La primera categoría de posibles indicadores de amenazas internas involucra el comportamiento humano. Los humanos somos criaturas de hábitos, y cuando esos hábitos cambian de repente, es algo que vale la pena notar. Estos indicadores conductuales de amenazas internas forman la base de lo que los equipos de seguridad deben monitorear, sobre todo considerando que el robo de información de identificación personal (76%) y el robo de propiedad intelectual (59%) se encuentran entre los incidentes internos más comunes.

Formas de evadir políticas y flexibilizar reglas

¿Alguna vez has tenido un empleado que de repente empezó a crear formas de evadir las políticas de seguridad? Esto podría verse como un empleado que recibió acceso a un sistema que normalmente no necesita para su rol de trabajo. 

Esto no siempre es una amenaza interna con intenciones maliciosas; a veces solo se trata de personas que trabajan lo más rápido posible sin considerar la seguridad o el cumplimiento. Pero es una señal de alerta que vale la pena vigilar, sobre todo si se combina con otros indicadores de comportamiento malicioso o equivocado.

Acumulación inusual de archivos

¿Estamos hablando de un representante de ventas que descarga toda la hoja de ruta del producto cuando su trabajo se enfoca en una sola línea de producto? La acumulación de archivos es uno de los indicadores de amenazas internas más comunes. 

Acceso a recursos sensibles fuera de horario

Trabajar hasta tarde, incluida una sesión nocturna de VPN, no es automáticamente sospechoso. Pero si esas sesiones nocturnas de VPN empiezan a convertirse en un patrón, combinadas con el acceso a datos sensibles que la persona no suele tocar durante la jornada laboral, entonces tienes un patrón que vale la pena investigar.

Indicadores de riesgo interno más sutiles: más allá del comportamiento y la tecnología

Aunque los indicadores técnicos y conductuales suelen ser las señales de alerta más visibles en el radar de los equipos de seguridad, hay riesgos internos menos evidentes. Las presiones psicológicas, las preocupaciones financieras, los problemas personales o incluso la influencia ejercida por actores externos son algunos de los factores de riesgo que afectan el comportamiento de los empleados y crean condiciones para las amenazas internas. Reconocer estas áreas de riesgo más "sutiles" antes de que se conviertan en un problema puede ayudar a tu organización a actuar antes de que se manifieste una amenaza interna.

No tienes que espiar a las personas para detectar indicadores de amenazas internas. De hecho, los mejores indicadores suelen implicar observar tus herramientas de seguridad. Las herramientas modernas de Detección y respuesta para endpoints (EDR) pueden generar un informe de anomalías que sería imposible detectar con solo observar a las personas.

Viajes imposibles y anomalías de ubicación

Las anomalías de geolocalización, en especial las que implican un viaje físicamente imposible, son uno de los indicadores de amenazas internas más directos. Alguien comprometió, compartió o usó credenciales que no le pertenecían.

Descargas masivas y acumulación digital de datos

Cuando un empleado de repente empieza a descargar gigabytes de datos, en especial datos a los que normalmente no necesita acceder, comienza a reunir evidencia. 

Registro y controles de seguridad desactivados

Este es un indicador importante. Si observas que alguien con acceso de administrador desactiva el registro, apaga el monitoreo de seguridad o manipula los rastros de auditoría, probablemente tengas un indicador conductual muy alto de una amenaza interna. Rara vez existe una razón legítima para que alguien desactive los mismos controles diseñados para proteger los datos de la organización.

Concesiones de OAuth riesgosas y permisos de aplicaciones de terceros

Presta atención a los empleados que otorgan permisos amplios a aplicaciones de terceros, en especial a "herramientas de productividad" de aspecto sospechoso que solicitan acceso total a tu correo, contactos y archivos. Tal vez no sea gran cosa, pero tal vez esa aplicación inocua sea en realidad un canal de exfiltración disfrazado.

Manipulación de reglas de la bandeja de entrada

A los atacantes les encanta crear reglas de bandeja de entrada que reenvían correos automáticamente o mueven mensajes a carpetas poco visibles. La idea es mantener la persistencia y robar información sin llamar la atención. Los empleados normales rara vez necesitan reglas de correo complejas que deban aplicarse a correspondencia sensible.

