Файл: Системы предотвращения утечек конфиденциальной информации.pdf

Для многих предприятий перенос локальных приложений в облако позволяет повысить гибкость и снизить затраты. Но как реализовать преимущества облачных технологий без потери наглядности и контроля?Symantec DLP for Cloud решает эту проблему путем добавления надежных функций поиска, мониторинга и предотвращения утечки данных для облачных хранилищ и электронной почты, включая Microsoft Office 365 и Box.

Symantec Data Loss Prevention for Mobile. Отслеживание передачи данных на мобильные устройства. Состоит из двух модулей: Мониторинг электронной почты на мобильных устройствах обнаруживает загрузку конфиденциальных данных через email; Защита мобильных устройствсканирует и защищает исходящие сетевые соединения на мобильных устройствах (браузер, встроенная почта, Dropbox и так далее). 

Symantec Data Loss Prevention for Network. Предотвращение утечки данных по сетевым протоколам (электронная почта и интернет). Состоит из трех модулей: Network Monitor отслеживает передачу данных по следующим незащищенным сетевым протоколам без выборки и потери пакетов: SMTP, HTTP, FTP, IM, NNTP, специализированные протоколы и IPv6; Network Prevent for Email отслеживает передачу данных по электронной почте; Network Prevent for Web обнаружение и уведомление о передаче конфиденциальных данных по протоколам HTTP и HTTPS и блокировка доступа к данным в случае необходимости. 

Symantec Data Loss Prevention for Storage. Отслеживание утечки конфиденциальных данных из корпоративной сети. Состоит из четырех модулей: Data Insight отслеживает и уведомляет о событиях при работе с конфиденциальными данными в зависимости от политик доступа каждого пользователя; Network Discover сканирование файловых серверов и общих каталогов, баз данных и хранилищ документов, в том числе Microsoft SharePoint и SharePoint Online, Documentum и LiveLink; Network Protect защита конфиденциальных файлов путем помещения зараженных файлов и папок в карантин, перемещения их в другие блоки или применения шифрования на основе политик и управления цифровыми правами (DRM); Портал самообслуживания: просмотр и исправление нарушений политик безопасности конфиденциальных данных, а также снижение рисков утечки информации.

Преимущества Symantec DLP

В программном комплексе Symantec DLP процедура обеспечения соответствия требованиям и защиты корпоративной конфиденциальной информации максимально упрощена. К защите информации Symantec подходит с учетом расплывчатых границ систем безопасности, которые эффективны сегодня, а также, растущего количества направленных атак и изменений требований пользователей и их привычек.

Основными преимуществами данного продукта можно считать:

• способность расширять границы деятельности инструментов, предотвращающих утечки информации, на мобильные и облачные среды;
• расширение области применения политик безопасности и выполнения требований за пределы сети;
• предоставление проверенных методик развертывания, понятного на интуитивном уровне функционала управления политиками и инцидентами;
• обширную поддержку каналов с высоким уровнем риска при владении с минимальной стоимостью.

Использование Symantec DLP защищает конфиденциальную информацию не только от кражи извне, но и от несанкционированной отправки с компьютеров компании. Более 80 % процентов утечек происходит по вине самих сотрудников. Обычно причинами утечки является низкая грамотность работы с компьютером, но возможны и случаи намеренной кражи. Благодаря использованию Symantec Data Loss Prevention Вы можете быть уверены в абсолютной сохранности важной информации.

Как работает Symantec DLP

Система Symantec Data Loss Prevention выполняет три основные функции:

1. Контроль действий пользователей на локальных рабочих станциях. Осуществляется применительно к операциям, связанным с отторжением конфиденциальной информации: при записи на диск или USB-носитель, при передаче через локальную сеть или выводе на печать.
2. Контроль и мониторинг перемещения секретных данных по сетевым каналам связи (Web, E-mail, интернет-пейджеры, FTP).
3. Сканирование локальной сети на предмет неупорядоченного хранения важных документов. Symantec DLP контролирует все порталы, файловые серверы, конечные рабочие станции и системы документооборота.

Таким образом, Symantec Data Loss Prevention является самым надежным инструментом защиты как простых, так и сложных многоуровневых сетей.

3.2 SecureTower

SecureTower – программное решение, разработанное российской компанией Falcongaze, созданное специально для защиты корпоративной информации от утечек, а также для контроля активности сотрудников на рабочих местах.

