Investigation des menaces internes | Decripte Security

Les menaces internes présentent des risques uniques en raison de la combinaison d'un accès légitime, d'une connaissance des systèmes et de motivations diverses. Détecter et investiguer les menaces internes exige une approche spécialisée qui concilie sécurité et respect de la vie privée des collaborateurs.

Types de menaces internes

Insider malveillant : Agit intentionnellement pour causer un préjudice, dérober des informations ou saboter des systèmes. Les motivations incluent le gain financier, la vengeance, l'idéologie.

Insider négligent : Ne respecte pas les politiques de sécurité, commet des erreurs qui exposent l'entreprise à des risques. Exemples : cliquer sur des liens de phishing, utiliser des mots de passe faibles, partager des informations confidentielles.

Tiers : Partenaires, fournisseurs, prestataires de services ayant accès aux systèmes internes. Ils peuvent constituer des vecteurs d'attaque ou agir de manière malveillante.

Anciens collaborateurs : Accès non révoqué après le départ, comptes actifs dotés de privilèges inappropriés. Risque de sabotage ou de vol de données.

Indicateurs comportementaux

Accès anormal aux données : Accéder à des informations en dehors du périmètre de son rôle, à des heures inhabituelles ou en grands volumes.

Copie inhabituelle de fichiers : Transférer de grandes quantités de données vers des périphériques amovibles, un cloud storage personnel ou une messagerie externe.

Activité réseau anormale : Se connecter à des serveurs ou sites suspects, utiliser des VPN non autorisés, tenter de contourner les contrôles de sécurité.

Violations des politiques : Ignorer les règles de sécurité, tenter de contourner les contrôles, comportement négligent à l'égard des informations confidentielles.

Changements de comportement : Irritabilité, stress, insatisfaction, problèmes financiers ou personnels.

Sources de données pour la détection

Journaux d'accès : Authentification, accès aux fichiers, bases de données, applications.

Journaux réseau : Trafic réseau, connexions, utilisation de la bande passante.

Journaux des endpoints : Activité des utilisateurs, processus, fichiers, périphériques connectés.

Journaux de messagerie : Envois, réceptions, pièces jointes, liens cliqués.

Journaux DLP : Détection de fuites de données, copie de fichiers confidentiels.

Données RH : Historique des collaborateurs, évaluations de performance, plaintes, enquêtes internes.

UEBA - User and Entity Behavior Analytics

L'UEBA utilise le machine learning pour analyser le comportement des utilisateurs et des entités (équipements, applications) et détecter les anomalies révélatrices d'une menace interne.

Baseline comportementale : Établit les schémas d'activité normaux pour chaque utilisateur et chaque entité.

Détection d'anomalies : Identifie les écarts par rapport à la baseline, tels que l'accès à des données inhabituelles, des horaires atypiques, des transferts de données anormaux.

Priorisation des risques : Attribue des scores de risque aux utilisateurs et aux entités en fonction des anomalies détectées.

Intégration au SIEM : Envoie des alertes au SIEM pour investigation et réponse à incident.

Data Loss Prevention (DLP)

Le DLP surveille et contrôle le flux des informations confidentielles afin de prévenir les fuites de données.

Content Awareness : Analyse le contenu des fichiers, des e-mails et du trafic réseau afin d'identifier les informations sensibles (données de cartes bancaires, informations personnelles, secrets commerciaux).

Policy Enforcement : Applique les politiques de sécurité pour bloquer, alerter ou journaliser les activités qui enfreignent les règles.

Endpoint DLP : Contrôle la copie de fichiers vers les périphériques amovibles, le cloud storage, l'impression.

Network DLP : Surveille le trafic réseau pour détecter l'exfiltration de données via e-mail, web, FTP.

Processus d'investigation

1. Alerte : Réception d'une alerte provenant de l'UEBA, du DLP, du SIEM ou d'une autre source.

2. Triage : Évaluation initiale de l'alerte pour déterminer s'il s'agit d'un faux positif ou d'un incident réel.

3. Collecte de preuves : Collecte des journaux, des données des endpoints, des e-mails, des enregistrements d'accès.

4. Analyse : Analyse des preuves pour déterminer la portée de l'incident, l'impact et la cause.

5. Confinement : Actions visant à empêcher la propagation de l'incident ou l'aggravation des dommages (désactiver le compte, isoler l'équipement, révoquer les accès).

6. Remédiation : Correction des vulnérabilités qui ont permis l'incident, renforcement des contrôles de sécurité.

7. Mesures disciplinaires/judiciaires : Prendre les mesures appropriées à l'encontre du collaborateur impliqué, le cas échéant.

Aspects juridiques et éthiques

Vie privée : Concilier la sécurité avec le respect de la vie privée des collaborateurs, en évitant une surveillance excessive ou intrusive.

Transparence : Informer les collaborateurs des politiques de surveillance et des risques liés aux menaces internes.

Discrimination : Éviter les décisions fondées sur la race, la religion, le genre ou d'autres caractéristiques protégées.

Droit à un procès équitable : Garantir aux collaborateurs la possibilité de se défendre avant de prendre des mesures disciplinaires.

Conformité : Respecter les lois et réglementations de protection des données (LGPD, RGPD).

Politiques et procédures

Politique de sécurité de l'information : Définir des règles claires sur l'utilisation des ressources de l'entreprise, l'accès aux données, la protection des informations confidentielles.

Politique d'usage acceptable : Établir des limites pour l'utilisation d'Internet, de la messagerie, des réseaux sociaux.

Politique de mots de passe : Exiger des mots de passe robustes, des changements réguliers, une authentification multifacteur.

Politique DLP : Définir les règles de protection des données confidentielles, de contrôle des copies et des transferts.

Procédure d'investigation : Décrire les étapes à suivre en cas de suspicion de menace interne.

Formation et sensibilisation

Formation à la sécurité : Sensibiliser les collaborateurs aux risques des menaces internes, à la manière d'identifier le phishing, de protéger les mots de passe, de signaler les incidents.

Simulations de phishing : Tester la capacité des collaborateurs à identifier les e-mails malveillants.

Communication régulière : Diffuser des newsletters, des publications sur l'intranet, des rappels relatifs à la sécurité.

Culture de la sécurité : Créer un environnement où la sécurité est valorisée et où les collaborateurs se sentent à l'aise pour signaler les incidents.

Surveillance continue

Surveillance des journaux : Analyser les journaux d'accès, réseau et des endpoints pour détecter les activités suspectes.

Surveillance de la messagerie : Vérifier l'envoi d'informations confidentielles en dehors de l'entreprise.

Surveillance des périphériques amovibles : Contrôler la copie de fichiers vers les clés USB, les disques durs externes.

Analyse comportementale : Utiliser l'UEBA pour identifier les anomalies dans le comportement des utilisateurs.

Réponse à incident

Plan de réponse à incident : Définir les étapes à suivre en cas d'incident lié à une menace interne.

Équipe de réponse à incident : Désigner les responsables de chaque étape du processus.

Communication : Informer les parties prenantes concernées de l'incident.

Remédiation : Corriger les vulnérabilités qui ont permis l'incident.

Mesures disciplinaires/judiciaires : Prendre les mesures appropriées à l'encontre du collaborateur impliqué.

Technologies de support

SIEM : Centralise les journaux de diverses sources pour l'analyse et la détection des incidents.

UEBA : Analyse le comportement des utilisateurs et des entités pour détecter les anomalies.

DLP : Surveille et contrôle le flux des informations confidentielles.

CASB : Protège les données dans les applications cloud.

EDR : Détecte les menaces sur les endpoints et y répond.