什麼是內部威脅？（型別、如何檢測）

什麼是內部威脅？

內部威脅是一種網路攻擊形式，由公司員工或被允許訪問公司網路或系統的人員實施。內部威脅可能是現任或前任員工、顧問、董事會成員或業務合作伙伴，它們可能是蓄意的或無意的。

在網路安全領域，內部威脅是指某人擁有公司資料和資源的授權訪問許可權，並利用該許可權損害公司的裝置、資訊、網路和系統。腐敗、間諜活動、資源耗盡、破壞活動、恐怖主義和非法資訊洩露都是示例。它也可以被網路犯罪分子用作病毒或勒索軟體攻擊的跳板。

現任和前任員工、承包商、業務合作伙伴和合夥人都是可能構成威脅的內部人員。但是，任何擁有公司計算機系統和資料適當訪問許可權的人員，例如供應商或經銷商，都可能造成損害。

內部人員在動機、意識、訪問量和意圖方面有所不同。Ponemon 研究所將內部人員分類為疏忽、犯罪或憑證。Gartner 將內部風險分為四種類型：棋子、笨蛋、合作者和獨狼。注意：Ponemon 研究所和 Gartner 為企業和政府提供獨立的研究、諮詢和教學研究。

員工被棋子誘導執行邪惡行為，而他們對此完全不知情。無論是安裝惡意軟體，還是透過魚叉式網路釣魚或社會工程將個人資訊交給騙子，棋子都會對公司造成損害。

笨蛋是不瞭解或對安全措施漠不關心的使用者。他們出於方便或愚蠢而故意試圖繞過安全限制。此外，笨蛋違反安全規定，使易受攻擊的資料和資源暴露在外，使攻擊者可以輕鬆訪問。根據 Gartner 的論文“高階內部威脅檢測的上市策略”，“90% 的內部事件是由笨蛋造成的”。

合作者與外部人員（例如競爭對手或國家）合作實施犯罪。他們利用自己的訪問許可權竊取智慧財產權和客戶資訊，並擾亂公司運營以謀取經濟或個人利益。

獨狼也獨立且惡意地行事，無需外部影響或勸說，通常是為了經濟利益。當獨狼擁有更高的許可權級別（例如系統管理員或資料庫管理員）時，它們就更加危險。

如果騙子的目標是受保護的系統，他們會專注於獲取員工許可權的訪問許可權。對於他們的網路犯罪，騙子會利用棋子和笨蛋。為了獲取憑據，他們會採用多種策略和技術，包括網路釣魚郵件、釣魚網站和武器化的惡意軟體，僅舉幾例。

騙子可以使用這些憑據在系統中橫向移動，提升其許可權，進行修改並訪問敏感資料或資金。使用命令和控制 (C2) 伺服器，騙子可以在出站傳輸期間從不安全的地方訪問資料或資訊。他們能夠調整出站嘗試或進行批量出站傳輸。

騙子的攻擊方式如下：

可以透過持續監控使用者行為、即時洞察網路活動以及在發生安全漏洞時迅速採取行動來避免內部攻擊。

以下**四步安全事件方法**用於避免內部威脅：

企業必須能夠在其網路上識別有害、可疑或意外的活動。即時瞭解使用者登入情況（例如使用者何時何地以及從何處登入公司網路）對於威脅檢測至關重要。組織可以使用安全解決方案和快速威脅檢測來提高網路可見性、跟蹤員工行為並接收有關異常活動的通知。

一旦發現可疑行為，組織必須能夠立即調查。發現可疑行為卻等待幾天再進行調查毫無意義，因為攻擊者很可能已經提升了其許可權並執行了攻擊。

當懷疑的行為被證實為有害或未經授權時，公司必須採取措施阻止人員訪問其網路和系統。他們需要一個威脅預防系統，以防止攻擊者訪問資料並竊聽使用者行為。

虛擬專用網路 (VPN) 可以加密資料並允許使用者在其 VPN 解決方案後面隱藏其瀏覽行為，這也可以幫助組織防範內部威脅。

組織必須透過實施安全規則來保護其資料並保護其使用者和裝置。必須始終透過使用適當的訪問許可權和特權來保護關鍵資產，包括設施、人員、技術、智慧財產權和客戶資料。

所有人員都必須瞭解他們必須遵守的安全措施，以及他們的資料許可權和智慧財產權，這些都必須正確記錄。對於遵守日益嚴格的資料保護要求，此最後一步至關重要。

Pranav Bhardwaj

更新於：2022年7月19日

245 次檢視

透過完成課程獲得認證

開始