漢領國際有限公司 - observeit產品介紹

著名的研調機構PONEMON素以研究內部威脅而著稱，2020第一季所發表最新研究調查報告指出，相較於前一年，2019年全球內部威脅事故成長率高達47%，所造成的資安事故損失成本，每起事故約1,145萬美元，上升了31%，事故的平均處理時間為77天。調查中有60%的企業每月約發生2起資安事故，再細部分析資安事故損失成本，則以事故調查費用成長率最明顯，成長率高達86%。調查結果顯示，事故處理時間愈長，所造成的損失愈高，當處理時間拉長到90天時，平均損失金額增加至1,371萬美元。

內部威脅已躍升為不可或缺的資安防禦重點

內部威脅意指凡被授權接觸組織內部資料、應用程式與系統之使用者，因蓄意或輕忽的使用行為所導致的資安風險或損失。蓄意行為包含了惡意破壞、間諜行為、竊取智慧財產、詐欺等，而輕忽行為則涵蓋了人為疏失、判斷錯誤、帳號被盜用，或遭釣魚郵件、惡意程式攻擊等。

「人」是內部威脅發生的根因，換言之，針對被授權人員與其使用行為加強資安防禦方為正本清源立見成效之策。被授權使用者範圍甚廣，包括：

特權人員：擁有IT系統管理權限或服務帳號之使用者。
第三方人員：服務廠商、委外人員、產業供應鏈或上下游夥伴。
專業從業人員：研究調查、系統開發、稽查人員等。
離職員工。

全球最佳內部威脅管理解決方案 ObserveIT ITM 自問世以來聚焦以「人」為導向的資安防禦，有效防範使用者行為所導致的資安事件與商業損失。就功能面，ObserveIT ITM 鎖定細膩與精確的 User Activity Metadata 與 Analytics 作為持續研發藍圖，而應用面，則以內部威脅為核心主軸不斷深化與擴展，協助企業組織建立以「人」為中心的資安防禦策略。

強調 Contextual Intelligence、Threat Signals、即時回應、整合、注重隱私等應用能力
全球最佳內部威脅管理解決方案 ObserveIT ITM 自問世以來即聚焦以「人」、「流程」、「技術」為中心的資安防禦策略，已經協助全球 1200 家以上的標竿企業迅速防範使用者行為所導致的資安事件與商業損失。就功能面，ObserveIT ITM 鎖定細膩與精確的 User Activity、 Metadata 與 Analytics 作為持續研發藍圖，而應用面，則以內部威脅為核心主軸不斷深化與擴展。

ObserveIT ITM 自 v7.0 版即持續精進其 FAM ( File ActivityMonitoring ) 資料外洩防禦應用範圍，強化檔案日誌歷程追蹤軌跡，主動偵測內部檔案與異常使用行為。2020 推出 v7.9 及v7.10 版，經由 1200 實證客戶及 NIST、 CERT、OSIT 與 NITTF業界專家累積建立了多達 350 條以上內部威脅專用之吿警規則與情境，隨選即用亦可自訂。

快速整合各系統日誌、告警事件與使用者之關聯性
ObserveIT ITM 亦強調隱私及去個資識別化，符合國際個資隱私之規範遵循，可自訂管理者瀏覽項目之權限，避免管理或稽核人員獲取權限以外之個資。
近年來ＯbserveIT ITM 被賦予更高層級的資安使命，積極強化「偵測」與「回應」能力，著重於 Contextual Intelligence 與Threat Signals 主動預警能力的發展，更以提升使用者行為風險可視性、Know the Whole Story、提前防禦時間軸為指標，完整洞悉各類威脅使用行為與資料外洩的關聯性，以利採取最即時的回應。

多重來源的系統日誌與常態性大量告警為延宕事件調查、辨識與回應速度之主因，ObserveIT ITM Contextual Intelligent 以人為中心的完整軌跡與快速關聯能力，可具體還原告警前後的人事時地物，進而補足其他資安系統資訊與軌跡之不足，並將以往資安防禦的被動於彈指之間立即化為主動。

資料外洩偵側及防護
善用 ObserveIT ITM 使用者行為與資料之關聯軌跡，有效強化資料外洩防護：

依據全球客戶累積之資安事件偵測與分析經驗所制定之350條以上的內建告警規則與情境，可隨選即用或自行定義與擴充。
Key-Logging 告警/偵測/控管，防範有心人士利用特殊功能鍵進行資料竊取。
Email 附檔資料外洩之防禦及監控。
細膩的檔案活動監控政策，可監控檔案複製及列印活動。
設定異常時段登入告警。
具備可卸除式儲存裝置 (Storage、USB、Smart Phones、Tablets、SD Cards) 偵測管理功能。

