Файл: Системы предотвращения утечек конфиденциальной информации (DLP) (Этапы развития DLP-систем).pdf

Контроль целостности Zlock

В Zlock имеется возможность контроля целостности файлов и настроек Zlock. Если какие-либо компоненты Zlock были несанкционированно модифицированы, возможность входа в систему будет лишь у администратора. Это позволит защитить Zlock от изменений со стороны пользователей и вредоносных программ.

McAfee Host Data Loss Prevention

Система защиты от утечек, основанная на агентском контроле использования конфиденциальной информации.

McAfeeHost DLP состоит из агентских программ, устанавливаемых на рабочие станции сотрудников, и сервера управления.

Вычислительная часть решения McAfeeHost DLP функционирует на уровне конечных рабочих станций заказчика. Для этого на каждый компьютер централизованно рассылается и устанавливается программа - агентский модуль McAfeeHost DLP. Агент устойчив к выгрузке, - его невозможно деинсталлировать, даже имея права администратора.

Для обучения системе необходимо выделить папки (на файловом сервере), в которых будут расположены защищаемые файлы. Согласно заданной администратором безопасности политике, на защищаемые документы «навешиваются» метки. Эти метки существуют в параллельных потоках NTFS и не видны невооруженным взглядом.

Метки видны агентским программам McAfeeHost DLP. Этот агент может ограничить отправку, запись на сменные носители, копирование в буфер и прочие операции, противоречащие установленным политикам для конкретного пользователя с конкретной меткой.

Локально метки работают вкупе с цифровыми отпечатками (для слежения не только за контейнером, но и контентом). При открытии или копировании с сервера секретного документа агентская программа McAfeeHost DLP отследит метку документа, снимет локальные цифровые отпечатки, и будет защищать содержимое от передачи за пределы станции в соответствии с установленными политиками безопасности. Поэтому, даже копирование фрагмента защищаемого документа будут отслеживаться и созданный на основе этого фрагмента новый документ унаследует метку.

В существующую инфраструктуру должны быть установлены агентские модули на каждую рабочую станцию и установлен сервер управления:

По результатам работы агентских программстатистика инцидентов централизованно собирается на управляющий сервер McAfeeePolicy для анализа.

Основные возможности решения заключаются в 10 правилах реакции, которые может выполнять клиент на рабочих станциях:

1. Application File Access Protection Rule. Позволяет контролировать доступ пользователей (ведение логов) к конфиденциальной информации;

2. ClipboardProtectionRule. Позволяет выполнять блокировку копирования в буфер обмена для определенного контента. К примеру, копирование информации через буфер обмена, содержащей словосочетание «финансовый отчет» из программы Excel в Word может быть запрещено;

3. EmailProtectionRule. Позволяет анализировать исходящие сообщения в электронной почте и блокировать утечку конфиденциальной информации;

4. Network File System Protection Rule. Позволяет отслеживать перемещение конфиденциальной информации между контролируемыми компьютерами, а также ее копирование на сменные носители;

5. NetworkProtectionRule. Позволяет блокировать передачу конфиденциальной информации через сетевые протоколы TCP\IP;

6. PrintingProtectionRule. Позволяет выполнять анализ и, в случае необходимости, блокировку печати документов, если контент отправленных на печать документов содержит конфиденциальную информацию;

7. PDF/Image Writers Protection Rule. Позволяет выполнять анализ и, в случае необходимости, блокировку печати документов в файл или формат PDF;

8. RemovableStorageProtectionRule. Позволяет детектировать и в случае необходимости блокировать передачу на внешний носитель конфиденциальной информации;

9. ScreenCaptureProtectionRule. Позволяет блокировать выполнение операции «PrintScreen» для определенных приложений;

10. WebpostProtectionRule. Позволяет перехватывать post-запросы в InternetExplorer - например, исходящие почтовые сообщения на веб-почте (mail.ru, yandex.ru).

Websense Data Security Suite (DSS)

Система защиты от утечек информации, основанная на контроле исходящего сетевого трафика, поиска хранимых данных, агентского контроля.

Решение состоит из нескольких модулей:

1. DataDiscover - модуль, осуществляющий сканирование корпоративной сети (компьютеров, серверов) и поиск разбросанной конфиденциальной информации;

2. DataProtect - модуль, осуществляющий анализ исходящего трафика по всем каналам передачи, мониторинг и блокирование утечки;

3. DataMonitor - модуль, аналогичный DataProtect, только без блокирования;

4. DataEndpoint - модуль, осуществляющий контроль конечных рабочих станций, ноутбуков на локальное перемещение конфиденциальной информации и контроль запуска приложений.

Схема работы Websense DSS не отличается от классической для DLP-систем:

Подготовка перечня секретной информации

Для того чтобы решение Websense DSS заработало у клиента, потребуется предварительно выделить и классифицировать конфиденциальные сведения, которые планируется защищать. Документы в электронном виде следует разложить по файловым папкам.
Внедренная система Websense DSS обратится к хранилищу защищаемых документов и баз дынных, снимет цифровые отпечатки подготовленных документов.

Администратор безопасности настраивает правила реагирования на перемещение секретных документов.

Если в потоке трафика попадается конфиденциальный документ, то система Websense DSS безошибочно определит, из какого источника взят этот документ, кто из пользователей отвечает за обращение данного вида информации, какое действие должно быть предпринято по отношению к данной попытке нарушения безопасности.

Моментально о нарушении узнаёт ответственное лицо, которое может ознакомиться с письмом, отправленным его подчиненным, принять решение о досылке письма, либо возбуждении расследования.

Возможности решения далеко не ограничены рассмотренным сценарием. Например, система Websense DSS способна с высокой степенью вероятности обнаруживать стандартные структурированные документы, например, резюме сотрудников, финансовые отчеты, паспортные данные, - в том числе и русскоязычные.

Решение Websense DSS может быть встроено в инфраструктуру заказчика различными способами.

Рассмотрим один из распространенных вариантов. Для установки решения Websense DSS потребуется как минимум один сервер «DSS Manager» уровня HP DL380, который будет выполнять анализ всего корпоративного трафика. Дополнительно может быть рекомендован еще один сервер «DSS Protector» (перехватчик), уровня HP DL360. Итого, 2 сервера на предприятие до 5000 пользователей, передающих электронные сообщения через центральный офис.

ЗАКЛЮЧЕНИЕ

Как показывают опубликованные данные опроса Deloitte ведущих мировых финансовых компаний, 49% респондентов зафиксировали внутренние инциденты (связанные с IT-безопасностью). В 31% случаев инсайдеры занесли вирусы изнутри корпоративной сети, а с инсайдерским мошенничеством столкнулись 28% респондентов. 18% организаций стали жертвами утечки приватной информации клиентов, а 10% обнаружили, что инсайдеры скомпрометировали корпоративную сеть. Организации, которые пострадали от внутренней утечки, признаются, что большая доля угроз является следствием безалаберности или халатности служащих (человеческий фактор - 42%, операционные ошибки - 37%), а не злого умысла инсайдеров. Правда, 28% стали жертвой тщательно продуманного и профессионального мошенничества, а 18% компаний лишились приватной информации клиентов именно из-за того, что инсайдеры целенаправленно допустили утечку. Чтобы не допустить такие инциденты в будущем, 80% опрошенных финансовых компаний осуществляют мониторинг действий служащих, а 75% вводят различные ограничительные меры на использование тех или иных технологий либо устройств.