Учетные записи бухгалтеров: почему они в фокусе злоумышленников и как выявить аномалии

Бухгалтерия работает с одним из самых чувствительных массивов корпоративной информации. Это персональные данные, финансовая отчетность, движение денежных средств, сведения о покупках и платежах, проводки, данные контрагентов и клиентов. Кроме того, учетные записи бухгалтеров могут иметь достаточно широкие права. Все это делает такие учетные записи «лакомым кусочком» для злоумышленников, причем их компрометация грозит не только утечкой данных.

Злоумышленник, получивший такой доступ, потенциально может вмешаться в бизнес-процессы: например, изменить важные данные. Последствия могут пойти дальше финансового отдела и отразиться на расчетах с контрагентами, производстве, поставке товара и других процессах компании.

При этом заметить атаку бывает сложно. Первичный признак — изменение состава типового набора приложений, с которыми работает бухгалтер. В течение рабочего дня сотрудник может использовать 1С, клиент-банк, системы налоговой отчетности, файловые хранилища, электронную подпись, VPN, Excel, Word и другие приложения. Если в привычном наборе внезапно появляется что-то новое, это повод разобраться в причинах.

Но есть более сложный сценарий. Злоумышленник получает доступ к легитимной учетной записи и продолжает использовать привычные программы и способы подключения. Формально сотрудник работает как обычно. Тогда смотреть нужно не только на то, чем он пользуется, но и на то, как именно он это делает.

У работы бухгалтерии есть выраженная сезонность. Нагрузка в обычную неделю и перед сдачей квартальной или годовой отчетности будет разной: меняется количество операций, продолжительность работы, объем обрабатываемой информации. Поэтому нельзя один раз определить «нормальное» поведение сотрудника, например по первым двум-трем неделям наблюдений, а затем считать любое отклонение подозрительным. Иначе бухгалтер, который вечером готовит квартальный отчет, сам будет выглядеть как нарушитель.

Чтобы отличить угрозу от нормальной рабочей активности, полезно оценивать сразу несколько факторов:

• как сотрудник вел себя раньше;

• как его поведение менялось в течение длительного периода;

• как работают сотрудники с похожими функциями;

• что происходит с компьютером сотрудника;

• к каким данным и местам хранения он обращается и какие операции выполняет.

Для такой комплексной оценки применяются специализированные средства поведенческого анализа. Они позволяют обнаружить изменение сложившегося паттерна действий, работы и оценить его вместе с другими событиями.

Например, бухгалтер подключается к рабочим ресурсам привычным способом. Сам факт подключения подозрений не вызывает. Но одновременно он начинает передавать намного больше файлов, скачивать больше данных или отправлять больше писем. Каждое событие по отдельности может иметь легитимное объяснение, но их сочетание уже требует внимания.

Есть и более простые признаки. Например, резкий рост ошибок авторизации может означать, что сотрудник забыл пароль или ему сменили учетные данные. Но причиной могут быть и попытки получить доступ к его учетной записи. Именно поэтому аномалия еще не говорит о том, что в сети действует злоумышленник. Это сигнал, который нужно проверить.

Признаки потенциальной компрометации можно объединить в пять основных групп.

В обычной ситуации за бухгалтером часто закреплено конкретное рабочее устройство. Поэтому стоит обращать внимание на изменения привычной схемы. Например, одна учетная запись внезапно используется с нескольких компьютеров. Возможна и обратная ситуация: с одного устройства начинают работать сразу несколько учетных записей.

Сам по себе вечерний вход ничего не доказывает — перед сдачей отчетности он вполне объясним. Но если одновременно меняются устройство, время подключения и продолжительность сессий, происходящее стоит проверить.

Еще один сигнал — изменение объектов доступа.

Например, сотрудник никогда не работал с зарплатными данными, но внезапно начинает регулярно их открывать. Или бухгалтер одного участка обращается к папкам и документам, предназначенным для главного бухгалтера.

