ноябрь    2024

Пн	Вт	Ср	Чт	Пт	Сб	Вс
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30

показать все 

14.11.2024

Обновление BI.ZONE Secure DNS: гибкая настройка фильтрации и максимальная скорость

Читать далее 

14.11.2024

RED Security: в октябре количество DDoS-атак на ТЭК выросло в 3 раза

Читать далее 

14.11.2024

Falcongaze представила новую версию DLP-системы — SecureTower 7 Helium

Читать далее 

14.11.2024

ИСП РАН покажет результаты 30-ти лет работы на Открытой конференции в Москве

Читать далее 

08.11.2024

Юбилейная конференция ЭОС: ЭОС: 30 лет лидерства на рынке автоматизации документооборота и обсуждение актуальных трендов

Читать далее 

показать все 

21.11.2024

ИИ: маршрут не построен, но уже проектируется

Читать далее 

18.11.2024

Глеб Шкрябин: «Надежные и масштабируемые системы — основа стабильной работы бизнеса в условиях больших нагрузок»

Читать далее 

14.10.2024

Елена Ситдикова: «На разработчиках программного обеспечения для транспорта лежит большая ответственность перед пассажирами»

Читать далее 

11.10.2024

Технологический ИИ-арсенал

Читать далее 

28.09.2024

Чем страшен ИИ, и с чем его едят

Читать далее 

13.06.2024

Взгляд в перспективу: что будет двигать отрасль информационной безопасности

Читать далее 

18.04.2024

5 способов повысить безопасность электронной подписи

Читать далее 

18.04.2024

Как искусственный интеллект изменит экономику

Читать далее 

18.04.2024

Неочевидный САПР: выход ПО за рамки конструкторской деятельности

Читать далее 

18.04.2024

Скоро некому будет делать сайты и заниматься версткой

Читать далее 

показать все 

Главная / Архив номеров / 2014 / Выпуск №2 (35) / Каменная стена DLP

Рубрика: Тема номера /  Управление корпоративным контентом

Андрей Бирюков, системный архитектор, ЗАО «НИП Информзащита»

Каменная стена DLP

Как защитить корпоративные секреты от утечек и не допустить при этом типичных ошибок?

Давно известно, что информация является товаром, зачастую довольно дорогостоящим. Еще большую ценность представляет конфиденциальная информация, за которую конкуренты и другие заинтересованные лица готовы платить деньги. С развитием информационных технологий существенно упростился процесс хищения интересующих сведений. Если еще несколько десятков лет назад для копирования документа требовалось использование шпионской аппаратуры, например, скрытых фотоаппаратов, то сейчас достаточно просто переписать файл MS Word на флешку.

Сотрудники компаний в силу своих служебных обязанностей имеют дело с корпоративным контентом, представляющим собой набор различных документов и данных, как общедоступных, так и конфиденциальных. Ограничить их в доступе к этим сведениям на рабочем месте сложно, а вот запретить выносить за пределы офиса вполне возможно. Но всегда ли это оправдано? Рассмотрим виды решений по предотвращению утечек (DLP), а также представим ситуации, в которых внедрение данных систем является экономически целесообразным.

Кто и что может украсть

Основным источником угроз для конфиденциальной информации являются сами сотрудники компании (инсайдеры). Они, как уже упоминалось выше, имеют доступ к данным в силу своих профессиональных обязанностей. Например, менеджеры по продажам должны иметь доступ к документам с закупочными ценами, бухгалтеры к сведениям о зарплатах сотрудников и так далее. Особый случай – вредоносное программное обеспечение, например, троян, который, поселившись на машине пользователя, производит хищение информации. Несмотря на то что это нелегальный «пользователь», для передачи данных наружу он будет задействовать те же каналы, что и обычный юзер. Поэтому с точки зрения DLP это также внутренний нарушитель.

Что касается угроз для корпоративного контента, то они не ограничиваются только хищением информации. Недовольный сотрудник может злонамеренно уничтожить какие-либо ценные документы перед увольнением, также бывает, что ошибки совершаются не специально, а по невнимательности. Однако с точки зрения DLP нас будет интересовать только хищение данных.

