如何預防網路安全中的內部威脅？

一家公司建立在信任之上。但當這份信任被員工無情背叛時，會發生什麼事？

AI 在職場中的使用日益增加。根據 HIMSS 的一項調查，醫療保健組織表示，他們並不知道員工正在使用 AI 來執行內部攻擊。 3% 的受訪者需對惡意內部活動負責，而其中許多醫療保健機構並未具備偵測 AI 型內部威脅所需的監控技術。

我們也可以回顧歷史，窺探 17 世紀的英國內戰。Oliver Cromwell 的士兵將外套反穿，藉此顯露 Royal Army 的真正立場。這種極端欺瞞的行為，展示了現代內部威脅可能如何運作。

內部攻擊可能讓您的公司天翻地覆。曾經擁有您資料、系統與網路存取權的人，可能會破壞您的營運或造成大規模業務中斷。2025 年 1 月 29 日，大英博物館成為一起內部攻擊的受害者。此次攻擊是由一名一週前遭解雇的前 IT 承包商因心生怨恨所致。IBM 2024 年資料外洩成本報告顯示，7% 的資料外洩是由惡意內部人員造成。雖然內部威脅通常被認為源自心懷不滿的員工，但情況未必總是如此。

讓我們深入探討這個主題，看看整體情況如何發展。我們也將討論如何預防內部威脅。

什麼是網路安全中的內部威脅？

內部威脅在網路安全中，是指組織內部人員進行滲透或發動惡意企圖時所產生的威脅。

這可能是某個人蓄意濫用其存取權限、竊取資料、破壞系統，或協助競爭對手。也可能是因為心懷不滿的員工出於個人或職業原因而想要進行報復。

叛變者在商業環境中相當常見，典型例子就是 IT 管理員將公司的機密出售給競爭對手。然而，並非所有網路安全中的內部威脅都是蓄意的。因疏忽而在不知情下讓您的敏感資產或業務暴露於風險中的員工，可能存在不良的安全習慣或缺乏網路衛生。

不了解社交工程的員工，可能會不小心點擊由駭客提供的網路釣魚電子郵件或連結。他們也可能設定過於容易猜測的弱密碼，導致帳戶遭入侵。如果某人的憑證已遭洩露，駭客便可提升其授權權限，並帶來嚴重的安全風險。在所有人都未察覺的情況下，他們甚至可能潛伏一旁進行偵察，並在之後發動攻擊。

如果員工與網路犯罪分子合作，他們可能會植入勒索軟體或惡意軟體，作為間諜滲透組織。員工也可能在未經公司批准的情況下分享商業文件，有時還會為了個人利益繞過 IT 政策。這些行為可能引入嚴重弱點，最終演變為內部攻擊。重點在於，內部攻擊不可能從組織外部發生。它們總是從內部發生。

內部威脅的常見原因

內部威脅其實非常常見，而這正是它們如此可怕的原因。您永遠不會預見它們的到來，也不會想到您最信任的人會對您的組織做出這種事。內部人員可能基於多種原因對公司發動攻擊。他們可能對公司的做法或業務感到不滿。獲授權的員工也可能利用其聲譽或資料存取權，從事非法或不道德的活動。

由於我們大多數人都採用遠端工作模式，這讓現今員工能更廣泛地存取公司的敏感資訊。他們可以在任何地方以最高生產力工作，但這也意味著他們可以在更大範圍內發動內部威脅，而且由於這些行為與日常活動混在一起，內部攻擊也更難被精確識別。疏忽員工的粗心行為往往不易被察覺，尤其是在團隊中的每個人都很忙碌時。

這可能以不同方式表現出來，例如未及時保護裝置、忽視且未嚴格遵守公司的安全政策，以及疏於套用更新與修補程式。員工也可能未能對將資料上傳或分享至網路承擔個人責任，並低估關鍵風險。

務必要明確說明他們在保護公司智慧財產方面的責任與使命。

如何識別內部威脅？

您可以透過衡量員工的動機來評估內部威脅。當他們表達情緒或看法時，請留意，不要只是輕忽這些細節。他們所說的那些小事，以及他們在意的事情，未來都可能迅速升級為重大問題。

