A method for insiders detection in the organization

Kornienko Anatolii Adamovich Doctor of Technical Science Professor, Head of the Department of Computer Science and Information Security, Emperor Alexander I St. Petersburg State University of Communications 190031, Russia, g. Saint Petersburg, Moskovskii pr., 9 kaa.pgups@yandex.ru

Polyanichko Mark Aleksandrovich PhD in Technical Science Associate Professor, Department of Computer Science and Information Security, Emperor Alexander I St. Petersburg State University of Communications 190031, Russia, Sankt-Peterburg oblast', g. Saint Petersburg, ul. Moskovskii, 9 polyanichko@pgups.ru Other publications by this author

Определение случайных и преднамеренных инсайдерских угроз – задача, которую решают аналитики и администраторы информационной безопасности как в коммерческом секторе, так и в государственных организациях ^[20]. До 75 % инцидентов, связанных с действиями инсайдеров до сих пор обнаруживается в ручном режиме и только 19 % действий выявляются с помощью сочетания автоматизированных средств и ручных процедур ^{[5, 21]}. Вместе с тем, отчеты компаний – разработчиков программных средств обеспечения информационной безопасности показывают, что количество инцидентов, связанных с инсайдерской активностью растет ^{[4, 7]}.

В данной работе в основу процесса обнаружения инсайдерской деятельности в организации положена парадигма оценивания потенциальной склонности (предиспозиции) сотрудника организации к инсайдерской деятельности и выявление инсайдера по результатам регистрации инцидента информационной безопасности, связанного с инсайдерской деятельностью, и его расследования с учетом рисков предиспозиции. Предиспозиция – готовность, предрасположенность субъекта к поведенческому акту, действию, поступку, их определенной последовательности ^[12].

Проблемы, связанные с инсайдерскими угрозами сложнее поддаются решению, чем технические проблемы. Люди проявляют себя по-разному (полиморфное поведение), зачастую, они склонны скрывать свои истинные эмоции от окружающих, меняют своё поведение в зависимости от ситуации. Инсайдер будет постоянно анализировать и оценивать риск быть пойманным. В связи с этим, решение задачи выявления потенциальных и реальных инсайдеров требует создание метода, сочетающего в себе технические и организационные меры ^{[17, 18]}.

Предлагаемый метод обнаружения инсайдерской деятельности комбинирует применение организационных и технических подходов и агрегирует разнородные данные ^[19].

Для выявления инсайдерской деятельности в организации предлагается следующий метод (Рис. 1):

Рис. 1. Метод обнаружения инсайдерской деятельности

Метод предполагает анализ трех групп показателей:

· Стационарных;

· Периодически актуализируемых;

· Динамических.

Анализ данных показателей позволяет определить, склонен ли работник к совершению нарушения, то есть определяется его предиспозиция.

К стационарным показателям относятся психологические и коммуникативные показатели, зависящие от личности человека. Психологические показатели (экстраверсия, способность прийти к согласию, сознательность, невротизм, открытость опыту) определяются на основе пятифакторного личностного опросника «Большая пятерка» (Big five), разработаного американскими психологами Р. МакКрае и П. Коста ^[6]. Коммуникативные показатели (уровень общительности, склонность к соперничеству, сотрудничеству, компромиссу, склонность к избеганию проблем или приспособлению). Значения стационарных показателей определяются с использованием теста на уровень общительности В.Ф. Ряховского ^[14] и методики диагностики поведения личности в конфликтной ситуации (опросник Кеннета Томаса «Определение способов регулирования конфликтов»).

К периодически актуализируемым относятся личностные показатели, поведенческие показатели, скрининговые показатели (данные полиграфа) и контекстные показатели. Данные показатели представляют собой многомерный набор количественных и качественных показателей, значения которых определяются на основе высказываний экспертов. Для обработки значений применяется нечеткое обобщение метода анализа иерархий [1–3, 8–10, 23].

К динамическим показателям относятся технические показатели (собираются DLP, IDS или SIEM), значения которых могут быть автоматизировано собраны на основе данных вычислительной сети организации и ее информационных систем ^[11]. Данные показатели отражают события, связанные с печатью документов, осуществлением доступа к ресурсам, скачиванием информации и т. п.

Оценки предиспозиции для первых двух групп определяются по следующим показателям:

Личностные показатели

- Нахождение в состоянии депрессии;

- Наличие алкогольной зависимости;

- Наличие наркотической зависимости;

- Наличие зависимости от азартных игр;

- Недавняя смерть близкого человека;

- Недовольство условиями труда;

- Наличие хронических заболеваний;

- Наличие хронических заболеваний у близких;

- Нахождение в состоянии расставания или развода.

Поведенческие показатели

- Нарушение установленных правил и процедур;

- Преднамеренное вредительство;

- Нарушение трудового распорядка;

- Добровольчество, дающее доступ к конфиденциальным данным;

- Сверхурочная работа;

- Резкие высказывания, шутки или хвастовство;

- Проявление агрессии.

Контекстные показатели

- Участие в деятельности отдельных лиц или групп, выступающих против основных убеждений организации;

- Наличие судимости;

- Доступ к финансовым активам организации;

- Участие в деятельности, которая может вызвать конфликт интересов;

- Ведение собственного бизнеса;

- Наличие кредитов и иных финансовых обязательств;

- Активное присутствие в социальных сетях.