Здесь важно сравнивать действия человека не только с его собственной историей, но и с историей коллег со схожими функциями. Если все бухгалтеры периодически обращаются к определенному типу документов, действие может быть нормальным. Если этого не делает никто с аналогичной ролью, отклонение становится заметнее.

Количество действий сотрудника может оставаться примерно прежним, а их содержание — измениться.

Представим бухгалтера, который обычно работает со счетами, счетами-фактурами и другими документами своего участка. В какой-то момент он начинает активно запрашивать финансовую отчетность за год или сведения о движении денежных средств между компанией и контрагентами и не просто просматривать эту информацию, а копировать ее в большом количестве, изменять сведения по контрагентам, удалять финансовую отчетность за определенный период и т. д.

Доступ при этом может быть совершенно легитимным: учетная запись уже обладает необходимыми правами.

Важно не только то, куда обращается сотрудник, но и как он это делает.

У человека складывается привычный способ работы с корпоративными системами. Если он внезапно меняется, стоит разобраться в причинах. Например, раньше сотрудник работал с информацией исключительно через 1С, а теперь появляются прямые обращения к базе или другой ранее нехарактерный способ доступа.

Объем информации, с которой работает бухгалтер, естественным образом меняется. Например, компания растет, появляются новые клиенты и контрагенты, а следовательно, увеличивается и количество документов. Но обычно такие изменения происходят постепенно.

Поэтому резкий всплеск запрашиваемой, скачиваемой или передаваемой информации — повод для внимания. Например, сотрудник обычно работает с небольшим набором документов, а затем за короткое время выгружает значительно больший массив.

Резкое падение активности тоже может быть аномалией. Если учетная запись перестала выполнять обычные операции и переключилась преимущественно на поиск и чтение данных, возможно, ею пользуется уже не тот человек.

Главная ошибка — воспринимать любое необычное действие бухгалтера как доказательство атаки. Причины отклонений могут быть совершенно рабочими: сотрудник исправляет накопившиеся ошибки, в компании изменили процессы, наступил отчетный период или обязанности отсутствующего коллеги временно передали другому специалисту.

Например, главный бухгалтер ушел в отпуск, и другому сотруднику нужно сформировать и отправить отчетность. С точки зрения анализа поведения, это отклонение, но с точки зрения бизнеса — объяснимое действие. (Попутно отметим, что передавать коллеге логин и пароль от учетной записи — плохая практика. Безопаснее на необходимый срок предоставить дополнительные права, а затем отозвать их. Иначе временный доступ может стать постоянным, и у сотрудника останутся возможности, которые ему больше не нужны).

Поэтому задача информационной безопасности — не добиться ситуации, когда бухгалтер боится лишний раз открыть файл, а понимать нормальный контекст работы и вовремя замечать его существенные изменения.

Часть признаков можно обнаружить стандартными средствами аудита. Например, заметить рост ошибок авторизации или проверить журналы событий после подозрительной активности.

Но чем больше сотрудников и систем, тем сложнее вести такой контроль вручную. Нужно сопоставлять действия пользователя за разные периоды, учитывать пики во время отчетности, сравнивать его с коллегами. Одновременно — анализировать время и способ подключения, используемый компьютер, операции, запрашиваемые данные и объемы выгрузок. При этом недостаточно просто найти отклонение. Нужно собрать контекст и понять, чем оно вызвано.

Утечка редко начинается с последнего действия — отправки файла вовне. Сначала злоумышленнику нужно получить доступ, найти нужную информацию, изучить ее и подготовить к выгрузке. Уже на этих этапах поведение учетной записи может измениться: появляются нетипичные обращения к данным, меняется способ доступа, растет объем выгрузок. Вручную заметить такую цепочку среди множества обычных действий сложно.

Поведенческий анализ создает дополнительный рубеж защиты, помогая обнаружить аномалии как можно раньше и давая специалисту по информационной безопасности контекст, необходимый для проверки потенциальной угрозы.