Deteção, identificação e classificação de atividade suspeita em bases de dados com informação reservada

Tese de mestrado, Informática, Universidade de Lisboa, Faculdade de Ciências, 2014Vivemos numa época em que as novas tecnologias de telecomunicação estão cada vez mais no centro das nossas vidas. Simultaneamente, observam-se ataques aos sistemas de informação que armazenam os nossos dados e os transmitem. Para além das ameaças externas, ataques por parte de pessoas estranhas ao sistema, existe a necessidade de detetar ameaças internas. Trata-se de fugas de informação confidencial ou sensível, possibilitadas pela necessidade de atribuir privilégios de leitura e escrita a quem administre bases de dados. Estas pessoas têm apenas tecnicamente, e não legalmente, o direito de aceder aos nossos dados, e esse direito deve cingir-se ao estritamente necessário para a manutenção e gestão dos sistemas na sua dimensão técnica, visando garantir a sua disponibilidade, desempenho, correção e conformidade a normas, regulamentos, ou leis. O abuso de privilégios pode violar a privacidade de particulares, constituir espionagem industrial, ou até a divulgação de segredos de estado que comprometam a segurança de um país e as suas relações com parceiros internacionais ou aliados. A não-conformidade com o contexto legal e regulatório sob o qual as empresas, através dos seus colaboradores, devem atuar, pode-lhes causar graves danos financeiros, manchar a sua reputação e responsabilizar criminalmente os seus executivos. Neste trabalho, propomo-nos analisar métodos de deteção, identificação, e classificação de comportamentos suspeitos com base na tecnologia de monitorização de bases de dados Guardium. É o objeto central deste trabalho o seu estudo e documentação num caso prático de uso: a monitorização de acessos a informação sensível alojada nas bases de dados da Portugal Telecom. Para tal, pretende-se definir o comportamento correto de um administrador de bases de dados, e por contraste o que seja anómalo, levantando suspeitas de uso abusivo, focando principalmente os casos de consultas particularmente seletivas ou exportações massivas de dados.We live in a time when new telecommunications technologies are increasingly at the center of our lives. Simultaneously, attacks are sometimes observed that jeopardize the systems that store and transmit our information. Threats exist beyond the scope of external attacks on the system, by third parties outside the company. There is also a need to detect internal attacks, sensitive information leaks perpetrated by insiders who have access privileges to the databases they need to administrate. Their right to access our data is only technical, not legal, and should be confined to the essential technical requirements of their systems maintenance and management duties, which are to guarantee availability, performance, correctness and conformity to the law, certain standards and regulations. Abusing these privileges may violate people’s privacy, constitute industrial espionage, or even compromise a country’s national security and its relationship with its trade partners and allies. A state of non-conformity with the legal and regulatory context under which corporations should operate, through the actions of their co-workers, may cause great financial damage, stain their reputation and hold their executives criminally responsible. In this project, we propose to analyze methods to detect, identify and classify suspicious behavior based on the Guardium database activity monitoring software. It is the main goal of this project to study and document a practical use-case: monitoring access to sensitive information hosted by Portugal Telecom’s databases. To that effect, we intend to characterize the normal behavior for a user, and in contrast, to detect anomalies that may arise suspicions of abusive behavior, focusing primarily on particularly selective queries or massive data exports