Gefahren aus dem Inneren erkennen und reduzieren

Dabei ist ein Insider nicht immer ein böswilliger Mitarbeiter. Auch und vor allem Angreifer, die über entsprechende Zugänge verfügen, die sie beispielsweise mittels Phishing erlangt oder im Darknet erworben haben, fallen in diese Kategorie. So werden zwei von drei Insider-Vorfällen durch Nachlässigkeit verursacht. Diese Angriffe sind deshalb so gefährlich, da sich die Cyberkriminellen scheinbar legitim in den Unternehmenssystemen befinden und dort über bestimmte Zugriffsrechte verfügen. Wie der aktuelle Software-as-as-Service-Datenrisiko-Report (SaaS) von Varonis gezeigt hat, sind in einem durchschnittlichen Unternehmen einer von zehn (auch sensitiven) Datensätzen für alle Mitarbeiter – und damit auch für Insider – zugänglich. Zudem versuchen Insider in aller Regel, ihre Rechte auszuweiten, um (noch mehr) sensitive Daten zu exfiltrieren. Naturgemäß sind Insider-Angriffe sehr schwer zu erkennen. Sicherheitsverantwortliche sollten sich deshalb bei den Abwehrmaßnahmen vor allem auf fünf Bereiche konzentrieren und sich folgende Fragen stellen.

Welche Daten müssen besonders geschützt werden?

Die Basis sämtlicher Schutzmaßnahmen bildet die Identifizierung der wertvollsten und schützenswerten Daten. Hierzu müssen die Daten entsprechend bestimmter Richtlinien identifiziert und klassifiziert werden, um darauf basierend die Datensicherheitsstrategie zu priorisieren. Aufgrund der schieren Menge an Dateien kann dies nur automatisiert erfolgen.

Wer benötigt wirklich Zugang zu sensitiven Informationen?

Um den Explosionsradius, also den Schaden, den ein kompromittiertes Konto verursachen kann, so klein wie möglich zu halten, sollte jeder Mitarbeiter nur auf die Daten zugreifen können, die für die Arbeit auch tatsächlich benötigt werden. Nur wenn Sicherheitsverantwortliche über Transparenz in allen Datenspeichern (sowohl in der Cloud als auch lokal) verfügen und Zugriffsrechte korrelieren können, sind sie in der Lage, diese auch zu reduzieren.

Gibt es auffälliges Nutzerverhalten?

Da sich Insider (scheinbar) legitim in den eigenen Systemen aufhalten, können sie nur durch auffälliges Verhalten identifiziert werden. Sicherheitsteams müssen also bewerten, welches Verhalten für welchen Mitarbeiter „normal“ ist, um verdächtige Abweichungen schnell und präzise identifizieren zu können.

Sind die Mitarbeiter ausreichend sensibilisiert?

Nur wenn die Arbeitnehmer über den Wert von Daten sensibilisiert sind, werden sie langfristig Warnsignale erkennen und melden, damit diese vom Sicherheitsteam untersucht werden können.

Sind sämtliche nicht mehr aktiven Konten deaktiviert?

Veraltete, nicht mehr benötigte, aber nicht deaktivierte Nutzerkonten sind für Angreifer ideal, da ihre Nutzung nicht weiter auffällt. Deshalb sollten Unternehmen ihren Off-Boarding-Prozessen große Aufmerksamkeit schenken und so sicherstellen, dass ehemalige Partner und Mitarbeiter keinen Zugang mehr besitzen.

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Sicherheitsverantwortliche sollten stets davon ausgehen, dass sich Angreifer bereits in ihren Systemen befinden. Dieser „Assume Breach“-Ansatz schützt sowohl vor gefährlichen Insidern als auch vor externen Attacken. Da es Angreifer in aller Regel auf die Daten abgesehen haben, sollten diese ins Zentrum der Sicherheitsstrategie gestellt werden. Ein datenzentrierter Sicherheitsansatz blickt auf die Datenzugriffe und ist so in der Lage zu erkennen, wenn diese in Gefahr geraten, exfiltriert oder manipuliert werden, und kann diese Angriffe automatisiert innerhalb kürzester Zeit stoppen.

Bildquelle: Getty Images / iStock / Getty Images Plus