Эксфильтрация данных – это несанкционированная передача информации за пределы организации. Сегодня злоумышленники используют AI, чтобы искать нужную информацию в украденных данных по смыслу, сортировать ее по ценности и масштабировать один и тот же процесс сбора на большое количество целей.
Проблема усложняется тем, что многие организации не имеют полного представления о том, где хранятся их чувствительные данные и кто имеет к ним доступ. Из-за этого компрометация одной учетной записи или приложения может открыть доступ к гораздо большему объему информации, чем ожидалось.
После получения доступа к базе данных, корпоративной wiki или почтовому ящику главной целью злоумышленника становятся данные. Для их эксфильтрации не всегда нужны вредоносное ПО или специальные инструменты. Иногда достаточно действующей учетной записи или одной уязвимости в веб-приложении. Само копирование при этом может выглядеть как обычный сетевой трафик, пока не будет проанализирован его объем.
AI сокращает время между получением доступа к среде и отбором наиболее ценной информации.
Что такое эксфильтрация данных?
Эксфильтрация данных – это преднамеренная несанкционированная передача информации из системы, сети или облачного сервиса в среду, контролируемую злоумышленником.
Этот термин отличается от смежных понятий. Нарушение безопасности данных описывает сам факт раскрытия информации, тогда как утечка данных часто означает непреднамеренное раскрытие. Эксфильтрация является преднамеренным действием, которое может выполнять как внешний злоумышленник, так и инсайдер.
Примеры эксфильтрации данных
Один из возможных сценариев начинается с компрометации базы данных. Злоумышленник эксплуатирует уязвимость в веб-приложении, получает доступ к базе данных и экспортирует миллионы записей.
Другой сценарий связан с внутренними ресурсами. Используя украденные учетные данные, злоумышленник может скопировать корпоративную wiki вместе с процедурами, описанием архитектуры и даже учетными данными, которые сотрудники могли оставить на ее страницах.
Экспорт почтовых ящиков может быть менее заметным. После компрометации учетной записи злоумышленник загружает почтовый ящик и ищет в нем счета, договоры и персональные данные.
Еще один пример – атаки с двойным вымогательством. Сначала злоумышленники копируют информацию, затем шифруют системы и угрожают опубликовать украденные данные, если организация не заплатит выкуп.
Распространенные методы эксфильтрации данных
Большинство сценариев эксфильтрации используют один или несколько типичных путей:
- Украденные учетные данные. Действующая учетная запись позволяет читать и копировать информацию через стандартные интерфейсы, поэтому активность может выглядеть как обычная работа пользователя.
- Уязвимости приложений. Недостатки веб-приложений, CMS и API могут позволить получать данные без аутентификации.
- Инсайдеры. Сотрудники или подрядчики могут копировать информацию в личные облачные хранилища, на USB-накопители или отправлять ее по электронной почте.
- Облачная синхронизация и загрузка. Данные могут перемещаться в личные учетные записи или сторонние файловые сервисы.
- Подготовка и передача. Перед эксфильтрацией злоумышленники часто собирают информацию в крупные архивы, а затем передают ее через HTTPS, DNS или другой канал, уже разрешенный в сети.
Как AI меняет эксфильтрацию данных
Само копирование информации никогда не было самой медленной частью атаки. Значительно больше времени требовали поиск ценных данных и анализ полученного массива информации.
AI ускоряет именно эти этапы.
Поиск украденных данных по смыслу
Раньше анализ украденной информации часто сводился к поиску по ключевым словам и ручному просмотру файлов.
Теперь AI-модель может анализировать документы, электронные таблицы и цепочки переписки и находить договоры, клиентские записи или учетные данные даже тогда, когда названия файлов ничего не говорят об их содержимом.
В результате большой массив украденной информации можно проанализировать значительно быстрее, чем это способен сделать человек вручную.
Определение приоритетных целей еще до копирования
Названия папок, метаданные файлов и фрагменты содержимого могут помочь AI-модели определить, какие файловые ресурсы или базы данных содержат наиболее чувствительную информацию.
Злоумышленник может сначала забрать наиболее ценные данные, а менее важные файлы оставить без внимания. Благодаря этому объем передачи уменьшается, а сама активность может быть менее заметной.
Сортировка украденных данных по ценности
Персональные данные, медицинская информация, платежные данные и интеллектуальная собственность имеют разную ценность для перепродажи или вымогательства.
AI может автоматически классифицировать украденные записи по типу и помогать формировать сообщения с требованиями, в которых упоминаются конкретные документы или записи организации.
Автоматизация сбора данных
Поиск, копирование, сжатие, подготовка и передача данных могут быть автоматизированы.
Каждый этап может выполняться по сценарию с автоматическими повторными попытками, а одна и та же схема может одновременно применяться против многих организаций.
