Rilevamento di pattern di accesso ai file anormali

Sembra che tu voglia prendere in considerazione gli strumenti di Prevenzione perdita di dati ( link ).

Tuttavia, prima di andare direttamente alla soluzione tecnologica, devi capire come appare l'accesso ai file "normali". Se non sai cosa sembra, diventa impossibile sapere che aspetto anomalo. Questo è simile a insegnare a IDS / IPS come appare la rete.

Esistono molti prodotti eDLP commerciali che possono provare a farlo utilizzando algoritmi di apprendimento automatico, oppure potresti scrivere qualcosa che avvolge inotify e avvisi su tendenze specifiche degli eventi di lettura (pynotify - > elasticsearch - > percolate forse), ma dato il tuo ambiente di lavoro mi sembra che tu ti preoccupi di correggere una finestra piena di spifferi quando non hai nemmeno un tetto.

L'amministratore locale e l'accesso USB senza limitazioni sono i tuoi primi due problemi. Puoi avere il più sofisticato rilevatore di pattern di accesso ai file mai concepito, ma questo non cambia il fatto che hai perso la visibilità di ciò che accade ai dati accessibili per accedervi quando si passa sulla chiavetta USB di qualcuno.

Tutti gli sviluppatori che hanno accesso all'intero codebase rappresentano il tuo terzo problema. Presumibilmente non hai a che fare con le PII in modo che l'accesso ai file, indipendentemente dalla velocità, non sia intrinsecamente sospetto. IME Ho notato che le persone tendono a esfilare in tre modi:

• "So che sto per chiudere / essere licenziato, quindi prendo TUTTO"
• "Sono costantemente impiegato ma non pagato abbastanza, quindi vado a esfiltrarti e vendere (asset di dati) pezzo per pezzo nel tempo."
• "Sono costantemente impiegato e un idiota, quindi prendo TUTTO e lo rivenderò"

Il secondo caso è il dolore più grande. Questa persona raccoglierà i dati poco a poco nel tempo prima di uscire (# 1).

La vera minaccia per te è che hai no modo di sapere cosa stanno facendo con questi file dopo che li hanno acceduti, in modo anomalo o meno. Non sembra che ci sia qualcosa che impedisce loro di fare un git push di tutto ciò che sono già autorizzati ad avere. Ti suggerisco di farlo prima.

Nel frattempo, a seconda delle dimensioni del tuo negozio, probabilmente otterrai un ritorno sull'investimento più rapido correlando un numero elevato di letture dopo la notifica delle dimissioni dei dipendenti. Lo vediamo sempre.

Sì, penso che questo sia interamente possibile. Per definire il comportamento di accesso ai file normale o tipico, è necessario passare un po 'di tempo a registrare l'attività di ciascun individuo.

Un'analisi di questi dati consentirebbe di definire i normali parametri di accesso. Questo potrebbe essere il numero di richieste di file, la durata tra le richieste (per distinguere tra richieste di accesso manuali e automatiche), la frequenza di coppia precedente con cui si accede ai file. Potresti, come hai suggerito, creare una rete o un grafico per rappresentare gruppi di file a cui si accede comunemente insieme. Vari parametri che caratterizzano la rete, come le distanze di percorso più brevi tra i file con accesso, o una sorta di funzione "costo" definita sommando i bordi pesati, potrebbero quindi essere calcolati per le singole azioni.

In breve, è necessario definire i profili di utilizzo tipici in termini di parametri precedenti. Le singole azioni possono quindi essere caratterizzate dagli stessi parametri e confrontate con i profili tipici al fine di rilevare comportamenti anomali o "valori anomali".

Le sfide sono progettare un sistema che raccolga il comportamento di accesso ai file, stabilisca parametri o modelli statistici che possono caratterizzare il normale utilizzo e quindi implementa un sistema di monitoraggio in tempo reale che genererà un avviso quando vengono rilevati modelli di accesso atipici. Qualcuno che copi interi file di file su un'unità esterna dovrebbe essere abbastanza facile da catturare.