Внутрішній ризик, виміряний
Найтихіший злам виглядає як звичайний робочий день.
Менеджер подає заяву про звільнення і в останні два тижні тихо виносить список клієнтів - по одному законному завантаженню за раз. Не запускається жоден шкідливий код, не спрацьовує жодне правило, а кожна подія лягає в журнал, якого ніхто не читає. 1Security вчиться, як виглядає норма кожної людини, застосунку та ШІ-агента, - і ловить легке відхилення, яке нормою не є.
- 17,4 млн $середня річна ціна внутрішнього ризику (Ponemon, 2025)
- 81 деньсередній час локалізації внутрішнього інциденту
- 1 із 3зламів - за участю людини зсередини (Verizon, 2024)
Проблема
Шум або тиша - сьогоднішні інструменти відмовляють в обидва боки.
Сценарій, який кожна команда безпеки тихо носить із собою: хтось подає заяву і за час відпрацювання читає вчетверо більше за свій звичний обсяг - списки клієнтів, ціни, папку угоди, яку вів. Кожна окрема подія законна. Його обліковий запис, його дозволи, файли, які йому завжди можна було відкривати. Виявляти нічого - крім кількості.
Детекція на правилах відмовляє тут з обох кінців. Налаштована чутливо - топить: сотні сповіщень на день, доки команда не перестає їх читати, і те єдине важливе прогортається непрочитаним. Налаштована тихо - просто ніколи не озивається. А ззовні обидва провали нерозрізненні: обидва виглядають як екран, на якому нічого немає.
Між ними лежать делікатні випадки, що випадають зі звичайної роботи, не порушуючи жодного правила: менеджер, який збирає матеріали правління перед відходом, адмін, що читає поштову скриньку, якої ніколи раніше не торкався, агент, що раптом прочісує фінансовий сайт. «Чи не обікрав нас хтось зі своїх?» - запитання, на яке більшість стеків не може навіть почати відповідати.
Дві чорні скриньки
Чому у вас сьогодні немає відповіді.
Два рішення у вашому стеку ухвалені там, де ви їх не бачите: що заслуговує на вашу увагу і хто до чого може дотягнутися. Інсайдер виходить між ними.
Поріг, який обрав хтось інший
Виявлення аномалій зазвичай постачається чорною скринькою: постачальник задав лінію сповіщення, і ви не можете її ні побачити, ні зсунути. Занизько - черга перетворюється на шум; зависоко - вона ніколи не заговорить, і ви ніяк не дізнаєтеся, що вона вирішила вам не сказати.
Докази, яких ніхто не зберіг
Усе, що падає нижче цієї прихованої лінії, відкидається, а не зберігається. Коли підозра приходить пізніше - заява про звільнення, сигнал, конкурент із вашими цінами, - розслідуванню потрібні слабкі сигнали минулих тижнів, а читати нічого. У запитання «чи ми щось пропустили?» немає даних, на яких воно могло б працювати.
Доступ, який ніхто не може закартувати
Прямі надання, посилання спільного доступу, вкладені групи, розірване успадкування: те, до чого одна людина справді могла дотягнутися, - це граф, якого не малює жодна консоль адміністрування. Тож «що вони могли забрати?» коштує тижня здогадок - відповідь зазвичай приходить уже після того, як відпрацювання скінчилося.
Відповідь
Вимірювати все. Сповіщати на рівні, який обираєте ви.
1Security ділить приховане рішення надвоє. Що незвично - вимірюється і завжди записується. Що заслуговує на сповіщення - це лінія, що належить вам, і ефект її зсуву ви бачите одразу, на своїй справжній історії.
- 01
Звичайний день, вивчений для кожної людини, застосунку й агента
Кожен детектор і кожен суб'єкт вчить власну норму: сьогоднішнє число проти власної медіани за 30 днів. Дванадцять на день, що стали двома тисячами, - аномалія, хоч би якою була причина: той, хто йде, з експортом CRM, автоматизація, що схибила, токен не в тих руках.
- 02
Ніщо нижче лінії не викидається
Кожне значуще відхилення аж до 2 сигм зберігається - зі сповіщенням чи без. «Чи не обікрав нас менеджер?» стає розслідуванням, а не знизуванням плечима: опустіть лінію, відфільтруйте період відпрацювання і прочитайте те, що вже було записано.
- 03
Один регулятор - і відповідь перед очима
Лінія сповіщення лежить на видноті, вгорі екрана. Зсуньте її - і ваша справжня історія перекласифікується на місці: без тіньового режиму, без кварталу налаштування. Лікарня затягує її суворо, стартап послаблює - обидва працюють в одному продукті з регулятором у різному положенні.
Друга скринька, відкрита
А коли спрацює: що вони могли забрати?
Норма каже, що активність зламала шаблон. Граф дозволів каже радіус ураження: кожен файл, сайт і поштова скринька, до яких цей обліковий запис міг дотягнутися, - прямі надання, посилання, групи, успадкування - розв'язані за хвилини, а не відновлені за тиждень. Обидві відповіді приходять разом: що незвичного вони зробили і до чого могли дотягнутися, поки це робили.
Реакція
Дивитися пильніше рівно тоді, коли це важливо.
Працівник подав заяву? Опустіть його особисту лінію сповіщення на тридцять днів, із причиною і терміном дії - детекція стискається навколо однієї людини рівно на час ризику, а решта черги залишається тихою. Шумний сервісний обліковий запис отримує протилежне: тиждень тиші, під запис.
А коли знахідка вимагає дії, 1Security доводить її туди: відкликати доступ, погасити посилання, розірвати сеанси - через автоматизації з періодами відстрочки та чергами перевірки, щоб нічого незворотного не сталося без рішення людини. І доки ви свідомо не надасте згоду на запис, усе працює в режимі лише для читання.
Доказ і розгортання
Пораховано, а не обіцяно.
Жодних агентів для розгортання, жодної преміум-надбудови, жодного проєкту налаштування. Під'єднайте вранці в режимі лише для читання; норми починають вчитися того самого дня, а за два тижні детекція працює на вашій історії.
- 14 дніввід під'єднання до робочої норми - без кварталу налаштування
- 2 сигмиусе вище записується - зі сповіщенням чи без
- Миттєвозсуньте лінію сповіщення - історія відповість заново
- Того самого днявід згоди лише на читання до перших знахідок
Найтихіший злам виглядає як звичайний робочий день.
Погляньте, як виглядає норма кожної людини, застосунку та ШІ-агента у вашому клієнті Microsoft 365 - і легкі відхилення, які нормою не є.
Або й далі вважайте, що ті, хто пішов, нічого не забрали.