什麼是內部威脅？類型、預防與風險

內部威脅是指由組織內部人員所帶來的風險。本指南將探討內部威脅的類型、其潛在影響，以及預防策略。

了解員工意識與監控在降低內部風險方面的重要性。理解內部威脅對於組織保護敏感資訊並維持安全至關重要。

什麼是內部威脅？

內部威脅是一種網路攻擊，其來源是組織內部工作的人員。這些人員擁有對檔案、網路與系統的授權存取權限，他們可能是您目前的員工、董事會成員、業務合作夥伴，甚至是與組織合作的顧問。

內部人員會利用其授權存取權限來：

• 透過洩露資料、資源或損害企業聲譽來傷害組織。 
• 他們可能會破壞或降低資料品質、蓄意破壞公司資產，並散布惡意或不實資訊
• 內部人員可能進行網路間諜活動，或向不屬於該組織的對象揭露敏感資訊。

內部威脅的類型

內部威脅可能以多種形式出現，而且不一定都是惡意的。在某些情況下，員工可能因點擊網路釣魚電子郵件或使用弱密碼而無意間造成安全漏洞。在其他情況下，員工可能為了財務利益、報復，或取得敏感資訊而蓄意造成損害。

內部威脅主要分為三大類：

• 疏忽或非故意威脅 – 這類內部威脅發生於員工或承包商無意間造成安全漏洞時。這可能是因為缺乏意識或訓練，或只是單純犯錯。
• 惡意內部威脅 – 惡意內部威脅發生於員工或承包商蓄意對組織造成損害時。這可能是為了財務利益、報復，或取得敏感資訊。
• 遭入侵的內部威脅 – 遭入侵的內部威脅是指攻擊者取得員工或承包商帳戶或系統的存取權，並利用其發動攻擊。這可能透過網路釣魚攻擊、社交工程或其他方式發生。

內部威脅的關鍵指標

當您的系統遭到入侵時，您就會知道內部威脅正在潛伏。您會在異常時間看到登入紀錄，而且跨裝置的資料使用量會變高。以下是一些辨識內部威脅指標的方法：

• 執行後門檔案掃描 - 檢查您的系統並尋找傳入的外部請求。這些是試圖定位並利用您組織中後門的駭客。
• 尋找遠端存取實例 - 任何像 TeamViewer 這類被用於惡意目的的硬體或軟體，都應監控其活動。也請檢查周圍是否有任何實體伺服器，例如 Synology 裝置。
• 變更密碼  - 如果您的密碼被過於頻繁地變更，或舊密碼突然失效，那麼可能是內部攻擊即將發生。查看誰擁有存取權限、權限多大，以及可存取哪些資產。
• 未經授權變更防毒軟體與防火牆 - 如果您的防毒軟體與防火牆設定發生變更，那可能是內部攻擊所致。  如果您發現任何新的惡意軟體，請立即調查其來源並在情況升級前加以處理。
• 額外的存取嘗試  - 如果您在網路中的敏感區域看到過多的存取嘗試，那很可能是有人試圖將資料外洩到組織外部。請深入調查並開始質疑其活動。

內部威脅的真實案例

近年來，數起備受矚目的內部威脅事件登上新聞頭條。例如，2017 年Equifax的資料外洩事件，是由一名內部人員利用公司 Web 應用程式中的漏洞，竊取 1.43 億名客戶的敏感資料所造成。另一個例子是Edward Snowden，他於 2013 年洩露了美國國家安全局（NSA）的機密資訊。

防範內部威脅

防範內部威脅需要採取多層次的方法，涵蓋人員、流程與技術。以下是組織可採取的一些實務步驟，以保護自身免受內部威脅：

• 教育員工 – 定期為員工、承包商及第三方供應商提供安全意識訓練。
• 實施存取控制 – 根據最小權限原則限制對敏感資料的存取。使用雙因素驗證、以角色為基礎的存取控制，以及其他存取控制機制。
• 監控並稽核使用者活動 – 實作記錄與監控解決方案，以偵測異常行為並識別潛在的內部威脅。
• 落實安全政策 – 制定明確的安全政策，並嚴格執行。

如何阻止內部威脅

您還可以採取一些額外步驟來防止內部攻擊。以下是您還能採取的措施，以降低內部威脅風險：

• 善用 UEBA 工具 - 使用者行為與實體監控安全工具可為員工活動建立基準。它們會根據異常行為自動觸發警示，例如未經授權的資料傳輸、非工作時間存取、不尋常的檔案下載等。
• 強制執行多因素驗證 - 不要僅限於單一或雙重驗證因素。使用臉部辨識、OTP、生物辨識等多種方式組合，以防止遭入侵帳戶被濫用。
• 定期進行員工審查 - 無論是新進員工、在職員工，還是即將離職的人員，都應將此列為強制且定期執行的措施。同時也要為您的企業建立完整的員工離職管理計畫。進行例行稽核並落實職務分離，以降低組織內發生詐欺的可能性。

