Ексфільтрація даних – це несанкціоноване перенесення інформації за межі організації. Сьогодні зловмисники використовують AI, щоб шукати потрібну інформацію у викрадених даних за змістом, сортувати її за цінністю та масштабувати один і той самий процес збору на велику кількість цілей.
Проблема ускладнюється тим, що багато організацій не мають повного уявлення про те, де зберігаються їхні чутливі дані та хто має до них доступ. Через це компрометація одного облікового запису або додатка може відкрити доступ до значно більшого обсягу інформації, ніж очікувалося.
Після отримання доступу до бази даних, корпоративної wiki або поштової скриньки головною ціллю зловмисника стають дані. Для їх ексфільтрації не завжди потрібні шкідливе програмне забезпечення чи спеціальні інструменти. Іноді достатньо дійсного облікового запису або однієї вразливості у вебдодатку. Саме копіювання при цьому може виглядати як звичайний мережевий трафік, доки не буде проаналізовано його обсяг.
AI скорочує час між отриманням доступу до середовища та відбором найбільш цінної інформації.
Що таке ексфільтрація даних?
Ексфільтрація даних – це навмисне несанкціоноване перенесення інформації із системи, мережі або хмарного сервісу до середовища, яке контролює зловмисник.
Цей термін відрізняється від суміжних понять. Порушення безпеки даних описує сам факт розкриття інформації, тоді як витік даних часто означає ненавмисне розкриття. Ексфільтрація є навмисною дією, яку може здійснювати як зовнішній зловмисник, так і інсайдер.
Приклади ексфільтрації даних
Один із можливих сценаріїв починається з компрометації бази даних. Зловмисник експлуатує вразливість у вебдодатку, отримує доступ до бази даних і експортує мільйони записів.
Інший сценарій пов’язаний із внутрішніми ресурсами. Використовуючи викрадені облікові дані, зловмисник може скопіювати корпоративну wiki разом із процедурами, описом архітектури та навіть обліковими даними, які працівники могли залишити на її сторінках.
Експорт поштових скриньок може бути менш помітним. Після компрометації облікового запису зловмисник завантажує поштову скриньку та шукає в ній рахунки, договори й персональні дані.
Ще один приклад – атаки з подвійним вимаганням. Спочатку зловмисники копіюють інформацію, після чого шифрують системи та погрожують опублікувати викрадені дані, якщо організація не сплатить викуп.
Поширені методи ексфільтрації даних
Більшість сценаріїв ексфільтрації використовують один або кілька типових шляхів:
- Викрадені облікові дані. Дійсний обліковий запис дозволяє читати та копіювати інформацію через стандартні інтерфейси, тому активність може виглядати як звичайна робота користувача.
- Вразливості додатків. Недоліки вебдодатків, CMS і API можуть дозволити отримувати дані без автентифікації.
- Інсайдери. Працівники або підрядники можуть копіювати інформацію у приватні хмарні сховища, на USB-накопичувачі або надсилати її електронною поштою.
- Хмарна синхронізація та завантаження. Дані можуть переміщуватися до особистих облікових записів або сторонніх файлових сервісів.
- Підготовка та передавання. Перед ексфільтрацією зловмисники часто збирають інформацію у великі архіви, а потім передають її через HTTPS, DNS або інший канал, який уже дозволений у мережі.
Як AI змінює ексфільтрацію даних
Саме копіювання інформації ніколи не було найповільнішою частиною атаки. Значно більше часу вимагали пошук цінних даних і аналіз отриманого масиву інформації.
AI прискорює саме ці етапи.
Пошук викрадених даних за змістом
Раніше аналіз викраденої інформації часто зводився до пошуку за ключовими словами та ручного перегляду файлів.
Тепер AI-модель може аналізувати документи, електронні таблиці та ланцюжки листування й знаходити договори, клієнтські записи або облікові дані навіть тоді, коли назви файлів нічого не говорять про їхній вміст.
У результаті великий масив викраденої інформації можна проаналізувати значно швидше, ніж це здатна зробити людина вручну.
Визначення пріоритетних цілей ще до копіювання
Назви папок, метадані файлів і фрагменти вмісту можуть допомогти AI-моделі визначити, які файлові ресурси або бази даних містять найбільш чутливу інформацію.
Зловмисник може спочатку забрати найбільш цінні дані, а менш важливі файли залишити без уваги. Завдяки цьому обсяг передавання зменшується, а сама активність може бути менш помітною.
Сортування викрадених даних за цінністю
Персональні дані, медична інформація, платіжні дані та інтелектуальна власність мають різну цінність для перепродажу або вимагання.
AI може автоматично класифікувати викрадені записи за типом і допомагати формувати повідомлення з вимогами, у яких згадуються конкретні документи чи записи організації.
Автоматизація збору даних
Пошук, копіювання, стиснення, підготовка та передавання даних можна автоматизувати.
Кожен етап може виконуватися за сценарієм з автоматичними повторними спробами, а одна й та сама схема може одночасно застосовуватися проти багатьох організацій.
