Системы DLP: как это работает

--> Дата: Фев 10, 2009 229

Проблематика предотвращения утечек конфиденциальных данных (Data Loss Prevention, DLP) — одна из наиболее актуальных сегодня для ИТ. Тем не менее в этой сфере существует заметная понятийная путаница, которая усугубляется появлением множества похожих терминов, в частности, Data Leak Prevention (DLP), Information Leak Prevention (ILP), Information Leak Protection (ILP), Information Leak Detection & Prevention (ILDP), Content Monitoring and Filtering (CMF), Extrusion Prevention System (EPS).

Из каких функциональных модулей должно состоять полноценное DLP-решение? Где следует устанавливать DLP-системы: на уровне шлюзов передачи данных или на конечных информационных ресурсах (ПК или мобильных устройствах)? Имеет ли значение, как внедряется система DLP: как самостоятельное решение или как часть более широкой гаммы продуктов безопасности? Чтобы ответить на эти и другие вопросы, прежде всего нужно понять, что такое система DLP, из чего она состоит и как работает.

Для начала отметим, что конфиденциальная информация — это информация, доступ к которой ограничивается в соответствии с законодательством страны и уровнем доступа к информационному ресурсу. Конфиденциальная информация становится доступной или раскрытой только санкционированным лицам, объектам или процессам.

Существует четкий подход к классификации видов конфиденциальной информации:

данные клиентов — такие персональные данные, как номера кредитных карт, паспортов, страховок, ИНН, водительских удостоверений и т. д.;
корпоративные данные — финансовые данные, данные о слияниях и поглощениях, персональные данные сотрудников и т. д.;
интеллектуальная собственность — исходные коды, конструкторская документация, информация о ценах и т. д.

Исходя из этого, можно сказать, что система предотвращения утечек конфиденциальной информации — это интегрированный набор инструментов для предотвращения или контроля перемещения конфиденциальной информации из информационной системы компании вовне.

Современные DLP-системы основаны на анализе потоков данных, пересекающих периметр защищаемой информационной системы. При выявлении в потоке конфиденциальной информации срабатывает защита, и передача сообщения (пакета, потока, сессии) блокируется или отслеживается.

Помимо основной своей функции DLP-решения помогают ответить на три простых, но очень важных вопроса: «Где находится моя конфиденциальная информация?», «Как используются эти данные?» и «Как лучше всего защитить их от потери?». Чтобы ответить на них, DLP-система выполняет глубокий анализ содержания информации, организует автоматическую защиту конфиденциальных данных в конечных информационных ресурсах, на уровне шлюзов передачи данных и в системах статического хранения данных, а также запускает процедуры реагирования на инциденты для принятия надлежащих мер.

Рассмотрим функционал DLP-решения на примере программного продукта компании Symantec — DLP 9.0 (Vontu DLP), который представляет собой интегрированный и централизованно управляемый комплекс средств мониторинга и предотвращения утечки конфиденциальных данных из защищаемого информационного контура. Он включает следующие основные компоненты DLP.

Endpoint DLP — модуль контроля перемещения информации на ПК и ноутбуках. Позволяет в режиме реального времени отслеживать, а в случае обнаружения запрещенного контента — и блокировать попытки копирования информации на съемные носители информации, печать и отсылку по факсу, по электронной почте и т. д. Контроль осуществляется как при подключении ПК к корпоративной сети, так и в автономном режиме или при удаленной работе. Помимо бесшумного контроля и предотвращения утечек система может информировать пользователя о неправомерности его действий, что позволяет обучать персонал правилам работы с конфиденциальной информацией.

Storage DLP — модуль контроля соблюдения процедур хранения конфиденциальных данных. Позволяет в режиме сканирования по расписанию обнаруживать статически хранимые конфиденциальные данные на файловых, почтовых, Web-серверах, в системах документооборота, на серверах баз данных и т. д. Проводит анализ легитимности хранения данных в их текущем местонахождении и перенос при необходимости в защищенные хранилища.

Network DLP — модуль контроля перемещения информации через шлюзы передачи данных. Позволяет отслеживать передачу информации по любому каналу TCP/IP или UDP. Система контролирует обмен информацией через IM и пиринговые системы, а также позволяет блокировать пересылку информации через HTTP(s), FTP(s) и SMTP-каналы с возможностью информирования пользователей о нарушении корпоративной политики.

Enforce Platform — система централизованного управления всеми модулями системы. Она позволяет управлять работоспособностью самой системы, отслеживая ее производительность и нагрузку, и администрировать правила и политики с точки зрения контроля за перемещением конфиденциальных данных. Система полностью основана на Web-технологиях и содержит весь инструментарий для организации полного жизненного цикла процесса управления политиками безопасности обращения с конфиденциальными данными в компании, включая классификацию, индексацию, оцифровку и т. д. В платформу входит также модуль отчетности, позволяющий просто и эффективно проводить анализ текущего состояния безопасности хранения и перемещения информации, а также строить сложные выборки по регрессивному и прогрессивному анализу.

В Symantec DLP используются два механизма, с помощью которых служба информационной безопасности может классифицировать данные и относить их к определенным группам важности. Первый, контентная фильтрация, — это возможность выделить в потоке передаваемой информации те документы или данные, которые содержат определенные слова, выражения, определенные типы файлов, а также определенные правилами сочетания букв и цифр (например, номер паспорта, кредитной карты и т. п.). Второй, метод цифровых отпечатков, позволяет защищать конкретные образы информации, блокируя попытки ее разбавления, использования фрагментов текста и т. д.