Для того, чтобы успешно бороться с атаками на сетевую инфраструктуру, очень важно принять методологию, формирующую полную и эффективную стратегию безопасности.

Угроза вполне реальна

В последнее время новости полны историй о внешних злоумышленниках, которые смогли проникнуть внутрь сети. На самом деле, в то время как многие подразделения обеспечения безопасности в состояние повышенной готовности ждет угроз типа IDS/IPS, они не особенно внимательно обращают внимание на самую важную часть сети, ту, которая находится внутри. На сегодняшний день отсутствует ясное понимание внутренних угроз - что это такое, как они происходят, и, самое главное, как их предотвратить. Хотя большинство, скорее всего, согласится, что эти виды атак опасны, существует очень мало данных, чтобы точно определить, сколько организаций пали жертвой таких атак, потому что, откровенно говоря, они не всегда обнаруживаются.
Согласно отчету компании Verizon (Verizon 2012 Data Breach Report), к 98% нарушений сетевых границ причастны внешние нарушители, и только 4% совершают собственные сотрудники. Это означает, что организации сами не могут обнаружить нарушения сетевых границ. Компании, которые становятся жертвами нарушений границ сети, на самом деле неправильно осуществляют базовый контроль сетевой безопасности.

Угроза будет стоить вам дорого

Отчеты исследовательской группы по внутренним угрозам CERT показывают, что убытки от успешных IP-атак составляют в среднем 13,5 млн. USD. Проблема с большинством инсайдерских атак в том, что очень часто преступники получают аутентичные идентификационные данные пользователей и могут потом проникать в сеть, не поднимая никакого шума. "Лучшие методы защиты" (best practices) на базе существующих систем безопасности, внедренные прямо сейчас, к сожалению все равно работать не будут, и вам придется ответить себе на вопрос: Что дороже - обновить систему безопасности или стать жертвой незаметной атаки?
Рассмотрим различные типы инсайдерских угроз

1. Невидимые нарушители, которые проходят через защиту периметра.
   Атаки такого типа обычно основаны на использовании определенных типов вредоносного ПО или атак типа "нулевого дня", что позволяет пройти через периметр без поднятия тревоги.
2. Внешние нарушители скрывающиеся под маской аутентичных пользователей.
   Подобные атаки самые опасные, поскольку не один традиционные механизм защиты не сможет предотвратить атаку подобного сорта. Когда "реальный" пользователь регистрируется в сети, это не вызывает никаких опасений. Когда данные индивидуального пользователя похищены и нарушитель получил доступ в сеть, ему намного проще овладеть и другими компьютерами, работающими в сети, и получить доступ к нужной ему информации без риска обнаружения. Единственный путь защититься от  таких угроз - использовать активное нападение, т.е. осуществлять мониторинг пользовательского поведения. Какие устройства использует этот пользователь? Когда он получает доступ в сеть? Этот пользователь передает большие массивы информации? Анализ поведения пользователя может помочь обнаружить преступника, использующего ворованные идентификационные данные для проникновения в сеть.
3. Пользователи с аутентичными правами доступа.
   Новый внешний исполнитель, нанятый вами для разработки вашего программного кода, может иметь и альтернативные цели при работе с вашей компанией. Сегодня нет другой возможности обнаружить этот вид активности, кроме мониторинга пользовательской активности. К каким типам файлов получает доступ этот пользователь? Когда осуществляется этот доступ? Надо понимать, что ни одно предприятие, большое или малое, не имеет иммунитета от такого типа угроз. Как недавно сообщал Information Week, NASA закрыла свою техническую базу данных и ввела жесткие ограничения по удаленному доступу к своим компьютерным системам после того, как был арестован их внешний подрядчик, замеченный в воровстве интеллектуальной собственности.
4. Недовольные или уволенные сотрудники, которые все еще имеют доступ к сети.
   Подобного рода атаки приводят к саботажу, потерям данных, краже важной информации и так далее. У вас есть что-нибудь, что позволяет это обнаружить?

Пришло время защитить важные данные от инсайдеров

Используя инструменты исследования сети на базе системы идентификации, которые осуществляют проактивный мониторинг сети, ваше подразделение сетевой защиты может агрессивно защищать свою сеть. Новые угрозы требуют новых средств.
Сегодня мониторинг безопасности становится ключевым звеном сетевой инфраструктуры - звеном, пока отсутствующим в сегодняшней стратегии безопасности - и секретным оружием для обеспечения безопасности. Сетевой мониторинг играет роль нападения со способностью быстро идентифицировать сетевые проблемы. Дополнительный бонус в том, что на него может опираться аналитический механизм защиты, обеспечивая полнейшую прозрачность сетевых процессов и просмотр поведения пользователей.
Дополнительную информацию о мониторинге для обеспечения эффективной безопасности можно получить в компании Web Control.