如果您的團隊成員彼此之間的連結薄弱，那就是一個危險訊號。團隊會對組織抱持負面態度，直到發動攻擊，而那只是時間早晚的問題，因此請務必記住這一點。

以下是一些常見指標，以及您可用來識別內部威脅的方法：

• 異常登入行為—您的員工是否不規律地登入與登出？追蹤他們的登入模式，您就會看到異常行為。如果登入嘗試發生在異常時段，例如工作時間之外，那就值得擔憂。還有，也要檢查同一帳戶的登入位置。檢視您的驗證記錄，並尋找無法解釋的失敗「admin」或「test」使用者嘗試，可能會留下線索。
• 過量下載—您組織平常的下載配額或頻寬是多少？您的員工也有其合理使用份額。如果他們超出您內部部署基礎架構的下載限制，您就會知道。資料下載量突然飆升，或任何從網路外部進行的下載，都是警訊。
• 工作表現不佳：如果一名原本表現良好的員工突然開始表現不佳，或與他人相處失當，您就知道有問題了。與職場政策或主管發生分歧，或過於頻繁缺勤，也都是指標。如果員工突然辭職，請提高警覺。
• 未經授權的應用程式使用—如果存在未經授權的存取嘗試，或應用程式使用超出員工的權限層級，那就是內部威脅。組織每天都在處理 CRM、ERP 和財務管理軟體等任務關鍵系統。如果員工提升其權限並竄改這些系統，後果將不堪設想。這適用於應用程式、使用者帳戶，以及對網路的全面控制。

預防內部威脅的最佳實務

沒有任何單一方法可以保證預防內部威脅。您必須結合多種方法，並隨時間推進持續精進策略。安全是一個必須主動進行的反覆迭代流程。

因此，您首先應該做的是對現有基礎架構進行全面稽核：

• 盤點您的清單、資產與資源。
• 識別整個網路中的閒置與非作用中帳戶。
• 分析雲端服務—查看哪些正在使用，哪些沒有使用。
• 評估訂閱模式—您是否為服務支付過多費用，或是採用隨用隨付模式？
• 檢查資源使用情況——找出任何被過度使用或未充分利用的項目。

這些將作為您的起點，並為您提供防範內部威脅的方向。

您可以做的第二件事是定期進行滲透測試並界定漏洞範圍：

• 尋找系統中的缺口與弱點，因為內部人員之後可能會利用這些問題。
• 在您的應用程式、服務和基礎架構成為負擔之前，封堵任何安全缺口。

現在，讓我們轉向人際互動的行為層面：

• 觀察員工如何表現以及彼此如何合作。
• 評估職場文化——員工是否有共識，還是經常出現分歧？
• 尋找不滿的跡象，並檢視職場中是否存在負面情緒。
• 鼓勵開放溝通——如果員工害怕表達疑慮，請提供匿名通報管道。
• 確保每位處理和分享敏感資料的人都負起責任。

其他可協助您掌握如何防範內部威脅的方法，包括採用安全監控技術：

• 使用 AI 威脅偵測工具來追蹤各項資源與網路中的基準行為。
• 偵測行為偏差——當發生異常情況時，這些工具會提醒您。
• 盡量減少誤判和錯誤警示，以避免誤導性的通知。

此外，請納入網路安全意識與訓練計畫：

• 教育員工網路衛生觀念，並確保他們遵循最佳安全實務。
• 讓他們持續了解新興威脅，以便知道應該注意哪些跡象。
• 防止意外外洩——不了解風險的員工可能會無意間暴露敏感資料。

以上是一些防範內部威脅的最佳實務。但再次強調，若要對此問題獲得最深入的洞察，您必須保持警覺、蒐集回饋，並定期檢視您的方法。

防範內部威脅的法律與合規考量

關於處理內部威脅的法律與合規考量，您必須了解各種面向。

資料保護法規是您應該留意的事項。您不希望在法律上違反任何政策，因此應隨時掌握最新的產業標準。請檢查您的基礎架構是否符合最新框架，例如 SOC 2、ISO 27001、NIST、CIS Benchmark 等。

另一個考量是您如何處理與儲存客戶資料。如果您違反任何相關法律，您的組織可能會遭到起訴，進而損害企業聲譽。這就是為什麼您必須確保採取適當的資料處理實務。

聘請內部與外部稽核人員可協助您檢查安全政策、工作流程和工具。他們可以幫助您。

如果資料與企業資訊或敏感資訊混在一起並在線上分享，您的組織可能會陷入麻煩。您也應實施最佳存取控制，以限制員工對敏感資訊的存取。明確且嚴格的職務角色定義可防止未經授權的存取，並消除未來資料外洩的可能性。

您也應建立明確的事件回應流程，用於調查事件、記錄證據，並制定通知相關主管機關的程序。在需要時採取紀律處分。並根據威脅態勢調整您的流程。

根據您公司所在地，您必須遵守當地司法管轄規定，建立通報要求以降低內部活動發生的可能性，並將這些發現通報給監管機構。您也必須簽署明確的合約，說明安全責任以及違反時可能產生的後果。

您也應根據不同的敏感度等級正確分類資料，並保護關鍵資訊。請諮詢法律專業人士，以調查您在內部威脅方面的風險概況並確保合規。取得外部觀點可協助您識別異常並偵測未來事件。

