INFOWATCH DATA ACCESS TRACKER
DCAP-возможности по аудиту учетных записей и изменений в службе каталогов
Первый шаг к безопасности данных – возможность управлять правами доступа к ним
DCAP-возможности
Часто доступ получают через изменение состава групп в службе каталогов или манипуляции с учётными записями. Важно знать, кто имеет доступ, и отслеживать все изменения прав.
InfoWatch DAT
InfoWatch DAT
Контролирует изменения групп в службе каталогов Microsoft Active Directory
Уведомляет по email об изменениях привилегированных групп, рассылает отчеты об изменениях всех групп – по расписанию
Фокусирует внимание на учётных записях, представляющих опасность
InfoWatch DAT cохраняет важные для ИБ события Microsoft Active Directory в режиме реального времени
- Избежать потери событий из‑за переполнения журнала AD
- Аккумулировать все события AD из нескольких контроллеров домена
- Не делать каждый раз запрос в департамент ИТ
Это позволяет
Автоматизированные отчёты InfoWatch DAT по событиям AD и уязвимым учётным записям
- Изменения состава привилегированных групп
Например, администратор на время выдал повышенный уровень прав доступа злоумышленнику - Неудачные попытки входа
Например, попытки подбора пароля к учётной записи коллеги - События блокировки пользователей
Могут говорить о попытке подобрать пароль - Изменение или сброс пароля администраторами
Например, администратор может сбросить пароль, чтобы войти в учётную запись сотрудника. Так он замаскирует сброс пароля политиками безопасности
- Пользователи с постоянным паролем
Бессрочный пароль повышает вероятность подбора - Пользователи без пароля
Явная незащищённость учётной записи, вероятно умышленная - Заблокированные пользователи
Например, сотрудник мог создать несколько учётных записей и надеяться, что IT забудет какую-нибудь из них отключить - Пользователи с истёкшим паролем
Старый пароль — это очевидная уязвимость - Неактивныe компьютеры и компьютеры, никогда не входившие в систему
Их могут использовать для атаки - Пользователи, никогда не входившие в систему
«Мёртвые души» могут использовать для атаки
InfoWatch DAT может работать в Центре расследований совместно с Vision, Activity Monitor, Data Discovery и Prediction
Пример:
- Cпециалист ИБ получил почтовое уведомление DAT о добавлении сотрудника в привилегированную группу.
- Затем перешёл в раздел «События» и увидел, что сотрудник копировал конфиденциальные данные на флешку.
- Без перестройки фильтра на графе связей «Аналитики» убедился, что ранее сотрудник не работал с такой информацией и никто ему эти данные не пересылал.
- В разделе «Наблюдение» можно в режиме реального времени проконтролировать, что сотрудник делает с этими файлами, и принудительно заблокировать ПК.
Так специалист ИБ может собрать необходимые данные для расследования и оперативно предотвратить нарушение без переключения между консолями средств ИБ InfoWatch.
Данные InfoWatch DAT отображаются в разделе «Инфраструктура».
Средняя продолжительность пилотного проекта — 30 дней.
Первые результаты — через 1 неделю!
Хочу попробовать