漢領國際有限公司 - observeit產品介紹

ObserveIT 資安新攻略 - 提前偵測防禦時間軸

國際知名研調機構Veriso 於2019年5月底所發佈之年度資料外洩調查報告「Data Breach Investigations Report, DBIR」指出，全球因資料外洩而導致有形資產損失的產業排名依序為：公家機關、醫療業與金融業; 事故發生原因多達34% 源自內部人員使用行為不當有關。

以下幾項為特別值得關注之名列前茅的統計：
1.網路釣魚為入侵手法排名第一。
2.Email 為資料外洩最常發生之管道。
3.Microsoft Office 為資料外洩最多的檔案類型。
4.「人」是最佳攻擊目標。

一般外圍防禦無法效針對內部威脅進行偵測的主因：

內部威脅者通常不需要採用進階駭客手法，試圖由外部入侵至內部網路。
內部威脅者已具備合法使用的權限，無需再以惡意軟體或暴力方式入侵系統。
內部威脅者不易發現，除非在「內部威脅攻擊鏈」的每個階段佈署足夠的偵測及稽核作業。

從Data、應用程式、各類系統的權限控管、檔案存取進出歷程追蹤與數位證據保存，威脅可視性的涵蓋面更須積極延伸至檔案一致性、網路連結、系統執行序、系統日誌等分析與監控能力。

全球最佳內部威脅管理解決方案 ObserveIT 自問世以來聚焦以「人」為導向的資安防禦，有效防範使用者行為所導致的資安事件與商業損失。就功能面，ObserveIT 鎖定細膩與精確的User Activity Metadata 與 Analytics 作為持續研發藍圖，而應用面，則以內部威脅為核心主軸不斷深化與擴展。

Insider Threat Kill Chain

ObserveIT 積極強化「偵測」與「回應」能力，提供更高的內部威脅與風險可視性，並全力開發 DLP-like 的資料外洩防禦功能，以「人」、「流程」、「技術」三面向持續精進，將防禦時間軸往前提，提前洞悉資料外洩的關聯性並阻絕各類威脅使用行為。

ObserveIT 自 v7 推出以來積極納入資料外洩防禦功能與強化檔案歷程追蹤機制，主動偵測內部檔案異常使用行為，如：異常時段登入、可卸載式儲存裝置、大量檔案複製、雲端上傳/下載及檔案追踨、Webmail 瀏覽、異常列印、使用特殊功能鍵、URL 及檔案上傳下載管理政策等。

2019 年 Q1 推出 v7.7 版強化了 USB 及 Hot Key 監控功能。Q2 推出的 v7.8 版，新增Email 日誌功能，包含: Email 主旨、收/寄件人/密件副本欄位、夾檔檔名及檔案大小等歷程追蹤，再再提升了資料外洩防禦的範圍與完整性。

Detect 偵測

洞悉違反內部資安政策之使用行為進行風險排名。
內建320+種國內外常見之內部威脅偵測告警規則。
內建29種內部威脅分類可依使用者群組分別設定，如：資料外洩、提權、滲透、未經授權之關聯行為、應用程式之資料竊取、肆意或蓄意資料搜尋等，亦可依內規自行定義。

Deter 預防

針對使用者違反內部資安政策之行為發出警告訊息。
告知使用者其違規行為已被側錄並將進行稽核。
經證實即時警告使用者可有效減少80%的違規行為。

Educate教育

以即時資安訊息宣導對使用者進行資安教育。
經證實宣導教育可有效降低50%資安事件之發生。

Prevent 預防

內部資安政策貫徹執行與檢視。
立竿見影之數據資產保護與損害控管。
最佳化偵測與管控流程：資安政策宣導、中斷操作、阻絕關閉及強制登出，實施資安分段防護。

Investigate調查

精確追溯違規事件發生點，大幅縮短回應與調查時間。
即時辨識與過濾內部威脅行為與意圖。
進行視覺化軌跡蒐證，具不可竄改之證據能力。

Know the Whole Story...
Who, What, Where, When, Why !

ObserveIT 內部威脅防禦與管理三大關鍵能力，提升企業組織資料外洩防禦範圍與事件還原之完整性：

Visibility(可視性)：Web-Based 風險儀表板即時提供管理者整體內部威脅可視性與關聯性軌跡，明確顯示各類使用者、各部門單位、各類觸警風險行為累計/新增之指數與趨勢，並可精準地還原資安事/案件之人事時地物。
Analytics(行為分析)：端點操作行為的實際畫面記錄及詳盡的Log 輔助，提供使用者行為歷程進階統計分析，作為協助管理者提前洞悉與阻絕各類違規行為與內部威脅，並即時回應與控管風險。
Enforcement(實施政策)：符合PCI、SOX、 HIPAA、NERC、FFIEC、FISMA、FERPA、ISO27001、「個人資料保護法」、「資通安全法」、「金融機構辦理電腦系統資訊安全評估辦法」、「電子支付機構資訊系統標準及安全控管作業基準辦法」等國內外法令及規範遵循性。

