Wenn die Indiskretion absichtlich erfolgt
Nicht jeder Datenverstoß geht auf das Konto eines externen Angreifers. Einige der schädlichsten Datenlecks sind absichtlich herbeigeführt und werden von einem vertrauenswürdigen Insider begangen, der bereits über legitimen Zugriff verfügt. Die Besorgnis über böswillige Insider hat in den letzten Jahren stark zugenommen, und die Kosten sind real: Die durchschnittlichen jährlichen Kosten für Sicherheitsvorfälle durch Insider belaufen sich pro Unternehmen auf mehrere Millionen, wobei die Eindämmung oft Monate in Anspruch nimmt.
Dieses Muster lässt sich an den jüngsten Vorfällen erkennen. Bei Allianz Lifenutzten Angreifer, die sich Zugang zu einem Cloud-CRM verschafft hatten, dessen eigene legitime Verwaltungs- und Exportfunktionen, um Sozialversicherungsnummern, Geburtsdaten und Versicherungsdaten von 2,8 Millionen Menschen abzugreifen. Bei PowerSchoolermöglichten die gestohlenen Zugangsdaten eines Auftragnehmers den Export großer Datenmengen, die mehr als 62 Millionen Schüler und Lehrer betrafen. In keinem der beiden Fälle war ein ausgefallener Exploit erforderlich. Beide Angriffe wurden mit zugelassenen Tools und gültigen Zugangsrechten durchgeführt – und genau das ist der springende Punkt: Sobald ein Außenstehender über funktionierende Zugangsdaten verfügt, verhält er sich genau wie ein Insider, und die Kontrollmechanismen, die von einer feindlichen Außenwelt ausgehen, greifen nicht mehr. Was dann noch bleibt, um sie zu erwischen, ist das Aussehen der Daten selbst, während sie das System verlassen.
Was es so schwer macht, absichtliche Informationslecks zu verhindern, ist die Tatsache, dass Insider genau wissen, wie die Dokumentenprüfung und die E-Mail-Filterung funktionieren, und daher ihre Datenexfiltration so, dass sie sowohl menschlichen Augen als auch automatisierten Scannern entgeht.
Was „unsichtbarer Text“ eigentlich bedeutet
Als unsichtbarer Text bezeichnet man jeden Inhalt, der für den Menschen unlesbar ist, in der zugrunde liegenden Datei jedoch unverändert erhalten bleibt. Es handelt sich dabei weder um Verschlüsselung noch um Steganografie, sondern um gewöhnlichen Text, der so formatiert wurde, dass er unsichtbar wird.
Einige gängige Techniken:
- ZeroFont: Sensible Werte oder bösartige URLs werden auf eine Schriftgröße von Null gesetzt, sodass sie für den Leser nicht angezeigt werden, aber für Maschinen vollständig lesbar bleiben.
- Anpassung der Textfarbe an die Hintergrundfarbe: Eine Kreditkartennummer oder Sozialversicherungsnummer ist zwar gut sichtbar, fällt jedoch auf einer weißen Seite kaum ins Auge.
- Text auf eine extrem kleine Schriftgröße verkleinern: Personenbezogene Daten (PII), Anmeldedaten oder Quellcode in einem Block verbergen, der wie eine Leerzeile aussieht
- Daten weit über die sichtbaren Ränder einer Tabellenkalkulation hinaus verschieben: Dort bleiben sie verborgen, solange niemand ganz herauszoomt
Jede dieser Dateien sieht wie eine normale, harmlose Datei aus. Die Daten sind vollständig in der Datei enthalten. Sie sind lediglich für den Betrachter verborgen. Genau deshalb ist dies gefährlich, und genau deshalb muss die Datei auf der Inhaltsebene und nicht auf der visuellen Ebene überprüft werden.
So geht Proactive DLP™ damit um
Die Proactive DLP™-Technologie überprüft den tatsächlichen Inhalt einer Datei und nicht nur das, was eine Person auf dem Bildschirm sieht. Daher können Gestaltungstricks, die das menschliche Auge täuschen, die Engine nicht täuschen.
Wenn die Erkennung unsichtbaren Texts in MetaDefender™ Core aktiviert ist, analysiert die Proactive DLP™-Technologie die Dokumentformatierung, deckt Text auf, der ausgeblendet oder unter eine Lesbarkeitsschwelle verkleinert wurde, und unterzieht diesen wiederhergestellten Text anschließend derselben Erkennung sensibler Daten, die auch für normale Inhalte gilt – einschließlich integrierter Detektoren für Finanzdaten, personenbezogene Daten (PII) und vertrauliche Informationen sowie aller von Ihnen definierten benutzerdefinierten Muster.
Sobald sensible Daten in verstecktem Text gefunden werden, entscheidet Ihre inhaltsbasierte Richtlinie, wie es weitergeht: Die Datei wird entweder blockiert oder nach einer Korrekturmaßnahme – wie beispielsweise einer Schwärzung, Ersetzung oder Entfernung von Metadaten – zugelassen. Der springende Punkt ist, dass versteckte Daten wie echte Daten behandelt werden, denn genau das sind sie auch.
Sehen Sie es in Aktion: Vorher und Nachher
Das Dokument sieht auf den ersten Blick wie ein ganz normaler Bericht aus. Für einen Prüfer sind keine sensiblen Informationen erkennbar, und ein Filter, der nur den gerenderten Inhalt auswertet, lässt es passieren. Im Inneren verbergen sich jedoch eine oder mehrere regulierte Daten, die darauf warten, das Unternehmen zu verlassen.
