多年來，企業(yè)已投進(jìn)大年夜量資本來采辦和擺設(shè)新的安然產(chǎn)品以避免收集報(bào)復(fù)打擊，但卻沒有對(duì)數(shù)據(jù)泄漏檢測投資太多。與此同時(shí)，良多企業(yè)不克不及不將IT出格是信息安然資本專注在知足合規(guī)要求上，這也導(dǎo)致企業(yè)只有很少的資本來進(jìn)行數(shù)據(jù)泄漏檢測。
我們在2013年Verizon數(shù)據(jù)泄漏變亂查詢拜訪陳述(DBIR)中看到了企業(yè)對(duì)數(shù)據(jù)泄漏檢測(首要的信息安然功能)的持久忽視帶來的成果，這份陳述指出，幾近70%的數(shù)據(jù)泄漏變亂都是由第三方檢測出的，而不是受害企業(yè)。
這個(gè)統(tǒng)計(jì)數(shù)據(jù)仿佛很糟，但更糟的是，Verizon還發(fā)現(xiàn)，在內(nèi)部檢測的數(shù)據(jù)泄漏中，凡是是由通俗用戶發(fā)現(xiàn)，而不是IT專家或安然專家。這表白，在企業(yè)為變亂檢測擺設(shè)的人員、流程和手藝方面必定存在遍及的標(biāo)題問題。
本文中，我們將會(huì)商企業(yè)沒有及時(shí)檢測數(shù)據(jù)泄漏變亂的最首要的啟事，和企業(yè)若何進(jìn)步其數(shù)據(jù)泄漏檢測能力。
數(shù)據(jù)泄漏檢測：為甚么這么難?
在大年夜型企業(yè)檢測變亂凡是很堅(jiān)苦，基于這些企業(yè)的范圍和所利用的設(shè)備數(shù)量。定義、搜刮和辨認(rèn)未經(jīng)授權(quán)勾當(dāng)，正如俗話所說，就像是大年夜海撈針。而在較小型企業(yè)，暗藏方針的數(shù)量可能少良多，但他們卻貧乏人員和資本來進(jìn)行檢測。
為甚么企業(yè)難以檢測日趨復(fù)雜的數(shù)據(jù)泄漏變亂呢?Red October歹意勾當(dāng)就是申明這個(gè)標(biāo)題問題標(biāo)很好的例子。作為歹意勾當(dāng)?shù)囊徊块T，報(bào)復(fù)打擊者會(huì)簡單地經(jīng)由過程垂釣報(bào)復(fù)打擊來滲入企業(yè)，然后操縱Java、微軟Office等中的縫隙。當(dāng)作功進(jìn)進(jìn)企業(yè)后，報(bào)復(fù)打擊者會(huì)試圖獲得授權(quán)用戶的登錄憑證，用來袒護(hù)本身的步履。經(jīng)由過程利用這些手藝，他們可以或許持久駐留在企業(yè)中，盜取敏感信息，同時(shí)保持不被發(fā)現(xiàn)。對(duì)報(bào)復(fù)打擊面擴(kuò)大年夜和/或預(yù)算嚴(yán)重的企業(yè)而言，發(fā)現(xiàn)Red October如許的歹意勾當(dāng)可能會(huì)很是堅(jiān)苦。
別的，請(qǐng)記住，在Verizon DBIR中，良多被第三方檢測到的變亂本來是可以經(jīng)由過程恰當(dāng)擺設(shè)PCI DSS安然節(jié)制來預(yù)防，或經(jīng)由過程更緊密密切的監(jiān)控系統(tǒng)所檢測到的。IT團(tuán)隊(duì)可能只是將重點(diǎn)放在了弊端的處所，或預(yù)算和人員限制制約了他們應(yīng)對(duì)復(fù)雜變亂的能力。當(dāng)然與檢測掃描收集或系統(tǒng)的互聯(lián)網(wǎng)主機(jī)端口是不是被非針對(duì)性歹意軟件傳染比擬，檢測數(shù)據(jù)泄漏變亂加倍堅(jiān)苦，但企業(yè)和安然專家必需記住，這是一個(gè)更有價(jià)值的任務(wù)，也是值得支出盡力的工作。
改良企業(yè)收集監(jiān)控以盡早發(fā)現(xiàn)數(shù)據(jù)泄漏
當(dāng)觸及數(shù)據(jù)泄漏檢測時(shí)，有良多啟事可能造成企業(yè)的掉敗，這意味著并沒有全能解決方案來解決這個(gè)標(biāo)題問題，企業(yè)必需擺設(shè)各類安然節(jié)制。
作為DBIR的一部門，Verizon保舉利用SANS協(xié)會(huì)的20個(gè)關(guān)頭安然節(jié)制，但這份陳述還指出，這些是企業(yè)應(yīng)當(dāng)擺設(shè)的盡人皆知的安然節(jié)制。這些SANS節(jié)制可以幫忙你更有效地操縱當(dāng)前東西來檢測變亂。例如，擺設(shè)建設(shè)監(jiān)控和治理(包含文件完全性查抄)可以幫忙檢測出報(bào)復(fù)打擊者在企業(yè)收集內(nèi)安身所需的偏離行動(dòng)。系統(tǒng)還可以被設(shè)置成近似“只讀文件”的模式，即只寫位置是在收集設(shè)備上;這類建設(shè)將有助于使文件完全性查抄更等閑地闡發(fā)數(shù)據(jù)，因?yàn)椴粫?huì)有合法變動(dòng)日記記實(shí)。別的，查抄在系統(tǒng)上啟動(dòng)的所有過程，和查詢拜訪第一次在系統(tǒng)上運(yùn)行的可履行文件也能夠辨認(rèn)正在進(jìn)行的報(bào)復(fù)打擊。
