Перекрыть фильтрами можно практически всё. Письма, сообщения, FTP и HTTP-трафик, принтеры и флэшки. Даже создаваемые злоумышленниками заархивированные «схроны» на всякий случай на файловых серверах могут быть вычислены с помощью DLP. Число перекрываемых каналов утечки и качество фильтрации определяются, как правило, только бюджетом компании и нацеленностью на результат.
После прочтения этой статьи может сложиться впечатление, что DLP-системы дают стопроцентную гарантию защиты от внутренних угроз. Это не так. Если доверить ракетную систему залпового огня не умеющему обращаться с ней взводу или просто загнать её на городские улицы, то её эффективность будет равна нулю. Точно так же дело обстоит и с DLP-комплексами. При их использовании, как и при обращении с ракетами, важны условия работы и умение применять имеющийся функционал.
Декларация «Мы внедрили DLP на предприятии», скорее всего, вызовет только спортивный интерес у желающих обойти защиту. Гораздо более эффективным может оказаться её скрытое внедрение, помогающее увеличить результативность сбора информации. Если же коснуться настройки фильтров, то без грамотного персонала служба безопасности либо с головой погрузится в поток ложных или маловажных срабатываний, либо будет жить в сладком неведении и иллюзии отсутствия инцидентов. Вывод прост: выбирая дорогое и эффективное оружие для защиты бизнеса, не экономьте на тех людях, которые будут держать этот ствол в руках.
На рынке присутствует не так много игроков в сегменте DLP-систем. При этом каждый из продаваемых продуктов характеризуется своими плюсами и минусами. Например, российский Infowatch Network Monitor великолепно работает с текстом передаваемых сообщений или пересылаемых документов, умеет склонять по падежам ключевые слова, ищет текст в отсканированных документах, но не предназначен для защиты рабочих станций, а только сетевого трафика.
Symantec DLP закрывает большинство «дырок» в безопасности инфраструктуры — почтовый, сетевой трафик, инспектирует действия, производимые на рабочих станциях, и ищет секретные документы по сетевым хранилищам. Но при этом его работа со словоформами ключевых слов и уровень распознавания текстовых документов отстают от функционала продукта Infowatch, а снимки экрана он не контролирует вообще. Кроме того, при отключении ноутбука от корпоративной сети он перестает производить анализ по индексированным файлам, а фильтрует данные только на основании ключевых слов.
Ещё один образец системы — McAfee Host DLP использует альтернативный механизм поиска секретных данных. С помощью программного обеспечения на файлах и папках ставятся специальные метки на уровне файловой системы. В том случае, если производится копирование информации из одного файла в другой, то помеченным окажется как исходный, так и конечный файл. Таким образом решается проблема защиты переносных компьютеров. Недостаток применяемого подхода — низкий коэффициент автоматизации процесса составления перечня защищаемых данных. Все операции по причислению конкретного документа к числу «секретных» должен выполнять оператор.
Кроме перечисленных поставщиков решений можно упомянуть отечественные Смарт Лайн Инк Device Lock и Searchinform, западные Websense и TrendMicro, каждый из которых обладает своими достоинствами и недостатками. Выбор решения всегда обуславливается потребностями компании, задачами, которые ставятся перед подразделением безопасности, и финансовыми возможностями организации. Для каждого формата задач и масштаба утечек найдётся своё решение. Единственный совет: доверьтесь профессионалам в вопросе его выбора и настройки.
Интервью
Стивен Родриг о скульптурах из печатных плат
Денис Злобин
Опубликовано 14 сентября 2011 года