Файл: Системы предотвращения утечек конфиденциальной информации (DLP) (Этапы развития DLP-систем).pdf

С развитием информационных технологий в современном мире появляется все больше устройств и средств, предназначенных для хранения и передачи информации. С одной стороны, это открывает широкие возможности, так как позволяет сотрудникам компаний быть мобильными и решать бизнес-задачи вне зависимости от своего места нахождения. С другой стороны, отследить передвижение важных для бизнеса компании данных в таких условиях становится крайне сложно.

Какие данные относятся к конфиденциальным, каждая компания определяет сама. Для одних это будет информация о новом продукте или технологии, для других - данные клиентской базы. Но суть всегда одинакова -- утечка конфиденциальных данных является прямой угрозой для бизнеса, и игнорирование проблемы может привести к катастрофическим последствиям.

Причинами утечек информации являются различные факторы: неосторожность или компьютерная неграмотность сотрудников, намеренная кража информации как собственными сотрудниками (инсайдерами), так и мошенниками, использующими различные средства проникновения в корпоративную сеть (трояны, шпионские программы и т.п.).

1.Системы предотвращения утечек конфиденциальной информации

Предотвращение утечек (англ. Data Leak Prevention, DLP) — технологии предотвращения утечек конфиденциальной информации из информационной системы вовне, а также технические устройства (программные или программно-аппаратные) для такого предотвращения утечек. Существует множество способов борьбы с утечками конфиденциальных данных, как на уровне организационных процедур, так и на уровне программных решений. Одним из наиболее эффективных методов является внедрение системы защиты от утечек конфиденциальных данных DataLeakPrevention (DLP) - технологии предотвращения утечек конфиденциальной информации из информационной системы вовне, а также технические устройства (программные или программно-аппаратные) для такого предотвращения утечек.

DLP-системы строятся на анализе потоков данных, пересекающих периметр защищаемой информационной системы. При детектировании в этом потоке конфиденциальной информации срабатывает активная компонента системы, и передача сообщения (пакета, потока, сессии) блокируется.

Используются также следующие термины, обозначающие приблизительно то же самое:

Data Leak Prevention (DLP),

Data Loss Prevention (DLP),

Data Leakage Protection (DLP),

Information Protection and Control (IPC),

Information Leak Prevention (ILP),

Information Leak Protection (ILP),

Information Leak Detection & Prevention (ILDP),

Content Monitoring and Filtering (CMF),

ExtrusionPreventionSystem (EPS).

2.Этапы развития DLP-систем

Необходимость защиты от внутренних угроз была очевидна на всех этапах развития средств информационной безопасности. Однако первоначально внешние угрозы считались более опасными. В последние годы на внутренние угрозы стали обращать больше внимания, и популярность DLP-систем возросла. Необходимость их использования стала упоминаться в стандартах и нормативных документах (например, раздел "12.5.4 Утечка информации" в стандарте ГОСТ ISO/IEC 17799-2005). Специализированные технические средства для защиты от внутренних угроз стали массово выпускаться только после 2000 года.

Первыми появились технологии сетевого мониторинга - без возможности блокировки утечки через сетевые протоколы (HTTP, SMTP…). В дальнейшем производители добавляли функции блокировки информации при передаче через сеть. Затем появились возможности контроля рабочих станций за счет внедрения программных «агентов», чтобы можно было предотвратить передачу конфиденциальной информации с этих устройств: контроль функций «copy/paste», снятия скриншотов, а также контроль передачи информации на уровне приложений: например, в одном приложении функций «copy/paste» разрешен, в другом - запрещен.

И, наконец, появились технологии поиска конфиденциальной информации на сетевых ресурсах и ее защиты, если информация обнаружена в тех местах, где ее не должно быть. Конфиденциальная информация при этом задается предварительно ключевыми словами, словарями, регулярными выражениями, «цифровыми отпечатками». В результате поиска система может показать - где она обнаружила конфиденциальную информацию, и какие политики безопасности при этом нарушаются. Далее сотрудник службы безопасности может принимать соответствующие меры. Есть решения, которые не просто показывают наличие конфиденциальной информации в неположенном месте, а переносят эту информацию «в карантин», оставляя в файле, где была обнаружена информации, запись - куда перенесена конфиденциальная информация и к кому обратиться за получением доступа к этой информации.