Традиционная и AI-усиленная эксфильтрация данных
| Этап | Традиционная эксфильтрация | Эксфильтрация с использованием AI |
| Поиск ценных данных | Поиск по ключевым словам и ручной просмотр | Анализ документов и переписки по смыслу, даже если файлы имеют неинформативные названия |
| Выбор данных для копирования | Копирование всего доступного или выбор вслепую | Приоритизация по содержимому с исключением менее ценных данных |
| Сортировка украденных данных | Ручной анализ полученного массива информации | Автоматическая классификация записей по типу и примерной ценности |
| Вымогательство и перепродажа | Общие сообщения с требованиями | Сообщения со ссылками на конкретные украденные файлы и записи |
| Сбор и подготовка | Злоумышленник запускает отдельные команды вручную | Автоматизированные сценарии находят, копируют, сжимают и передают данные |
| Масштаб | Одновременная работа с небольшим количеством целей | Одна и та же схема применяется к большому количеству организаций |
| Что видит команда защиты | Большие объемы передачи, которые проще заметить | Меньшие целевые передачи, которые проще скрыть среди обычного трафика |
Как выявить эксфильтрацию данных
К возможным признакам эксфильтрации относятся:
- крупные архивы в нетипичных расположениях;
- необычно большой объем исходящего трафика;
- соединения с неизвестными внешними ресурсами;
- массовое чтение записей из базы данных или почтового ящика;
- доступ к файловым ресурсам в нетипичное время;
- учетные записи, которые начинают читать данные, с которыми раньше не работали.
Подготовка данных к передаче является одним из этапов, который относительно легко проверить.
В Linux следующая команда позволяет найти крупные архивы, созданные за последние 24 часа:
find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null В Windows аналогичную проверку можно выполнить с помощью PowerShell. Лучше указывать конкретные пути к файловым ресурсам, поскольку проверка всего диска C: может занять много времени.
Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue |
Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } |
Select-Object FullName, Length, CreationTime Такие проверки подходят для отдельного сервера. Но когда требуется одновременно контролировать файловые серверы, SharePoint, почтовые ящики и базы данных, ручной подход перестает масштабироваться.
Кроме того, крупная передача часто становится заметной уже после того, как информация покинула среду организации. Поэтому более эффективная защита начинается раньше, с понимания того, какие именно данные хранятся в инфраструктуре и где они находятся.
Предотвращение эксфильтрации: уменьшение объема доступных данных
Сетевые средства защиты и контроль конечных точек остаются важными, но их эффективность зависит от понимания того, какие данные являются чувствительными.
Многие организации не могут точно определить, где хранятся персональные и платежные данные или интеллектуальная собственность и кто имеет к ним доступ. Это создает благоприятные условия для эксфильтрации, особенно если информация не классифицирована, имеет чрезмерно широкие права доступа или давно не используется.
Netwrix Data Classification постоянно выявляет чувствительные и регламентированные данные в Windows File Server, NetApp, Dell EMC, Nutanix Files, SharePoint, Microsoft 365, Exchange, SQL Server, Oracle, MySQL, Box, Dropbox и Google Drive.
Предварительно настроенные правила охватывают GDPR, HIPAA и PCI DSS, а собственные таксономии позволяют классифицировать данные в соответствии со спецификой организации.
Оценка рисков помогает определить, какие чувствительные данные имеют самый высокий уровень доступности. Автоматизированное исправление может перемещать чувствительные файлы в защищенные расположения, удалять разрешения для групп с глобальным доступом и скрывать конфиденциальное содержимое.
Механизм выявления ROT-данных определяет избыточную, устаревшую и незначимую информацию, которую можно удалить. Чем меньше ненужных данных хранится в открытом доступе, тем меньше возможностей получает злоумышленник.
Метки классификации также можно встраивать в файлы, повышая точность DLP и IRM-решений. Классификация не только уменьшает объем открытой информации, но и помогает другим средствам защиты определять, какие данные требуют наибольшего контроля.
Блокирование передачи на уровне устройства уже относится к задачам DLP. Netwrix Endpoint Protector применяет соответствующие политики к USB-устройствам, браузерам, электронной почте и AI-инструментам в Windows, macOS и Linux.
Чек-лист для предотвращения эксфильтрации данных
- Определить, где хранятся чувствительные данные, включая файловые серверы, SharePoint, почтовые ящики и базы данных.
- Классифицировать их по типу, например персональные данные, платежная информация и интеллектуальная собственность, и регулярно обновлять классификацию.
- Удалить избыточные права доступа, начиная с групп с глобальным доступом.
- Удалить или архивировать избыточные, устаревшие и незначимые данные.
- Переместить чувствительные файлы из открытых файловых ресурсов в контролируемые расположения.
- Применить DLP-контроль на устройствах для USB, браузеров, электронной почты и AI-инструментов.
- Отслеживать появление крупных архивов и нетипичные объемы исходящей передачи данных.