您也應採用最佳的使用者存取監控工具，以識別工作中異常值或可疑行為跡象。

真實世界中的內部威脅事件

我們已看到數起真實世界中發生的內部威脅案例。例如，駭客經常鎖定醫療保健機構並竊取病患紀錄，之後再於暗網上出售。

權限濫用很常見；有些錯誤源自設定錯誤與資料遺失。Verizon 指出，超過 83% 的醫療保健資料外洩與此有關。憑證遭入侵也是助長這些內部攻擊的另一個原因。

我們每年都會看到一些常見模式，而最近的一則新聞與 Moveit 有關，其受到勒索軟體與阻斷服務攻擊的影響。由於內部洩密，Moveit 遭到入侵。

在部署後三天內，MixMode 在其關鍵基礎架構上發現了數起國家級攻擊與內部威脅。然而，這些攻擊不足以阻止這些威脅。

還有一起案例是北韓駭客建立假的 IT 工作者身分，以鎖定網路安全公司 KnowBe4。這次攻擊的威脅在於，五角大廈可能會利用它來取得對太空的控制權。

最近，Donald Trump 提名的五角大廈人選 Peter Hegseth，因其二頭肌上一個可疑的刺青而被稱為內部威脅。該刺青帶有白人至上主義色彩，引發了疑慮，一名同袍因此將他標記為內部威脅。這裡有很多可供寬容解讀的空間，而且他目前尚未採取惡意行動——但誰知道呢？

我們不想在這篇文章中談論政治，但內部威脅隨時都可能發生。留意某人的信念與情緒是流程的一部分，尤其是在他們晉升到更具領導性的角色時。

使用 SentinelOne 緩解內部威脅

SentinelOne 使用 AI 威脅偵測與分析來協助您偵測內部威脅。憑藉其自動化修復功能，只需按一下即可解決您基礎架構中的所有關鍵漏洞。SentinelOne 也可執行雲端式與 IT 稽核，以確保您的基礎架構符合規範。它會檢查並將您的安全基準與最新監管標準進行比較，例如 PCI-DSS、HIPAA、CIS Benchmark、ISO 27001，以及任何即將推出的框架。

SentinelOne 的 Purple AI，一款生成式 AI 網路安全分析師，可為您目前的狀態提供清晰度與安全洞察。SentinelOne 專利的 Storylines™ 技術可重建構件、執行網路鑑識，並提供歷史事件的詳細資訊。如果您沒有事件回應計畫，SentinelOne’s Vigilance MDR+DFIR 可以幫助您。

SentinelOne 的獨特之處在於，它在考量人為因素的同時，提供最佳的內部威脅偵測工具與工作流程。SentinelOne 的專家團隊隨時都能回答您的所有問題；您可以隨時聯絡他們。

憑藉其先進的端點防護技術，SentinelOne 可以監控您的端點活動與使用者。其 Singularity™ XDR Platform 可掃描最新威脅，並偵測您網路、使用者與裝置中的異常。您可以透過 SentinelOne 的 agentless CNAPP。CNAPP 平台提供的功能包括雲端安全態勢管理（CSPM）、Kubernetes 安全態勢管理（KSPM）、雲端偵測與回應（CDR）、基礎架構即程式碼（IaC）掃描、機密掃描、外部攻擊面管理（EASM）、弱點管理，以及 SaaS 安全態勢管理（SSPM）。其 Offensive Security Engine™ 搭配 Verified Exploit Paths™，可在攻擊發生前進行偵測與防範。

SentinelOne 的 AI-SIEM solution 可收集雲端遙測資料以供進一步分析。它可以關聯事件、提供情境脈絡，並透過清理資料來消除錯誤資料。SentinelOne 的全球威脅情報，結合 Singularity™ Data Lake，可確保從多元來源收集資料。它能識別資料類型，並從原始、非結構化資訊中提供準確的安全洞察。

SentinelOne 還可從其統一儀表板產生合規報告，並集中化安全洞察。

預約免費即時示範。

結論

內部威脅確實存在，甚至可能滲透最強固的安全系統。這些是真實世界中的現象，往往由報復、貪婪或單純疏忽所驅動。組織可透過正確的工具來防範這些威脅，例如 AI 驅動的監控解決方案、開放政策，以及信任文化。

從第一線員工到高階主管，每個人都必須善盡自身職責，共同承擔維護組織健全運作的責任。沒有任何單一步驟可以取代持續的警戒、溝通與行動。內部威脅是可以防範的，但必須對技術與人為因素抱持堅定信念。因此，請保持領先。立即聯絡 SentinelOne 以取得協助。