Файл: Системы предотвращения утечек конфиденциальной информации (DLP).pdf

Введение

С развитием информационных технологий в современном мире появляется все больше устройств и средств, предназначенных для хранения и передачи информации. С одной стороны, это открывает широкие возможности, так как позволяет сотрудникам компаний быть мобильными и решать бизнес-задачи вне зависимости от своего места нахождения. С другой стороны, отследить передвижение важных для бизнеса компании данных в таких условиях становится крайне сложно.

Какие данные относятся к конфиденциальным, каждая компания определяет сама. Для одних это будет информация о новом продукте или технологии, для других - данные клиентской базы. Но суть всегда одинакова - утечка конфиденциальных данных является прямой угрозой для бизнеса, и игнорирование проблемы может привести к катастрофическим последствиям.

Причинами утечек информации являются различные факторы: неосторожность или компьютерная неграмотность сотрудников, намеренная кража информации как собственными сотрудниками (инсайдерами), так и мошенниками, использующими различные средства проникновения в корпоративную сеть (трояны, шпионские программы и т.п.).

1. Системы предотвращения утечек конфиденциальной информации

Существует множество способов борьбы с утечками конфиденциальных данных, как на уровне организационных процедур, так и на уровне программных решений. Одним из наиболее эффективных методов является внедрение системы защиты от утечек конфиденциальных данных DataLeakPrevention (DLP) - технологии предотвращения утечек конфиденциальной информации из информационной системы вовне, а также технические устройства (программные или программно-аппаратные) для такого предотвращения утечек. Системы строятся на анализе потоков данных, пересекающих периметр защищаемой информационной системы. При детектировании в этом потоке конфиденциальной информации срабатывает активная компонента системы, и передача сообщения (пакета, потока, сессии) блокируется.

Используются также следующие термины, обозначающие приблизительно то же самое:

 Data Leak Prevention (DLP),

 Data Loss Prevention (DLP),

 Data Leakage Protection (DLP),

 Information Protection and Control (IPC),

 Information Leak Prevention (ILP),

 Information Leak Protection (ILP),

 Information Leak Detection & Prevention (ILDP),

 Content Monitoring and Filtering (CMF),

---

 ExtrusionPreventionSystem (EPS).

2. Этапы развития DLP-систем

Необходимость защиты от внутренних угроз была очевидна на всех этапах развития средств информационной безопасности. Однако первоначально внешние угрозы считались более опасными. В последние годы на внутренние угрозы стали обращать больше внимания, и популярность DLP-систем возросла. Необходимость их использования стала упоминаться в стандартах и нормативных документах (например, раздел "12.5.4 Утечка информации" в стандарте ГОСТ ISO/IEC 17799-2005. Специализированные технические средства для защиты от внутренних угроз стали массово выпускаться только после 2000 года.

Первыми появились технологии сетевого мониторинга - без возможности блокировки утечки через сетевые протоколы (HTTP, SMTP…). В дальнейшем производители добавляли функции блокировки информации при передаче через сеть. Затем появились возможности контроля рабочих станций за счет внедрения программных «агентов», чтобы можно было предотвратить передачу конфиденциальной информации с этих устройств: контроль функций «copy/paste», снятия скриншотов, а также контроль передачи информации на уровне приложений: например, в одном приложении функций «copy/paste» разрешен, в другом - запрещен.

И, наконец, появились технологии поиска конфиденциальной информации на сетевых ресурсах и ее защиты, если информация обнаружена в тех местах, где ее не должно быть. Конфиденциальная информация при этом задается предварительно ключевыми словами, словарями, регулярными выражениями, «цифровыми отпечатками». В результате поиска система может показать - где она обнаружила конфиденциальную информацию, и какие политики безопасности при этом нарушаются. Далее сотрудник службы безопасности может принимать соответствующие меры. Есть решения, которые не просто показывают наличие конфиденциальной информации в неположенном месте, а переносят эту информацию «в карантин», оставляя в файле, где была обнаружена информации, запись - куда перенесена конфиденциальная информация и к кому обратиться за получением доступа к этой информации.

