Системы предотвращения утечки данных - Сравнительный анализ DLP-систем, их функциональные возможности

Необходимость защиты информации от внутренних угроз была очевидна на всех этапах развития средств информационной безопасности. Однако первоначально внешние угрозы считались более опасными. В последние годы на внутренние угрозы стали обращать больше внимания, и популярность DLP систем возросла. Общепринятых расшифровок термина DLP несколько:

    - Data Loss Prevention - "предотвращение потери данных" - Data Leak Prevention - "предотвращение утечки данных" - Data Leakage Protection - "защита от утечки данных".

Первые DLP системы возникли как средство предотвращения утечки ценной информации. Они были предназначены для обнаружения и блокирования сетевой передачи информации.

Основной задачей DLP-систем, что очевидно, является предотвращение передачи конфиденциальной информации за пределы информационной системы. Такая передача (утечка) может быть намеренной или ненамеренной. Большая часть ставших известными утечек (порядка 3/4) происходит не по злому умыслу, а из-за ошибок, невнимательности, безалаберности, небрежности работников. Выявлять подобные утечки проще. Остальная часть связана со злым умыслом операторов и пользователей информационных систем. Кроме основной перед DLP-системой могут стоять и вторичные (побочные) задачи. Они таковы:

Архивирование пересылаемых сообщений на случай возможных в будущем расследований инцидентов;

Предотвращение передачи вовне не только конфиденциальной, но и другой нежелательной информации (обидных выражений, спама, эротики, излишних объемов данных и т. п.);

Предотвращение передачи нежелательной информации не только изнутри наружу, но и снаружи внутрь информационной системы;

Предотвращение использования работниками казенных информационных ресурсов в личных целях;

Оптимизация загрузки каналов, экономия трафика;

Контроль присутствия работников на рабочем месте;

Отслеживание благонадежности сотрудников, их политических взглядов, убеждений, сбор компромата.

Практический во всех странах охраняется законом право на тайну частной жизни. Использование DLP-систем может противоречить местным законом в некоторых режимах или требовать особого оформления отношений между работниками и работодателем. Поэтому при внедрении DLP-системы необходимо привлекать юриста на самом раннем этапе проектирования.

В настоящее время основной интерес разработчиков DLP-систем сместился в сторону широты охвата потенциальных каналов утечки информации и развитию аналитических инструментов расследования и анализа инцидентов. Новейшие DLP-продукты перехватывают просмотр документов, их печать и копирование на внешние носители, запуск приложений на рабочих станциях и подключение внешних устройств к ним, а современный анализ перехватываемого сетевого трафика позволяет обнаружить утечку даже по некоторым туннелирующим и зашифрованным протоколам.

Распознавание конфиденциальной информации в DLP-системах производится двумя способами: анализом формальных признаков (например, грифа документа, специально введенных меток, сравнением хэш-функции) и анализом контента. Первый способ позволяет избежать ложных срабатываний (ошибок первого рода), но зато требует предварительной классификации документов, внедрения меток, сбора сигнатур и т. д. Пропуски конфиденциальной информации (ошибки второго рода) при этом методе вполне вероятны, если конфиденциальный документ не подвергся предварительной классификации. Второй способ дает ложные срабатывания, зато позволяет выявить пересылку конфиденциальной информации не только среди грифованных документов. DLP-система должна иметь компоненты обоих указанных типов плюс модуль для централизованного управления.

DLP системы различают по способу обнаружения утечки данных:

При использовании (Data-in Use) - на рабочем месте пользователя;

При передаче (Data-in Motion) - в сети компании;

При хранении (Data-at Rest) - на серверах и рабочих станциях компании.

В состав DLP-систем входят компоненты (модули) сетевого уровня и компоненты уровня хоста. Сетевые компоненты контролируют трафик, пересекающий границы информационной системы. Обычно они стоят на прокси-серверах, серверах электронной почты. Компоненты уровня хоста стоят обычно на персональных компьютерах работников и контролируют такие каналы, как запись информации на компакт-диски, флэш-накопители и т. п. Хостовые компоненты также стараются отслеживать изменение сетевых настроек, печать документов на локальные и сетевые принтеры, передачу информации по Wi Fi и Bluetooth инсталляцию программ для туннелирования, и другие возможные методы для обхода контроля и много другое. Некоторые DLP-системы способны записывать все нажатия на клавиатуре (key logging) и сохранять копий экрана (screen shots).

Современная система защиты от утечки информации, как правило, является распределенным программно-аппаратным комплексом, состоящим из большого числа модулей различного назначения. Часть модулей функционирует на выделенных серверах, часть - на рабочих станциях сотрудников компании, часть - на рабочих местах сотрудников службы безопасности.

Выделенные сервера могут потребоваться для таких модулей как база данных и, иногда, для модулей анализа информации. Эти модули, по сути, являются ядром и без них не обходится ни одна DLP система.

База данных необходима для хранения информации, начиная от правил контроля и подробной информации об инцидентах и заканчивая всеми документами, попавшими в поле зрения системы за определенный период. В некоторых случаях, система даже может хранить копию всего сетевого трафика компании, перехваченного в течение заданного периода времени.

Обычно, в составе DLP-системы присутствует модуль управления, предназначенный для мониторинга работы системы и ее администрирования. Этот модуль позволяет следить за работоспособностью всех других модулей системы и производить их настройку.

Модули анализа информации отвечают за анализ текстов, извлеченных другими модулями из различных источников: сетевой трафик, документы на любых устройствах хранения информации в пределах компании. В некоторых системах есть возможность извлечения текста из изображений и распознавание перехваченных голосовых сообщений. Все анализируемые тексты сопоставляются с заранее заданными правилами и отмечаются соответствующим образом при обнаружении совпадения.

Для удобства работы аналитика службы безопасности в DLP-системе может быть отдельный модуль, позволяющий настраивать политику безопасности компании, отслеживать ее нарушения, проводить их детальное расследование и формировать необходимую отчетность. Как ни странно, при прочих равных именно возможности анализа инцидентов, проведения полноценного расследования и отчетность выходят на первый план по важности в современной DLP-системе.

Таким образом, необходимость защиты информации от внутренних угроз была очевидна на всех этапах развития средств информационной безопасности.

Основной задачей DLP-систем является предотвращение передачи конфиденциальной информации за пределы информационной системы. Кроме основной задачи DLP-системы могут решать и вторичные (побочные) задачи.

Похожие статьи




Системы предотвращения утечки данных - Сравнительный анализ DLP-систем, их функциональные возможности

Предыдущая | Следующая