Необходимость защиты информации от внутренних угроз была очевидна на всех этапах развития средств информационной безопасности. Однако первоначально внешние угрозы считались более опасными. В последние годы на внутренние угрозы стали обращать больше внимания, и популярность DLP систем возросла. Общепринятых расшифровок термина DLP несколько:

· Data Loss Prevention - "предотвращение потери данных"

· Data Leak Prevention - "предотвращение утечки данных"

· Data Leakage Protection - "защита от утечки данных".

Первые DLP системы возникли как средство предотвращения утечки ценной информации. Они были предназначены для обнаружения и блокирования сетевой передачи информации.

Основной задачей DLP-систем, что очевидно, является предотвращение передачи конфиденциальной информации за пределы информационной системы. Такая передача (утечка) может быть намеренной или ненамеренной. Большая часть ставших известными утечек (порядка 3/4) происходит не по злому умыслу, а из-за ошибок, невнимательности, безалаберности, небрежности работников. Выявлять подобные утечки проще. Остальная часть связана со злым умыслом операторов и пользователей информационных систем. Кроме основной перед DLP-системой могут стоять и вторичные (побочные) задачи. Они таковы:

архивирование пересылаемых сообщений на случай возможных в будущем расследований инцидентов;

предотвращение передачи вовне не только конфиденциальной, но и другой нежелательной информации (обидных выражений, спама, эротики, излишних объёмов данных и т.п.);

предотвращение передачи нежелательной информации не только изнутри наружу, но и снаружи внутрь информационной системы;

предотвращение использования работниками казённых информационных ресурсов в личных целях;

оптимизация загрузки каналов, экономия трафика;

контроль присутствия работников на рабочем месте;

отслеживание благонадёжности сотрудников, их политических взглядов, убеждений, сбор компромата.

Практический во всех странах охраняется законом право на тайну частной жизни. Использование DLP-систем может противоречить местным законом в некоторых режимах или требовать особого оформления отношений между работниками и работодателем. Поэтому при внедрении DLP-системы необходимо привлекать юриста на самом раннем этапе проектирования.

В настоящее время основной интерес разработчиков DLP-систем сместился в сторону широты охвата потенциальных каналов утечки информации и развитию аналитических инструментов расследования и анализа инцидентов. Новейшие DLP-продукты перехватывают просмотр документов, их печать и копирование на внешние носители, запуск приложений на рабочих станциях и подключение внешних устройств к ним, а современный анализ перехватываемого сетевого трафика позволяет обнаружить утечку даже по некоторым туннелирующим и зашифрованным протоколам.

Распознавание конфиденциальной информации в DLP-системах производится двумя способами: анализом формальных признаков (например, грифа документа, специально введённых меток, сравнением хэш-функции) и анализом контента. Первый способ позволяет избежать ложных срабатываний (ошибок первого рода), но зато требует предварительной классификации документов, внедрения меток, сбора сигнатур и т.д. Пропуски конфиденциальной информации (ошибки второго рода) при этом методе вполне вероятны, если конфиденциальный документ не подвергся предварительной классификации. Второй способ даёт ложные срабатывания, зато позволяет выявить пересылку конфиденциальной информации не только среди грифованных документов. DLP-система должна иметь компоненты обоих указанных типов плюс модуль для централизованного управления.

DLP системы различают по способу обнаружения утечки данных:

при использовании (Data-in Use) - на рабочем месте пользователя;

при передаче (Data-in Motion) - в сети компании;

при хранении (Data-at Rest) - на серверах и рабочих станциях компании.

В состав DLP-систем входят компоненты (модули) сетевого уровня и компоненты уровня хоста. Сетевые компоненты контролируют трафик, пересекающий границы информационной системы. Обычно они стоят на прокси-серверах, серверах электронной почты. Компоненты уровня хоста стоят обычно на персональных компьютерах работников и контролируют такие каналы, как запись информации на компакт-диски, флэш-накопители и т.п. Хостовые компоненты также стараются отслеживать изменение сетевых настроек, печать документов на локальные и сетевые принтеры, передачу информации по Wi Fi и Bluetooth инсталляцию программ для туннелирования, и другие возможные методы для обхода контроля и много другое. Некоторые DLP-системы способны записывать все нажатия на клавиатуре (key logging) и сохранять копий экрана (screen shots).

