内部威胁风险以及如何通过员工监控检测这些风险

与外部威胁（如黑客从外部入侵）相反，内部威胁是由组织内部的个人造成的。他们可以是您的员工、经理、合作伙伴或承包商--任何可以合法访问机密数据、系统和场所的人，并利用这种访问损害您的业务。

内部威胁以多种形式出现，每种形式需要的检测方法略有不同。我们可以将其大致分为恶意内部人员、疏忽内部人员和受损内部人员。

说到内部威胁，我们通常首先想到的就是这种类型。恶意内部人员出于报复，在晋升机会被放弃或面临纪律处分后，出于意识形态原因，甚至出于好玩，故意造成破坏。然而，绝对多数的内部恶意事件（89%）都是出于个人经济利益的驱动。内部人员可以

• 窃取敏感的客户数据、商业机密或财务信息，出售给竞争对手或谋取私利。

• 通过删除关键文件、破坏系统或安装恶意软件来破坏公司。

• 篡改财务记录、创建虚假账户或挪用公款以中饱私囊。

• 窃取专有设计、配方或其他知识产权，卖给竞争对手或自己创业。

恶意内部人员并非超级特工卧底。他们可能是心怀不满的系统管理员，因为觉得自己的价值被低估，所以在离开公司前删除了重要的客户数据库。或者是一名销售代表，他系统地导出数据，卖给竞争对手，以支付堆积如山的账单。恶意内部人员是蓄意危害组织的普通员工。然而，他们却要对 25% 的内部威胁事件负责。

并非所有内部人员都是出于恶意。疏忽的员工并不想蓄意伤害组织，但他们无意中的失误和粗心大意的行为可能会造成与恶意行为同样严重的损害。令人吃惊的是，88% 的数据泄露事件都是由员工失误造成或严重恶化的。疏忽大意的内部人员往往缺乏识别威胁的意识或培训，或者只是鲁莽行事。他们的以下行为可能导致严重的安全漏洞：

• 点击钓鱼邮件中的链接，在不知情的情况下将恶意软件下载到公司设备上；

• 使用容易猜到的密码或在多个账户中重复使用密码；

• 在不安全的地方存储敏感数据；

• 通过未加密渠道共享机密信息；

• 绕过既定的安全协议，禁用安全软件，或因方便或缺乏了解而忽视安全政策；

• 误将敏感信息发送给错误的收件人；

• 无意中泄露或公布个人信息以及其他人为错误。

应付账款部门的一名员工收到了一封看似合法的电子邮件，这就是内部人疏忽的一个例子。邮件要求更新供应商的银行详细信息。该员工没有彻底检查发件人的电子邮件，点击了链接，在虚假登录页面上输入了凭据，并在不知情的情况下允许黑客访问公司的财务系统。

由于疏忽，员工的账户可能会被外部行为者入侵。凭据窃贼通过网络钓鱼、恶意软件或其他方法获取员工的合法登录凭据。然后，攻击者扮演该员工，窃取机密数据或从事其他恶意活动。在 20% 的内部威胁事件中，都是由于凭证被盗造成的。

那么，我们该如何检测和预防内部威胁呢？如前所述，传统的安全方法可以有效抵御外部攻击，但往往对内部危险视而不见。这就是员工监控发挥作用的地方。

如果以战略性和合乎道德的方式实施员工监控，就能让企业了解员工的工作流程、行为和沟通情况。这样，安全专家就能发现异常行为、违反政策的行为以及恶意意图的迹象，否则这些行为可能会被忽视。

让我们来探讨用于内部威胁检测的关键员工监控功能，以及它们如何揭示恶意行为者。

数据丢失防护（DLP）是一套复杂的功能，用于保护敏感信息免遭未经授权的访问或传输。它能检测并帮助管理潜在的数据泄露、外流、滥用和意外暴露。

DLP 系统可识别组织内的敏感信息，并充当数字哨兵。它们会跟踪机密信息的移动，标记未经授权的传输、复制到外部设备或云存储或打印的尝试。DLP 系统还具有警报机制，可将事件通知安全专家和管理人员。

通过对敏感数据进行细致的跟踪，DLP 解决方案可以检测到恶意和疏忽的内部威胁。

用户和实体行为分析（UEBA）工具使用先进的分析技术，包括人工智能和机器学习，来检测组织网络中的异常行为和潜在安全威胁。首先，UEBA 分析用户（员工、客户和承包商）和实体（应用程序、设备和服务器）的活动，以建立正常活动的基线模式。然后，系统会持续监控用户和实体的行为，并将其与已建立的基线进行比较。如果检测到任何偏离正常模式的行为，系统就会将其标记为潜在的安全威胁。每个异常情况都会被分配一个风险分数，随着可疑行为的增多，风险分数也会增加。当风险分数超过预定义的阈值时，系统会提醒安全专家或经理进行调查并采取可能的行动。

UEBA 对内部威胁、外泄账户和其他可能绕过传统安全工具的攻击方法极为有效。它的有效性在于能够检测到不符合预定攻击模式的威胁。同时，由于 UEBA 能理解正常的行为模式，因此误报率较低。

通过跟踪员工在工作日的活动，可以了解他们使用了哪些网站和应用程序。这样，企业就能发现员工访问未经授权的网站或高风险网站，或在与工作无关的网站上花费过多时间（在某些情况下，这可能是脱离工作或恶意策划的迹象）。应用程序跟踪还能发现可能会带来安全风险的未经授权的软件安装。

在数据泄露的情况下，活动监控有助于找到事件的责任人，并提供必要的证据。我们的一个客户最近分享了他们的故事：CleverControl是如何帮助他们揭露内部人员向竞争对手出售数据的。你可以阅读 内部威胁 更多信息，请访问我们的博客。

通信监控可深入了解员工通信的内容和模式。该系统可持续监控各种通信渠道，包括电子邮件、视频会议、文件共享、协作工具和即时消息平台。先进的算法和人工智能会分析通信模式和内容，并扫描收集到的数据，寻找警示信号。这些迹象可以是可疑的语言，也可以是与数据泄露、破坏或串通有关的关键词。当系统检测到可疑活动时，它会触发自动响应或通知安全专家立即采取行动。

通信监控大大增强了公司抵御内部威胁的能力，但必须以负责任的态度加以实施。

内部威胁仍然是各种规模的所有组织都非常关注的问题。内部威胁的形式多种多样，既有恶意的，也有简单的疏忽和粗心大意。内部威胁之所以如此危险，是因为它们是由受信任的员工在安全边界内实施的，因此更难发现和预防。员工监控是检测和预防内部风险的良好解决方案。其 DLP、UEBA、通信和活动监控功能是任何希望及时发现和预防安全漏洞的组织所必需的工具包。