Традиційна та AI-підсилена ексфільтрація даних
| Етап | Традиційна ексфільтрація | Ексфільтрація з використанням AI |
| Пошук цінних даних | Пошук за ключовими словами та ручний перегляд | Аналіз документів і листування за змістом, навіть якщо файли мають неінформативні назви |
| Вибір даних для копіювання | Копіювання всього доступного або вибір наосліп | Пріоритизація за вмістом із виключенням менш цінних даних |
| Сортування викрадених даних | Ручний аналіз отриманого масиву інформації | Автоматична класифікація записів за типом і приблизною цінністю |
| Вимагання та перепродаж | Загальні повідомлення з вимогами | Повідомлення з посиланням на конкретні викрадені файли та записи |
| Збір і підготовка | Зловмисник запускає окремі команди вручну | Автоматизовані сценарії знаходять, копіюють, стискають і передають дані |
| Масштаб | Одночасна робота з невеликою кількістю цілей | Одна й та сама схема застосовується до багатьох організацій |
| Що бачить команда захисту | Великі обсяги передавання, які простіше помітити | Менші цільові передавання, які легше приховати серед звичайного трафіку |
Як виявити ексфільтрацію даних
До можливих ознак ексфільтрації належать:
- великі архіви у нетипових розташуваннях;
- незвично великий обсяг вихідного трафіку;
- з’єднання з невідомими зовнішніми ресурсами;
- масове читання записів із бази даних або поштової скриньки;
- доступ до файлових ресурсів у нетиповий час;
- облікові записи, які починають читати дані, з якими раніше не працювали.
Підготовка даних до передавання є одним з етапів, який відносно легко перевірити.
У Linux наступна команда дозволяє знайти великі архіви, створені протягом останніх 24 годин:
find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null У Windows аналогічну перевірку можна виконати за допомогою PowerShell. Доцільно вказувати конкретні шляхи до файлових ресурсів, оскільки перевірка всього диска C: може зайняти багато часу.
Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue |
Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } |
Select-Object FullName, Length, CreationTime Такі перевірки підходять для окремого сервера. Але коли потрібно контролювати файлові сервери, SharePoint, поштові скриньки та бази даних одночасно, ручний підхід перестає масштабуватися.
Крім того, велике передавання часто стає помітним уже після того, як інформація залишила середовище організації. Тому ефективніший захист починається раніше, з розуміння того, які саме дані зберігаються в інфраструктурі та де вони розташовані.
Запобігання ексфільтрації: зменшення обсягу доступних даних
Мережеві засоби захисту та контроль кінцевих точок залишаються важливими, але їхня ефективність залежить від розуміння того, які дані є чутливими.
Багато організацій не можуть точно визначити, де зберігаються персональні й платіжні дані або інтелектуальна власність і хто має до них доступ. Це створює сприятливі умови для ексфільтрації, особливо якщо інформація не класифікована, має надмірно широкі права доступу або вже давно не використовується.
Netwrix Data Classification постійно виявляє чутливі та регламентовані дані у Windows File Server, NetApp, Dell EMC, Nutanix Files, SharePoint, Microsoft 365, Exchange, SQL Server, Oracle, MySQL, Box, Dropbox і Google Drive.
Попередньо налаштовані правила охоплюють GDPR, HIPAA та PCI DSS, а власні таксономії дозволяють класифікувати дані відповідно до специфіки організації.
Оцінка ризиків допомагає визначити, які чутливі дані мають найбільший рівень доступності. Автоматизоване виправлення може переміщувати чутливі файли до захищених розташувань, видаляти дозволи для груп із глобальним доступом і приховувати конфіденційний вміст.
Механізм виявлення ROT-даних визначає надлишкову, застарілу та незначущу інформацію, яку можна видалити. Чим менше непотрібних даних зберігається у відкритому доступі, тим менше можливостей отримує зловмисник.
Мітки класифікації також можна вбудовувати у файли, підвищуючи точність DLP та IRM-рішень. Класифікація не лише зменшує обсяг відкритої інформації, а й допомагає іншим засобам захисту визначати, які дані потребують найбільшого контролю.
Блокування передавання на рівні пристрою вже належить до завдань DLP. Netwrix Endpoint Protector застосовує відповідні політики до USB-пристроїв, браузерів, електронної пошти та AI-інструментів у Windows, macOS і Linux.
Чекліст для запобігання ексфільтрації даних
- Визначити, де зберігаються чутливі дані, включно з файловими серверами, SharePoint, поштовими скриньками та базами даних.
- Класифікувати їх за типом, наприклад персональні дані, платіжна інформація та інтелектуальна власність, і регулярно оновлювати класифікацію.
- Видалити надмірні права доступу, починаючи з груп із глобальним доступом.
- Видалити або архівувати надлишкові, застарілі та незначущі дані.
- Перемістити чутливі файли з відкритих файлових ресурсів до контрольованих розташувань.
- Застосувати DLP-контроль на пристроях для USB, браузерів, електронної пошти та AI-інструментів.
- Відстежувати появу великих архівів і нетипові обсяги вихідного передавання даних.