Современная система защиты от утечки информации, как правило, является распределённым программно-аппаратным комплексом, состоящим из большого числа модулей различного назначения. Часть модулей функционирует на выделенных серверах, часть - на рабочих станциях сотрудников компании, часть - на рабочих местах сотрудников службы безопасности.

Выделенные сервера могут потребоваться для таких модулей как база данных и, иногда, для модулей анализа информации. Эти модули, по сути, являются ядром и без них не обходится ни одна DLP система.

База данных необходима для хранения информации, начиная от правил контроля и подробной информации об инцидентах и заканчивая всеми документами, попавшими в поле зрения системы за определённый период. В некоторых случаях, система даже может хранить копию всего сетевого трафика компании, перехваченного в течение заданного периода времени.

Обычно, в составе DLP-системы присутствует модуль управления, предназначенный для мониторинга работы системы и её администрирования. Этот модуль позволяет следить за работоспособностью всех других модулей системы и производить их настройку.

Модули анализа информации отвечают за анализ текстов, извлечённых другими модулями из различных источников: сетевой трафик, документы на любых устройствах хранения информации в пределах компании. В некоторых системах есть возможность извлечения текста из изображений и распознавание перехваченных голосовых сообщений. Все анализируемые тексты сопоставляются с заранее заданными правилами и отмечаются соответствующим образом при обнаружении совпадения.

Для удобства работы аналитика службы безопасности в DLP-системе может быть отдельный модуль, позволяющий настраивать политику безопасности компании, отслеживать её нарушения, проводить их детальное расследование и формировать необходимую отчётность. Как ни странно, при прочих равных именно возможности анализа инцидентов, проведения полноценного расследования и отчетность выходят на первый план по важности в современной DLP-системе.

Таким образом, необходимость защиты информации от внутренних угроз была очевидна на всех этапах развития средств информационной безопасности.

Основной задачей DLP-систем является предотвращение передачи конфиденциальной информации за пределы информационной системы. Кроме основной задачи DLP-системы могут решать и вторичные (побочные) задачи.

§ 2. Этапы развития Dlp систем

Как классическая DLP-система SolarDozor решает задачи по мониторингу, фильтрации и анализу каждого сообщения на наличие конфиденциальной информации. Но при решении задач по выявлению корпоративного мошенничества применяется другой подход. Для этого SolarDozor осуществляет накопление переписки сотрудников, профилирование их действий и в режиме реального времени контроль появления косвенных, на первый взгляд незначительных, признаков противозаконных действий сотрудников, аномалий в их поведении. Эти механизмы позволяют проводить ретроспективный анализ и расследования по накопленным данным и переписке сотрудника на всем объеме коммуникаций сотрудника.

Проблемы, которые решает Solar Dozor:

Действия нелояльных сотрудников, сотрудников из групп риска (коммерческие отделы, отделы закупок, сотрудники, попадающие под сокращение, сотрудники на испытательном сроке), наносящих экономический ущерб организации;

Корпоративное мошенничество, противоправные действия, преднамеренный экономический ущерб от сотрудников;

Появление конфиденциальной и другой защищаемой информации и информационных активов у конкурентов или в публичных источниках;

Случайные и непреднамеренные утечки конфиденциальной информации;

Необходимость удовлетворения требований российского законодательства.

Основные возможности Solar Dozor

Программный комплекс Solar Dozor - это DLP-система, предназначенная для мониторинга, анализа и блокирования корпоративных коммуникаций сотрудников, включая проверку сообщений электронной почты, систем мгновенных сообщений, файлов и других данных.

SolarDozor собирает трафик двумя путями. Основным методом сбора информации является установка на шлюзе, подключение системы по SPAN/RSPAN или ICAP к прокси-серверу и сбор и анализ всего, что можно сделать на шлюзе.

Это сбор и анализ веб-почты, включая чтение входящий сообщений, сообщения из социальных сетей, форумов, сайтов поиска работы, передачи файлов по FTP/WebDav, и многое другое.

Второй вариант сбора трафика - это сбор трафика с протоколов, которые технически нельзя осуществить на шлюзе, это, например, Skype, перехват печати на принтер, контроль буфера обмера, контроль USB-устройств.

