Файл: «Принципы построения и функционирования DLP-систем».pdf

Системы защиты ценных данных существовали с момента их появления. С началом компьютерной эры информация становится главной ценностью государств, организаций и даже частных лиц. А основным инструментом её хранения и обработки стали компьютерные системы.

Стремительное развитие информационных технологий способствует глобальной информатизации современных компаний и предприятий. С каждым днем объемы информации, передаваемые через корпоративные сети больших корпораций и маленьких компаний, стремительно растут. С ростом информационных потоков растут и угрозы, которые могут привести к потере важной информации, ее искажению или краже. Оказывается, потерять информацию гораздо проще, нежели какую-либо материальную вещь. Для этого не обязательно, чтобы кто-то совершал специальные действия для овладения данными – порой бывает достаточно неаккуратного поведения при работе с информационными системами или неопытности пользователей.

Ранее задача предотвращения утечек конфиденциальных данных из информационных систем решалась в основном тремя способами. Во-первых, методом ограничения прав доступа субъектов к различным информационным ресурсам (ролевое управление, дискреционный и мандатный допуск к ресурсам) во-вторых, за счет использования программного обеспечения (ПО) контроля внешних устройств (USB, CDROM и пр.) – на уровне можно/нельзя использовать этот носитель, и, в третьих, за счет шифрования данных.

Данные способы позволяют обеспечить защиту конфиденциальной информации только в местах ее хранения и не дают возможности контроля за процессом обработки и передачи информации.

В результате появились специализированные технологии и решения, которые могут контролировать данные в процессе обработки и передачи по различным каналам: HTTP, SMTP, передача данных на сменные устройства, печать на локальные и сетевые принтеры и т.д.

Современные системы DLP– это технологии, позволяющие предотвратить утечку из организации именно конфиденциальной информации. При этом информация, которая не попадает в категорию «конфиденциальная» может свободно передаваться по любым электронным каналам.

Если говорить об истории развития DLP-технологий, то первыми появились технологии сетевого мониторинга – без возможности блокировки утечки через сетевые протоколы (HTTP, SMTP и пр.). В дальнейшем производители решений добавляли функции блокировки информации при передаче через сеть. Затем появились возможности контроля рабочих станций за счет внедрения программных «агентов», чтобы можно было предотвратить передачу конфиденциальной информации с этих устройств: контроль функций «copy/paste», снятия скриншотов, а также контроль передачи информации на уровне приложений. И, наконец, появились технологии поиска конфиденциальной информации на сетевых ресурсах и ее защиты, если информация обнаружена в тех местах, где ее не должно быть.

Практическое применение DLP- систем является наиболее актуальным для тех организаций, где утечка конфиденциальных данных может повлечь за собой огромные финансовые потери, существенный удар по репутации, а также потерю клиентской базы и личной информации

Основной задачей данной работы является изучение принципов построения и функционирования DLP- систем.

Что такое DLP-система

Под DLP-системами принято понимать программные продукты, защищающие организации от утечек конфиденциальной информации. Сама аббревиатура DLP расшифровывается как Data Leak Prevention, то есть, предотвращение утечек данных. Подобного рода системы создают защищенный цифровой «периметр» вокруг организации, анализируя всю исходящую, а в ряде случаев и входящую информацию. Контролируемой информацией должен быть не только интернет-трафик, но и ряд других информационных потоков: документы, которые выносятся за пределы защищаемого контура безопасности на внешних носителях, распечатываемые на принтере, отправляемые на мобильные носители через Bluetooth и т.д.

Помимо своей главной задачи, система может быть использована для ряда других работ, которые связаны с действиями сотрудников компании. Чаще всего она используется в следующих целях:

- контроль рабочего времени и рабочих ресурсов;

- мониторинг действий сотрудников;

- проверка действий сотрудников на правомерность;

- выявление неэффективных сотрудников;

- аудио-, видеоконтроль;

- контроль связи коллектива с уволенными сотрудниками;

- контроль нелояльных сотрудников;

- контроль ноутбуков сотрудников;

- контроль работы системных администраторов;

- архивирование пересылаемых сообщений на случай возможных в будущем расследований инцидентов;

- предотвращение передачи вовне не только конфиденциальной, но и другой нежелательной информации (обидных выражений, спама, эротики, излишних объёмов данных и т.п.);

- предотвращение передачи нежелательной информации не только изнутри наружу, но и снаружи внутрь информационной системы.

Принципы построения DLP-систем

Решения класса DLP позволяют контролировать и защищать информационные активы, которые можно разделить на три категории:

- данные в режиме хранения; статично хранятся на отчуждаемых носителях, компьютерах, мобильных устройствах пользователей и т. д.;

- данные в режиме движения: финансовые транзакции, передача аутентификационных данных и т. д.;

- данные, непосредственно используемые пользователями в рамках бизнес-процессов.

Однако следует помнить, что успех такой серьезной операции как внедрение DLP напрямую зависит от понимания ценности защищаемых данных. Рассмотрим важнейшие этапы внедрения DLP-системы.

Этап 1. Подготовка к внедрению

Обследование

Кто должен выполнять работы по обследованию? Как правило, за это отвечает компания, которая внедряет DLP-систему (исполнитель). Однако не все так просто. Если компания-заказчик не готова на запрос исполнителя предоставить, к примеру, описание процессов взаимодействия с защищаемой информацией, то необходимо понять, в чьей зоне ответственности будет находиться разработка этого документа.

У идеального заказчика, принявшего решение о внедрении DLP-системы, введен режим коммерческой тайны, подготовлен перечень информации ограниченного доступа, имеется описание бизнес-процессов, в рамках которых происходит обработка, хранение и передача такой информации. Другими словами, заказчик ясно понимает правила, по которым событие считается утечкой конфиденциальной информации, а также исключения их этих правил. В таком случае исполнителю остается лишь перенести правила в политики безопасности.