最常見的資料外洩途徑：

透過網頁上傳/下載檔案。
同步雲端磁碟空間。
經由Email或webmail。
使用可卸除式儲存裝置。
快捷鍵 Copy/Paste/檔案拖拉。
大量列印。
Command Line。

最常見的資料外洩前兆：

非上班時段下載機敏資料。
將機敏資料搬移至非規範空間。
安裝可疑的軟體程式。
將客戶資料上傳至雲端空間。
複製檔案至白名單以外之可卸除式儲存裝置。

有效辨識使用者風險

善用 ObserveIT ITM 智慧型告警情境進行內部威脅管理，精確辨識使用行為風險，提前防禦時間軸:

累積來自全球1200+家企業組織客戶使用經驗，以及 NIST, CERT, OSIT 及 NTTF 等資安專家智慧，提升 ObserveIT ITM 於資安防禦之適用性。
完整可視性：可提升即時使用者行為之辨識與分析，任何細微動作及隱含的意圖皆無所遁形。
使用者活動：全盤精準掌握使用行為，從登入、使用應用程式、上網、鍵盤動作等。
檔案活動追蹤：包含更名、複製、搬移等之檔案存取行為的軌跡留存。

加速資安事故鑑識及調查

內部威脅所造成的事故，其調查難度更高於一般資安事故，資安人員須會同各不同單位進行及時有效的人事時地物關聯性調查，方能迅速回應事件並立即採取必要的措施。ObserveIT ITM 所具備的四大功能特色，無須具備資安專業知識亦可參與資安事故調查及鑑識。

鉅細靡遺的使用行為軌跡：細膩的 Metadata + 智慧型 Screenshot Capture 側錄技術 + User Session Log，提供完整的Who, What, Where, When & Why 軌跡留存。
資料加密與不可否認性：所有機敏的 Metadata 及視覺化記錄，除了MS SQL本身之加密機制，再以AES Like方式存放，確保證據與資料無法竄改或編輯。專屬加密播放器回播之加密格式側錄資料，確保鑑識資料之不可否認性，亦可增強證據能力。
Google Like 搜尋：可依時間、使用者、內含文字、作業系統、Metadata 多元化欄位快速搜尋相關 Session 資料並回播完整軌跡過程。

符合法令遵循需求

兼顧資安政策與隱私保護，可進行個資去識別化，並自訂管理者瀏覽項目之權限。
多重稽核機制 (watch the watchers) : 稽核或資安管理人員檢視資料時，須於登入時進行第二道身份認證加以核實。
完整的使用活動記錄，可作為軌跡稽核之存證，亦可藉由 Metadata 快速產生多種稽核及覆核報表。
可藉由介面訊息視窗詢問或通知使用者，有助於資安政策與法令之宣導。
工作階段與記錄均加密保護以防範未經授權之存取，系統管理人員對於側錄資料之存取均內建稽核軌跡與資訊。

v7.10

新增更多以「人」為中心的內部威脅偵測功能

端點代理程式自動更新 (GA)
- 系統管理人員由 ObserveIT Web Console上進行端點代理程式版本更新作業。
- 自行設定需更新之端點、時程。
- 直觀且友善的管理介面，隨時掌握更新的狀態。
優化遠端連線 agent 資料回傳主機方式，使頻寛使用更順暢。
新增更多可卸除式儲存裝置 (Storage, USB, Smart Phones, Tablets, SD Cards) 管理功能。

全面提升主控台介面－操作介面更友善、直觀

v7.9

Windows 工作階段播放介面優化

全新提昇工作階段播放技術：更安全、介面更友善、效能更快。
新增預覽小視窗功能。

強化Email附檔資料外洩之防禦及監控

新增Email偵測功能：寄/收件者(包含副本/密副本)之郵件地址、主旨、附檔之檔名/大小/數量之可視性。當發送至非授權之Email信箱時或附檔之大小超過特定範圍時，可進行即時告警。
郵件附檔上傳來源、下載後之檔案歷程追踨。

Activity Replay - 可自行定義告警觸發之前後錄製時間

Activity Replay：可設定告警觸發前後之側錄方式，例如: 觸發前後側錄Metadata+Video，一般時間只側錄Metadata; 亦可設定觸發前後側錄的時間長度，有效降低所需之磁碟空間。