Преимущества системы хранения трафика комплекса SolarDozor:

· собственная система хранения и обработки данных, гибридное хранилище формата BigData: база данных + файловое хранилище - надежность хранения;

· неограниченный срок хранения данных;

· подтвержденная работа на действительно больших данных - срок хранения до 10 лет;

· наличие средств управления долгосрочным и оперативным хранением - большая возможная глубина расследований;

· масштабируемость системы хранения - подходит для компаний от 100 пользователей до ?;

Политика безопасности SolarDozor позволяет создать сколь угодно сложные сценарии для детектирования действительно нужной информации, позволяя, например, получить из 10 000 входящих сообщений 100, но действительно самых важных и требующих более пристального изучения сотрудниками безопасности.

Некоторые ключевые особенности:

Возможность мониторинга событий ИБ - сокращение объема первичной информации для обработки, фокусировка на важном;

Workflow - автоматизации работы сотрудников безопасности, возможность передачи "дел", инцидентов, контроль работы сотрудников со стороны руководителя. Работа с бизнес-подразделениями - реконструкция инцидентов, вырезание части информации из сообщений;

Подсветка срабатываний - экономия времени, возможность быстро понять на что сработали правила политики безопасности в сообщении;

Мониторинг состояния системы - любые ошибки или сомнения в работоспособности выводятся на экран. Ничего не будет пропущено. Снижение издержек эксплуатации и сервиса;

Условия по показателям - отправка уведомлений на e-mail администраторам, автоматические действия системы, прогнозы использования ресурсов;

Возможность тонкой настройки системы - такие технические параметры как: нагрузка на сеть, на CPU, распределение нагрузки на узлы;

Модульная структура комплекса - позволяет настраивать производительность, надежность и скорость работы в зависимости от имеющихся задач, оборудования и трафика. Проектирование отсутствия единой точки отказа.

InfoWatch EndPoint Security

Разграничение доступа сотрудников к важной информации

В процессе работы сотрудники активно пользуются съемными носителями, флешками, планшетами, смартфонами и другими коммуникационными устройствами - всё это несет серьезный риск того, что сотрудники скопируют и используют в личных целях важную для компании информацию. InfoWatch EndPoint Security обеспечивает контроль доступа к устройствам, портам, сетевым интерфейсам, сетевым каталогам и облачным хранилищам.

Продукт предлагает множество возможностей для управления правами доступа:

· по списку разрешенных классов носителей;

· по разрешенным моделям устройств (в таком случае разрешается доступ лишь к тем моделям устройств, которые находятся в разрешенном списке, доступ к остальным запрещен);

· по серийному номеру устройства (в таком случае разрешается доступ к устройствам с определенным серийным номером независимо от прав пользователя);

· по списку разрешенных беспроводных сетей (можно запретить доступ к Wi-Fi сетям, не входящим в список разрешенных).

Автоматический мониторинг нежелательных действий сотрудников

InfoWatch EndPoint Security позволяет вести журнал событий и выявлять нецелевые действия сотрудников в отношении с важной информацией.

В журнале событий InfoWatch EndPoint Security отображаются действия каждого сотрудника: кто и когда выполнял те или иные операции, используя съемные устройства, телефоны, Wi-Fi сети, сетевые папки, облачные хранилища (чтение, копирование, создание или удаление).

Функция теневого копирования позволяет получить доступ к журналируемым файлам прямо из консоли продукта.

Контроль информации во время ее копирования, хранения и использования в облачных хранилищах. Небольшие компании активно пользуются "облаками" для обмена и хранения данных, однако лишь малая доля таких компаний задумывается о защите информации, отправляемой в "облако".

InfoWatch EndPoint Security отслеживает все файлы, отправляемые сотрудниками в Dropbox, SkyDrive, GoogleDrive, ЯндексДиск, BoxSync, а также регулирует эти процессы, запрещая или разрешая перемещение документов по определенному типу и формату данных.

Возможности InfoWatch EndPoint Security позволяют обмениваться файлами через облачные хранилища и не беспокоиться о безопасности информации.

Защита информации от кражи при потере ноутбуков и флешек

Съемные носители и ноутбуки - наиболее уязвимое звено в корпоративной инфраструктуре компании, поскольку сотрудники их часто теряют или "забывают".

InfoWatch EndPoint Security предлагает простой и удобный способ защитить информацию, зашифровав данные. Включив функцию шифрования в InfoWatch EndPoint Security, можно значительно повысить безопасность хранимой информации:

· никто из посторонних людей не сможет прочитать данные;

· потеря или кража устройства не повлечет за собой утечку информации;

· все данные автоматически шифруются сразу при их создании, не мешая сотрудникам и не требуя дополнительных временных затрат (прозрачное шифрование).

