Согласно докладу компании Verizon (Verizon Data Breach Investigations Report), 14% всех нарушений совершают инсайдеры. Кроме того, там же сказано, что в 76% проанализированных компанией нарушениях использовались ворованные или легко угадываемые данные аутентификации, которые позволяют получить доступ в сеть, и в 29% - использовались методы социальной инженерии. Это делает инсайдеров ключевой проблемой, с которой сталкивается сетевая безопасность.

Сетевая визуализация
В то время, как превентивные технологии безопасности и опыт применения, такой как защита периметра, контроль доступа, шифрование данных и обучение пользователей, и могут хорошо работать, но они не срабатывают при инсайдерских угрозах. Подобная защита не срабатывает против угроз, когда преступники уже имеют привилегированный доступ в сеть и им не надо использовать вредоносный код или специализированное ПО для осуществления атаки. Чаще всего единственным реальным методом идентификации и предотвращения подобного нарушения является система полной визуализации того, что происходит внутри сети. Получение полного аудита всей сетевой активности позволяет организации быстро обнаружить аномальное поведение, которое может сигнализировать о возникновении риска.
Различные технологии, такие как файервол, SIEM, IDS/IPS, захват пакетов и NetFlow могут фиксировать сетевую активность для получения знания того, что происходит в сети. Конечно существуют различия в этих технологиях и очень важно рассматривать преимущества и недостатки каждого подхода.

Преимущества NetFlow
Как показано на рисунке ниже, NetFlow обеспечивает очень обширный, эффективный с точки зрения стоимости и легкий метод получения полной картины сетевой активности. NetFlow позволяет взглянуть на все транзакции, происходящие в сети, и быстро обнаружить подозрительную активность, такую как email с большими приложенными файлами, отсылаемые в посторонние адреса или необычно большой трафик на принтер (что свидетельствует о воровстве данных или инфильтрации).

Если использовать новейшие технологии типа Lancope’s StealthWatch System, NetFlow-мониторинг может также обеспечить дополнительные возможности анализа контекста, включая получение информации об устройствах, приложениях и идентичности, с целью дополнительного анализа и быстрой реакции на инциденты. Lancope также объявила о новой мониторинговой функциональности с акцентом на пользователей, которая позволяет администраторам исследовать поведение сети и аномалии, с учетом конкретных имен пользователей.


Лучший способ обнаружения и предотвращения инсайдерских угроз - это иметь возможность глубокого обзора внутренней среды и использования инструментов фильтрации и приоритезации в массивных объемах данных для точного анализа. В этом главная цель и преимущества StealthWatch. Хотя только технологией невозможно решить проблему инсайдерских угроз (тут должны быть совместные усилия подразделений IT, HR и юристов), NetFlow может обеспечить решение ключевой части этой проблемы.