Investigando Indicadores de Ameaça Interna

Quando Usar

Use esta habilidade quando:

• O RH encaminhar um funcionário que está saindo para monitoramento durante o período de aviso prévio
• Alertas de DLP indicarem downloads de dados em massa ou transferências para armazenamento pessoal
• UEBA detectar padrões de acesso anômalos que se desviam significativamente das linhas de base de colegas
• A gerência relatar preocupações sobre um funcionário acessando dados sensíveis fora de sua função

Não use sem autorização legal adequada — investigações de ameaças internas devem ser coordenadas com as equipes de RH, Jurídico e Privacidade antes que o monitoramento comece.

Pré-requisitos

• Autorização legal e encaminhamento do RH documentando a justificativa da investigação
• SIEM com fontes de log de DLP, endpoint, e-mail, proxy e autenticação
• Sistema de Prevenção de Perda de Dados (DLP) (Microsoft Purview, Symantec, Forcepoint) com alertas de política
• Capacidade de monitoramento de endpoint (EDR com registro de mídia USB/removível)
• Fluxo de dados do RH fornecendo status de emprego, datas de aviso prévio e direitos de acesso
• Procedimentos de cadeia de custódia para preservação de evidências

Fluxo de Trabalho

Etapa 1: Estabelecer Escopo da Investigação e Autorização Legal

Antes de qualquer monitoramento, garanta a autorização adequada:

INSIDER THREAT INVESTIGATION AUTHORIZATION
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Case ID:           IT-2024-0089
Subject:           [Employee Name] — [Department]
Authorized By:     [CISO / General Counsel]
Referral Source:   HR — Employee submitted resignation, 2-week notice
Justification:     Employee has access to trade secrets and customer PII
Scope:             Email, file access, USB, cloud storage, printing
Duration:          2024-03-15 to 2024-03-29 (notice period)
Privacy Review:    Completed — compliant with acceptable use policy

Etapa 2: Construir Linha do Tempo de Atividade a partir do SIEM

Consulte a atividade abrangente para o assunto:

index=* (user="jsmith" OR src_user="jsmith" OR sender="jsmith@company.com"
         OR SubjectUserName="jsmith")
earliest="2024-03-01" latest=now
| eval event_category = case(
    sourcetype LIKE "%dlp%", "DLP",
    sourcetype LIKE "%proxy%", "Web Access",
    sourcetype LIKE "%email%", "Email",
    sourcetype LIKE "%WinEventLog%", "Endpoint",
    sourcetype LIKE "%o365%", "Cloud",
    sourcetype LIKE "%vpn%", "VPN",
    sourcetype LIKE "%badge%", "Physical Access",
    1=1, sourcetype
  )
| stats count by event_category, sourcetype, _time
| timechart span=1d count by event_category

Etapa 3: Detectar Indicadores de Exfiltração de Dados

Downloads de Arquivos em Massa (SharePoint/OneDrive):

index=o365 sourcetype="o365:management:activity" Operation IN ("FileDownloaded", "FileSynced")
UserId="jsmith@company.com" earliest=-30d
| stats count AS downloads, sum(eval(if(isnotnull(FileSize), FileSize, 0))) AS total_bytes,
        dc(SourceFileName) AS unique_files
  by UserId, SiteUrl, _time
| bin _time span=1d
| eval total_gb = round(total_bytes / 1073741824, 2)
| where downloads > 50 OR total_gb > 1
| sort - total_gb

Uso de Mídia USB/Removível:

index=sysmon EventCode=1 Computer="WORKSTATION-JSMITH"
(CommandLine="*removable*" OR CommandLine="*usb*"
 OR Image="*\\xcopy*" OR Image="*\\robocopy*")
| table _time, Computer, User, Image, CommandLine
| append [
    search index=endpoint sourcetype="endpoint:device_connect"
    user="jsmith" device_type="removable"
    | table _time, user, device_name, device_serial, action
  ]
| sort _time

Exfiltração Baseada em E-mail:

index=email sourcetype="o365:messageTrace"
SenderAddress="jsmith@company.com"
| eval is_external = if(match(RecipientAddress, "@company\.com$"), 0, 1)
| eval has_attachment = if(isnotnull(AttachmentName), 1, 0)
| stats count AS total_emails,
        sum(is_external) AS external_emails,
        sum(has_attachment) AS with_attachments,
        sum(eval(if(is_external=1 AND has_attachment=1, 1, 0))) AS external_with_attach,
        sum(Size) AS total_size_bytes
  by SenderAddress
| eval external_attach_pct = round(external_with_attach / total_emails * 100, 1)
| eval total_size_mb = round(total_size_bytes / 1048576, 1)

Detecção de Upload para Armazenamento em Nuvem:

index=proxy user="jsmith"
(dest IN ("*dropbox.com", "*drive.google.com", "*onedrive.live.com",
          "*box.com", "*wetransfer.com", "*mega.nz")
 OR category="cloud-storage")
http_method=POST
| stats count AS uploads, sum(bytes_out) AS total_uploaded
  by user, dest, category
| eval uploaded_mb = round(total_uploaded / 1048576, 1)
| sort - uploaded_mb

…