Аккаунты бухгалтеров: почему они становятся мишенью для хакеров и как распознать подозрительные действия

Бухгалтер вдруг начинает запрашивать годовую отчетность, с которой ранее не работал, скачивает большое количество файлов или входит в систему иначе, чем обычно. За такими изменениями может скрываться не срочная подготовка к отчетности, а начало незаконного передвижения информации за пределы компании. Разберемся, какие аномалии должны насторожить организацию.

Автор

• ​Николай Перетягин

Менеджер по продукту Dataplan, компания NGR Softlab

Почемум учетная запись бухгалтера — привлекательная цель для злоумышленника

Бухгалтерия обрабатывает один из самых чувствительных массивов корпоративной информации. Это персональные данные, финансовая отчетность, движение денежных средств, информация о покупках и платежах, проводки, данные контрагентов и клиентов. Кроме того, учетные записи бухгалтеров часто имеют широкие права. Все это делает такие аккаунты «лакомой добычей» для хакеров, и их взлом может повлечь не только утечку данных.

Получив доступ к такой учетной записи, злоумышленник может вмешиваться в бизнес-процессы: например, изменять важные данные. Последствия могут распространиться за пределы финансового отдела и затронуть расчеты с контрагентами, производство, поставки и другие процессы компании.

Однако заметить атаку бывает сложно. Первый признак — изменение состава типичных приложений, с которыми работает бухгалтер. В течение дня сотрудник может использовать 1С, клиент-банк, системы налоговой отчетности, файловые хранилища, электронную подпись, VPN, Excel, Word и другие программы. Если в привычном наборе появляется что-то новое, это повод разобраться в причинах.

Но есть более сложный сценарий. Злоумышленник получает легитимный доступ и продолжает использовать привычные программы и способы подключения. Формально сотрудник работает как обычно. Тогда нужно не только отслеживать, с чем он работает, но и как именно он это делает.

Отклонение не всегда означает атаку

Работа бухгалтера имеет выраженную сезонность. Нагрузка в обычные дни и перед сдачей квартальной или годовой отчетности различается: меняется количество операций, продолжительность работы, объем обрабатываемой информации. Поэтому нельзя один раз определить «нормальное» поведение сотрудника, например по первым двум-трем неделям наблюдений, а затем считать любое отклонение подозрительным. Иначе бухгалтер, который вечером готовит квартальный отчет, сам будет выглядеть как нарушитель.

Чтобы отличить угрозу от нормальной рабочей активности, полезно оценить сразу несколько факторов:

• как сотрудник вел себя раньше;

• как его поведение менялось в течение длительного периода;

• как он взаимодействует с корпоративными системами.

Аномалия обнаружена. Что дальше

Главная ошибка — воспринимать любое необычное действие бухгалтера как доказательство атаки. Причины отклонений могут быть рабочими: сотрудник исправляет накопившиеся ошибки, в компании изменились процессы, наступил отчетный период или обязанности отсутствующего коллеги временно передали другому специалисту.

Например, главный бухгалтер ушел в отпуск, и другому сотруднику нужно сформировать и отправить отчетность. С точки зрения анализа поведения, это отклонение, но с точки зрения бизнеса — объяснимое действие. (Попутно отметим, что передавать коллеге логин и пароль от учетной записи — плохая практика. Безопаснее на необходимый срок предоставить дополнительные права, а затем отозвать их. Иначе временный доступ может стать постоянным, и у сотрудника останутся возможности, которые ему больше не нужны).

Поэтому задача информационной безопасности — не добиться ситуации, когда бухгалтер боится лишний раз открыть файл, а понимать нормальный контекст работы и вовремя замечать его существенные изменения.

Можно ли обнаружить аномалии вручную

Часть признаков можно обнаружить стандартными средствами аудита. Например, заметить рост ошибок авторизации или проверить журналы событий после подозрительной активности.

Но чем больше сотрудников и систем, тем сложнее вести такой контроль вручную. Нужно сопоставлять действия пользователя за разные периоды, учитывать пики во время отчетности, сравнивать его с коллегами. Одновременно — анализировать время и способ подключения, используемый компьютер, операции, запрашиваемые данные и объемы выгрузок. При этом недостаточно просто найти отклонение. Нужно собрать контекст и понять, чем оно вызвано.

В небольшой компании такой контроль частично еще можно организовать в ручном режиме. В крупном финансовом подразделении объем событий становится слишком большим. Здесь применяются специализированные средства анализа, которые автоматически ищут отклонения в поведении учетных записей и хостов и помогают сопоставлять их между собой.

Что в итоге

Утечка редко начинается с последнего действия — отправки файла вовне. Сначала злоумышленнику нужно получить доступ, найти нужную информацию, изучить ее и подготовить к выгрузке. Уже на этих этапах поведение учетной записи может измениться: появляются нетипичные обращения к данным, меняется способ доступа, растет объем выгрузок. Вручную заметить такую цепочку среди множества обычных действий сложно.

Поведенческий анализ создает дополнительный рубеж защиты, помогая обнаружить аномалии как можно раньше и давая специалисту по информационной безопасности контекст, необходимый для проверки потенциальной угрозы.