媒體將大部分注意力集中在源自組織外部的信息安全威脅上。無(wú)論是發(fā)現(xiàn)新的高級(jí)持續(xù)威脅 (APT) 還是公司違規(guī)，通常人們都認(rèn)為這是來(lái)自公司外部人員的威脅，即局外人。確實(shí)，在任何安全環(huán)境中都存在許多外部威脅——自然災(zāi)害、黑客、黑客活動(dòng)分子等。但是，內(nèi)部威脅發(fā)揮的作用比大多數(shù)人意識(shí)到的要大得多。
安全專家認(rèn)為內(nèi)部威脅是一種眾所周知的現(xiàn)象，許多人認(rèn)為這是對(duì)任何安全環(huán)境的最大威脅。Edward Snowden、維基解密和 Vault7 是內(nèi)部威脅的主要例子。員工有意或無(wú)意地占組織中信息資產(chǎn)威脅的很大一部分。
分析內(nèi)部威脅對(duì)手并不容易。他們可能有也可能沒(méi)有經(jīng)濟(jì)動(dòng)機(jī)。他們可能出于憤怒、沮喪或心血來(lái)潮而進(jìn)行惡意活動(dòng)。雇主可以使用測(cè)謊儀檢查和許多數(shù)學(xué)建模技術(shù)來(lái)檢測(cè)內(nèi)部威脅，并取得不同程度的成功。
三種工業(yè)控制系統(tǒng) (ICS) 環(huán)境和網(wǎng)絡(luò)安全趨勢(shì)
最近的一些趨勢(shì)正在為內(nèi)部威脅火上澆油。
數(shù)字化轉(zhuǎn)型和普渡模型：工業(yè)控制系統(tǒng)環(huán)境包括操作技術(shù)（OT）和信息技術(shù)（IT）。曾經(jīng)的模擬設(shè)備的數(shù)字化以及將這些設(shè)備集成到現(xiàn)有的 OT 框架中已經(jīng)在自動(dòng)化和效率方面取得了進(jìn)步。智能對(duì)象的爆炸式增長(zhǎng)及其對(duì)無(wú)線通信技術(shù)的依賴增加了網(wǎng)絡(luò)攻擊的脆弱性。通過(guò)多層 OT 和 IT 技術(shù)將物理設(shè)備（ICS 的一部分）與業(yè)務(wù)功能（IT 的一部分）集成，經(jīng)常使用 Purdue 模型進(jìn)行描述。Purdue 模型描述了物理劃分和集成的 IT 和 OT 網(wǎng)絡(luò)的邏輯部分。該分析特別感興趣的是那些了解普渡模型 0-3 級(jí)復(fù)雜性的內(nèi)部人員（員工）。
在家 工作模式：自 2020 年 3 月 COVID-19 爆發(fā)以來(lái)，在家工作安排成為主要的就業(yè)模式之前，員工報(bào)告工作并從工廠內(nèi)部監(jiān)控和管理流程和控制。在家工作模式使許多員工能夠通過(guò) Purdue 模型級(jí)別 4 和 5 的 IT 部分連接到最低控制層（級(jí)別 0-3）。
數(shù)據(jù)泄露日益普遍： 過(guò)去 10 年的數(shù)據(jù)泄露已成為美國(guó)情報(bào)機(jī)構(gòu)面臨的主要問(wèn)題。來(lái)自 WikiLeaks 和 Vault7 泄密的啟示只是其中的幾個(gè)例子。即使在今天，所謂的黑暗網(wǎng)站也對(duì)任何組織的安全構(gòu)成嚴(yán)重威脅。最近，作為勒索軟件活動(dòng)的一部分，個(gè)人身份信息 (PII) 和其他機(jī)密公司數(shù)據(jù)已被轉(zhuǎn)儲(chǔ)到黑暗網(wǎng)站。
為什么軟件和供應(yīng)鏈依賴性是潛在威脅
軟件和供應(yīng)鏈依賴性構(gòu)成了另一種威脅。軟件的設(shè)計(jì)、營(yíng)銷、銷售和信任是為了執(zhí)行諸如安全網(wǎng)絡(luò)或跟蹤安全資產(chǎn)之類的事情。在某些情況下，安裝在系統(tǒng)上的軟件會(huì)成為“內(nèi)部人員”。關(guān)鍵組織功能中的軟件或構(gòu)成關(guān)鍵基礎(chǔ)設(shè)施控制系統(tǒng)某些組件的供應(yīng)鏈中的軟件——例如可編程邏輯控制器 (PLC)、二極管或 IED（獨(dú)立電子設(shè)備）——是否可以被視為“內(nèi)部威脅。” 這種供應(yīng)鏈軟件可能是一種尚未充分考慮的有害內(nèi)部威脅。SolarWinds 事件就是一個(gè)典型的例子。
據(jù) Business Insider稱，SolarWinds 漏洞是通過(guò)軟件更新實(shí)施的。這種類型的供應(yīng)鏈攻擊是有害的，它通過(guò)損害“內(nèi)部人員”（在這種情況下是軟件和供應(yīng)商）來(lái)感染公司，從而利用最佳實(shí)踐。
制造供應(yīng)鏈威脅可以獲得對(duì)工廠運(yùn)營(yíng)技術(shù)的廣泛、深入的了解，了解流程的外觀，并了解組織中的資產(chǎn)。這種類型的威脅是獨(dú)一無(wú)二的，因?yàn)樗砹藦耐獠拷嵌入y以獲得的詳細(xì)知識(shí)水平。
供應(yīng)鏈間諜活動(dòng)要復(fù)雜得多，有時(shí)由不同的制造設(shè)施和運(yùn)營(yíng)管理，有時(shí)跨越全球，以及多個(gè)地緣政治邊界。此外，惡意軟件可能沒(méi)有可識(shí)別的異常行為模式。然而，它在組織深處的存在對(duì)其運(yùn)營(yíng)構(gòu)成了嚴(yán)重威脅。
網(wǎng)絡(luò)威脅情報(bào)和內(nèi)部威脅檢測(cè)
網(wǎng)絡(luò)威脅情報(bào) (CTI) 機(jī)制檢測(cè)內(nèi)部威脅或在組織內(nèi)進(jìn)行欺詐的意圖非常復(fù)雜。為此，最好考慮 Caltagirone、Pendergast 和 Betz  （2013 年）在入侵分析的鉆石模型背景下關(guān)于內(nèi)部威脅的工作，以及 Wolfe 和 Hermanson（2004 年）的工作。該模型還可以幫助理解動(dòng)機(jī)和各種隱藏元素，例如攻擊的受害者，這對(duì)于理解意圖和攻擊如何演變的預(yù)測(cè)性質(zhì)非常有用。
結(jié)論
ICS 環(huán)境為內(nèi)部攻擊提供了沃土。與 IT 環(huán)境不同，OT 環(huán)境具有特定的硬件和軟件，并且可能遭受內(nèi)生或外生、內(nèi)部啟用的攻擊媒介的災(zāi)難性破壞。對(duì)工業(yè)控制系統(tǒng)環(huán)境的攻擊需要在研究、時(shí)間和訪問(wèn)方面付出專門的努力；因此，內(nèi)部人員在一系列間諜威脅中發(fā)揮著獨(dú)特的作用。
內(nèi)部人員了解流程、設(shè)定點(diǎn)、控制器和監(jiān)督控制和數(shù)據(jù)采集 (SCADA) 軟件，以及物理資產(chǎn)所在的位置以及它們?cè)?OT 環(huán)境中所扮演的角色。這使它們成為了極好的剝削目標(biāo)。