Файл: Обеспечение защиты корпоративных информационных ресурсов от утечек информации при помощи DLP-систем (Оценка существующих и планируемых средств защиты).pdf

Таким образом, основываясь на результатах проведенного анализа рисков угроз, можно сделать вывод, что необходимо обеспечивать безопасность информационной системы по нескольким направлениям.

1.3. Выбор инженерно-технических мер

Инженерно-техническую защиту информации можно рассматривать как основную составляющую комплекса мер по защите данных, которые являются частью коммерческой, государственной или иной тайны. Такой комплекс может включать нормативно-правовые документы, технические и организационные меры, направленные на соблюдение должного уровня секретности и конфиденциальности.

Инженерно-техническая защита данных включает в себя комплекс технических и организационных мер, направленных на обеспечение ИБ различными техническими средствами и решает задачи, связанные с:

• Предотвращением незаконного проникновения злоумышленника к источникам хранения данных с целью их уничтожения, изъятия и т.п.;
• Защитой всех видов носителей информации от полного уничтожения при воздействии стихийных бедствий, прежде всего затопления, пожара, воздействия пены при тушении огня;
• Предотвращения утечки данных по внешним и внутренним каналам связи.

Сама инженерно-техническая защита сегодня достаточно быстро развивается благодаря исследованиям в области физики, теории систем, оптики, акустики, радиоэлектроники, радиоизмерений и в других дисциплинах. Круг вопросов, которыми занимается инженерно-техническая защита, очень разнообразен, что связано с многообразием источников и носителей данных, а также способов и методов хранения и обработки информации. Для того, чтобы обеспечить максимальный эффект от такого вида защиты, важно определить:

• Что защищать в той или иной организации, здании или помещении;
• Какие основные угрозы могут быть использованы по отношению к данной информации со стороны злоумышленников и их технических средств;
• Какие реальные способы и средства защиты целесообразнее всего применять в каждом конкретном случае обеспечения ИБ, учитывая при этом величину угрозы и затраты на ее предотвращение;
• Каким образом лучше организовать техническую защиты данных в учреждения.

Одним из видов программно-аппаратных комплексов для предотвращения потерь данных являются DLP-системы.

DLP-системы (Data Leak Prevention) - система предотвращения утечек важной информации из информационной системы под влиянием внешних факторов, а также программные или программно-аппаратные устройства или комплексы для обеспечения защиты от таких утечек. Такие системы формируются в результате анализа информационных потоков, пересекающих границу защищаемой информационной системы.

При обнаружении в таком потоке информации, которая определена как конфиденциальная, производится срабатывание активной компоненты системы и такая передача блокируется.

При этом могут подвергаться анализу такие каналы утечек, как:

• электронная почта (общая и корпоративная);
• ftp-доступ к удаленным ресурсам;
• мгновенные сообщения интернет-мессенджеров;
• передача информации для печати;
• информация при передаче на внешние накопители (USB- флешки, различного рода диски);
• соединения внутри сети.

Основными преимуществом DLP-систем перед системами с аналогичными задачами являются возможность контроля над всеми типами и видами каналов утечки, постоянно используемым и повседневной деятельности предприятия, возможность обнаружения конфиденциальной информации независимо от вида ее представления по ее содержимому, возможность блокировки любого канала утечки информации и сигнализация об этом администратору безопасности, а также предельная автоматизация правил и процедур обработки информации в соответствии с действующей в учреждения политикой безопасности.

При этом DLP может защищать как от внутренних угроз, так и от внешних. Под внутренними угрозами понимаются действия по компрометации конфиденциальной информации сотрудниками учреждения внутри защищаемого периметра и имеющими права доступа к такой информации. Такие действия могут быть как намеренными, так и случайными.

Каждая из компаний- разработчиков систем защиты от утечек (DLP) предлагает, как правило, аналогичную структуру системы, отличающуюся только в деталях. Основными модулями такой системы являются:

• контролирующие модули для каждого канала, по которому возможна утечка;
• агентские модули, устанавливаемые на рабочих местах конечных пользователей;
• управляющее звено с панелью управления для администратора системы.

На рисунке 1.4 показана типовая схема расположения структурных элементов DLP в информационной системе организации [21].

Рисунок 1.4 Типовая архитектура построения системы DLP

Контролирующие модули, проводя анализ всей информации, проходящей по каналам за периметр информационной системы учреждения, определяют данные, которые подлежат защите, проводя ее классификацию и распределение, и передают данную информацию для принятия решения на сервер DLP. Такие модули могут устанавливаться как для исходящей, так и входящей информации.

Модули контроля для обнаружения данных, хранимых в сетевых ресурсах, производят специальные процессы обнаружения, которые могут различаться способами определения конфиденциальной информации. Это может быть как сканирование трафика, так и запуск отдельных программных модулей на серверах или рабочих станциях.

Модули контроля на рабочих станциях также действуют в соответствии с определенной ранее политикой безопасности, проводя анализ действий пользователей с защищаемой информацией, и производят отправку обнаруженных инцидентов на сервер правления DLP.

Программы-агенты на рабочих станциях и серверах контролируют соблюдение правил обработки конфиденциальной информации.

Сервер управления проводит анализ от всех выше перечисленных модулей, формирует отчеты по итогам их работы с помощью консоли управления.

Таким образом, DLP эффективно обеспечивает защиту информации от намеренного несанкционированного распространения как сотрудниками, так и посторонними лицами, имеющими какие-то права доступа в систему.

Для того, чтобы система DLP имела возможность различать информацию разных категорий, необходимо эти правила установить и передать в систему. Современные системы защиты от утечек имеют сформированный словарь данных и свод правил на обнаружение данных различного типа и перечень действий при таком обнаружении. Однако это не отменяет необходимость тонкой настройки системы с учетом особенностей данных, обрабатываемых в конкретной учреждения [16].

