Cos'è l'esfiltrazione dei dati? Come l'IA accelera il furto di dati e come ridurre ciò che viene esposto

Una volta che gli aggressori sono all'interno di un database, di un wiki o di una casella di posta, vogliono una cosa: i dati. L'esfiltrazione non richiede malware o strumenti speciali. Un accesso valido o una singola applicazione web vulnerabile sono sufficienti, e la copia sembra traffico normale finché qualcuno non controlla il volume. L'IA riduce il tempo tra l'ingresso e l'uscita con i record migliori.

Cos'è l'esfiltrazione dei dati?

L'esfiltrazione dei dati è il trasferimento non autorizzato di dati da un sistema, rete o servizio cloud a una posizione controllata dall'attaccante. I team di sicurezza lo usano anche come verbo: gli attaccanti esfiltrano i dati. Una violazione dei dati descrive l'esposizione stessa, mentre la perdita di dati di solito indica che l'esposizione è stata accidentale. L'esfiltrazione è deliberata, e la persona dietro può essere un attaccante esterno o un insider.

Esempi di esfiltrazione dei dati

Prendi il controllo di un database. Un attaccante sfrutta un'applicazione web vulnerabile, ottiene il controllo di un database di registro ed esporta milioni di record. Un dump di intranet è diverso: qualcuno con credentials rubate copia un'intera wiki aziendale, comprese procedure e note di architettura, e a volte credentials che le persone hanno incollato nelle pagine.

Le esportazioni di Mailbox sono più silenziose. Dopo aver preso il controllo di un account, l’attaccante estrae la Mailbox e la cerca per fatture, contratti e dati personali. Il ransomware a doppia estorsione aggiunge una minaccia in più. Gli attaccanti copiano prima i dati, poi criptano i sistemi e avvertono la vittima che i dati verranno pubblicati se il riscatto non viene pagato.

Tecniche comuni di esfiltrazione dei dati

La maggior parte delle esfiltrazioni segue una di poche vie:

• Credenziali rubate: un accesso valido legge e copia dati tramite interfacce normali, quindi l’attività sembra un uso di routine.
• Difetti dell'applicazione: vulnerabilità in app web, piattaforme CMS e API consentono agli attaccanti di estrarre dati direttamente senza alcun login.
• Insider: dipendenti e appaltatori copiano dati su archiviazione personale, unità USB o email.
• Sincronizzazione e caricamenti cloud: i dati vengono spostati su account personali o servizi di condivisione file.
• Preparazione e trasferimento: qualunque sia il percorso per estrarre i dati, gli attaccanti spesso li comprimono prima in grandi archivi e li inviano tramite HTTPS, DNS o un altro canale già consentito dalla rete.

Come l'IA cambia l'esfiltrazione dei dati

Copiare i dati non è mai stata la parte lenta. Scegliere cosa prendere e ordinare ciò che tornava occupava la maggior parte del tempo di un attaccante. L'IA accelera proprio questi compiti.

I dati rubati vengono cercati per significato

La raccolta di dati significava ricerche per parole chiave e navigazione manuale. Ora un modello può leggere documenti, fogli di calcolo e thread di email ed estrarre contratti, record dei clienti e credenziali, anche quando i file hanno nomi inutili. Un grande dump diventa ricercabile molto più velocemente di quanto una persona possa leggerlo.

Gli obiettivi vengono classificati prima che venga copiato qualsiasi elemento

I nomi delle cartelle, i metadati dei file e i contenuti di esempio indicano a un modello quali shares e database contengono il materiale più sensibile. Gli aggressori possono prendere prima quei dati e saltare i file di scarso valore, così i trasferimenti restano più piccoli e silenziosi.

I record rubati vengono ordinati per prezzo

I dati personali, le cartelle cliniche, i dati di pagamento e la proprietà intellettuale hanno ciascuno un diverso valore di rivendita e di estorsione. I modelli possono ordinare i record rubati per tipo e redigere messaggi di estorsione che citano file specifici, e una richiesta che nomina i tuoi documenti è difficile da ignorare.

