Nell’ultimo periodo, dove Purview sta davvero spopolando, è sorta una necessità: andare sì a calare le soluzioni di etichettatura e di Data Loss Prevention all’interno del perimetro aziendale, ma anche avere un sistema che controlli nello specifico come i dati, all’interno dell’azienda, vengono movimentati dagli utenti.
“Purtroppo”, messo idealmente tra 30 virgolette, Purview genera un volume enorme di log che, per i gruppi IT non strutturati e piccoli, implica un totale abbandono del controllo e monitoraggio della soluzione.
Infatti, moltissime realtà presentano IT molto scarni e quindi sottodimensionati per le attività che devono svolgere. A questi è difficile, se non impossibile, andare ad assegnare anche il compito di monitorare tali log e, a mio avviso, per ovviare a questo rischio sono possibili 2 macro soluzioni all’interno del mondo di Microsoft 365.
Una è l’adozione di Microsoft Sentinel (servizio di SIEM) per caricare i log di Purview e customizzare lo strumento in modo che apra specifici incident, sulla base di specifiche attività che verranno svolte dagli utenti, in modo che poi possano essere analizzati dall’IT. Mentre la seconda è l’adozione del relativamente nuovo servizio, sempre di Purview, chiamato Insider Risk Management, in modo che questo monitori in automatico le attività che gli utenti svolgono all’interno del perimetro aziendale e correli automaticamente quelle che possono essere azioni malevole svolte con i dati della nostra azienda.
La prima soluzione che ho presentato, ovvero quella di Sentinel, purtroppo richiede abbastanza tempo per la configurazione ma, soprattutto, per il mantenimento. Infatti, l’idea di correlare manualmente i log per avere l’apertura personalizzata di incident richiede non solo tempo per lo sviluppo e il continuo aggiornamento, ma anche molte skill da parte di chi programma il servizio. Inoltre, serve anche una certa fantasia per pensare a tutte le possibili attività che, una volta correlate, faranno scattare l’incident. Quindi questa prima strada, seppur percorribile, è altamente sconsigliata, in quanto sarebbe una soluzione che complicherebbe la vita agli IT invece di andare a semplificarla.
Quindi ci viene in soccorso la seconda opzione ovvero il servizio di Insider Risk Management. Questo infatti in autonomia si occuperà dell’identificazione e della correlazione delle attività malevole nella gestione dei dati da parte degli utenti.
Gli IT quindi, con questa soluzione, possono rapidamente identificare gli utenti da monitorare e, autonomamente, il sistema, sulla base degli indicatori scelti, analizzerà i log generati da questi per identificare eventuali attività malevole. Se queste attività saranno di grossa portata, allora il livello di rischio dell’utente verrà identificato dal servizio come molto alto, facendolo crescere e facendo eventualmente scattare delle allerte per gli amministratori. Questi alert potranno essere rapidamente aperti ed analizzati dagli IT per capire se effettivamente l’utente ha svolto un’attività malevola o meno.
Il grosso vantaggio del servizio di Insider Risk Management è che è un servizio adattivo, quindi, sulla base delle attività che l’utente svolge, sulla base del contesto lavorativo solito, sulla base del quantitativo di dati sensibili che maneggia e della reiterazione di specifiche attività considerate come malevole, il livello di rischio cambierà autonomamente, aumentando o diminuendo.
Pertanto, se un utente dovesse modificare l’etichetta di 500 file andando ad abbassare il livello di classificazione e rimuovendo la cifratura a questi file, ovviamente il rischio aumenterebbe notevolmente, perché non è un’attività che solitamente un utente dovrebbe svolgere.
Se però, per differenti settimane, l’utenza in questione non dovesse condividere questi file o copiarli su dispositivi USB, o fare altre attività di esfiltrazione dei dati, il rischio calcolato dal sistema diminuirebbe automaticamente, dato che, al seguito della prima attività, non è conseguita un’esfiltrazione.
Se invece, subito dopo l’attività di cambio dell’etichetta massivo, l’utenza dovesse iniziare a condividere quei file in OneDrive ad utenze esterne al tenant o, tramite email, oppure se dovesse divulgare quei documenti a domini pubblici, quali Gmail, magari per avere una copia dei file sul proprio indirizzo personale, il sistema aumenterebbe ulteriormente il rischio ed aprirebbe un alert per gli amministratori.
Il servizio come vedete dalla mia descrizione risulta essere estremamente eccellente, però potrebbe creare un grosso problema in molti contesti, ovvero la violazione della privacy dell’utente. Infatti, con il servizio di Insider Risk Management gli amministratori potranno controllare le specifiche attività che un utente compie su tutti i file, pertanto potremmo ledere la privacy dell’utente e creare problematiche sotto il profilo delle varie normative. Però Insider Risk Management ci permette di anonimizzare l’utente in modo da poter svolgere dei controlli su degli pseudonimi e non poterli associare fisicamente a qualcuno. Ovviamente, una volta validata l’attività malevola di uno pseudonimo, sarà possibile capire chi l’ha svolta e quindi procedere per vie legali in caso di furti di dati.
Insider Risk Management ha inoltre un altro grosso vantaggio ovvero è basato sulla configurazione di policy estremamente granulari, quindi è totalmente scalabile sulla base delle proprie necessità e quindi può essere calato praticamente in qualsiasi contesto. All’interno di un tenant possono quindi esserci più policy che correlano eventi e generano alert in base alle occorrenze del business e del monitoraggio che dobbiamo svolgere sulle varie utenze più o meno sensibili.
Pertanto è possibile creare delle policy generiche, nel caso in cui quelle di default preconfigurate da Microsoft non ci aggradino troppo, in cui monitoriamo il comportamento degli utenti meno sensibili e delle policy più restrittive. Queste policy più stringenti potremmo magari andare ad applicarle ad utenti più sensibili e che quindi necessitano di un occhio di attenzione particolare.
Vorrei chiudere il mio articolo lanciando una sfida, ovvero provare questa soluzione e ragionare sui benefici che porta.
Se ciò che ho rapidamente spiegato vi intriga, suggerisco di provare il servizio con le policy di default, che richiedono proprio pochi clic per la configurazione, per valutare i benefici che può portare.
Se poi, dopo un periodo di test, si sarà soddisfatti, allora si potrebbe provare a creare delle policy ad hoc e più strutturate e migliorare la postura di sicurezza del dato dei vostri ambienti.
Per approfondire quanto spiegato in questo articolo, puoi guardare il mio video su YouTube, dove illustro e racconto tutti i concetti sopra descritti.
Guarda il video qui