3. Анализ передаваемой информации

На текущий момент на рынке представлено довольно много DLP-решений, позволяющих определять и предотвращать утечку конфиденциальной информации по тем или иным каналам. Однако действительно комплексных решений, покрывающих все существующие каналы, значительно меньше. В этих условиях чрезвычайно важным становится выбор технологии, обеспечивающей защиту от утечек конфиденциальной информации с максимальной эффективностью и минимальным количеством ложных срабатываний.

Первое, чему следует уделить внимание при выборе DLP-решения - это как данное решение осуществляет анализ передаваемой информации и какие технологии используются для определения наличия конфиденциальных данных?

Всего существует пять методов анализа:

Поиск по словарям (по точному совпадению слов, в некоторых случаях с учетом морфологии)

Регулярные выражения. Регулярные выражения -- система синтаксического разбора текстовых фрагментов по формализованному шаблону, основанная на системе записи образцов для поиска. Например, номера кредитных карт, телефонов, адреса e-mail, номера паспорта, лицензионные ключи…

Сравнение по типам файлов. Политиками безопасности может быть запрещена отправка вовне некоторых типов файлов. При этом если пользователь изменит расширение файла, то система все равно должна «опознать» тип файла и предпринять необходимые действия. В большинстве решений используется технология компании Autonomy.

Статистический («поведенческий») анализ информации по пользователям. Если пользователь имеет доступ к конфиденциальной информации, и в то же время он посещает определенные сайты (web-storage, web-mail, хакерские и т. д.), то он попадает в «группу риска» и к нему возможно применение дополнительных ограничивающих политик безопасности.

Технологии цифровых отпечатков. Наиболее перспективные и достаточно сложные технологии, при которых производятся определенные математические преобразования исходного файла (алгоритмы преобразований производителями не раскрываются). Процесс преобразования строится следующим образом: исходный файл - математическая модель файла - цифровой отпечаток. Такой процесс позволяет существенно сократить объем обрабатываемой информации (объем цифрового отпечатка не более 0,01 от объема файла). Цифровые отпечатки затем размещаются в базе данных (Oracle, MS SQL) и могут быть продублированы в оперативной памяти устройства, осуществляющего анализ информации. Отпечатки затем используются для сравнения и анализа передаваемой информации. При этом отпечатки передаваемого и «модельного» файлов могут совпадать не обязательно на 100%, процент совпадения может задаваться (или программироваться в ПО производителем). Технологии устойчивы к редактированию файлов и применимы для защиты практически любых типов файлов: текстовых, графических, аудио, видео. Количество «ложных срабатываний» не превышает единиц процентов (все другие технологии дают 20-30% ложных срабатываний). Эта технология устойчива к различным текстовым кодировкам и языкам, используемым в тексте.

Также следует обратить внимание на систему отчетности и наборы пред настроенных политик безопасности, представляемых DLP-решением, так как это поможет избежать некоторых проблем и сложностей при внедрении.

4. Процесс внедрения DLP-системы

Основная проблема внедрения - это, как правило, отсутствие классификации данных. Поэтому на первом этапе внедрения система DLP должна проработать в организации в режиме мониторинга до полугода. В этом режиме на базе пред настроенных в соответствии с типом предприятия (промышленные предприятия, медицинские или образовательные учреждения) политик безопасности система может помочь выявить места хранения и способы обработки и передачи конфиденциальной информации.

Для финансовых организаций, которые на текущий момент являются основными потребителями DLP-решений, проблема с классификацией данных нивелируется уже имеющимися в наличии достаточно качественными пред настроенными политиками, предоставляемыми производителями DLP-решений.

После принятия решения о завершении этапа мониторинга, система переводится в режим либо уведомления пользователей и сотрудника безопасности, и/или в режим блокирования передачи конфиденциальной информации.

