermeidlich. Wenn es dazu kommt, ist es wichtig, den Schaden zu minimieren, indem Sie den Zugriff auf Benutzerebene sperren oder reduzieren, falls nötig. Dann können Sie das Problem untersuchen und die beste Vorgehensweise zur Behebung bestimmen.
• Sperren Sie die Aktivitäten Ihrer Benutzer mit dem höchsten Risiko: Ein entscheidender Schritt in Ihrem Reaktionsplan ist es, zu verhindern, dass Ihre risikoreichsten Benutzer Daten an nicht genehmigte Ziele weitergeben. Wenn Sie bestimmte Aktivitäten dieser Benutzer blockieren, kann der Rest Ihres Unternehmens gemeinsam arbeiten, ohne die Produktivität zu beeinträchtigen, und Sie wissen, dass Ihre Daten vor denjenigen geschützt sind, die Schaden anrichten könnten.

Die Reaktion auf Insider-Bedrohungen ist keine leichte Aufgabe. Wenn Sie mit den richtigen Tools, Prozessen und Programmen wachsam bleiben, kann Ihr Unternehmen auf Insider-Bedrohungen vorbereitet sein.

Erkennung von Insider-Bedrohungen mit Mimecast

Mimecast bietet die Erkennung von Insider-Bedrohungen als Teil seiner umfassenden E-Mail-Managementdienste für Sicherheit, Archivierung und Kontinuität. Das Insider-Bedrohungsprogramm von Mimecast basiert auf einer hochgradig skalierbaren Cloud-Plattform und ist als Teil eines vollständig integrierten Abonnementdienstes erhältlich, der das Risiko und die Komplexität der E-Mail-Sicherheit für Unternehmen reduziert.

Mimecast Internal Email Protect, Teil der Targeted Threat Protection Suite von Mimecast, ist ein Cloud-basierter Dienst, der intern generierte E-Mails überwacht, um Sicherheitsbedrohungen durch E-Mails zu erkennen und zu beseitigen, die von innerhalb des Unternehmens ausgehen. Die Technologie von Mimecast zur Erkennung von Insider-Bedrohungen deckt sowohl E-Mails ab, die von einem internen Benutzer an einen anderen gesendet werden, als auch solche, die von internen Benutzern an externe E-Mail-Domänen gesendet werden.

Mimecast scannt alle E-Mails, Anhänge und URLs, um potenzielle malware und bösartige Links zu identifizieren. Die Inhaltsfilterung hilft dabei, Datenlecks und Diebstahl zu verhindern, indem sie den Inhalt der intern generierten E-Mails mit den Richtlinien zur Verhinderung von Datenlecks vergleicht.

Vorteile des Mimecast-Dienstes zur Erkennung von Insider-Bedrohungen

Die Technologie zur Erkennung von Insider-Bedrohungen von Mimecast ermöglicht es Ihnen:

• Schützen Sie das Unternehmen vor einer Vielzahl von Insider-Bedrohungen.
• Identifizieren Sie seitliche Bewegungen von Angriffen per E-Mail von einem internen Benutzer zu einem anderen.
• Identifizieren und entfernen Sie automatisch E-Mails, die Bedrohungen enthalten.
• Minimieren Sie das Risiko einer Sicherheitsverletzung oder der Verbreitung von Malware in Ihrem Unternehmen.
• Verhindern Sie, dass E-Mails mit sensiblen Informationen, geistigem Eigentum oder privilegierten Finanzdaten das Unternehmen unbefugt verlassen.
• Verwalten Sie die Erkennung von Insider-Bedrohungen über eine single Verwaltungskonsole für Konfiguration und Berichterstattung.

Erfahren Sie mehr über die Erkennung von Insider-Bedrohungen mit Mimecast und über die Wiederherstellung gelöschter Objekte mit den Mimecast Archivierungsdiensten.