لماذا يجب أن نهتم بسرقة دولار واحد

تحليلات رحلة المستخدم: قضية الدولار المفقود

تخيل أن رئيس الأمن في إحدى المؤسسات المالية الرائدة في البلاد يتلقى مكالمة من فريقه بسبب فقد 500000 دولار. بعد ساعات طويلة من تحليل المعاملات ، يتتبع الفريق الأموال المفقودة لموظف سرق أيضًا دولارًا واحدًا قبل ستة أشهر.

أجرى الموظف المعني عدة معاملات بقيمة 1 دولار أمريكي لحسابه الخاص على بوابة تسوية مطالبات الشركة. بمجرد أن أدرك الموظف أن لا أحد يدقق في هذه المعاملات ، أصبح أكثر جرأة وبدأ في اختلاس مبالغ أكبر. في النهاية ، علق الجشع عندما حاولوا إرسال 500000 دولار ، وهو الوقت الذي اكتشف فيه فريق الأمن الحادث وبدأ في العمل.

هذا مثال واقعي من شركة تأمين.

تهديد من الداخل: ما لا يمكنك اكتشافه يجعلك عرضة للخطر

لا يأتي عدد كبير من تهديدات اليوم للمؤسسات المالية في جميع أنحاء العالم من التهديدات الخارجية فحسب ، بل من الداخل أيضًا. أو بواسطة جهات خارجية تستخدم بيانات اعتماد مسروقة من مستخدمين مصادق عليهم. نتيجة لذلك ، تعمل المؤسسات المالية على تشديد إجراءات الأمن لديها لتكون متيقظة لسوء الاستخدام أو إساءة الاستخدام المحتملة من الموظفين والمقاولين باستخدام SaaS والتطبيقات المصممة خصيصًا.

تتيح حلول تكنولوجيا الأمن السيبراني اكتشاف الأنشطة الضارة على الشبكات وأنظمة التشغيل والأجهزة. يتم اكتشاف النشاط الضار والاحتيال بشكل أساسي من خلال طريقتين:

• الكشف القائم على القاعدة والتوقيع الذي يحدد السلوك الضار المحتمل من خلال القواعد والمؤشرات السيئة المعروفة.
• طرق التردد الإحصائي الحجمي ، والمعروفة أيضًا باسم تحليلات سلوك كيان المستخدم (UEBA).

كانت هذه الحلول فعالة على الشبكة ونقطة النهاية وطبقات الوصول. ولكن عندما يتعلق الأمر بطبقة التطبيق ، فإن طرق الاكتشاف والاستجابة هذه تقصر. لا يؤدي تقييم سلوك المستخدم غير الطبيعي من خلال متوسط ​​الأنشطة اليومية إلى نتائج دقيقة ، حيث لا يوجد شيء مثل السلوك “المتوسط”.

لنأخذ ، على سبيل المثال ، مديرة في شركة تأمين: تقضي بعض أيامها في تسوية المطالبات وتحويل الأموال إلى حسابات العملاء. في أيام أخرى تعد التقارير ، وفي نهاية الربع ، تقضي بضعة أيام في إعداد عرض تقديمي لنشاط إدارتها. ليس لدى Dawn سلوك يومي متوسط ​​، فهي تفعل أشياء مختلفة طوال الوقت.

إذن ، كيف يمكننا الكشف عن سوء الاستخدام المتعمد من الداخل؟ يجب علينا إنشاء رحلات المستخدم عبر تطبيقات الأعمال ومعرفة أنماط الاستخدام النموذجية للمستخدمين الداخليين والخارجيين.

تحليلات رحلة المستخدم لاكتشاف التهديدات الداخلية

لا تنظر تحليلات رحلة المستخدم إلى نشاط واحد من مستخدم واحد. بدلاً من ذلك ، يقوم بتحليل تسلسل الأنشطة من مستخدم معين ويشكل مجموعة من ملفات تعريف الرحلة التي يقوم بها هذا المستخدم في أحد التطبيقات. نظرًا لأن المستخدمين يقومون بإجراءات متعددة في تسلسلات وفترات زمنية مختلفة ، فإن هذه الطريقة تتعرف على ما يعتبر رحلة مستخدم “نموذجية” لكل مستخدم. عندما يقوم الموظف بإجراء ما يظهر خارج رحلات المستخدم المعيارية هذه ، فإنه يحدد الرحلة المتغيرة على أنها “خارجية”.

تعلم رحلات المستخدم على نطاق واسع لمنع التهديدات

لنعد إلى المثال الذي بدأنا به. من خلال نشر تحليلات رحلة المستخدم ، كانت شركة التأمين قد شهدت حالات من السلوك الشاذ للموظف الذي يقيد دولارًا واحدًا في حسابه. كان من شأن هذا الوضع الشاذ أن ينبه أي نشاط ضار محتمل ، وبالتالي يضيق التركيز على الموظف المعني ويوفر التدخل في الوقت المناسب.

دورون هندلر هو الشريك المؤسس والرئيس التنفيذي لشركة Doron Hendler RevealSecurity.