Программное обеспечение SecureTower позволяет:

1. Защитить информацию от утечки
2. Анализировать эффективность работы персонала

SecureTower обеспечивает контроль конфиденциальной информации, циркулирующей в сети компании по множеству каналов передачи данных: e-mail, мессенджеры, социальные сети, блоги и форумы, FTP, шифрованный трафик, внешние устройства, принтеры и др.

SecureTower формирует подробные и наглядные статистические отчеты о сетевой активности сотрудников, позволяя оценить эффективность работы персонала, а также узнать, насколько целевым является использование сотрудниками корпоративных ресурсов компании.

Весь перехваченный системой SecureTower трафик анализируется и сохраняется в базе данных. Программа создает архив для ведения хронологии внутрикорпоративных бизнес-процессов и событий. Это позволяет расследовать любой случай утечки конфиденциальной информации в ретроспективе.

Программный продукт SecureTower состоит из нескольких компонентов, каждый из которых отвечает за выполнение определенной задачи, что предусматривает возможность масштабирования системы перехвата и обеспечивает ее надежное функционирование даже в условиях высоких нагрузок на сеть.

Продукт имеет клиент-серверную архитектуру. Серверная часть продукта включает сервер перехвата, сервер базы данных, сервер обработки информации и сервер контроля рабочих станций. Клиентская часть продукта содержит консоль администратора и консоль службы безопасности и выступает в качестве графического интерфейса пользователя.

Серверные компоненты SecureTower

Сервер перехвата трафика Сервер осуществляет перехват трафика с сетевого адаптера специально выделенного компьютера с последующим анализом и сохранением перехваченной информации в базе данных.

База данных Данные, извлеченные сервером перехвата (электронные письма, файлы, сообщения и т.д.), сохраняются в базу данных (поддерживаемые СУБД - Microsoft SQL Server, Oracle, Postgre SQL, SQLite,MySQL). Эти данные используется сервером обработки информации для построения и обновления поисковых индексов, а также при необходимости извлечения конкретных документов для просмотра пользователем.

Сервер обработки информации

Сервер отвечает за выполнение нескольких задач: индексирование перехваченных данных, полнотекстовый поиск по ним, автоматический анализ данных и отправка уведомлений о передаче конфиденциальных данных. При обнаружении данных, удовлетворяющих заданным службой безопасности правилам, центр безопасности (компонент сервера) формирует отчеты и направляет их на указанные адреса электронной почты.

Сервер контроля рабочих станций Сервер предназначен для централизованной установки на рабочие станции агентов для перехвата шифрованного трафика (Skype, SSL) и данных, передаваемых на внешние устройства и принтеры. Кроме того, сервер контроля рабочих станций отслеживает состояние всех установленных в сети агентов и, в случае отсутствия, сбоя или принудительного отключения агентов пользователем какой-либо конечной станции, автоматически производит повторную установку агентов на соответствующей станции. Агенты устанавливаются удаленно с помощью консоли администратора.

Пользовательский интерфейс

Консоль службы безопасности

Это основная графическая оболочка программы, в которой пользователь осуществляет непосредственную работу с продуктом. Консоль позволяет осуществлять полнотекстовый поиск по ключевым словам, просматривать перехваченные данные в удобном представлении, анализировать их. При помощи карточек пользователя осуществляется анализ деятельности конкретных сотрудников, а также идентификация человека, передавшего подозрительные данные. Кроме того, в консоли производится настройка отправки уведомлений о нарушениях политики информационной безопасности.

Консоль администратора

Консоль администратора используется для настройки работы всех компонентов продукта. Консоль позволяет устанавливать и изменять параметры перехвата и периодичность индексирования данных. В консоли представлены широкие возможности по фильтрации данных при перехвате. Также при помощи консоли можно просмотреть статистику перехвата трафика в режиме реального времени, настроить систему уведомлений о работе самой системы перехвата (перегруженность системы или базы данных) и произвести установку удаленных агентов на рабочие станции сети для перехвата шифрованного трафика, а также данных, передаваемых на внешние устройства и принтеры.

Алгоритм работы продукта

Рисунок 4 –Алгоритм продукта

Весь внешний трафик зеркалируется на сервер перехвата с помощью управляемого коммутатора.