La raccolta viene eseguita tramite uno script

Elencare, copiare, comprimere, preparare, inviare. Ogni passaggio può essere automatizzato e ripetuto automaticamente, e una routine può essere eseguita contemporaneamente su molte organizzazioni.

Esfiltrazione dati tradizionale vs. assistita da IA

Rilevamento di esfiltrazione dati

Attenzione a grandi archivi in luoghi insoliti, volume in uscita che non corrisponde al giorno, connessioni a destinazioni sconosciute, letture massive di un database o casella di posta, accesso a condivisioni file in orari strani e account che leggono dati che non toccano mai.

La fase di staging è uno dei passaggi più semplici da controllare. Questo comando Linux elenca gli archivi di grandi dimensioni creati nelle ultime 24 ore.

      find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null 
      

La versione PowerShell fa lo stesso su Windows. Indicala ai percorsi delle tue condivisioni file, perché scansionare l'intero disco C: richiede molto tempo.

      Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue | 

  Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } | 

  Select-Object FullName, Length, CreationTime 
      

Controlli come questi funzionano su un solo server. Su file server, SharePoint, caselle di posta e database sono meno efficaci, e un grande trasferimento è solitamente visibile solo dopo che i dati sono stati inviati. Un controllo più affidabile inizia prima, conoscendo ciò che possiedi.

Prevenzione dell'esfiltrazione dei dati: riduci ciò che vale la pena rubare

I controlli di Network e endpoint sono importanti, e ciascuno dipende dalla conoscenza di quali dati sono sensibili. Molte organizzazioni non sanno dove si trovano i dati personali, i dati di pagamento e la proprietà intellettuale, né chi può accedervi. Ogni tecnica sopra funziona meglio contro dati che nessuno ha classificato, bloccato o ricordato.

Netwrix Data Classification individua dati sensibili e regolamentati in modo continuo su server di file Windows, NetApp, Dell EMC, Nutanix Files, SharePoint, Microsoft 365, Exchange, SQL Server, Oracle, MySQL, Box, Dropbox e Google Drive. Le regole predefinite coprono GDPR, HIPAA e PCI DSS, e le tassonomie personalizzate gestiscono dati specifici per la tua azienda.

Una valutazione del rischio mostra quali dati sensibili sono più esposti. La rimedio automatizzato sposta quindi i file sensibili in posizioni sicure, rimuove i permessi dai gruppi di accesso globale e redige contenuti riservati.Rilevamento ROT segnala dati ridondanti, obsoleti e banali in modo che tu possa eliminarli. Meno dati, sotto un controllo più rigoroso, lasciano meno posti dove un attaccante può cercare.

I tag di classificazione possono anche essere incorporati nei file, migliorando l'accuratezza degli strumenti DLP e IRM. La classificazione riduce ciò che è esposto e indica agli altri controlli cosa merita protezione. Bloccare i trasferimenti all'endpoint è un compito DLP, e Netwrix Endpoint Protector applica tali politiche su dispositivi USB, browser, email e strumenti AI su Windows, macOS e Linux.

Lista di controllo per la prevenzione dell'esfiltrazione dei dati

1. Individua dove risiedono i dati sensibili, inclusi i file server, SharePoint, le caselle di posta e i database.
2. Classificalo per tipo, come dati personali, dati di pagamento e proprietà intellettuale, e mantieni la classificazione aggiornata.
3. Rimuovere i permessi eccessivi, a partire dai gruppi di accesso globali.
4. Elimina o archivia dati ridondanti, obsoleti e irrilevanti.
5. Sposta i file sensibili da condivisioni aperte in posizioni controllate.
6. Applica controlli DLP agli endpoint per dispositivi USB, browser, email e strumenti AI.
7. Attenti a grandi archivi e trasferimenti in uscita insoliti.