OpenText 主页。
技术主题

什么是内部威胁？

联系我们
以问号为重点的信息技术项目图示

概述

内部威胁是指来自组织内部的网络安全风险。这种情况通常发生在拥有合法用户凭证的现任或前任员工、承包商、供应商或合作伙伴滥用其访问权限，从而损害组织的网络、系统和数据。内部威胁可能是有意或无意实施的。无论意图如何，最终结果都是企业系统和数据的机密性、可用性和/或完整性受到损害。

内部威胁是大多数数据泄露事件的起因。传统的网络安全战略、政策、程序和系统往往侧重于外部威胁，使组织容易受到来自内部的攻击。由于内部人员已经获得了对数据和系统的有效授权，因此安全专业人员和应用程序很难区分正常活动和有害活动。

与其他类别的恶意攻击者相比，内部恶意攻击者具有明显的优势，因为他们熟悉企业系统、流程、程序、政策和用户。他们非常了解系统版本和其中的漏洞。因此，各组织必须至少像对待外部威胁一样，严格应对内部威胁。

内部威胁的类型

内部恶意威胁

恶意内部威胁的主要目标包括间谍活动、欺诈、知识产权盗窃和破坏，也被称为 "反向隐蔽"。他们出于经济、个人和/或恶意原因，故意滥用特权访问权限，窃取信息或降低系统性能。例如，员工向竞争对手出售机密数据，或心怀不满的前承包商在组织网络中引入破坏性恶意软件。

恶意内部威胁可能是合作者，也可能是独行侠。

合作者

合作者是指与第三方合作故意伤害组织的授权用户。第三方可能是竞争对手、民族国家、有组织犯罪网络或个人。合作者的行为会导致机密信息泄露或业务运营中断。

独狼

独狼完全独立行动，不受外部操纵或影响。他们可能特别危险，因为他们通常拥有系统访问权限，如数据库管理员。

粗心大意的内部威胁

粗心大意的内部人员安全威胁会在不经意间发生。它们往往是人为错误、判断失误、无意中的教唆、便利、网络钓鱼（和其他社会工程学策略）、恶意软件和被盗凭据造成的。当事人在不知情的情况下将企业系统暴露在外部攻击之下。

粗心大意的内部威胁可能是棋子或笨蛋。

典当

棋子是被操纵的授权用户，他们通常通过社会工程技术（如鱼叉式网络钓鱼）无意中采取恶意行动。这些无意行为可能包括将恶意软件下载到他们的电脑，或向冒名顶替者泄露机密信息。

Goof

笨蛋故意采取可能有害的行动，但没有恶意。他们是傲慢、无知和/或无能的用户，认识不到遵守安全策略和程序的必要性。在个人设备上存储客户机密信息的用户可能是个笨蛋，尽管他们知道这样做违反了组织政策。

鼹鼠

鼹鼠是一个外来者，但他获得了组织系统的内部访问权限。他们可能会冒充供应商、合作伙伴、承包商或雇员，从而获得原本没有资格获得的特权授权。

如何发现内部威胁

大多数威胁情报工具都侧重于分析网络、计算机和应用程序数据，而很少关注可能滥用特权访问的授权人员的行为。要安全防御内部威胁，就必须密切关注异常行为和数字活动。

行为指标

应注意内部威胁的几个不同迹象，包括

  • 不满意或不满的员工、承包商、供应商或合作伙伴。
  • 试图规避安全。
  • 经常在非工作时间工作。
  • 对同事表现出不满。
  • 经常违反组织政策。
  • 考虑辞职或讨论新的机会。

数字指示器

  • 在非正常时间登录企业应用程序和网络。例如，如果一名员工在没有提示的情况下在凌晨 3 点登录网络，就可能引起关注。
  • 网络流量激增。如果有人试图通过网络复制大量数据，你就会看到网络流量出现异常高峰。
  • 访问他们通常无法访问或不允许访问的资源。
  • 访问与其工作职能无关的数据。
  • 反复请求访问与其工作职能无关的系统资源。
  • 使用未经授权的设备，如 USB 驱动器。
  • 网络抓取和故意搜索敏感信息。
  • 通过电子邮件向组织外发送敏感信息。

如何防范内部人员攻击

您可以保护组织的数字资产免受内部威胁。方法如下

保护重要资产

识别贵组织的关键逻辑和物理资产。其中包括网络、系统、机密数据（包括客户信息、员工详情、示意图和详细战略计划）、设施和人员。了解每项关键资产，按照优先级对资产进行排序，并确定每项资产目前的保护状况。当然，最高优先级的资产应得到最高级别的保护，以免受到内部威胁。

创建正常用户和设备行为基线

有许多不同的软件系统可以跟踪内部威胁。这些系统的工作原理是，首先从访问、身份验证、账户变更、端点和虚拟专用网络（VPN）日志中提取用户活动信息，然后将这些信息集中起来。利用这些数据为与特定事件（如将敏感数据下载到可移动媒体或用户从异常位置登录）相关的用户行为建模并分配风险分数。为每个用户和设备以及工作职能和职位创建正常行为基线。有了这一基线，就可以对偏差进行标记和调查。

提高知名度

部署能够持续监控用户活动以及汇总和关联多个来源活动信息的工具非常重要。例如，您可以使用网络欺骗解决方案，设置陷阱吸引恶意内部人员，跟踪他们的行动并了解他们的意图。然后，这些信息将被输入其他企业安全解决方案，以识别或防止当前或未来的攻击。

执行政策

定义、记录和传播组织的安全政策。这样可以防止含糊不清，并为执行奠定正确的基础。任何员工、承包商、供应商或合作伙伴都不应该对什么是与其组织的安全立场有关的可接受行为有任何疑问。他们应认识到自己有责任不向未经授权方泄露特许信息。

促进文化变革

检测内部威胁固然重要，但劝阻用户避免不当行为更为谨慎，成本也更低。在这方面，促进具有安全意识的文化变革和数字化转型是关键所在。灌输正确的信念和态度有助于打击玩忽职守行为，消除恶意行为的根源。员工和其他利益相关者应定期参加安全培训和提高认识活动，了解安全事项，同时应不断衡量和提高员工满意度，以发现不满情绪的早期预警信号。

内部威胁检测解决方案

与外部攻击相比，内部威胁更难识别和防范。它们往往不在防火墙、入侵检测系统和反恶意软件等传统网络安全解决方案的关注范围之内。如果攻击者通过授权的用户 ID、密码、IP 地址和设备登录，他们不太可能触发任何安全警报。要想有效保护数字资产，您需要一种内部威胁检测软件和策略，结合多种工具来监控内部人员的行为，同时尽量减少误报的数量。

内部威胁

立即开始

了解更多信息

相关产品

OpenText™ Core Behavioral Signals

主动检测内部风险、新型攻击和高级持续性威胁

OpenText™ Cybersecurity Cloud

精确防御，放心安全

OpenText™ Core Adversary Signals

查看攻击方式和攻击目标

查看所有相关产品

我们能提供什么帮助？

脚注