insider

Insider to osoba, która ma albo miała uprawniony dostęp do zasobów organizacji lub wiedzę o nich: o ludziach, obiektach, informacjach, sprzęcie, sieciach i systemach ^[1]. Zagrożenie typu insider (insider threat) to według CISA możliwość, że taka osoba użyje swojego dostępu albo wiedzy o organizacji, by jej zaszkodzić ^[1]. NIST w definicji podkreśla, że dzieje się to świadomie albo nieświadomie ^[2]. Źródłem szkody nie jest więc włamanie z zewnątrz, lecz dostęp nadany legalnie.

Jak działa

Insider nie musi pokonywać zabezpieczeń, bo już jest po ich właściwej stronie. Ma konto, hasło, klucze i wie, gdzie leżą dane. Dlatego jego działania trudno odróżnić od zwykłej pracy. Kradzież danych wygląda jak eksport raportu, a sabotaż jak zmiana konfiguracji.

CISA wymienia pięć głównych przejawów zagrożenia wewnętrznego: przemoc, szpiegostwo, sabotaż, kradzież i działania w cyberprzestrzeni ^[1]. W systemach informatycznych najczęściej chodzi o eksfiltrację danych, niszczenie danych albo sprzedaż dostępu. NIST wymienia wśród możliwych szkód szpiegostwo, nieuprawnione ujawnienie informacji i osłabienie zasobów lub możliwości organizacji ^[2].

Rodzaje

CISA dzieli zagrożenia wewnętrzne według intencji sprawcy ^[1].

Wariant zmowy wiąże się z rynkiem dostępu. Przestępcy, w tym brokerzy początkowego dostępu (initial access broker), mogą kupić od pracownika to, czego nie zdobyli socjotechniką. Sekurak, opisując takie oferty, zwracał uwagę, że kupiony dostęp może otworzyć drogę do ataku ransomware ^[3].

W WordPressie

Na stronie WordPress insiderem jest każdy, kto ma konto w panelu albo dostęp do serwera: redaktor, programista, agencja, firma hostingowa, były pracownik z nieusuniętym kontem. Dokumentacja opisuje administratora jako osobę z dostępem do wszystkich funkcji administracyjnych pojedynczej witryny, a superadministratora jako osobę z dostępem do administracji całej sieci i wszystkich innych funkcji ^[6]. Redaktor może publikować i zarządzać wpisami, także cudzymi, a autor tylko własnymi ^[6].

Z tego wynikają proste zasady, które ograniczają szkody:

• nadawać możliwie najniższą rolę, zgodnie z zasadą najmniejszych uprawnień; opis ról zawiera hasło role i uprawnienia użytkowników;
• zakładać osobne konta dla każdej osoby i firmy zamiast dzielić jedno konto administratora;
• po zakończeniu współpracy usuwać konto, cofać hasła aplikacji i zmieniać dostęp do serwera, na przykład klucze SFTP;
• regularnie sprawdzać listę administratorów, bo nieznane konto administratora bywa śladem po dawnym dostępie.

Gdy istnieje podejrzenie, że ktoś zachował aktywną sesję, pomaga wymiana kluczy w wp-config.php. Dokumentacja WordPressa podaje, że klucze bezpieczeństwa można zmienić w dowolnym momencie, by unieważnić wszystkie istniejące ciasteczka, a wszyscy użytkownicy muszą wtedy zalogować się ponownie ^[7]. Wymiana kluczy nie zmienia haseł, więc trzeba ją połączyć z ich zmianą.

Zagrożenia i skutki

Insider zna słabe punkty organizacji i może zacierać ślady. Dlatego szkody są często wykrywane późno. Skutki obejmują utratę danych, straty finansowe, przejęcia kont klientów i odpowiedzialność prawną za wyciek danych. Szczególnie groźne jest połączenie szerokich uprawnień z możliwością edycji logów, bo wtedy ta sama osoba może zrobić szkodę i usunąć dowody.

Jak się bronić

Obrona przed zagrożeniem wewnętrznym nie polega na podejrzliwości wobec wszystkich, lecz na ograniczaniu tego, co jedna osoba może zrobić sama. Pomaga cykl życia dostępu pokazany na schemacie poniżej.

RYS. 1Cykl życia dostępu

Praktyczne środki to:

• zarządzanie dostępem uprzywilejowanym (privileged access management), czyli nadawanie wysokich uprawnień tylko na czas zadania;
• rejestrowanie działań w panelu i na serwerze w miejscu, do którego administrator strony nie ma prawa zapisu; zob. retencja logów;
• rozdzielenie obowiązków, tak by nikt nie mógł jednocześnie wykonać operacji i usunąć jej śladu;
• szkolenia z cyberbezpieczeństwa, bo część incydentów to zaniedbania, a nie złe intencje.

Historia i przykłady

Sekurak 2 kwietnia 2021 roku opisał ogłoszenia, w których grupa działająca pod nazwami takimi jak „Workers United” proponowała pracownikom pieniądze za dostęp do firmowych kont ^[3]. Oferowano do 500 dolarów na start i 25 dolarów miesięcznie za utrzymanie dostępu, a adresatami byli pracownicy niezadowoleni z pracy albo tacy, którzy odeszli z firmy ^[3].

W maju 2021 roku Sekurak opisał sprawę 42-letniego pracownika działu IT banku w Chmielniku, który okradł bank na kwotę co najmniej 960 tys. złotych ^[4]. Według artykułu wykorzystywał swoje uprawnienia i wiedzę, aby po przejęciu pieniędzy kasować z systemów ślady transakcji ^[4].

W listopadzie 2022 roku Sekurak, powołując się na The Wall Street Journal, opisał zwolnienie lub ukaranie ponad dwudziestu pracowników i wykonawców Meta ^[5]. Wykorzystywali wewnętrzne narzędzie do odzyskiwania kont; jeden z wykonawców resetował konta na rzecz hakerów w zamian za płatności w bitcoinach ^[5].