У реального заказчика может быть не определено ничего. В таком случае он должен осознавать важность своего участия в обследовании, ведь чем ответственнее заказчик подходит к этому процессу, тем реальнее описание бизнес-процессов компании, критерии отнесения сведений к категории защищаемых и т. д. В случае слабой вовлеченности заказчик полагается на видение безопасности своих бизнес-процессов глазами исполнителя, а это не всегда соответствует требованиям к защите данных.

Обычно работы в рамках обследования включают в себя следующие мероприятия:

- изучение организационно-распорядительных документов, относящихся к обеспечению безопасности и классификации информации;

- изучение перечня информационных ресурсов, схем сети, схем потоков данных и т. п., относящихся к формализации информационного взаимодействия;

- согласование признаков отнесения информации к информации ограниченного доступа;

- формализация перечня информации ограниченного доступа;

- обследование и описание процессов передачи, обработки и хранения информации ограниченного доступа в рамках бизнес-процессов.

По итогам перечисленных мероприятий разрабатываются документы, на основе которых впоследствии будут создаваться политики безопасности DLP-системы. К таким документам могут относиться:

- Перечень информации ограниченного доступа;

- Схема потоков данных информации ограниченного доступа;

- Описание технологических процессов взаимодействия с информацией ограниченного доступа;

- Основные сценарии утечки конфиденциальной информации.

Имея понимание того, в рамках каких бизнес-процессов происходит работа с критичными данными, из каких действий с этими данными состоят вышеупомянутые процессы, не составляет труда определить необходимые механизмы работы DLP-системы и, соответственно, требования к ней.

Юридическое сопровождение:

Одними из важных вопросов, с которыми столкнется руководство компании, принявшее решение об использовании продукта класса DLP, — это вопросы юридического характера. К примеру:

- Будет ли использование этой системы трактоваться как слежка за сотрудниками?

- Как будем защищаться от конфликтов, вызванных работой этой системы?

- Как контролировать администратора DLP-системы, имеющего доступ ко всему архиву перехваченной информации?

Становится понятно, что без должной юридической и организационной подготовки внедрение такого продукта для компании — затея не из лучших. Компания, грамотно подготовившая внедрение DLP-системы, будет права в потенциальном споре с сотрудником, причиной которому стала работа этой системы. Главные тезисы в поддержку этого утверждения:

- компания имеет право защищать свою коммерческую тайну, вводя для этой цели режим коммерческой тайны, определяющий перечень информации ограниченного доступа, правила работы с ней и т. д.;

- средства обработки информации, переданные сотруднику для выполнения своих должностных обязанностей, а также созданные с их помощью информационные ресурсы, являются собственностью компании;

- компания не является оператором связи и не обеспечивает тайну связи при передаче по своим корпоративным каналам.

Создание грамотной стратегии использования DLP-системы в правовом контексте — вновь совместная задача для заказчика и исполнителя. Результатом этой работы должны стать шаги по организации режима коммерческой тайны или соответствующие дополнения к нему. В рамках данных работ исполнитель изучает организационно-распорядительные документы клиента, трудовые договоры, дополнительные соглашения и прочие кадровые документы, относящиеся к определению условий труда и обязательств работников, а также внутренние процедуры контроля заказчика. И по результатам анализа формирует рекомендации по внесению изменений в нормативную базу заказчика. В число документов, разрабатываемых исполнителем на данном этапе, могут войти:

- дополнительные соглашения к трудовым договорам;

- дополнения к правилам трудового распорядка;

- политика допустимого использования средств обработки информации;

- иные документы, регламентирующие работу с информацией ограниченного доступа.

Отдельно хочется сказать про актуальность контроля эксплуатирующего персонала DLP-системы, имеющего неограниченный доступ к архиву перехваченной информации. Считается разумной попытка пресечь возможное использование этой информации в личных целях путем подписания соответствующих соглашений. И заказчику рекомендуется уже на данном этапе подумать над методом формирования архива перехваченной информации — сохранять все события или только события, нарушившие политику безопасности. В отличие от западных игроков отечественные DLP-системы пошли по пути сохранения всего трафика.

Этап 2. Выбор продукта

DLP-систем, идеально подходящих сразу для всех потребителей не бывает, поскольку DLP — инструмент, предназначенный решать конкретные задачи, которые у каждого предприятия свои и зависят от рода бизнеса, от того, насколько жёстко должна быть защищена информация, от зрелости компании в целом и в области ИБ в частности.

Для выбора оптимального продукта следует, прежде чем принимать решение о закупке и внедрении DLP-системы, не только изучить её характеристики на бумаге, но и опробовать в рамках пилотного проекта, причём лучше протестировать не один, а несколько конкурирующих продуктов. Это поможет сделать взвешенный выбор, упростит эксплуатацию, снизит риски разочарования от несоответствия заявленных характеристик реальным.

Характеристики, на которые следует обращать внимание при выборе DLP-системы:

1.Режим работы DLP:

- активный – обычно основной режим работы, при котором происходит блокировка действий, нарушающих политики безопасности, например отправка конфиденциальной информации на внешний почтовый ящик;

- пассивный режим чаще всего используется на этапе настройки системы для проверки и корректировки настроек, когда высока доля ложных срабатываний. В этом случае нарушения политик фиксируются, но ограничения на перемещение информации не налагаются.

2. Технологии распознавания информации, используемые в DLP:

- формальные признаки;

- морфология;

- цифровые отпечатки;

- метод Байеса;

- сигнатуры;

- регулярные выражения;