關(guān)于內(nèi)部威脅防護(hù)(ITP)的三大常見誤解
對(duì)于安全從業(yè)者而言，內(nèi)部威脅是越來越令人擔(dān)憂而又深感困惑的領(lǐng)域。通常情況下，人們習(xí)慣將資源用于對(duì)抗外部威脅，許多安全團(tuán)隊(duì)仍然“不確定”應(yīng)該如何應(yīng)對(duì)內(nèi)部出現(xiàn)的威脅形式。不幸的是，這種“不確定性”常常會(huì)因?yàn)橐恍┏Ｒ姷陌踩裨?，和?duì)內(nèi)部威脅的誤解而進(jìn)一步惡化和加劇，這些誤解主要包括：
一、內(nèi)部威脅總是有意且有害的
圍繞內(nèi)部威脅的大部分困惑主要始于其定義。從恐嚇到炒作再到不準(zhǔn)確的新聞報(bào)道等因素已經(jīng)讓人們普遍認(rèn)為，最惡毒和最具破壞性的內(nèi)部攻擊類型——例如涉及企業(yè)間諜活動(dòng)的攻擊——代表了所有內(nèi)部威脅。但是，正如高級(jí)持續(xù)性威脅(APT)無法代表所有網(wǎng)絡(luò)安全威脅一樣，惡意且極具破壞力的內(nèi)部攻擊也無法代表所有內(nèi)部威脅。通常而言，大多數(shù)網(wǎng)絡(luò)威脅比APT的損害程度更低，而大多數(shù)的內(nèi)部威脅也比我們經(jīng)常聽聞的更為溫和且不夠成熟。
內(nèi)部威脅有各種為人所接受的定義，但大多數(shù)人所認(rèn)同的因素主要包括：
- 威脅來自組織內(nèi)部，且會(huì)對(duì)組織本身構(gòu)成威脅;
- 涉及擁有或已授權(quán)訪問組織的網(wǎng)絡(luò)、系統(tǒng)或數(shù)據(jù)，并濫用該訪問權(quán)限的現(xiàn)任或前任員工、承包商或合作伙伴;
- 只有當(dāng)用戶是有目的的實(shí)施操作時(shí)，才稱得上是“有意的”內(nèi)部威脅(也有一些業(yè)內(nèi)人士將“有意的”內(nèi)部威脅稱為“惡意威脅”);
- 當(dāng)用戶在無意的情況下實(shí)施操作，那這種內(nèi)部威脅就是“無意的”;
- 內(nèi)部威脅可能是有害的，也可能是無害的;
大多數(shù)情況下，人們都忽略了“無意的”內(nèi)部威脅這種形式。例如，用戶意外地將含有敏感信息的電子郵件發(fā)送給了錯(cuò)誤的收件人等情況。雖然用戶不打算進(jìn)行潛在的威脅行為，但是他們的行為著實(shí)可能會(huì)為公司帶來嚴(yán)重的后果，甚至可能會(huì)造成與“有意的”內(nèi)部威脅相同的傷害。
同樣地，人們也經(jīng)常會(huì)忽略不會(huì)造成傷害的內(nèi)部威脅這種形式。如果上述電子郵件收件人濫用了包含敏感信息的電子郵件內(nèi)容，和/或未能及時(shí)銷毀它，那么這種“無意的”內(nèi)部威脅無疑是有害的。但是，要記住，并非所有的內(nèi)部威脅都是有害的，即便是有些“有意的”內(nèi)部威脅也有可能是無害的。例如，假設(shè)一名員工忘記了公司系統(tǒng)的登錄憑證，為了順利完成工作，他可能會(huì)選擇通過獲取另一名員工的憑證來訪問系統(tǒng)，即便他知道自己的這種行為違反了公司政策，但是仍然這樣做了，這種威脅顯然是“有意的”。但是，除非該員工濫用憑證做出損害公司的行為，否在這種威脅雖然是有意的，但可能并不會(huì)造成傷害。
重要的是，要意識(shí)到內(nèi)部威脅的定義具有超越語義本身的含義。無論一個(gè)內(nèi)部威脅是有意還是無意，有害亦或無害，想要有效地對(duì)抗這些威脅，就必須全面地了解它們是什么?以及它們究竟緣何而起?