側錄工作階段增加端點之當地時間戳記

Management Console 之端點日誌、檔案日誌、告警及搜尋功能，均可顯示端點之當地時間戳記。
報表亦增加端點當地時間欄位之選項。

告警觸發調校功能 – 規則定義更為精準

透過告警觸發規則之調校，減少不必要告警之發生，降低資安人員的工作負荷。
提供多種調校方式。
排除特定使用者。
排除特定網域群組。
取消啟動 – 特定使用者/所有使用者。
大量刪除已觸發之告警記錄。

One-Click 自動切換檔案日誌至端點日誌之顯示方式 - 加速事件調查

點選後，自動搜尋並切換至對應端點日誌

檔案活動歷程之監控條件更為細膩及多檔案統計顯示功能

提供 Mac 更多、更完整的支援

Notarization status from Apple from Mojave 10.14.5 & Mac certification is for a period of 5 years。
使用者行為監控：Mouse Clicks, Keystrokes, Application Changes。
Recording Metadata: Screenshot, Window Title, URL, Application Name, Keylogging, Data Access (USB Connect, File Move/Download/Copy/Upload)。
工作階段型態：Console Login, Remote/VNC Login, Fast User Switch, Screen Sharing。
Firefox / TOR 瀏覽器監控。
Email 活動監控 : Microsoft Outlook for Mac version 2016 to 2019 and Outlook 365, Apple Mail version 10.12 to 10.14。

v7.7

應用範例：監控 USB 之使用

應用範例：監控 USB 之使用 (續一)

建立 USB 載具黑白名單進行管理。
載具本身之廠牌、型號、序號、標籤及使用過程進行監控、告警。
軌跡留存。

應用範例：監控 USB 之使用 (續二)

應用範例：管理需監控檔案之 URL

可設定需監控檔案上下傳之 URL。

應用範例：管理需監控檔案之類型

可設定需監控檔案上下傳之類型。

Key Logger－鍵盤上特殊功能鍵、組合鍵之監控

Detect special key, e.g. PrtScr, Esc, F8。
Detect key combinations, e.g. [Alt-PrtScr], [Cmd-Shift-3]。
Detect Paste operation via。
Right Menu Paste。
Ctrl-V。
Shift-Insert。
Cmd-V。

v7.6

優化日誌記錄顯示

以應用程式分組顯示。
以操作時間依序顯示。

經由瀏覽器/雲端上傳或下載檔案

偵測WebMail傳送檔案 - 即時告警及使用操作軌跡。
記錄瀏覽器下載之所有檔案。
檔案歷程軌跡記錄。

v7.5

完整記錄資料外洩軌跡歷程

檔案經網頁上傳與下載之偵測規則設定，防範蓄意或無意之資料外洩
完整記錄檔案作業之軌跡，並提供快速搜尋或報表分析

使用者生產力與資安評估之分析報表

增加 Agent 隱藏項目

ITL內部威脅告警規則資料庫 - 告警規則與清單持續更新，已逾29種分類，逾300種告警規則

v7.4

強化搜尋功能 - 大量搜尋時可隨時中斷，加速顯示已搜尋到之結果

使用者活動記錄分類更為精細，包含應用程式分類、URL下載、雲端空間上傳、檔案歷程活動等

清楚明瞭且易操作的介面，分類呈現 session-level 的資訊

告警規則增加 CIDR 之支援 (Classless Inter-Domain Routing)

v7.1

檔案活動監控（File Activity Monitoring, FAM)

追蹤並告警所有瀏覽器下載或匯出之檔案：From the internet or intranet
追蹤並告警檔案複製至雲端空間之local sync folder：Dropbox, Google Drive, iCloud, Box, OneDrive (last 2 are only for Windows)
追蹤並記錄檔案變更：Copy, move, rename, delete
檔案日誌 – 快速調閱及篩選檔案追蹤記錄：Print and export to Excel
檔案歷程 – 提供完整軌跡及回播畫面：View file history and Video playback