1. Анализ передаваемой информации

На текущий момент на рынке представлено довольно много DLP-решений, позволяющих определять и предотвращать утечку конфиденциальной информации по тем или иным каналам. Однако действительно комплексных решений, покрывающих все существующие каналы, значительно меньше. В этих условиях чрезвычайно важным становится выбор технологии, обеспечивающей защиту от утечек конфиденциальной информации с максимальной эффективностью и минимальным количеством ложных срабатываний.

---

Первое, чему следует уделить внимание при выборе DLP-решения - это как данное решение осуществляет анализ передаваемой информации и какие технологии используются для определения наличия конфиденциальных данных?

Всего существует пять методов анализа:

 Поиск по словарям (по точному совпадению слов, в некоторых случаях с учетом морфологии)

 Регулярные выражения. Регулярные выражения - система синтаксического разбора текстовых фрагментов по формализованному шаблону, основанная на системе записи образцов для поиска. Например, номера кредитных карт, телефонов, адреса e-mail, номера паспорта, лицензионные ключи…

 Сравнение по типам файлов. Политиками безопасности может быть запрещена отправка вовне некоторых типов файлов. При этом если пользователь изменит расширение файла, то система все равно должна «опознать» тип файла и предпринять необходимые действия. В большинстве решений используется технология компании Autonomy.

 Статистический («поведенческий») анализ информации по пользователям. Если пользователь имеет доступ к конфиденциальной информации, и в то же время он посещает определенные сайты (web-storage, web-mail, хакерские и т. д.), то он попадает в «группу риска» и к нему возможно применение дополнительных ограничивающих политик безопасности.

 Технологии цифровых отпечатков. Наиболее перспективные и достаточно сложные технологии, при которых производятся определенные математические преобразования исходного файла (алгоритмы преобразований производителями не раскрываются). Процесс преобразования строится следующим образом: исходный файл - математическая модель файла - цифровой отпечаток. Такой процесс позволяет существенно сократить объем обрабатываемой информации (объем цифрового отпечатка не более 0,01 от объема файла). Цифровые отпечатки затем размещаются в базе данных (Oracle, MS SQL) и могут быть продублированы в оперативной памяти устройства, осуществляющего анализ информации. Отпечатки затем используются для сравнения и анализа передаваемой информации. При этом отпечатки передаваемого и «модельного» файлов могут совпадать не обязательно на 100%, процент совпадения может задаваться (или программироваться в ПО производителем). Технологии устойчивы к редактированию файлов и применимы для защиты практически любых типов файлов: текстовых, графических, аудио, видео. Количество «ложных срабатываний» не превышает единиц процентов (все другие технологии дают 20-30% ложных срабатываний). Эта технология устойчива к различным текстовым кодировкам и языкам, используемым в тексте.

---

Также следует обратить внимание на систему отчетности и наборы преднастроенных политик безопасности, представляемых DLP-решением, так как это поможет избежать некоторых проблем и сложностей при внедрении.

1. Процесс внедрения DLP-системы

Основная проблема внедрения - это, как правило, отсутствие классификации данных. Поэтому на первом этапе внедрения система DLP должна проработать в организации в режиме мониторинга до полугода. В этом режиме на базе преднастроенных в соответствии с типом предприятия (промышленные предприятия, медицинские или образовательные учреждения) политик безопасности система может помочь выявить места хранения и способы обработки и передачи конфиденциальной информации.

Для финансовых организаций, которые на текущий момент являются основными потребителями DLP-решений, проблема с классификацией данных нивелируется уже имеющимися в наличии достаточно качественными преднастроенными политиками, предоставляемыми производителями DLP-решений.

После принятия решения о завершении этапа мониторинга, система переводится в режим либо уведомления пользователей и сотрудника безопасности, и/или в режим блокирования передачи конфиденциальной информации.