二、如果擁有內(nèi)部威脅資源，則擁有內(nèi)部威脅防護(hù)
內(nèi)部威脅防護(hù)(ITP)的構(gòu)成是另一個(gè)常見的困擾領(lǐng)域。具體而言，許多組織認(rèn)為有效的ITP可以包含專用于解決內(nèi)部威脅的任何資源或資源組合。
在某些情況下，這種假設(shè)的形成主要?dú)w因于，越來越多的工具正在作為應(yīng)對(duì)內(nèi)部威脅的“銀彈頭”或“靈丹妙藥”在使用。例如，雖然各種類型的警報(bào)和用戶行為分析(UBA)工具可以為結(jié)構(gòu)良好且配備齊全的ITP提供巨大價(jià)值，但實(shí)際上，沒有任何一種工具能夠作為“萬靈丹”來替代整個(gè)計(jì)劃。歸根到底，這種假設(shè)除了幫組織營造自己已經(jīng)做好了準(zhǔn)備，并且能夠解決內(nèi)部威脅的假象外，根本起不到現(xiàn)實(shí)作用。
實(shí)際上，真正行之有效的ITP需要工具、數(shù)據(jù)集、專業(yè)知識(shí)、人員和跨職能協(xié)作的特定組合，加之全面和綜合的計(jì)劃和調(diào)查功能。無論組織的規(guī)模如何，這些要求通常都是一致的。較小的組織可以通過在人員之間分擔(dān)責(zé)任來相應(yīng)地?cái)U(kuò)展其ITP，而無需像大型組織一樣投入較為昂貴的工具。但是，即便具有必要的資源和控制措施，想要啟動(dòng)和開發(fā)ITP也是一項(xiàng)漫長而復(fù)雜的工作，這也是為什么需要鼓勵(lì)那么想要這樣做的組織尋求外部支持的原因所在。
三、只有ITP才可阻止內(nèi)部威脅
但是，在組織考慮啟動(dòng)此類計(jì)劃之前，重要的是要了解ITP的主要目標(biāo)是遏制、檢測和響應(yīng)內(nèi)部威脅 - 而不是阻止它們。問題不在于無法阻止內(nèi)部威脅，而在于阻止過程主要發(fā)生在信息安全層面，而不是ITP層面。大部分基礎(chǔ)、最佳的信息安全控制實(shí)踐可以幫助組織緩解網(wǎng)絡(luò)釣魚和惡意軟件感染等威脅，同時(shí)也有助于阻止內(nèi)部威脅。
這些控制包括強(qiáng)大的身份和訪問控制(IAM)流程，可以迅速撤銷前員工對(duì)公司系統(tǒng)和資產(chǎn)的訪問權(quán)限，阻止用戶訪問網(wǎng)絡(luò)內(nèi)的個(gè)人電子郵件、社交媒體和外部即時(shí)消息，以及限制閃存驅(qū)動(dòng)器和外部設(shè)備的使用等;針對(duì)媒體存儲(chǔ)設(shè)備實(shí)施您自己的設(shè)備(BYOD)策略，并確保所有用戶都經(jīng)過了全面培訓(xùn)，并且了解安全意識(shí)和最佳實(shí)踐。
這就是為什么組織在啟動(dòng)ITP之前，實(shí)施和維護(hù)有效的信息安全計(jì)劃至關(guān)重要的原因所在。如果組織無法維護(hù)適當(dāng)?shù)男畔踩珮?biāo)準(zhǔn)，那么，即便是最復(fù)雜且最全面的ITP也毫無價(jià)值可言。
上述內(nèi)容旨在強(qiáng)調(diào)內(nèi)部威脅方面存在的一些常見誤區(qū)，但是這些概括顯然并不全面。隨著越來越多的組織開始意識(shí)到內(nèi)部威脅的危害性，并且迫切需要解決這一威脅，作為安全從業(yè)者的我們必須承認(rèn)，內(nèi)部威脅存在令人困惑的誤區(qū)，我們的目的是盡可能地幫助大家消除誤解，并提供清晰、準(zhǔn)確的見解，以幫助組織更好地應(yīng)對(duì)內(nèi)部威脅。
【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
