Warum wir uns um den Diebstahl von 1 $ kümmern sollten

User-Journey-Analytics: Der Fall des fehlenden Dollars

Stellen Sie sich vor, der Sicherheitschef eines der führenden Finanzinstitute des Landes erhält einen Anruf von seinem Team, weil 500.000 Dollar verschwunden sind. Nach stundenlanger Analyse von Transaktionen verfolgt das Team das fehlende Geld zu einem Mitarbeiter, der sechs Monate zuvor ebenfalls 1 Dollar gestohlen hatte.

Der betreffende Mitarbeiter tätigte mehrere 1-Dollar-Transaktionen auf sein eigenes Konto auf dem Schadenregulierungsportal des Unternehmens. Als die Mitarbeiter merkten, dass niemand diese Transaktionen prüfte, wurden sie immer dreister und fingen an, größere Summen zu unterschlagen. Schließlich holte die Gier ein, als sie versuchten, 500.000 Dollar zu senden, woraufhin das Sicherheitsteam den Vorfall entdeckte und aktiv wurde.

Dies ist ein Beispiel aus der Praxis eines Versicherungsunternehmens.

Insider-Bedrohung: Was Sie nicht erkennen können, macht Sie angreifbar

Eine große Zahl der heutigen Bedrohungen für Finanzinstitute weltweit kommt nicht nur von externen Bedrohungen, sondern von innen. Oder durch externe Akteure, die gestohlene Anmeldeinformationen von authentifizierten Benutzern verwenden. Infolgedessen verschärfen Finanzinstitute ihre Sicherheitsvorkehrungen, um auf möglichen Missbrauch oder Missbrauch durch Mitarbeiter und Auftragnehmer zu achten, die ihre SaaS- und kundenspezifischen Anwendungen verwenden.

Cybersecurity-Technologielösungen ermöglichen die Erkennung böswilliger Aktivitäten in Netzwerken, Betriebssystemen und Geräten. Böswillige Aktivitäten und Betrug werden hauptsächlich durch zwei Methoden erkannt:

• Regel- und signaturbasierte Erkennung, die potenziell böswilliges Verhalten anhand von Regeln und bekannten schlechten Indikatoren identifiziert.
• Statistische volumetrische Häufigkeitsmethoden, auch bekannt als User Entity Behavior Analytics (UEBA).

Diese Lösungen waren auf Netzwerk-, Endpunkt- und Zugriffsebene effektiv. Aber wenn es um die Anwendungsschicht geht, greifen diese Erkennungs- und Reaktionsmethoden zu kurz. Die Beurteilung von abnormalem Nutzerverhalten anhand durchschnittlicher täglicher Aktivitäten liefert keine genauen Ergebnisse, da es kein „durchschnittliches“ Verhalten gibt.

Nehmen wir zum Beispiel eine Managerin bei einer Versicherungsgesellschaft: Einen Teil ihrer Tage verbringt sie damit, Schadensfälle zu regulieren und Gelder auf Kundenkonten zu überweisen. An anderen Tagen bereitet sie Berichte vor, und gegen Ende des Quartals bereitet sie einige Tage lang eine Präsentation der Tätigkeit ihrer Abteilung vor. Dawn hat kein durchschnittliches tägliches Verhalten, sie macht die ganze Zeit verschiedene Dinge.

Wie können wir also vorsätzlichen Missbrauch von innen erkennen? Wir müssen User Journeys über Geschäftsanwendungen hinweg konstruieren und die typischen Nutzungsmuster interner und externer Benutzer lernen.

User Journey Analytics zur Erkennung von Insider-Bedrohungen

User Journey Analytics betrachtet nicht eine einzelne Aktivität eines einzelnen Benutzers. Stattdessen analysiert es Sequenzen von Aktivitäten eines bestimmten Benutzers und bildet eine Reihe von Reiseprofilen, die dieser Benutzer in einer Anwendung unternimmt. Da Benutzer mehrere Aktionen in unterschiedlichen Sequenzen und Zeitintervallen ausführen, lernt diese Methode, was für jeden Benutzer als „typische“ Benutzerreise angesehen wird. Wenn ein Mitarbeiter eine Aktion ausführt, die außerhalb dieser normativen Benutzerreisen erscheint, identifiziert er die geänderte Reise als „Ausreißer“.

Erlernen von User Journeys in großem Maßstab, um Bedrohungen zu verhindern

Kehren wir zu dem Beispiel zurück, mit dem wir begonnen haben. Durch den Einsatz von User-Journey-Analysen hätte die Versicherungsgesellschaft Fälle von anomalem Verhalten des Mitarbeiters gesehen, der seinem Konto 1 US-Dollar gutgeschrieben hätte. Diese Anomalie hätte potenzielle böswillige Aktivitäten gewarnt, wodurch der Fokus auf den betreffenden Mitarbeiter eingeengt und ein rechtzeitiges Eingreifen ermöglicht worden wäre.

Doron Hendler ist Mitbegründer und CEO von RevealSecurity.