Когда система DLP работает в режиме мониторинга, то количество ложных срабатываний в силу отсутствия адаптации политик может насчитывать тысячи. Постепенно применяемые политики безопасности настраиваются в соответствии с реальными потребностями и возможностями организации таким образом, чтобы уже в режиме уведомления, а в дальнейшем и блокировки, количество ложных срабатываний не было «зашкаливающим» и система реагировала только на конфиденциальную информацию. Таким образом, полный цикл внедрения решения может занять около года в случае крупной организации.

5.Компоненты системы

Рассмотрим состав системы DLP на примере программного решения линейки SymantecDataLossPrevention (SDLP). Решения SDLP обеспечивают защиту для широкого спектра типов конфиденциальных данных, находящихся в сетях и системах хранения данных, а также на компьютерах сотрудников независимо от того, работают они в корпоративной сети или вне ее.

Центральным компонентом для всей линейки является платформа управления SymantecDataLossPreventionEnforcePlatform, которая позволяет определять и распространять на другие компоненты решения политики по предотвращению потери конфиденциальных данных. Данный компонент также предоставляет единый веб-интерфейс для управления и работы с решениями линейки SDLP.

Symantec Data Loss Prevention Network Discover

Компонент SymantecDataLossPreventionNetworkDiscover обнаруживает незащищенные конфиденциальные данные, сканируя такие информационные ресурсы, как файловые хранилища, базы данных, почтовые серверы, веб-серверы и т.п.

Symantec Data Loss Prevention Data Insight

Компонент SymantecDataLossPreventionDataInsight позволяет отслеживать доступ к конфиденциальной информации для автоматического определения владельцев этих данных, что позволяет повысить гибкость процессов выявления конфиденциальных данных и управления ими.

Symantec Data Loss Prevention Network Protect

Компонент SymantecDataLossPreventionNetworkProtect является дополнением, расширяющим функциональность компонента SymantecDataLossPreventionNetworkDiscover в части снижения риска потери незащищенных конфиденциальных данных путем переноса этих данных с публичных хранилищ на сетевых серверах в карантин или защищенные хранилища.

Компоненты SDLP NetworkDiscover и SDLP NetworkProtect осуществляют защиту от утери конфиденциальных данных со следующих информационных ресурсов:

сетевые файловые системы (CIFS, NFS, DFS и др.);

локальные файловые системы на рабочих станциях и ноутбуках;

локальные файловые системы (Windows, Linux, AIX, Solaris);

БД Lotus Notes;

Microsoft Exchange;

Microsoft SharePoint;

Documentum и др.

Symantec Data Loss Prevention Endpoint Discover и Symantec Data Loss Prevention Endpoint Prevent

Эти компоненты представлены двумя модулями:

Агент SDLP Agent, который устанавливается на рабочие станции пользователей (в том числе ноутбуки) и обеспечивает выполнение следующих функций:

обнаружение незащищенных конфиденциальных данных на пользовательских рабочих станциях;

блокировка передачи конфиденциальных данных (съемные носители информации, CD/DVD, печать, средства обмена мгновенными сообщениями и т.п.).

Сервер SDLP EndpointServer, который обеспечивает связь агентов SLDP Agent с платформой управления SDLP EnforcePlatform и позволяет определять политики мониторинга конфиденциальных данных и блокировку их передачи с пользовательских рабочих станций.

Агент SDLP Agent предотвращает утечки конфиденциальных данных с пользовательских рабочих станций и корпоративных ноутбуков при попытке их передачи с использованием:

внешних накопителей информации (USB, SD, Compactflash, FireWire);

записи на CD/DVD;

сети (HTTP/HTTPS, Email/SMTP, FTP, IM);

средств печати/факса;

копирования конфиденциальных данных в буфер обмена.

Symantec Data Loss Prevention Network Monitor

Компонент SymantecDataLossPreventionNetworkMonitor в реальном времени отслеживает сетевой трафик на наличие конфиденциальной информации и формирует уведомления при попытке передачи такой информации за пределы внутренней сети.