1、系统操作安全监控和审计系统,2016年11月25日,美国知名的大型医保企业。由于其IT技术设施的安全性过于薄弱，DBA帐户被盗用导致7880万用户详细信息被泄露包括姓名、地址、就业信息、以及社保号码等。,2014年9月9日，美国最大家居建材零售商家得宝（Home Depot）的支付安全系统被黑客攻击。导致多达5,600万张银行卡的信息泄露，美国全部2200个门店都受到影响。,数据泄露事件2014年05月22日，eBay近1.28亿活跃用户信息，包括密码、电话、地址及其它个人数据被黑客窃取。黑客获取了“少数”员工登录授权，从而能够访问公司系统和数据资源。,员工窃取高管客户数据2015年01月06

2、日摩根斯坦利员工Galen Marsh窃取35万名高管客户信息，并将信息公布在网络上。导致其股价大跌3.5%。,内部威胁国际案例,韩国2000万信用卡信息被盗韩国金融监督院于2014年1月21日证实信用评估公司KCB员工非法在KB Kookmin Card，Lotte Card和NH Nonghyup Card三家信用卡机构内部服务器收集并转卖客户信息。,摩根大通银行数据泄露影响1/4美国人2014年10月2日美国资产规模第一大银行摩根大通宣称其客户数据被窃，导致7600万家庭和700万小企业的相关信息被泄露。,2,2012年央视3.15晚会曝光招商银行、工商银行、农业银行员工盗取并出售客户个

3、人信息，导致银行客户资金被盗。,20G海量用户信息被盗卖支付宝前技术员工李明利用工作之便，盗取支付宝公司20G用户信息，并进行盗卖。多次将支付宝用户数据出售给多家电商企业和数据公司。,2012年8月8日，根据央行上海分行调查确认，江苏银行将3.2万份银行客户的个人信用信息透露给第三方机构宜信普惠信息咨询（北京）有限公司（简称宜信公司），被央行上海分行通报批评，责令整改。,2014年3月22日，携程开启了用户支付服务接口的调试功能，导致用户在支付过程中持卡人姓名、身份证、银行卡号、卡CVV码、6位卡Bin等信息被盗取。携程官方回应是：“员工操作失误所致”！,内部威胁国内案例,招商银行信用卡中心风

4、险管理部贷款审核员胡斌，通过银行内部系统查询客户信息及征信报告，随后转卖他人获利。,中国工商银行武汉黄陂支行客户经理曹晓军，通过银行内部系统查询客户信息及征信报告，随后转卖他人获利。,中国农业银行无锡荣龙支行员工董某，通过银行内部系统查询客户信息及征信报告，随后转卖他人获利。,3,审计和监察,员工数据提取和诈欺应用程序访问；呼叫中心；监管名单；,第三方IP盗窃和服务可靠性承包商；远程供应商；IT外包商；,特权用户特权滥用和数据泄漏客户服务平台（Help Desk）；数据库管理（DBAs）；高级权限账户（High Privilege Account）；职责分离(Segregation of Du

5、ties)；系统管理（Systems Admin）；,内部威胁种类,对PCI（Payment Card Industry支付卡行业）/PII（Personally identifiable information个人识别信息）/PHI（Personal Health Information个人健康信息）等敏感数据的审计控制，监控特权用户和第三方访问，对访问敏感系统进行报警。,4,需求和应用场景,外部厂商监控行为监控和纠正（Impact human behavior）透彻审视技术服务内容和费用（Transparent SLA and billing）识别共享的系统账号（Identify shar

6、ed accounts）避免无谓指责（Eliminate Finger pointing）,合规和安全审计降低合规遵从成本（Reduce costs for getting and staying compliant）满足多种行业规范，包括：PCI、HIPAA、SOX、ISO，（Satisfy PCI,HIPAA,SOX,ISO）,内部威胁教育（Education）吓阻（Deterring）侦测（Detection）阻止（Prevention）调查(Investigation),根源分析和文档即刻找到问题根源（Immediate root-cause answers）系统排错（Troubles

7、hooting）管理优化（Change management）最佳文档习惯（Document best-practices）,5,有效降低内部威胁的整体解决方案,Inform employees of potential policy violations as they occur!Just in time awareness at the point of violationA proven approach to minimizing security incidents by up to 50%,User-Centric View Deep visibility into user a

8、ctions Discover and Investigate only a handful of the riskiest users,Warn and BLOCK policy violators against proceeding with risky activity Activate full blown session recordingProved to reduce malicious activity by up to 80%,Rapidly separate malicious from legitimate activityEasy and simple to unde

9、rstand by non technical people Irrefutable evidence Accelerate investigations from weeks/months to minutes/hours,6,Educate（教育）,7,Inform employees of policy violations,as they occurA proven approach to cutting the number of security incidents in halfInstant ROI reduce security incidents by half simpl

10、y telling folks the security policy,Educate,Notify employees of company policy violation in real-time and context,Deter（吓阻）,Warn users against proceeding with dangerous or of out-of-policy activitiesWarn policy violations will be recorded and reviewed Malicious users are 80 percent less likely to co

11、ntinue after being warned,Deter Discourage,Show warnings out-of-policy behavior will be recorded and reviewed,8,Detect（侦测）,9,Streamlined Incident Response-easy and intuitive;user-centric view Discover the riskiest users,and gain deep visibility into their present and pastInvestigate a handful of ris

12、ky users instead of thousands tedious false alerts/discrete events,Detect,Investigate（调查）,10,Video session replay provides context to rapidly discern malicious from benign actionsAccelerate investigations from weeks/months to minutes/hours,Investigate,实效分析,11,Incidents,教育,调查,吓阻,侦测,002000,

13、教育 及时给予用户违规操作提醒即可降低50%的安全事件,侦测系统仅仅监测并调查少数高风险用户进行,吓阻 对于违规者和恶意用户的预先警告和系统阻止,调查迅速将恶意行为从合规操作中分离,-50%,-80%,-90%,SIEM和系统日志给出的信息并不直观,Wouldnt it be easier with a Replay Video button?,Replay Video,Video Replay shows exactly what happened,Can you tell what happened here?,SIEM：安全信息和事件管理Security Information and Event Management,12,应用场景：内部威胁智能管理,基于显性的用户行为来重点关注高风险用户,13,系统策略和响应,对违规行为会话进行完整回放便于发现并解决问题,14,ObserveIT行为审计系统部署,15,16,国内银行典型部署实例,典型金融行业客户,17,