OpenText startsida.
Tekniska ämnen

Vad är ett insiderhot?

Kontakta oss
Illustration av IT-objekt med fokus på ett frågetecken

Översikt

Ett insiderhot avser en cybersäkerhetsrisk som härrör från en organisation. Det inträffar vanligtvis när en nuvarande eller tidigare anställd, entreprenör, leverantör eller partner med legitima användaruppgifter missbrukar sin åtkomst till skada för organisationens nätverk, system och data. Ett insiderhot kan utföras avsiktligt eller oavsiktligt. Oavsett avsikten är slutresultatet att sekretessen, tillgängligheten och/eller integriteten för företagets system och data äventyras.

Insiderhot är orsaken till de flesta dataintrång. Traditionella cybersäkerhetsstrategier, policyer, rutiner och system fokuserar ofta på externa hot, vilket gör organisationen sårbar för attacker inifrån. Eftersom insidern redan har giltiga behörigheter till data och system är det svårt för säkerhetspersonal och applikationer att skilja mellan normal och skadlig aktivitet.

Illvilliga insiders har en klar fördel jämfört med andra kategorier av illvilliga angripare eftersom de är väl förtrogna med företagets system, processer, rutiner, policyer och användare. De är mycket medvetna om systemversioner och de sårbarheter som finns i dessa. Organisationer måste därför hantera insiderhot med minst lika stor noggrannhet som de hanterar externa hot.

Olika typer av insiderhot

Skadliga insiderhot

De huvudsakliga målen för skadliga insiderhot, som också kallas turn-cloak, är spionage, bedrägeri, stöld av immateriella rättigheter och sabotage. De missbrukar avsiktligt sin privilegierade åtkomst för att stjäla information eller försämra system av ekonomiska, personliga och/eller illvilliga skäl. Exempel på detta kan vara en anställd som säljer konfidentiella uppgifter till en konkurrent eller en missnöjd före detta entreprenör som introducerar skadlig kod i organisationens nätverk.

Skadliga insiderhot kan vara kollaboratörer eller ensamvargar.

Medarbetare

Samarbetspartners är auktoriserade användare som arbetar med en tredje part för att avsiktligt skada organisationen. Den tredje parten kan vara en konkurrent, en nationalstat, ett organiserat kriminellt nätverk eller en enskild person. Medarbetarens agerande skulle leda till att konfidentiell information läcker ut eller att affärsverksamheten störs.

Ensamvarg

Ensamvargar arbetar helt självständigt och agerar utan yttre manipulation eller påverkan. De kan vara särskilt farliga eftersom de ofta har privilegierad systemåtkomst, t.ex. databasadministratörer.

Slarviga insiderhot

Slarviga säkerhetshot från insider sker oavsiktligt. De är ofta ett resultat av mänskliga misstag, dåligt omdöme, oavsiktlig medhjälp, bekvämlighet, nätfiske (och annan social ingenjörskonst), skadlig kod och stulna inloggningsuppgifter. Den berörda personen exponerar omedvetet företagets system för externa angrepp.

Obetänksamma insiderhot kan vara brickor i spelet.

Pant

Pawns är auktoriserade användare som har manipulerats till att oavsiktligt agera skadligt, ofta genom social ingenjörskonst som spear phishing. Dessa oavsiktliga handlingar kan omfatta nedladdning av skadlig kod till datorn eller utlämnande av konfidentiell information till en bedragare.

Goof

Fåntrattar vidtar medvetet potentiellt skadliga åtgärder utan att ha något ont uppsåt. De är arroganta, okunniga och/eller inkompetenta användare som inte inser behovet av att följa säkerhetspolicyer och -rutiner. Det kan till exempel vara en användare som lagrar konfidentiell kundinformation på sin personliga enhet, trots att han eller hon vet att det strider mot organisationens policy.

En mullvad

En mullvad är en utomstående men som har fått insideråtkomst till organisationens system. De kan utge sig för att vara en leverantör, partner, entreprenör eller anställd och på så sätt få privilegierade behörigheter som de annars inte skulle ha haft rätt till.

Hur man upptäcker ett insiderhot

De flesta verktyg för threat intelligence fokuserar på analys av nätverks-, dator- och applikationsdata och ägnar inte mycket uppmärksamhet åt vad behöriga personer gör som kan missbruka sin privilegierade åtkomst. För ett säkert cyberförsvar mot ett insiderhot måste du hålla ett öga på avvikande beteende och digital aktivitet.

Beteendemässiga indikatorer

Det finns några olika indikatorer på ett insiderhot som man bör hålla utkik efter, bland annat:

  • En missnöjd eller missbelåten anställd, entreprenör, leverantör eller partner.
  • Försök att kringgå säkerheten.
  • Regelbundet arbetar utanför arbetstid.
  • Visar förbittring mot medarbetare.
  • Rutinmässig överträdelse av organisationens policy.
  • Överväger att säga upp sig eller diskuterar nya möjligheter.