Скрининговые показатели

- Наличие алкогольной зависимости;

- Наличие наркотической зависимости;

- Наличие зависимости от азартных игр;

- Наличие хронических заболеваний;

- Наличие хронических заболеваний у близких;

- Кражи по предыдущим местам работы;

- Наличие кредитов и иных финансовых обязательств;

- Искажение данных о себе (документы, записи в трудовой книжке, анкетные данные) при поступлении на работу;

- Наличие связей в криминальном мире;

- Передача конфиденциальной информации посторонним лицам;

- Совершение противоправных действий, в том числе оставшихся нераскрытыми.

Для оценки каждого показателя , влияющего на предиспозицию формируется соответствующий опросный лист с множеством ответов .

Данная иерархия может быть представлена деревом декомпозиции (Рис. 2):

Рис. 2. Дерево декомпозиции для i-ой предиспозиции

Оценка предиспозиции вычисляется на основе следующего алгоритма ^[10]:

- Шаг 1. Формирование группы экспертов

Для каждого эксперта должен быть назначен вес . Количество экспертов равно . В зависимости от того, оценку какой предиспозиции необходимо вычислить в группе экспертов могут включаться работники ИТ отделов, работники, отвечающие за информационную безопасность или отдел кадров.

- Шаг 2. Оценка приоритетов важности для вопросов

Экспертным путём выполняются попарные сравнения вопросов по отношению к степени их влияния на оценку определяемой предиспозиции . Для каждого эксперта вычисляется вектор приоритетов , вопросов , где номер эксперта – .

- Шаг 3. Формирование нечетких приоритетов важности для вопросов

Нечеткий приоритет вопроса представляется в виде нечеткого числа .

- Шаг 4. Определение нечетких значений баллов

– нечеткие значения баллов, отводимые на каждый отдельный вопрос .

- Шаг 5. Оценка приоритетов важности для ответов внутри вопросов

Аналогично шагу 2 алгоритма. Каждый экспертом выполняются попарные сравнения ответов , и вычисляются векторы приоритетов , где номер эксперта –

- Шаг 6. Формирование нечетких приоритетов важности для ответов внутри вопросов

- Нечеткий приоритет вопроса представляется в виде нечеткого числа .

- Шаг 7. Определение абсолютных значений баллов

в виде нечетких чисел, зависящих от выбранного экспертом ответа. Количество баллов .

- Шаг 8. Определение значений баллов, влияющих положительно или отрицательно на оценку предиспозиции

Отрицательные значения баллов противоположны их абсолютным значениям.

- Шаг 9. Получение от эксперта вариантов ответов

Эксперты дают ответ на каждый из вопросов .

- Шаг 10. Нормирование общего количества баллов

Баллы, набранные за ответы на вопросы теста нормируются по следующей формуле:

- Шаг 11. Определение оценки предиспозиции

Оценка предиспозиции равняется

Для обнаружения инсайдерской деятельности требуется оценивание показателей, характеризующих склонность к случайному и злонамеренному инсайдерскому поведению и обобщенного динамического показателя. Необходимым условием формирования данных оценок и обобщенного технического показателя, является создание лингвистических переменных. Это обусловлено рядом преимуществ использования лингвистических переменных:

- лингвистические переменные позволяют оперировать непрерывно изменяющимися во времени динамическими входными данными;

- возможность перехода к единой качественной шкале измерений ^[24];

- проведение качественной оценки как входных данных, так и выходных результатов.

Лингвистическая переменная – в теории нечётких множеств, это переменная, которая может принимать значения фраз из естественного или искусственного языка ^{[13, 22]}. Лингвистической переменной называется набор ^[15]:

Обнаружение потенциальной инсайдерской деятельности осуществляется на основе последовательного применения баз правил нечеткого вывода для различных показателей:

Рис. 3. Схема нечеткого вывода обобщенного показателя

Каждая база нечетких правил, которая также может называться лингвистической моделью, состоит из множества нечетких правил , вида

В результате работы предлагаемой схемы вывода, оцениваемый работник организации получает несколько оценок, характеризующих его склонность к случайной или преднамеренной инсайдерской деятельности и оценку обобщенного технического показателя, чувствительного к выполнению подозрительных операций. По каждому работнику вычисляется три оценки:

- Оценка склонности к случайному инсайдерскому поведению AccInsider;

- Оценка склонности к злонамеренному инсайдерскому поведению MalInsider;

- Оценка обобщенного динамического показателя ITSummary.

На завершающем этапе метода, все работники приоритезируются по степени актуальности угрозы на основании вычисленных оценок. Для приоритезации работников предлагается использовать критерий Лапласса ^[16]:

Частный вид критерия Лапласа для случайного инсайдерского поведения:

Частный вид критерия Лапласа для злонамеренного инсайдерского поведения:

Допустим, что по результатам работы метода обнаружения инсайдерской угрозы были получены оценки склонности к случайному инсайдерскому поведению и обобщенный технический показатель для четырех работников:

Таким образом, после вычисления критерия Лапласа будут получены следующие приоритеты:

По результатам работы метода определено, что наибольшую угрозу представляет работник, имеющий оценку склонности к непреднамеренному инсайдерскому поведению выше среднего и самую высокую оценку обобщенного технического показателя.

В результате проведенного исследования был разработан метод, позволяющий осуществлять обнаружение инсайдерской деятельности в организации, основанный на оценивании предиспозиции сотрудника к инсайдерской деятельности и выявление инсайдера по результатам регистрации инцидента информационной безопасности.