내부자 위협

내부자 위협은 직원, 계약업체 또는 협력업체처럼 정당한 접근 권한을 가진 사람이 초래하는 위험입니다. 내부자는 이미 신뢰받는 사용자이므로 경계 방어로는 감지할 수 없는 피해를 일으킬 수 있습니다.

내부자는 다음과 같은 유형으로 나뉩니다:

• 악의적 내부자: 의도적으로 정보를 훔치거나 방해합니다(예: 데이터를 판매하거나 복수하기 위해 행동합니다).
• 부주의한 내부자: 부주의한 실수를 저지르거나 데이터를 잘못 처리합니다.
• 침해된 내부자: 공격자가 탈취한 정당한 계정입니다.

내부자는 유효한 인증 정보를 사용하고 접근이 허용된 데이터에 접근하므로 개별 행동만 보면 정상적으로 보입니다. 따라서 탐지는 권한 없는 접근만이 아니라 비정상적인 패턴을 찾아내는 데 의존합니다.

다음과 같은 행동 및 기술 신호를 주의 깊게 살펴보십시오:

• 대량 다운로드 또는 비정상적으로 많은 데이터 접근
• 이상한 시간대 또는 새로운 위치에서의 접근
• 자신의 역할 범위를 벗어난 데이터에 접근하려는 시도
• 회사 데이터를 개인 전자 메일이나 USB로 사용하는 행위
• 퇴사 전 활동량 급증

내부자가 수행할 수 있는 작업을 제한합니다:

• 최소 권한: 업무에 필요한 접근 권한만 부여합니다.
• 직무 분리: 민감한 작업을 나누어 한 사람이 혼자 사기를 완수하지 못하게 합니다.
• 가장 민감한 데이터에는 업무상 알아야 할 필요를 적용합니다.

UEBA(사용자 및 개체 행동 분석)는 사용자별 정상 행동의 기준선을 만들고, 인사 담당자가 갑자기 소스 코드에 접근하거나 다운로드량이 10배로 증가하는 것과 같은 편차를 표시합니다.

내부자 탐지는 로그 기록과 DLP에 의존합니다:

• 민감한 데이터에 대한 접근을 감사합니다.
• DLP는 대규모 또는 비정상적인 데이터 이동을 표시합니다.
• SIEM은 여러 시스템의 신호를 연관 분석합니다.

직원이 퇴사하는 시기는 위험이 매우 높은 기간입니다. 계정을 즉시 비활성화하고, 모든 접근 권한을 철회하며, 장치를 회수하고, 최근 활동을 검토합니다. 퇴사 후에도 접근 권한이 남아 있는 것은 침해 사고의 흔한 원인입니다.

관리자와 데이터베이스 관리자는 막대한 권한을 가지므로 추가적인 감독이 필요합니다:

• 대여 및 세션 기록 기능이 있는 특권 접근 관리(PAM)를 사용합니다.
• 민감한 작업에 승인을 요구합니다.
• 관리자의 작업을 면밀히 감사합니다.

기술만으로는 충분하지 않습니다. 건전한 프로그램에는 다음이 포함됩니다:

• 부주의한 실수를 줄일 수 있도록 명확한 정책과 교육을 제공합니다.
• 익명 신고 채널을 운영합니다.
• 불만을 키우지 않도록 공정하고 일관되게 처리합니다.

내부자 모니터링은 직원의 개인정보와 법률을 존중해야 합니다. 모니터링에 대해 투명하게 알리고, 필요한 정보만 수집하며, 프로그램이 효과적이고 합법적으로 운영되도록 인사 및 법무 부서를 참여시킵니다.

내부자 위협은 신뢰받는 사람에게서 발생합니다:

• 유형은 악의적 내부자, 부주의한 내부자 및 침해된 내부자입니다.
• 탐지는 행동 분석, DLP 및 감사 로그에 의존합니다.
• 최소 권한, 직무 분리 및 PAM으로 위험을 제한합니다.
• 퇴사자 처리를 신속하게 수행하고 개인정보와 법률을 존중합니다.