Продукт может шифровать информацию на ноутбуках, ПК, внешних устройствах, каталогах облачных хранилищ.

Шифрование данных происходит в фоновом режиме и абсолютно прозрачно незаметно для сотрудников.

Шифрование в InfoWatch EndPoint Security может осуществляться как по инициативе сотрудника, так и в принудительном порядке системным администратором. С помощью функции мобильного шифрования InfoWatch EndPoint Security обеспечивает безопасную работу с данными, когда сотрудники находятся вне офиса.

InfoWatch EndPoint Security позволяет управлять запуском приложений и контролировать доступ к ним сотрудников с помощью разрешенного (белого) или запрещенного (черного) списков. Это гарантирует, что никакая запрещенная программа или файл не будут установлены или запущены в рабочее время на компьютере предприятия.

Система управления энергопитанием позволяет настроить возможность отключать неиспользуемые компьютеры по расписанию или заданным параметрам, понижать их энергопотребление при простое, а также классифицировать включение компьютеров во внерабочее время как инцидент.

Администратор может настроить регулярное безвозвратное уничтожение данных в корзине и временных директориях пользователей, а также дать им возможность безвозвратно удалять любые файлы и папки самостоятельно. Механизм предусматривает 5 возможных методов безвозвратного удаления информации, от наименее ресурсоемких, до самых надежных.

Отчеты позволяют просматривать журналы событий, назначения и изменения прав пользователей, использования внешних устройств, активности компьютеров, состояние самой системы, протоколы действий пользователей с внешними устройствами.

Symantec Data Loss Prevention

С расширением набора поддерживаемых приложений и устройств становится все сложнее обеспечивать последовательное выполнение требований и политик в области безопасности. Унифицированная консоль управления Symantec DLP позволяет повсеместно применять единожды созданные политики и быстро устранять последствия инцидентов на основе автоматизированных рабочих процессов. В состав Symantec DLP включены надежные средства подготовки отчетов, которые позволяют принимать более взвешенные решения по управлению рисками, демонстрируя преимущества DLP.

В состав Symantec Data Loss Prevention входят следующие модули:

Data Loss Prevention for Cloud

Для многих предприятий перенос локальных приложений в облако позволяет повысить гибкость и снизить затраты. Но как реализовать преимущества облачных технологий без потери наглядности и контроля? Symantec DLP for Cloud решает эту проблему путем добавления надежных функций поиска, мониторинга и предотвращения утечки данных для облачных хранилищ и электронной почты, включая Microsoft Office 365 и Box.

Data Loss Prevention for Endpoint

Несмотря на ускоренное внедрение мобильных и облачных технологий, традиционные конечные точки по-прежнему являются центральным репозиторием конфиденциальной корпоративной информации. Symantec DLP for Endpoint обеспечивает надежную защиту всей информации, предоставляя функции поиска, мониторинга и защиты данных на физических и виртуальных конечных точках для пользователей внутри корпоративной сети или за ее пределами.

Data Loss Prevention for Mobile

Идея BYOD (сотрудник организации вместо корпоративного компьютера использует для работы собственное устройство) стирает границы между работой и личной жизнью. Сегодня пользователи рассчитывают на круглосуточный доступ к конфиденциальным корпоративным данным независимо от используемого устройства или соединения. По статистике, двое из пяти сотрудников загружают рабочие файлы на свои смартфоны и планшеты. Symantec DLP for Mobile обеспечивает наглядное представление и контроль для мобильных пользователей, не подвергая риску вашу информацию.

Data Loss Prevention for Network

Согласно результатам исследований, примерно половина сотрудников постоянно пересылают рабочие файлы по электронной почте на личные учетные записи, поэтому неудивительно, что электронная почта и Интернет являются самыми распространенными каналами утечки данных. Symantec DLP for Network помогает решить эту, по сути, глобальную проблему с помощью функций мониторинга широкого спектра сетевых протоколов и предотвращения случаев неправильной обработки конфиденциальных данных как законными пользователями, так и посторонними лицами.

Data Loss Prevention for Storage

Объем неструктурированных данных растет с пугающей быстротой, увеличиваясь на 70 процентов каждый год, в результате многие организации испытывают трудности при управлении информацией и ее защите. Symantec DLP for Storage помогает получить контроль над всеми неструктурированными данными, чтобы исключить риски, связанные с небрежными действиями сотрудников или атаками злоумышленников.

3.1 Сравнение DLP-систем