Digitala indikatorer

  • Loggar in på företagsapplikationer och nätverk vid ovanliga tidpunkter. Till exempel kan en anställd som utan uppmaning loggar in på nätverket klockan 03.00 på morgonen vara en anledning till oro.
  • Ökad volym av nätverkstrafik. Om någon försöker kopiera stora mängder data över nätverket kommer du att se ovanliga toppar i nätverkstrafiken.
  • Tillgång till resurser som de vanligtvis inte har tillgång till eller som de inte har tillstånd att använda.
  • Åtkomst till data som inte är relevant för deras arbetsuppgifter.
  • Upprepade förfrågningar om tillgång till systemresurser som inte är relevanta för deras arbetsuppgifter.
  • Använda obehöriga enheter som USB-enheter.
  • Genomsökning av nätverk och avsiktlig sökning efter känslig information.
  • Skicka känslig information via e-post utanför organisationen.

Så här skyddar du dig mot insiderattacker

Du kan skydda din organisations digitala tillgångar från ett internt hot. Så här gör du.

Skydda kritiska tillgångar

Identifiera organisationens kritiska logiska och fysiska tillgångar. Dessa omfattar nätverk, system, konfidentiella uppgifter (inklusive kundinformation, uppgifter om anställda, ritningar och detaljerade strategiska planer), anläggningar och människor. Förstå varje kritisk tillgång, rangordna tillgångarna i prioritetsordning och fastställa den aktuella statusen för varje tillgångs skydd. De tillgångar som har högst prioritet ska naturligtvis ges det bästa skyddet mot insiderhot.

Skapa en baslinje för normalt användar- och enhetsbeteende

Det finns många olika mjukvarusystem som kan spåra insiderhot. Dessa system fungerar genom att först centralisera information om användaraktiviteter genom att hämta information från loggar för åtkomst, autentisering, kontoändringar, slutpunkter och virtuella privata nätverk (VPN). Använd dessa data för att modellera och tilldela riskpoäng till användarbeteenden som är kopplade till specifika händelser, t.ex. nedladdning av känsliga data till flyttbara media eller en användare som loggar in från en ovanlig plats. Skapa en baslinje för normalt beteende för varje enskild användare och enhet samt för arbetsfunktion och befattning. Med denna baslinje kan avvikelser flaggas och undersökas.

Öka synligheten

Det är viktigt att använda verktyg som kontinuerligt övervakar användarnas aktivitet samt samlar in och korrelerar aktivitetsinformation från flera olika källor. Du kan till exempel använda cyberdeceptionslösningar som skapar fällor för att locka in illvilliga insiders, spåra deras handlingar och förstå deras avsikter. Denna information kan sedan användas i andra säkerhetslösningar för att identifiera eller förhindra pågående eller framtida attacker.

Genomdriva policyer

Definiera, dokumentera och sprida organisationens säkerhetspolicy. Detta förebygger oklarheter och skapar rätt grund för verkställighet. Ingen anställd, uppdragstagare, leverantör eller partner ska behöva tvivla på vad som är ett acceptabelt beteende när det gäller organisationens säkerhetsarbete. De bör vara medvetna om sitt ansvar att inte lämna ut sekretessbelagd information till obehöriga.

Främja förändringar i kulturen

Även om det är viktigt att upptäcka insiderhot är det klokare och billigare att avskräcka användarna från att bete sig olämpligt. Att främja en säkerhetsmedveten kulturförändring och digital transformation är avgörande i detta avseende. Genom att förmedla rätt övertygelser och attityder kan man bekämpa försumlighet och ta itu med orsakerna till illvilligt beteende. Medarbetare och andra intressenter bör regelbundet delta i säkerhetsutbildning och medvetandegörande som utbildar dem i säkerhetsfrågor, vilket bör åtföljas av kontinuerlig mätning och förbättring av medarbetarnöjdheten för att fånga upp tidiga varningssignaler på missnöje.

Lösningar för upptäckt av insiderhot

Insiderhot är svårare att identifiera och förhindra än externa attacker. De ligger ofta under radarn för konventionella cybersäkerhetslösningar som brandväggar, intrångsdetekteringssystem och programvara mot skadlig kod. Om en angripare loggar in via ett auktoriserat användar-ID, lösenord, IP-adress och enhet är det osannolikt att de utlöser några säkerhetslarm. För att effektivt skydda dina digitala tillgångar behöver du en programvara och strategi för att upptäcka insiderhot som kombinerar flera verktyg för att övervaka insiderbeteende och samtidigt minimera antalet falska positiva resultat.

Insiderhot

Kom igång redan idag.

Läs mer om detta

Relaterade produkter

OpenText™ Core Behavioral Signals

Upptäck proaktivt insiderrisker, nya attacker och avancerade ihållande hot

OpenText™ Cybersecurity Cloud

Försvara med precision, säkra med självförtroende

OpenText™ Core Adversary Signals

Se hur attackerna utförs och vad de är inriktade på

Se alla relaterade produkter

Hur kan vi hjälpa till?

Fotnoter