Когда система DLP работает в режиме мониторинга, то количество ложных срабатываний в силу отсутствия адаптации политик может насчитывать тысячи. Постепенно применяемые политики безопасности настраиваются в соответствии с реальными потребностями и возможностями организации таким образом, чтобы уже в режиме уведомления, а в дальнейшем и блокировки, количество ложных срабатываний не было «зашкаливающим» и система реагировала только на конфиденциальную информацию. Таким образом, полный цикл внедрения решения может занять около года в случае крупной организации.

Компоненты системы

Рассмотрим состав системы DLP на примере программного решения линейки SymantecDataLossPrevention (SDLP). Решения SDLP обеспечивают защиту для широкого спектра типов конфиденциальных данных, находящихся в сетях и системах хранения данных, а также на компьютерах сотрудников независимо от того, работают они в корпоративной сети или вне ее.

Рисунок 1 - Компоненты системы SDLP

Центральным компонентом для всей линейки является платформа управления SymantecDataLossPreventionEnforcePlatform, которая позволяет определять и распространять на другие компоненты решения политики по предотвращению потери конфиденциальных данных. Данный компонент также предоставляет единый веб-интерфейс для управления и работы с решениями линейки SDLP.

---

Symantec Data Loss Prevention Network Discover

Компонент SymantecDataLossPreventionNetworkDiscover обнаруживает незащищенные конфиденциальные данные, сканируя такие информационные ресурсы, как файловые хранилища, базы данных, почтовые серверы, веб-серверы и т.п.

Symantec Data Loss Prevention Data Insight

Компонент SymantecDataLossPreventionDataInsight позволяет отслеживать доступ к конфиденциальной информации для автоматического определения владельцев этих данных, что позволяет повысить гибкость процессов выявления конфиденциальных данных и управления ими.

Symantec Data Loss Prevention Network Protect

Компонент SymantecDataLossPreventionNetworkProtect является дополнением, расширяющим функциональность компонента SymantecDataLossPreventionNetworkDiscover в части снижения риска потери незащищенных конфиденциальных данных путем переноса этих данных с публичных хранилищ на сетевых серверах в карантин или защищенные хранилища.

Компоненты SDLP NetworkDiscover и SDLP NetworkProtect осуществляют защиту от утери конфиденциальных данных со следующих информационных ресурсов:

 сетевые файловые системы (CIFS, NFS, DFS и др.);

локальные файловые системы на рабочих станциях и ноутбуках;

локальные файловые системы (Windows, Linux, AIX, Solaris);

БД LotusNotes;

MicrosoftExchange;

MicrosoftSharePoint;

Documentum и др.

Symantec Data Loss Prevention Endpoint Discover и Symantec Data Loss Prevention Endpoint Prevent

Эти компоненты представлены двумя модулями:

Агент SDLP Agent, который устанавливается на рабочие станции пользователей (в том числе ноутбуки) и обеспечивает выполнение следующих функций:

 обнаружение незащищенных конфиденциальных данных на пользовательских рабочих станциях;

 блокировка передачи конфиденциальных данных (съемные носители информации, CD/DVD, печать, средства обмена мгновенными сообщениями и т.п.).

Сервер SDLP EndpointServer, который обеспечивает связь агентов SLDP Agent с платформой управления SDLP EnforcePlatform и позволяет определять политики мониторинга конфиденциальных данных и блокировку их передачи с пользовательских рабочих станций.

Агент SDLP Agent предотвращает утечки конфиденциальных данных с пользовательских рабочих станций и корпоративных ноутбуков при попытке их передачи с использованием:

 внешних накопителей информации (USB, SD, Compactflash, FireWire);

 записи на CD/DVD;

 сети (HTTP/HTTPS, Email/SMTP, FTP, IM);

 средств печати/факса;

 копирования конфиденциальных данных в буфер обмена.

Symantec Data Loss Prevention Network Monitor

Компонент SymantecDataLossPreventionNetworkMonitor в реальном времени отслеживает сетевой трафик на наличие конфиденциальной информации и формирует уведомления при попытке передачи такой информации за пределы внутренней сети.

---