為何內部威脅如此重大？

內部威脅對組織尤其有害，因為內部人員已經擁有對敏感資料與系統的存取權限。這表示他們無需繞過任何安全控制即可造成損害，使其成為更難偵測與防範的威脅。

此外，內部人員可能對組織的聲譽、財務穩定性與法律地位造成重大損害。例如，竊取智慧財產或敏感客戶資訊的內部人員，可能損害組織的聲譽與公信力。干擾網路營運的內部人員則可能造成重大財務損失，並影響組織提供客戶服務的能力。

另外，內部威脅正變得更加普遍且更為複雜，使組織難以跟上。根據 Gurucul 的 2023 年內部威脅報告，2022 年內部攻擊顯著增加，74% 的組織表示攻擊變得更加頻繁（較前一年增加 6%），其中 60% 至少經歷過一次攻擊，25% 經歷過超過六次攻擊。

如何防範內部威脅

如果您想保護組織免受內部攻擊，就必須清楚了解您正在面對什麼。請遵循以下指引，據此聚焦於您的資產、人員與工具：

保護關鍵資產

首先識別最重要的事項。找出關鍵系統、敏感資料、實體位置與人員。依重要性對這些資產進行排序。接著，將最強的安全措施套用到最高優先順序的項目上。這種聚焦式方法可確保您最有價值的資源獲得最多保護。

建立正常行為基準

您需要知道什麼是正常狀態，才能辨識異常。使用軟體追蹤使用者與裝置活動。從存取記錄、VPN連線及驗證系統擷取資料。為每位使用者與職務角色建立典型行為模式。此基準可讓您標記異常情況，例如使用者在不尋常時段下載大量檔案，以便快速審查。

提高可視性

部署可監看使用者動作並串聯不同來源資料的監控工具。您可以使用欺敵技術，例如為惡意內部人員設置陷阱。這些陷阱可揭露其手法與目標。將這些情報匯入您的其他安全系統，以阻止攻擊。

落實政策

定義您的安全規則。將其文件化並與所有人分享。員工、承包商與合作夥伴都必須了解可接受的行為。消除任何模糊空間。明確指出，未經授權分享特權資訊是不被允許的。

推動文化變革

阻止威脅比偵測威脅更好。應致力於在有害行為發生前加以遏止。建立將安全視為共同責任的文化。定期訓練有所幫助；衡量員工滿意度也同樣重要，因為這有助於及早發現可能導致風險的不滿跡象。

如何因應內部威脅風險

1. 制定全面的內部威脅計畫 – 為了因應內部威脅；組織應制定涵蓋政策、程序與技術的全面計畫。此計畫應涵蓋內部風險的所有面向，包括員工監控、存取控制與事件回應。
2. 定期進行安全意識訓練 – 定期的安全意識培訓可協助員工了解內部威脅的風險以及如何避免這些風險。應針對密碼管理的最佳實務對員工進行培訓，社交工程攻擊，以及如何回報可疑活動。
3. 監控員工活動 – 監控員工活動對於偵測和防範內部威脅至關重要。這可能包括監控員工電子郵件、檔案傳輸和網路活動。然而，組織必須在監控需求與員工隱私權及法律要求之間取得平衡。
4. 實施存取控制 – 存取控制 可協助限制內部人員接觸敏感資料和系統的範圍。組織應實施以角色為基礎的存取控制，確保員工僅能存取執行其工作職責所需的資料和系統。存取控制也應定期檢視與更新，以維持其有效性。
5. 使用 XDR 和反惡意軟體 – XDR（Extended Detection and Response）是一種新一代安全技術，可在端點、網路和雲端環境等多個向量上提供即時威脅偵測與回應。反惡意軟體可協助偵測並防止惡意軟體安裝到員工裝置上。透過 XDR，企業可識別異常存取和使用者行為，從而偵測此類嘗試。
6. 進行背景調查 – 組織應在授予員工、承包商和第三方合作夥伴存取敏感資料與系統的權限之前，對其進行徹底的背景調查。背景調查可協助識別潛在的內部威脅，例如有竊盜或詐欺紀錄的人員。
7. 實施事件回應程序 – 組織應具備 事件回應 程序，以便快速且有效地回應內部威脅。這些程序應包括回報與調查事件的步驟、識別事件根本原因，以及實施矯正措施以防止未來發生類似事件。

Get Deeper Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

結論

內部威脅對各種規模和產業的組織而言，都是重大且日益增加的風險。內部人員存取組織的敏感資料和系統，無論是有意或無意，都可能造成重大損害。鑑於內部威脅的潛在影響，組織必須採取措施降低此風險。

包含用於偵測和防範內部威脅之政策、程序和技術的全面性內部威脅計畫至關重要。組織也應定期進行安全意識培訓、監控員工活動、實施存取控制、使用加密和 DLP 技術、進行背景調查，以及實施事件回應程序。

透過採取這些步驟，組織可降低內部威脅風險，並保護其敏感資料、系統和聲譽。請記住，防禦內部威脅的最佳方式是採取主動且全面的方法，讓組織各層級都參與其中，從高階主管團隊到第一線員工皆然。