Каналы утечки

Так как же можно украсть данные с компьютера? Можно воспользоваться каналом подключения к Интернету или внешними интерфейсами, которые есть у компьютера. Документ также можно распечатать и унести в бумажном виде. Начнем с утечек по сети.

Обычно основными способами передачи информации являются электронная почта, HTTP/HTTPS, FTP и пиринговые сети. Отдельный способ передачи данных – использование VPN-туннелей, в которых шифруется весь передаваемый трафик. Но для того, чтобы пользователь не смог установить VPN-туннель из корпоративной сети наружу, лучше использовать блокировку соответствующего трафика межсетевыми экранами, лишение необходимых прав в операционной системе и организационные меры.

Для внедрения DLP-системы, контролирующей сетевой трафик, возможны два варианта реализации решения. Первый представляет собой использование устройства, подключенного «в разрыв», через которое проходит весь трафик. Второй – это использование агентов, которые устанавливаются на клиентские рабочие станции. У каждого из таких решений есть свои достоинства и недостатки. Я не буду вдаваться в технические особенности каждого из них. Лучше посмотрим на предлагаемые варианты с точки зрения эффективности для бизнеса.

Единое устройство, контролирующее весь проходящий через него трафик. Как правило, оно представляет собой аппаратный модуль с предустановленной операционной системой и базовыми настройками. Несомненно, такое решение легче обслуживать, так как можно осуществлять централизованное управление из одной точки. Однако в этом же заключается и главный недостаток: устройство превращается в единую точку отказа. С точки зрения непрерывности бизнеса это не так страшно, так как в случае выхода из строя модуля DLP сетевые интерфейсы автоматически замкнутся (режим bypass), и сетевой трафик пойдет напрямую. Но при этом будет потерян контроль над передаваемой информацией. Наилучшим решением этой проблемы является использование отказоустойчивой конфигурации, например, кластера, состоящего из двух устройств. Поэтому при планировании шлюзового DLP необходимо позаботиться об обеспечении отказоустойчивости.

Еще один возможный недостаток шлюзовых DLP – то, что трафик может проходить на него в зашифрованном виде. Конечно, устройство можно обучить расшифровыванию, установив на него сертификаты. Однако вполне возможна такая ситуация, когда пользователь попытается передать конфиденциальную информацию с помощью SSL-шифрования, для которого на шлюзе отсутствует сертификат. В этом случае нельзя будет расшифровать и проверить передаваемую информацию. Этого недостатка лишены DLP-решения, использующие установку агентского ПО на рабочие станции пользователей.

Агенты, следящие за всем

Развертывание приложений на компьютерах сотрудников позволяет избежать некоторых проблем с единой точкой отказа. Реализации с использованием агентского программного обеспечения представляют собой классическую клиент-серверную архитектуру. Сервер выполняет роль центра управления, который отправляет агентам команды и собирает с них информацию о конфиденциальных данных, которые пытаются передать с машины.

Нагрузка по поиску нужной информации, как правило, ложится на рабочую станцию пользователя, на сервер передается только результат поиска. Это позволяет, во-первых, снизить нагрузку на сервер, так как ему не надо тратить ресурсы на поиск, а во-вторых, меньше нагружается сетевой канал между агентом и сервером. Это обстоятельство может быть критичным при развертывании агентов в филиалах, которые соединяет с центром канал с низкой пропускной способностью.

Что касается упомянутой ранее проблемы с шифрованным трафиком, то при использовании агентов мы можем контролировать передаваемые по сети данные еще до того момента, когда они будут зашифрованы. Это важное преимущество, дающее возможность контролировать серьезный канал утечки данных.

Что касается недостатков агентских решений, то здесь серьезной проблемой является развертывание и обслуживание программного обеспечения. Установка агентов выдвигает определенные требования к операционной системе и аппаратным ресурсам машины, на которую оно устанавливается. Также важно наличие достаточных прав на самом компьютере и возможность получения удаленного доступа к нему по сети. Все эти обстоятельства необходимо учитывать при выборе того или иного DLP-решения.

Итак, мы рассмотрели контроль утечки конфиденциальной информации по сети, однако возможно также переписать данные на съемный носитель или распечатать на принтере.