FAM: 記錄瀏覽器下載之所有檔案

FAM: 檔案歷程軌跡記錄

FAM: 下載檔案屬性即時告警

FAM: 下載檔案並複製雲端空間Sync Folder即時告警

Clipboard剪貼簿-複製內容即時告警

告警事件檢視報告-Alerts & Screen Shots PDF

新增報表

New Platforms

Agent support of Windows Server 2016
DBA Activity support for MS SQL Server Management Studio 2016
64-bit Application Server

v7.0

強制中斷並登出

嚴格落實內部資安政策。
有效對資產或智慧財產進行保護，並防止潛在的商業損失。
藉由強制使用者登出以提昇安全性，強化控管流程。

強制中斷並登出

強制關閉未經授權使用之應用程式

使用者行為歷程分析

透過新安全事件與使用者日常使用行為的掌握以縮短調查時間。
識別高危險使用者的活動，如：異常使用應用程式/網站/Unix指令，或在不常使用的電腦上執行程式。
增加對同仁與維護廠商生產力的可視性，了解他們在每個應用程式所花費時間、工作日/工時及閒置時間。

使用者行為歷程分析

優化Web Console管理介面

嶄新的Web管理介面與儀表板，高解析度呈現更多細節資料。

優化Web Console管理介面

Key-Logging告警

針對使用電子郵件、聊天應用程式、社交媒體網站過程，設定需要保護的關鍵字，以偵測潛在的資料外洩發生。
辨識於CLI工具中所執行的指令，如：Windows CMD、PowerShell、PuTTY、Mac終端機。
偵測同仁於工作場所使用不當暴力言語、或與客戶溝通時不當的表達。

Key-Logging告警

Insider Threat Library 規則更新管理

無需軟體升級即可自動更新，保持最新的威脅資訊來源。
不影響客戶原有規則或列表設計。

Key-Logging告警

v6.7

優化警示機制 – 精準發出警告、降低假警報

超過180個隨選即用的預設警示規則 (Insider Threat Library; ITL)。
警示規則可針對不同族群如：特權帳號、日常使用者、第三方廠商、及離職員工等進行設定。
可針對特定使用群組設定統一的風險指數。

優化警示機制 – 24種內建警示規則群組

以群組分類原則、將相同屬性之警示規則進行群組、方便進行設定。

資料外洩 (12)	建立後門 (7)	安裝及移除可疑軟體 (17)
滲透行為 (4)	績效違規事項 (12)	預備攻擊 (8)
隱藏資訊及覆蓋軌跡 (15)	主機上未經授權存取行為 (4)	SHELL攻擊 (3)
未經授權登入存取 (12)	執行惡意程式 (7)	未經授權開啟SHELL (3)
未經授權資料存取 (3)	執行未經授權之管理者行為 (12)	系統破壞 (3)
安全性控管設定異動 (9)	版權侵權 (3)	特權提升行為 (4)
違規不當行為 (8)	肆意或蓄意資料搜尋 (12)	身份盜竊 (2)
濫用行為 (6)	執行未經授權之通訊工具 (3)	系統竄改 (2)

更有效的警示規則管理

警示規則加以群組化、方便快速設定與取消。
可建立使用者清單及關鍵/敏感字元清單對應不同警示規則。
更容易針對不同但風險程度相同的使用者設定警示規則。
可針對大量警示規則的改變 (如：啟用或刪除) 進行同步執行。

更有效的警示規則管理 – 名單

使用者名單：可用於警示規則定義或分配的用戶和/或Active Directory群組中的列表、如：部門、日常用戶、特權用戶、遠端連線維護廠商、準備離職員工等。
一般名單：可用於警示規則定義的關鍵字列表、如：敏感資料/檔案/內部EIP名稱、 VIP客戶、機敏應用程序、機敏關鍵字/主機名稱、網路位置等。

增加使用者活動與風險的可視性 – 網路分類

整合第三方惡意網站威脅資料庫服務平台、對網站分類、當偵測到使用者瀏覽非法、釣魚、或有害的網站 (超過數百億個URLs) ：
非系統管理員的日常使用者 (非系統管理員) 瀏覽討論網路監聽或駭客技術的網站。
使用者存取雲端磁碟空間。
當使用者存取惡意或釣魚網站時，即時顯示中斷訊息。
將伺服器用在與工作無關之事務，如：P2P服務、社交媒體、收看線上視訊…等。
在Darknet、非法藥品網站、暴力、或其他任何法律敏感網站上搜尋資料。
使用者將時間花費在遊戲、賭博、運動或新聞網站。
內建網站分類包含以下：Malicious、Infected/Malicious、Phishing、DDNS Services、Remote Proxies、Copyright Sensitive、Legal-Sensitive、Adults、Illegal Drugs、Gambling、Search Engines & Portals、Job Searching、Downloads、Music、News、Sports、Gaming、Shopping、Social Media Site、Streaming、Storage、Counter-Productivity、Web Mail、Chats、Instant Messaging、P2P、Ads。