El documento trata sobre la protección de datos y los ataques internos. Explica que 1 de cada 6 usuarios expone o maneja los datos de forma insegura y que menos del 1% de los ataques son investigados. Los puntos débiles clave son la gente, las aplicaciones web y bases de datos, y los dispositivos. Los ataques internos son difíciles de detectar debido a los muchos accesos legítimos, los registros limitados y las alertas ambiguas. Los usuarios negligentes comparten credenciales de acceso a los datos, lo que aumenta el

1. © 2016 Imperva, Inc. All rights reserved.
Proteccion de Datos
Guillermo Heins
NOLA Regional Sales Manager

2. © 2016 Imperva, Inc. All rights reserved.2
Tiene acceso a la
informacion….
1 de cada 6 usuarios
expone o maneja mal los
datos.
<1% de los ataques son
investigados. (Son
Internos)
Perfil de un Hacker- Insider

3. © 2016 Imperva, Inc. All rights reserved.3
Puntos de Falla Claves
- Gente
- Aplicaciones WEB o Bases de Datos
- Dispositivos
Cual es el camino mas facil?
Data
Dispositivo
Comprometido
Cuentas de
Empleados o
Usuario
Perfil del Empleado
Guillermo Heins
Gerente Financiero
Base de Datos File Server
Portales WEB

4. © 2016 Imperva, Inc. All rights reserved.
83%
De los ataques son
detectados en semanas 2+
68%
De los ataques toman solo
dias para Exflitrar la data
66%
De las companias identifico que es mas dificil detectar al
atacante interno que al Ciberataque externo
Verizon’s 2016 Data Breach Report
Palerra, Insider Threat Spotlight Report, 2016

5. © 2016 Imperva, Inc. All rights reserved.
Donde esta la Data mas vulnerable?
Confidential5
Crowd Research Partners, Insider Threat Spotlight Report, 2015

6. Operation response time
File name
Affected rows
SQL operation and type
Table name
Schema
File type
Serverresponsetime
File type
Number of rows
Data sensitivity
Database error code
File operation
File path
Table name
Data sensitivity
Filetype
Schema
6
Server IP
User domain
Clientport
OS user
Endpoint host name
Server IP
Databaseusername
File share IP
OSuser
User identity
Client IP
User department
OS user
• Operation response time• File nameAffected rows • SQL operation and type • Schem
• Database error code • Schema• SQL operation and type • File type • Taesponse time
•ServerIP•Userdomain•Clientapplication•
•OSuser•Clientport•EndpointhostnameIP
• File type • Database name • Number of rows• Data sensitivity • Database error code
• File operation• Server response time • File path• Table name • Data sensitivitFile type
•Databaseusername•FileshareIPOSuser•U
•UseridentityntIP•Userdepartment•OSuser
USUARIOS
DATA
BREACHES
LOS ATAQUES SE GENERAN
EN LA INTERSECCION DE LOS
DATOS CON LOS USUARIOS

7. © 2016 Imperva, Inc. All rights reserved.
Ejemplos mas cercanos en Estados Unidos
* Source: Privacy Rights Clearinghouse - http://www.privacyrights.org/

8. © 2016 Imperva, Inc. All rights reserved.

9. Porque es tan dificil detectar los ataques internos?
Confidential
Muchos Accesos
Legitimos
Logs limitados poco
detalle contextos
tecnicos diferentes
Alertas Ambiguas
Sobrecarga y Falsos
Positivos

10. © 2016 Imperva, Inc. All rights reserved.
Respondo
RAPIDAMENTE
O no?
Exactamente
QUIEN
Accesamidata?
?
OK?
Esta el acceso
Que debo tener como minimo en mi organizacion?

11. © 2016 Imperva, Inc. All rights reserved.
Malicious
Insider Malicioso – Analisis de Comportamiento
• Un empleado copia > 100,000 Archivos
• El empleado estaba autorizado a accesar esa data
• La operacion toma 3 semanas
• Cada copia tenia un par de miles de Archivos
• Algunas copias – en la mitad de la noche o el fin de
semana…..

12. © 2016 Imperva, Inc. All rights reserved.
Analisis
• El Empleado nunca habia copiado
esta cantidad de datos.
• El empleado nunca trabaja los
fines de semana / ni en la mitad de
la noche.
El empleado estaba autorizado
a accesar la Data.

13. © 2016 Imperva, Inc. All rights reserved.
Otro Analisis….
Compared to other users -
Compared to himself -

14. Usuarios Negligentes
• A y B comparten privilegios
• C y D usan la cuenta de B
• H usa la cuenta de E y G
• J usa la cuenta de G e I
• L usa la cuenta de K
14
USER A B C D E F G H I J K L

15. © 2016 Imperva, Inc. All rights reserved.
Patrones de Comportamiento
DeviceFingerprint
Days in use
Acceso Legitimo
Acceso Legitimo
Acceso Legitimo
Que es esto??

16. © 2016 Imperva, Inc. All rights reserved.
• Identify data focal points for an
account
• Expect repeating usage patterns as
a signature
• Identify high risk activities if :
• Its not you
• You are being bad
• Clearly understand :
• User focused on “opportunities”
and “accounts”, should be in
”sales” group.
Threat Intelligence real world
SaaS Detection:
Anomaly Detection – SFDC Data
usage patterns

17. © 2016 Imperva, Inc. All rights reserved.
Conociendo lo Desconocido
Database
Quien se conecta a la
Base de Datos?
Como se conectan a la
base de Datos?
Sus companeros
accesande la misma
manera?
A que horas trabajan?
Que data estan
accesando?
Cuantos datos tiene ese
Query?

18. Confidential18

19. © 2016 Imperva, Inc. All rights reserved.
Que debemos hacer? Parametros a tener en cuenta.
1) Donde esta la Data Privada de su compania? Sea especifico? Silos? Red? Data Centers?
2) Quien esta accesando su Data?
3) Como accesan los datos?
4) Deberian tener acceso a esos datos?
5) Cuales usuarios tienen acceso a los Datos pero no utilizan el Acceso??
6) Quien es el responsable de la perdida de Informacion? (Seguridad?)
7) Quien es responsable de monitorear la data? – DBA? O Seguridad?
8) Se esta utilizando apropiadamente la Data?
9) Hay inteligencia de Seguridad de como se utiliza esa Data?