Не только сеть

Эти проблемы можно решать только с помощью развертывания агентов, шлюзовые решения здесь не помогут. Агент современной DLP-системы умеет контролировать практически все возможные интерфейсы, по которым могут выводиться данные. Это не только сетевые интерфейсы, но USB, SATA, видеовыходы и прочие каналы. Клиент производит поиск конфиденциальной информации в передаваемом потоке в соответствии с заданным шаблоном.

Теперь поговорим о том, какие форматы данных может поддерживать DLP-система. Прежде всего это всевозможные текстовые форматы файлов (txt, rtf, xml, html). Также хорошо обнаруживаются данные в файлах Microsoft Office (Word, Excel). А вот графические и PDF-форматы традиционно являются головной болью для DLP-систем. Распознавание картинок в тексте для большинства коммерческих систем предотвращения утечек данных не является проблемой, модуль OCR (Optical Character Recognition, механизм электронного распознавания графических документов) можно подключить, но сам процесс конвертации требует значительных аппаратных ресурсов и существенных затрат времени. Производить распознавание непосредственно на рабочей станции пользователя не получится, так как это займет все ее ресурсы, и каждая картинка будет обрабатываться по несколько секунд. Некоторые специалисты рекомендуют использовать под OCR отдельный высокопроизводительный сервер. Однако, во-первых, на него графические файлы еще надо передать, а это также требует времени и сетевых ресурсов, а во-вторых, распознавание множества файлов от десятков или даже сотен пользователей может длиться очень долго.

Вряд ли вашим пользователям понравится, если запись на флешку PDF-файла размером в мегабайт затянется на несколько минут из-за того, что DLP-системе пришлось передать его на сервер OCR, где он стоял в очереди на распознавание и только по окончании проверки был благополучно скопирован на съемный накопитель. Поэтому контроль OCR для всех каналов передачи данных с пользовательского компьютера при существующих мощностях серверного оборудования – это утопия.

Но есть канал передачи данных, где время не является столь критичным параметром. Это электронная почта. Для писем вполне нормальной является задержка даже в несколько десятков минут. Таким образом, для почтовых сообщений вполне можно организовать распознавание графических файлов с помощью OCR. Однако для этого также необходим отдельный сервер. А для файлов, передаваемых по USB и другим интерфейсам, лучше просто запрещать копирование графических и pdf-форматов.

Стеганография – не видишь секрет, а он есть

Завершая тему работы DLP-систем с файлами различных форматов, не лишним будет упомянуть про стеганографию, то есть возможность сокрытия одних данных в других. К примеру, существует множество программ, позволяющих спрятать какой-либо текст в графических файлах (bmp, tiff, png). Традиционное исключение – JPG, так данный формат является сжимаемым, и в нем нельзя ничего скрыть. Сегодня ни одна DLP-система не умеет бороться со стеганографией, однако в частных беседах представители разработчиков говорят, что работы над этим ведутся. Пока же противостоять данному злу можно с помощью организационных мер, например, блокируя передачу файлов определенных форматов.

Что есть на рынке

Наиболее распространенным в России DLP-решением является продукция компании Infowatch: InfoWatch Traffic Monitor [1]. Это система защиты от утечек, основанная на анализе исходящего трафика, мониторинге содержимого, передаваемого на сменные носители и принтеры. В нем используется собственная технология лингвистического анализа, которая позволяет осуществлять категоризацию перехваченной информации и обнаруживать в ней конфиденциальные данные. Основными заказчиками здесь являются средний и крупный бизнес, госсектор с численностью от 500 до 5000 пользователей и более. Продукт имеет поддержку филиальной разветвленной структуры и возможность хранения всех событий компании до трех и более лет. Пример стоимости Traffic Monitor для компании в 1000 ПК (включая модули сетевого сканирования, агентского ПО и контроля хранимой информации) – порядка 6 млн рублей. Стоимость ежегодной поддержки начиная со второго года – 20% от стоимости лицензий.

Другим известным игроком с мировым именем является Websense [2]. Промышленная система предотвращения утечек информации Websesnse DSS основана на контроле сетевого трафика, приложений рабочих мест и поиска хранимых данных. Решение работает как на уровне шлюза, так и на уровне конечных компьютеров. Лицензии для контроля 1000 машин будут стоить около 4 млн рублей.