ObserveIT 內部威脅偵測之面向

• File Delete • File Rename • File Move • File Copy	• File Attachment • Email Paste Content • Keystroke	• File Upload to Cloud • File Download • File Exfiltration

• USB Devices • USB Serial # • USB Model • USB Manufacturer	• Special Hotkey • PrintScreen • Printing	• Website Category • Webmail • Cloud Storage • Phishing Website

• App. Process • App. Installation • App. Executed	• DBA SQL Query • Developer Tools • RD Design Tools

v7.8

強化Email 附檔資料外洩之防禦及監控

新增Email 偵測功能：寄/收件者(包含副本/密副本)之郵件地址、主旨、附檔之檔名/大小/數量之可視性。當發送至非授權之Email 信箱時或附檔之大小超過特定範圍時，可進行即時告警。
郵件附檔上傳來源、下載後之檔案歷程追踨。

Activity Replay - 可自行定義告警觸發之前後錄製時間

Activity Replay：可設定告警觸發前後之側錄方式，例如: 觸發前後側錄Metadata+Video，一般時間只側錄Metadata; 亦可設定觸發前後側錄的時間長度，有效降低所需之磁碟空間。

側錄工作階段增加端點之當地時間戳記

Management Console 之端點日誌、檔案日誌、告警及搜尋功能，均可顯示端點之當地時間戳記。
報表亦增加端點當地時間欄位之選項。

告警觸發調校功能 – 規則定義更為精準

透過告警觸發規則之調校，減少不必要告警之發生，降低資安人員的工作負荷。
提供多種調校方式：
排除特定使用者
排除特定網域群組
取消啟動 – 特定使用者/所有使用者
大量刪除已觸發之告警記錄

One-Click 自動切換檔案日誌至端點日誌之顯示方式 - 加速事件調查

點選後，自動搜尋並切換至對應端點日誌

檔案活動歷程之監控條件更為細膩及多檔案統計顯示功能

提供Mac更多、更完整的支援

Notarization status from Apple from Mojave 10.14.5 & Mac certification is for a period of 5 years
使用者行為監控：mouse Clicks, Keystrokes, Application Changes
Recording Metadata: Screenshot, Window Title, URL, Application Name, Keylogging, Data Access (USB Connect, File Move/Download/Copy/Upload)
工作階段型態：Console Login, Remote/VNC Login, Fast User Switch, Screen Sharing
Firefox / TOR 瀏覽器監控
Email 活動監控 : Microsoft Outlook for Mac version 2016 to 2019 and Outlook 365, Apple Mail version 10.12 to 10.14

v7.7

應用範例：監控 USB 之使用

應用範例：監控 USB 之使用 (續一)

建立USB載具黑白名單進行管理。
載具本身之廠牌、型號、序號、標籤及使用過程進行監控、告警。
軌跡留存。

應用範例：監控 USB 之使用 (續二)

應用範例：管理需監控檔案之 URL

可設定需監控檔案上下傳之URL。

應用範例：管理需監控檔案之類型

可設定需監控檔案上下傳之類型。

Key Logger－鍵盤上特殊功能鍵、組合鍵之監控

Detect special key, e.g. PrtScr, Esc, F8
Detect key combinations, e.g. [Alt-PrtScr], [Cmd-Shift-3]
Detect Paste operation via
- Right Menu Paste
- Ctrl-V
- Shift-Insert
- Cmd-V

v7.6

優化日誌記錄顯示

以應用程式分組顯示
以操作時間依序顯示

經由瀏覽器/雲端上傳或下載檔案

偵測WebMail傳送檔案 - 即時告警及使用操作軌跡
記錄瀏覽器下載之所有檔案
檔案歷程軌跡記錄

v7.5

完整記錄資料外洩軌跡歷程

檔案經網頁上傳與下載之偵測規則設定，防範蓄意或無意之資料外洩
完整記錄檔案作業之軌跡，並提供快速搜尋或報表分析

使用者生產力與資安評估之分析報表

增加 Agent 隱藏項目

ITL內部威脅告警規則資料庫 - 告警規則與清單持續更新，已逾29種分類，逾300種告警規則

v7.4

強化搜尋功能 - 大量搜尋時可隨時中斷，加速顯示已搜尋到之結果

使用者活動記錄分類更為精細，包含應用程式分類、URL下載、雲端空間上傳、檔案歷程活動等

清楚明瞭且易操作的介面，分類呈現 session-level 的資訊

告警規則增加 CIDR 之支援 (Classless Inter-Domain Routing)

v7.1

檔案活動監控（File Activity Monitoring, FAM)

追蹤並告警所有瀏覽器下載或匯出之檔案：From the internet or intranet
追蹤並告警檔案複製至雲端空間之local sync folder：Dropbox, Google Drive, iCloud, Box, OneDrive (last 2 are only for Windows)
追蹤並記錄檔案變更：Copy, move, rename, delete
檔案日誌 – 快速調閱及篩選檔案追蹤記錄：Print and export to Excel
檔案歷程 – 提供完整軌跡及回播畫面：View file history and Video playback