На сервере перехвата осуществляется анализ полученного трафика, в ходе которого выделяется необходимая информация (электронные письма, файлы, сообщения и т.д.) и сохраняется во внешнем хранилище данных.

Данные Skype и шифрованный трафик перехватываются с помощью агентов, которые удаленно устанавливаются на рабочие станции сервером контроля рабочих станций. Агенты отслеживают любые действия с внешними устройствами и принтерами, отправляя все перехваченные данные серверу для обработки. Сервер, в свою очередь, направляет полученную от агентов информацию в базу данных.

На сервере обработки информации производится построение индексов информации, находящейся в базе данных, с последующим сохранением индексов в хранилище сервера обработки информации. В дальнейшем поиск будет осуществляться только по файлам поискового индекса, а не по всему объему информации, хранимой в базе данных. Центр безопасности (установленный на сервере обработки информации) взаимодействует с поисковым сервисом и клиентской консолью. Центр в автоматическом режиме осуществляет отправку запросов поисковому сервису. При обнаружении данных, удовлетворяющих заданным службой безопасности правилам, центр безопасности формирует отчеты и направляет их на указанные адреса электронной почты. Клиентская консоль позволяет настраивать необходимые параметры работы центра безопасности и задавать список правил для поисковых запросов, а также просматривать журнал событий о работе центра безопасности.

Работа консоли службы безопасности построена на непосредственном взаимодействии с сервером обработки информации. В консоли предоставляется доступ к просмотру результатов поиска, отчетов о деятельности пользователей и уведомлений о случаях утечки информации.

Консоль администратора используется для настройки работы всех подсистем продукта: сервера перехвата, базы данных, сервера обработки информации и контроля рабочих станций.

Типы контролируемых данных в SecureTower

• Электронная почта. Электронные письма почтовых клиентов, использующих протоколы POP3, SMTP, IMAP, MAPI (например, MS Outlook, Thunderbird, The Bat!), электронная почта, защищенная по стандарту S/MIME, электронные сообщения MS Exchange Server, IBM Lotus Notes/Domino, Kerio Connect, Sendmail, hMailServer и многих других.
• Общение в Интернете. Веб-трафик, включая электронные письма внешних почтовых служб (gmail.com, mail.ru, rambler.ru и т.д.), сообщения на форумах и в блогах, трафик в социальных сетях и других веб-службах.
• Сервис Microsoft Office 365. Почтовые сообщения, отправляемые и получаемые при помощи облачного сервиса Microsoft Office 365.
• Мгновенные сообщения. Сообщения в мессенджерах, использующих протоколы обмена мгновенными сообщениями OSCAR (ICQ/AIM), MMP (Mail.Ru Агент), MSN (Windows Messenger), XMPP (Jabber) (Miranda, Google Talk, QIP Infium, PSI), YIM (Yahoo! Messenger), SIP, а также текстовые и голосовые сообщения в Skype, Viber, MS Lync.
• Передаваемые файлы. Файлы, передаваемые по протоколам FTP, FTPS, HTTP и HTTPS, а также в программах-мессенджерах (ICQ, Windows Messenger и т.д.) или по электронной почте в качестве вложений.
• Зашифрованный трафик. SSL-трафик, передаваемый по шифрованным протоколам (включая HTTPS, FTPS, защищённые протоколы SSL для POP3, SMTP и мессенджеров), в том числе HTTP- и HTTPS-трафик по протоколу ICAP, передаваемый с корпоративного прокси-сервера.
• Базы данных и внешние носители. Данные, передаваемые на внешние устройства (USB-накопители, WiFi-и GPRS-модемы, внешние жесткие диски и др., а также содержимое баз данных MS SQL Server, Oracle, PostgreSQL, SQLite, MySQL.
• Печать и сетевые диски. Информация, отправляемая на сетевые диски пользовательских компьютеров и терминальных серверов, а также данные, отправляемые на печать на локальные и сетевые принтеры.
• Дополнительные возможности. Регистрация нажатий клавиш на клавиатуре (кейлогер). IP-телефония (текстовые и голосовые сообщения, передаваемые по протоколу SIP). Любая текстовая и числовая информация, копируемая в буфер обмена. Запись с микрофонов, как встроенных, так и подключенных к рабочим станциям. Распознавание конфиденциальной текстовой и числовой информации на изображениях.