NetFlow數(shù)據(jù)和完全數(shù)據(jù)包闡發(fā)的收集監(jiān)控也能夠幫忙辨認(rèn)可疑收集連接，以便進(jìn)一法度查。這類監(jiān)控可以操縱異常檢測來發(fā)現(xiàn)首要數(shù)據(jù)被送往查詢拜訪的新的外部系統(tǒng)。收集監(jiān)控還可以幫忙企業(yè)發(fā)現(xiàn)數(shù)據(jù)泄漏的其他暗藏指標(biāo)，包含以下內(nèi)容：歹意無線接進(jìn)點(diǎn)、未經(jīng)授權(quán)互聯(lián)網(wǎng)連接、地痞撥號(hào)連接、連接到其他企業(yè)、第三方辦事供給商(包含云辦事供給商)、未經(jīng)授權(quán)VPN連接、其他加密連接和其他可能可疑并需要進(jìn)行查詢拜訪的外部連接。還可以監(jiān)控已知歹意IP地址。
下一個(gè)步調(diào)是開端追蹤安然變亂。對(duì)不合企業(yè)而言，對(duì)每個(gè)變亂追蹤的深度和具體細(xì)節(jié)可能有所不合，但操縱一個(gè)現(xiàn)有變亂信息共享框架是一個(gè)杰出的初步。一旦開端進(jìn)行數(shù)據(jù)匯集過程，來自并不是由內(nèi)部檢測的變亂的數(shù)據(jù)可用于闡發(fā)為甚么它們沒有被內(nèi)部檢測到。這可以作為根來歷根底因闡發(fā)的一部門，以肯定哪些安然節(jié)制掉效和若何避免縫隙在將來被操縱。跟著企業(yè)改良其變亂響應(yīng)過程，擴(kuò)大數(shù)據(jù)匯集作為響應(yīng)的一部門，他們會(huì)發(fā)現(xiàn)可用于檢測和預(yù)防這類變亂的新節(jié)制。
具有嚴(yán)格安然要求的企業(yè)應(yīng)當(dāng)投進(jìn)大年夜量資本到專門負(fù)責(zé)變亂響應(yīng)的小我(或乃至是團(tuán)隊(duì))。這小我應(yīng)當(dāng)專注于變亂響應(yīng)、闡發(fā)變亂數(shù)據(jù)和發(fā)現(xiàn)可用于預(yù)防變亂、節(jié)制變亂影響或縮短變亂檢測時(shí)候的安然節(jié)制，而不需要承擔(dān)其他平常監(jiān)控責(zé)任。對(duì)其他暗藏防御方案，企業(yè)可以擺設(shè)近似用于APT報(bào)復(fù)打擊檢測的計(jì)謀，這需要細(xì)心監(jiān)控企業(yè)的收集和系統(tǒng)。例如，Verizon在其DBIR數(shù)據(jù)集中增加了更多間諜勾當(dāng)有關(guān)的事變亂，部門因?yàn)楸O(jiān)控IOC部屬集體的有效性，這撐持在企業(yè)收集利用IOC。在所謂的APT報(bào)復(fù)打擊和DBIR闡發(fā)的常見報(bào)復(fù)打擊之間存在差別性，但這類差別正在減小。為了履行這類監(jiān)控，企業(yè)可以查抄其系統(tǒng)中是不是存在Mandiant在其APT1陳述中發(fā)現(xiàn)的IOC，該陳述數(shù)據(jù)來自傲息共享和闡發(fā)中間(ISAC)或其他可托機(jī)構(gòu)。
經(jīng)由過程增加幾種新的監(jiān)控，用戶隱私可能會(huì)遭到較著影響，是以，企業(yè)應(yīng)當(dāng)奉告用戶其勾當(dāng)正遭到監(jiān)控，并確保采納恰當(dāng)?shù)牟秸{(diào)來呵護(hù)用戶隱私。企業(yè)可能不想供給關(guān)于監(jiān)控方針的具體細(xì)節(jié)，如許一來，報(bào)復(fù)打擊者可能需要作出更多盡力來肯定事實(shí)哪些正遭到監(jiān)控。呵護(hù)匯集的用戶數(shù)據(jù)也應(yīng)當(dāng)是優(yōu)先事項(xiàng)，可能經(jīng)由過程向高管陳述監(jiān)控工作的進(jìn)展和隱私若何遭到呵護(hù)來實(shí)現(xiàn)。
總結(jié)
因?yàn)閳?bào)復(fù)打擊者正在不竭進(jìn)步，安然變亂檢測編制也需要跟上其法度，當(dāng)然變亂預(yù)防能力還有所欠缺。企業(yè)可以增加用于變亂檢測的資本，并找出檢測和避免將來變亂的最有效的節(jié)制。很明顯，只是遵循尺度合規(guī)要求其實(shí)不足以呵護(hù)企業(yè)免受高級(jí)報(bào)復(fù)打擊者的威脅。