FAM: 記錄瀏覽器下載之所有檔案

FAM: 檔案歷程軌跡記錄

FAM: 下載檔案屬性即時告警

FAM: 下載檔案並複製雲端空間Sync Folder即時告警

Clipboard剪貼簿-複製內容即時告警

告警事件檢視報告-Alerts & Screen Shots PDF

新增報表

New Platforms

Agent support of Windows Server 2016
DBA Activity support for MS SQL Server Management Studio 2016
64-bit Application Server

v7.0

強制中斷並登出

嚴格落實內部資安政策。
有效對資產或智慧財產進行保護，並防止潛在的商業損失。
藉由強制使用者登出以提昇安全性，強化控管流程。

強制中斷並登出

強制關閉未經授權使用之應用程式

使用者行為歷程分析

透過新安全事件與使用者日常使用行為的掌握以縮短調查時間。
識別高危險使用者的活動，如：異常使用應用程式/網站/Unix指令，或在不常使用的電腦上執行程式。
增加對同仁與維護廠商生產力的可視性，了解他們在每個應用程式所花費時間、工作日/工時及閒置時間。

使用者行為歷程分析

優化Web Console管理介面

嶄新的Web管理介面與儀表板，高解析度呈現更多細節資料。

優化Web Console管理介面

Key-Logging告警

針對使用電子郵件、聊天應用程式、社交媒體網站過程，設定需要保護的關鍵字，以偵測潛在的資料外洩發生。
辨識於CLI工具中所執行的指令，如：Windows CMD、PowerShell、PuTTY、Mac終端機。
偵測同仁於工作場所使用不當暴力言語、或與客戶溝通時不當的表達。

Key-Logging告警

Insider Threat Library 規則更新管理

無需軟體升級即可自動更新，保持最新的威脅資訊來源。
不影響客戶原有規則或列表設計。

Key-Logging告警

v6.7

優化警示機制 – 精準發出警告、降低假警報

超過180個隨選即用的預設警示規則 (Insider Threat Library; ITL)。
警示規則可針對不同族群如：特權帳號、日常使用者、第三方廠商、及離職員工等進行設定。
可針對特定使用群組設定統一的風險指數。

優化警示機制 – 24種內建警示規則群組

以群組分類原則、將相同屬性之警示規則進行群組、方便進行設定。

資料外洩 (12)	建立後門 (7)	安裝及移除可疑軟體 (17)
滲透行為 (4)	績效違規事項 (12)	預備攻擊 (8)
隱藏資訊及覆蓋軌跡 (15)	主機上未經授權存取行為 (4)	SHELL攻擊 (3)
未經授權登入存取 (12)	執行惡意程式 (7)	未經授權開啟SHELL (3)
未經授權資料存取 (3)	執行未經授權之管理者行為 (12)	系統破壞 (3)
安全性控管設定異動 (9)	版權侵權 (3)	特權提升行為 (4)
違規不當行為 (8)	肆意或蓄意資料搜尋 (12)	身份盜竊 (2)
濫用行為 (6)	執行未經授權之通訊工具 (3)	系統竄改 (2)

更有效的警示規則管理

警示規則加以群組化、方便快速設定與取消。
可建立使用者清單及關鍵/敏感字元清單對應不同警示規則。
更容易針對不同但風險程度相同的使用者設定警示規則。
可針對大量警示規則的改變 (如：啟用或刪除) 進行同步執行。

更有效的警示規則管理 – 名單

使用者名單：可用於警示規則定義或分配的用戶和/或Active Directory群組中的列表、如：部門、日常用戶、特權用戶、遠端連線維護廠商、準備離職員工等。
一般名單：可用於警示規則定義的關鍵字列表、如：敏感資料/檔案/內部EIP名稱、 VIP客戶、機敏應用程序、機敏關鍵字/主機名稱、網路位置等。

增加使用者活動與風險的可視性 – 網路分類

整合第三方惡意網站威脅資料庫服務平台、對網站分類、當偵測到使用者瀏覽非法、釣魚、或有害的網站 (超過數百億個URLs) ：

非系統管理員的日常使用者 (非系統管理員) 瀏覽討論網路監聽或駭客技術的網站。
使用者存取雲端磁碟空間。
當使用者存取惡意或釣魚網站時，即時顯示中斷訊息。
將伺服器用在與工作無關之事務，如：P2P服務、社交媒體、收看線上視訊…等。
在Darknet、非法藥品網站、暴力、或其他任何法律敏感網站上搜尋資料。
使用者將時間花費在遊戲、賭博、運動或新聞網站。

內建網站分類包含以下：Malicious、Infected/Malicious、Phishing、DDNS Services、Remote Proxies、Copyright Sensitive、Legal-Sensitive、Adults、Illegal Drugs、Gambling、Search Engines & Portals、Job Searching、Downloads、Music、News、Sports、Gaming、Shopping、Social Media Site、Streaming、Storage、Counter-Productivity、Web Mail、Chats、Instant Messaging、P2P、Ads。