Bueno, no son los datos mismos los que te hablan, pero a veces los datos son los que te muestran la historia. Aquí tienes algunas herramientas de detección de amenazas internas que puedes usar para identificar patrones inusuales de movimiento de datos.

Actividad de sincronización personal con el cloud

¿Los datos de trabajo empiezan a sincronizarse de repente con cuentas personales de cloud como Dropbox, Google Drive o OneDrive? Las transferencias mediante estos servicios de cloud comunes son otro método de transferencia que debes vigilar. Una pequeña cantidad de empleados puede hacerlo de forma inocente para acceder a los datos desde varios dispositivos. Pero una sincronización con el cloud también es una forma en que los datos salen de la organización.

Picos de uso de USB y medios extraíbles

Ah, la venerable unidad USB. Sí, esa tecnología de $5 del año 2000 sigue vigente, y sigue siendo uno de los métodos más comunes y fáciles para que alguien interno exfiltre datos.  

Archivos cifrados en lugares inusuales

Cuando alguien guarda archivos ZIP protegidos con contraseña o archivos cifrados en carpetas temporales, directorios personales o zonas de preparación cercanas a la eliminación, por lo general es porque esa persona está preparando los datos para moverlos, casi siempre para exfiltrarlos. Los agrupan, les aplican algún tipo de cifrado para evadir tus herramientas de DLP y los esconden donde creen que nadie los vigila.

Aquí es donde muchas organizaciones tienen dificultades. Quieres detectar amenazas internas, pero no quieres vigilar a cada empleado hasta el punto de que tu empresa se convierta en una pesadilla distópica. Puedes lograr ambas cosas si eres cuidadoso en cómo monitoreas el comportamiento.

Define umbrales claros

Define umbrales claros para qué grado de comportamiento, en combinación, debería activar distintos niveles de respuesta. ¿Un inicio de sesión a altas horas de la noche? Nada más que una curiosidad. ¿Un inicio de sesión nocturno más descargas masivas más una nueva concesión de OAuth para esa aplicación sospechosa de terceros? Empieza a investigar.

Implementa procesos de revisión dual

Nunca permitas que una sola persona tenga control unilateral sobre qué se investiga. La detección de amenazas internas debe tener al menos un proceso de revisión dual.

Alinéate con Recursos Humanos y Legal

Alinéate con estos equipos antes de que ocurra un incidente para saber cómo integrarte, cuándo involucrarlos y qué evidencia necesitas para los distintos tipos de incidentes. 

Documenta tus playbooks

Hasta ahora, hemos hablado de cómo detectar amenazas internas. Pero la mejor seguridad es la que evita que las amenazas internas lleguen a ser un problema. Crea una cultura que haga más difícil que alguien dentro de la organización intente un ataque con éxito.

Adopta el privilegio mínimo

Nadie debería tener acceso a más información de la que su puesto requiere. Refuerza tu entorno para que los empleados tengan menos acceso y, por lo tanto, menos información que exfiltrar. 

Realiza revisiones periódicas de acceso

Realiza revisiones periódicas de acceso para que los permisos de cada persona coincidan con su rol actual, no con su descripción de puesto más reciente. Esta es una de las mejores formas de eliminar accesos obsoletos o inapropiados en tu entorno.

Crea rutas claras de generación de informes

Facilita al máximo que otros empleados puedan presentar un informe sobre comportamientos potencialmente sospechosos. A veces, tu mejor herramienta de detección es un compañero que nota algo raro y sabe cómo generar un informe al respecto de forma segura.

La detección de amenazas internas significa tener una vista de todo tu entorno, desde endpoints hasta cloud e identidad. Huntress Managed Identity Threat Detection and Response (ITDR) da esa visibilidad, con señales centradas en la identidad para detectar comportamientos anómalos antes de que se conviertan en un problema serio. Combina eso con Huntress Managed SIEM para correlación y recolección de evidencia, además de nuestro Managed Security Awareness Training, para crear una cultura más sólida de generación de informes.