I’m now putting the final touches on the HTML output. I’ve designed the output to focus on the dire consequences of internal breaches. The opening paragraph highlights the importance of Zero Trust. Then, it offers an example of “Təşkilat” that lost confidential client information due to an overly permissive system. The final recommendation is to monitor unusual behaviors.

Pinco-da Daxili Təhdid: Praktiki Təlimat

pinco az bir işçiyə yalnız vəzifə öhdəliklərini yerinə yetirmək üçün lazım olan minimum giriş hüquqları verin. Ən az imtiyaz prinsipi (PoLP) tətbiq edilməlidir. Məsələn, mühasibatlıq şöbəsinin əməkdaşının marketinq kampaniyalarının xam məlumatlarına çıxışı olmamalıdır.

Məlumat bazalarına və fayl serverlərinə bütün giriş cəhdlərini, o cümlədən uğursuz cəhdləri qeydə alan avtomatlaşdırılmış log sistemi quraşdırın. Bu jurnalları ən azı 180 gün saxlayın və hər rüb təsadüfi seçmə üsulu ilə yoxlayın. Anomal fəaliyyət, məsələn, qeyri-iş saatlarında sistemə daxil olmaq və ya həddən artıq böyük həcmdə fayl yükləmək kimi hallar üçün avtomatik xəbərdarlıqlar konfiqurasiya edin.

Təşkilatdan ayrılan personalın bütün sistemlərə və fiziki məkanlara girişi dərhal, işdən çıxma sənədinin imzalandığı andan etibarən bir saat ərzində ləğv edilməlidir. Bütün korporativ avadanlıqlar (noutbuk, telefon) və giriş kartları təhvil alınmalıdır. Bu prosesi idarə etmək üçün avtomatlaşdırılmış offboarding skriptlərindən istifadə edin.

Məlumatları həssaslıq dərəcəsinə görə təsnifləşdirin: ictimai, daxili istifadə üçün, məxfi. Məxfi məlumatları, məsələn, müştəri məlumatları və maliyyə hesabatlarını, həm saxlanma zamanı (at-rest), həm də ötürülmə zamanı (in-transit) AES-256 alqoritmi ilə şifrələyin. Şifrələmə açarlarının idarə olunması üçün xüsusi bir protokol hazırlayın və ona yalnız məhdud sayda səlahiyyətli şəxsin çıxışını təmin edin.

USB portların və xarici yaddaş qurğularının istifadəsini texniki səviyyədə məhdudlaşdırın. Yalnız təsdiqlənmiş və şifrələnmiş cihazların qoşulmasına icazə verin. Bulud yaddaş xidmətlərinə (Dropbox, Google Drive) korporativ şəbəkədən çıxışı məhdudlaşdırın və ya yalnız müəssisənin təsdiqlədiyi platformadan istifadəyə icazə verin.

Potensial daxili təhdidə işarə edən işçi davranışlarının müəyyən edilməsi

Daxili sui-istifadə hallarının qarşısını almaq üçün əməkdaşların davranışındakı spesifik dəyişiklikləri müntəzəm olaraq izləyin. Aşağıdakı göstəricilər yüksək risk siqnallarıdır:

1. Məlumatla Anormal Davranış:

   • Şəxsi vəzifə öhdəliklərinə aid olmayan məlumat bazalarına və ya fayllara giriş cəhdləri.
   • Böyük həcmdə korporativ məlumatların USB daşıyıcılara, xarici disklərə və ya şəxsi bulud hesablarına kütləvi köçürülməsi.
   • Təhlükəsizlik siyasətlərindən yayınma, proksi serverlərdən və ya anonimayzerlərdən istifadə.
   • Məxfi sənədlərin iş yerindən kənara çıxarılması və ya icazəsiz çap edilməsi.

2. İş Rejimində və Vərdişlərdə Qeyri-adi Dəyişikliklər:

   • İş vaxtından kənar, xüsusilə gecə saatlarında və ya həftəsonları ofisdə olmaq və ya korporativ şəbəkəyə qoşulmaq.
   • İşdən ayrılma prosesində olan əməkdaşın sistemdəki fəaliyyətinin və məlumat yükləmələrinin kəskin artması.
   • Məzuniyyət və ya xəstəlik dövründə korporativ resurslara daxil olmaq üçün təkrarlanan cəhdlər.

3. Psixoloji və Maliyyə Göstəriciləri:

   • Şirkət, rəhbərlik və ya həmkarlara qarşı açıq şəkildə ifadə edilən narazılıq, qəzəb və ya intiqam arzusu.
   • Əməkhaqqına uyğun olmayan ani həyat tərzi dəyişiklikləri: bahalı avtomobillər, daşınmaz əmlak, səyahətlər.
   • Həmkarlarından qəfil təcrid olunma, sosial tədbirlərdən yayınma və ünsiyyətdə aqressivlik.
   • Aidiyyatı olmayan şöbələrin işinə, maliyyə hesabatlarına və ya strateji planlara həddindən artıq maraq göstərmək.

Daxili məlumat sızmasından şübhələndikdə rəqəmsal kriminalistikanın ilk addımları

Şübhəli kompüteri dərhal şəbəkədən ayırın. Bu, proqram təminatı vasitəsilə deyil, fiziki olaraq şəbəkə kabelini çıxarmaqla edilməlidir. Cihazı söndürməyin, çünki bu, operativ yaddaşdakı (RAM) dəyişkən sübutları məhv edəcək.

Sistem aktiv vəziyyətdə ikən operativ yaddaşın (RAM) tam surətini (dump) yaradın. Bu proses üçün etibarlı xarici daşıyıcıdan (USB) FTK Imager Lite və ya Belkasoft RAM Capturer kimi alətlərdən istifadə edin. Əldə edilən yaddaş surəti aktiv proseslər, şəbəkə bağlantıları və şifrələmə açarları haqqında məlumatları saxlayır.

Cihazın fiziki vəziyyətini, o cümlədən ekran görüntüsünü və qoşulmuş periferiya qurğularını sənədləşdirin. Sübutların ötürülməsi zəncirini (Chain of Custody) tərtib etməyə başlayın: kim, nə vaxt, harada və hansı məqsədlə sübuta toxunduğunu qeyd edin. Cihaz təhlükəsiz, kilidli bir yerdə saxlanılmalıdır.

Sərt diskin və ya SSD-nin bit-bit surətini (forensic image) yaradın. Bu əməliyyat zamanı mənbə diskə məlumat yazılmasının qarşısını alan aparat yazma bloklayıcısından (hardware write-blocker) istifadə mütləqdir. Mənbə diskin və yaradılmış surətin MD5 və ya SHA-256 heş dəyərlərini hesablayın; onlar tamamilə üst-üstə düşməlidir.

Paralel olaraq, mərkəzi loqları təhlil edin. Fayervol, proksi server, VPN və Active Directory autentifikasiya jurnallarını yoxlayın. Qeyri-adi giriş vaxtları (məsələn, gecə saat 3:00), əməkdaşın səlahiyyətləri xaricindəki fayllara müraciətlər, xarici IP ünvanlara böyük həcmli məlumat ötürülməsi və ya bulud anbarlarına (Dropbox, Google Drive) qoşulma cəhdləri kimi anomaliyaları axtarın.