Третье место на российском рынке DLP-решений занимает компания Zecurion [3]. Их продукт основан на контроле входящего, исходящего и внутреннего сетевого трафика, поиска хранимых данных, агентского контроля, мониторинга содержимого, передаваемого на сменные носители и принтеры. Первая российская DLP-система с возможностью гибридного анализа. Лицензии для все тех же 1000 хостов обойдутся порядка 1,5 млн рублей.

Компания Symantec [4] предлагает Symantec DLP – универсальное решение для поиска, отслеживания и защиты конфиденциальных данных независимо от их расположения. Обеспечивает комплексную защиту данных в конечных системах, сети и системах хранения. Имеется несколько редакций продукта для использования в компаниях различных размеров: малый бизнес (версия Symantec DLP Standard), средний и крупный бизнес от 50 до более 100 тыс. рабочих мест (Symantec DLP). Стоимость для 1000 рабочих мест составит около 8 млн рублей.

Краткое сравнение

Для того чтобы понять, какое именно из приведенных выше решений лучше подходит для той или иной корпоративной сети, я попробую сделать небольшой сравнительный анализ. Базовый функционал DLP сравнивать особого смысла не имеет: все они умеют просматривать HTTP и SMTP-трафик, данные, передаваемые на USB-накопители или выводимые на печать.

Поэтому я предлагаю рассмотреть более специфичные параметры: наличие средств реагирования и расследования инцидентов, обработку различного контента, русскоязычный текст, транслитерацию и синонимы. Результаты для четырех решений сведены в следующую таблицу (см. таблицу 1).

Таблица 1. Результаты сравнения рассмотренных решений

Как видно из таблицы сравнений, наибольшим функционалом обладают DLP-системы Infowatch, однако у них достаточно высокая стоимость лицензий. Разумный баланс между ценой и качеством имеет решение от Zecurion.

Неявные секреты

На этом обсуждение технической части DLP можно завершить. Мы рассмотрели основные методы работы и их особенности. Поговорили о том, что сейчас есть на рынке. Казалось бы, можно определяться и делать закупку. Но прежде необходимо выяснить еще один важный момент. Очень часто заказчики в процессе внедрения решения по предотвращению утечек обнаруживают, что не знают, какие именно их данные являются конфиденциальными. Это кажется на первый взгляд парадоксальным, но на самом деле в крупной компании обрабатывается большое количество различных документов. Конечно, можно ограничиться поиском стандартных слов «контракт», «закупка», «цена». Но при таком подходе есть вероятность получить множество ложных срабатываний, но при этом пропустить утечку действительно конфиденциальной информации.

Так что перед началом внедрения DLP полезно провести некий аудит. Необходимо составить схемы всех бизнес-процессов, выделить данные, которые они используют, затем определить те признаки, которые им свойственны. Отметить подразделения и сотрудников, которые работают с этой информацией. Посмотреть, какие технические средства они используют. И уже потом определяться с теми компонентами DLP, которые должны использоваться для предотвращения утечек. В качестве примера можно привести бизнес-процесс закупок. Документы по сделкам содержат множество различной конфиденциальной информации, например, номера контрактов, ФИО участников, суммы, закупаемые позиции и многое другое. Данная информация может быть без особых сложностей получена в результате грамотно проведенного аудита. Провести его можно как силами компании, так и с привлечением внешних специалистов.

Ну и несколько слов об экономической эффективности. Решения DLP стоят недешево, да и внедрение может занять значительное время. Кроме того, им требуется сопровождение, так как информация и бизнес-процессы в компании могут меняться, и потребуется настройка DLP.

Но не стоит забывать о стоимости информации, обрабатываемой в компании. Инсайдер, в течение длительного времени выносящий наружу конфиденциальную информацию, может нанести ущерб в десятки и даже сотни миллионов рублей. Так что потери могут многократно превысить стоимость внедрения и сопровождения DLP-системы.

1. Сайт Infowatch – http://www.infowatch.ru.
2. Сайт Websense – http://www.websense.com.
3. Сайт Zecurion – http://www.zecurion.com.
4. Сайт Symantec – http://www.symantec.com.

В начало⇑

Комментарии отсутствуют

Комментарии могут отставлять только зарегистрированные пользователи