内部脅威の調査 | Decripte Security

内部脅威は、正当なアクセス権、システムに関する知識、そして多様な動機が組み合わさることで、独特なリスクをもたらします。内部脅威の検知と調査には、 セキュリティと従業員のプライバシーのバランスを取る、専門的なアプローチが必要です。

内部脅威の種類

悪意のある内部関係者: 危害を加えたり、情報を窃取したり、 システムを破壊したりすることを意図的に行います。動機には金銭的利益、報復、思想信条が含まれます。

過失のある内部関係者: セキュリティポリシーに従わなかったり、ミスを犯したりして、 企業をリスクにさらします。例: フィッシングリンクのクリック、脆弱なパスワードの使用、 機密情報の共有。

第三者: 社内システムへのアクセス権を持つパートナー、サプライヤー、サービスプロバイダー。 攻撃の侵入経路となったり、悪意を持って行動したりする可能性があります。

退職者: オフボーディング後にアクセス権が取り消されておらず、 不適切な権限を持つアクティブなアカウント。破壊行為やデータ窃取のリスクがあります。

行動上の兆候

異常なデータアクセス: 自身の職務範囲を超えた情報や、 通常とは異なる時間帯、または大量のデータへのアクセス。

不審なファイルのコピー: 大量のデータをリムーバブルデバイス、 個人のクラウドストレージ、または外部メールへ転送する行為。

異常なネットワーク活動: 不審なサーバーやサイトへの接続、 認可されていないVPNの使用、セキュリティ管理策の回避を試みる行為。

ポリシー違反: セキュリティルールの無視、管理策の回避の試み、 機密情報に対する過失行為。

行動の変化: いらだち、ストレス、不満、 経済的または個人的な問題。

検知のためのデータソース

アクセスログ: 認証、ファイルアクセス、データベース、 アプリケーション。

ネットワークログ: ネットワークトラフィック、接続、帯域幅の使用状況。

エンドポイントログ: ユーザーの活動、プロセス、ファイル、 接続されたデバイス。

メールログ: 送信、受信、添付ファイル、クリックされたリンク。

DLPログ: データ漏洩の検知、機密ファイルのコピー。

HRデータ: 従業員の経歴、人事評価、 苦情、内部調査。

UEBA - ユーザーおよびエンティティの行動分析

UEBAは機械学習を用いて、ユーザーおよびエンティティ (デバイス、アプリケーション)の行動を分析し、内部脅威を示す異常を検知します。

行動のベースライン: 各ユーザーおよびエンティティについて、 通常の活動パターンを確立します。

異常検知: ベースラインからの逸脱を特定します。例えば、 通常とは異なるデータへのアクセス、非定型的な時間帯、異常なデータ転送など。

リスクの優先順位付け: 検知された異常に基づいて、 ユーザーおよびエンティティにリスクスコアを割り当てます。

SIEM連携: 調査およびインシデント対応のために、 SIEMへアラートを送信します。

データ漏洩防止 (DLP)

DLPは、データ漏洩を防止するために、機密情報の流れを監視・制御します。

コンテンツ認識: ファイル、メール、ネットワークトラフィックの内容を分析し、 機密情報(クレジットカード情報、個人情報、 営業秘密)を特定します。

ポリシーの適用: セキュリティポリシーを適用し、ルールに違反する活動を ブロック、警告、またはログ記録します。

エンドポイントDLP: リムーバブルデバイス、クラウドストレージ、 印刷へのファイルコピーを制御します。

ネットワークDLP: ネットワークトラフィックを監視し、メール、Web、 FTP経由のデータ持ち出しを検知します。

調査プロセス

1. アラート: UEBA、DLP、SIEM、またはその他のソースからのアラートの受信。

2. トリアージ: アラートが誤検知か実際のインシデントかを判断するための、 初期評価。

3. 証拠の収集: ログ、エンドポイントデータ、メール、 アクセス記録の収集。

4. 分析: 証拠を分析し、インシデントの範囲、 影響、原因を特定します。

5. 封じ込め: インシデントの拡大やさらなる被害を防ぐための措置 (アカウントの無効化、デバイスの隔離、アクセス権の取り消し)。

6. 修復: インシデントを引き起こした脆弱性を修正し、 セキュリティ管理策を強化します。

7. 懲戒/法的措置: 該当する場合、関与した従業員に対して 適切な措置を講じます。

法的および倫理的側面

プライバシー: 過剰または侵害的な監視を避け、 セキュリティと従業員のプライバシーのバランスを取ります。

透明性: 監視ポリシーおよび内部脅威のリスクについて、 従業員に通知します。

差別: 人種、宗教、性別、その他の保護されるべき特性に 基づく判断を避けます。

適正手続き: 懲戒措置を講じる前に、従業員が 弁明する機会を確保します。

コンプライアンス: データ保護に関する法律および規制 (LGPD、GDPR)を遵守します。

ポリシーと手順

情報セキュリティポリシー: 会社資産の利用、データアクセス、 機密情報の保護に関する明確なルールを定義します。

許容利用ポリシー: インターネット、メール、 ソーシャルメディアの利用に関する制限を設けます。

パスワードポリシー: 強力なパスワード、定期的な変更、多要素認証を 義務付けます。

DLPポリシー: 機密データの保護、 コピーおよび転送の制御に関するルールを定義します。

調査手順: 内部脅威が疑われる場合に 従うべき手順を記述します。

トレーニングと意識向上

セキュリティトレーニング: 内部脅威のリスク、フィッシングの見分け方、 パスワードの保護方法、インシデントの報告方法について、従業員を教育します。

フィッシング訓練: 悪意のあるメールを識別する従業員の能力を テストします。

定期的なコミュニケーション: セキュリティに関するニュースレター、イントラネットの投稿、 リマインダーを送信します。

セキュリティ文化: セキュリティが尊重され、 従業員が安心してインシデントを報告できる環境を構築します。

継続的な監視

ログ監視: アクセス、ネットワーク、エンドポイントのログを分析し、 不審な活動を検知します。

メール監視: 機密情報が社外に送信されていないかを 確認します。

リムーバブルデバイスの監視: USB、外付けHDDへのファイルコピーを 制御します。

行動分析: UEBAを用いて、ユーザーの行動における異常を 特定します。

インシデント対応

インシデント対応計画: 内部脅威インシデントが発生した場合に 従うべき手順を定義します。

インシデント対応チーム: プロセスの各段階の 責任者を指名します。

コミュニケーション: 関係するステークホルダーにインシデントについて通知します。

修復: インシデントを引き起こした脆弱性を修正します。

懲戒/法的措置: 関与した従業員に対して適切な措置を 講じます。

支援技術

SIEM: さまざまなソースからのログを一元化し、インシデントの分析と 検知を行います。

UEBA: ユーザーおよびエンティティの行動を分析し、 異常を検知します。

DLP: 機密情報の流れを監視・制御します。

CASB: クラウドアプリケーション内のデータを保護します。

EDR: エンドポイント上の脅威を検知し、対応します。