В настоящее время на рынке представлено большое количество DLP-систем.

Рассмотрим для сравнения некоторые из них, а именно:

• Zecurion DLP.
• Дозор Джет 4.0.24.
• Symantec Data Loss Prevention,
• Гарда Предприятие.

Сравнить продукты можно по нескольким критериям:

• позиционирование системы на рынке.
• системные требования.
• используемые технологии детектирования.
• контролируемые каналы передачи данных.
• возможности контроля подключаемых внешних устройств.
• управление системой и обработка инцидентов.
• отчетность.

Для того, чтобы выбрать DLP систему для внедрения на «Московский государственный театр «Ленком Марка Захарова», будем использовать метода анализ иерархий [2].

Частично минимизировать приведённые выше сложности был призван метод анализа иерархий (МАИ), созданный Т. Саати в 80-х XX века. Суть метода состоит в следующем. Факторы рассматриваются между собой по парам относительно друг друга по их влиянию на итоговую цель. При этом оказываемое влияние остальных факторов во внимание не берется. Для попарного сравнения факторов методом Саати выделена специальная оценочная шкала, включающая 5 основных и 4 промежуточных суждений. В ней доводы экспертов выделялись следующим образом (табл. 1.6):

Таблица 1.6

Специфика экспертных сравнений соотношения факторов

Итоги подобных парных сравнений представлены в виде квадратной матрицы с диагональю, равной 1 (сравнение фактора самого с собой равно числу 1). Тут «а» становится отношением оценок конкретных элементов; индексы i и j варьируются от единицы до величины, равной сумме факторов. Т.к. при последовательном переборе всех доступных пар факторы соотносятся между собой два раза (ai с aj, затем наоборот), при подготовке матрицы должно быть верным условие «обратной симметричности»: . Из этого следует, что вполне хватит заполнить только одну часть матрицы — которая находится выше или ниже диагонали, что не имеет конкретного значения ввиду простого пересчета взаимно обратных параметров. Если изучать n факторов, то всего будет доступно значащих сочетаний.

В МАИ для кодирования применяется номер конкретной строки таблицы 1. Любое из указанных суждений кодируется в диапазоне чисел от 1/9 до 9.

Вычисление весов реализуется разными способами. Одним из доступных методов аппроксимации вектора весов служит вычисление отдельного вектора матрицы парных сравнений, обычно соответствующему большему собственному числу. Подобные алгоритмы получения собственного вектора являются подробно изученными, и описание их находится либо в монографиях, либо в другой литературе. 

Метод МАИ имеет собственные параметры выражения качества работы эксперта — индекс согласованности (ИС), дающий данные об уровне нарушения численной и порядковой логичности экспертных суждений. Контроль кардинальности состоит в учете конкретных числовых характеристик, отклонение от которых говорит о наличии ошибок в процессе передачи экспертных суждений. Поэтому, если созданы отдельные правила кодировки экспертных суждений, к примеру, от 0 до 1, то экспертные суждения не могут выходить за рамки указанных в этих правилах множеств значений, т. е. быть больше единицы или отрицательными. Расположение по порядку помогает понять логику обоснований эксперта. В случае, если эксперт считает, что фактор А лучше фактора Б, а фактор Б, в свою очередь, лучше фактора В, то при парном сравнении фактор В не может быть лучше фактора А, т. е. выполняется неравенство А > Б > В. Несогласованность является значимым ограничивающим фактором для изучения отдельных проблем.

ИС вычисляется таким образом: совместно с матрицей парных сравнений есть мера оценки степени отклонения от нужного значения. ИС в каждой матрице для каждой иерархии оценивается приближенно, с применением формулы:

где X — собственное число, n — число сравниваемых факторов. ИС сравнивает­ся с величиной, полученной при случайном выборе количественных величин, которая трактуется как средняя. Средние согласованности (СС) для случайных матриц разного порядка приведены в табл. 2, где n — число факторов.

Таблица 1.7

Средние согласованности (СС) для случайных матриц разного порядка

Если разделить ИС на СС для матрицы того же порядка, то получим отношение согласованности (ОС)

Вначале кажется, что МАИ является оптимальный вариантов для решения множества различных задач, где методы экспертного анализа применяются как ключевые. Это в большинстве своем так и получается, и мы укажем основные причины этого.

Попарные сравнения. Попарные сравнения вещей можно найти и в природе человека. Минимальная необходимость всегда держать во внимании все факторы или, к примеру, часть некоторых факторов, позволяет эксперту уделять больше внимания отдельной проблеме: как фактор Aj обгоняет фактор Bj или отстает от него. Поэтому можно получать более точные итоги.

Дополнительность начальной матрицы. В практике анализа системы часто возникают ситуации, когда число явных факторов корректируется. Связано это с периодичностью природных процессов, а также с корректировкой социально-экономических факторов. Тогда требуется добавлять, уменьшать или менять один фактор на другой. В рамках применения МАИ такое ведет к обязательности сравнения созданных пар или же к вычитанию строк и столбцов матрицы парных сравнений ранее убранных из анализа факторов, т. е. к реализации матричного минора. Все итоги прошлых опросов отражаются, и обновления всей анкеты, как это происходит в других вариантах, не требуется. Исходя из того, что процедура МАИ, часто ведет к поиску своего вектора требуемой матрицы, относящемуся к наибольшему собственному значению, со стороны технической реализации включение сторонних факторов считается повышением размерности отдельного линейного пространства из-за применения сторонних слагаемых.