52
Дозор Джет
Zecurion DLP
Symantec DLP
DeviceLock
Endpoint DLP
Suite
Возможность
построения
отчетов о
нарушениях
Собственные
графики и
отчеты
системы
Собственные
отчеты в виде
журнала
событий
Собственные
графики и
отчеты системы
+ наличие
Reporting API
для интеграции
со сторонними
системами
Собственные
графики и
отчеты системы
Варианты
получения отчетов
о нарушениях
По
электронной
почте и через
консоль
По
электронной
почте и через
консоль
По электронной
почте и через
консоль
По электронной
почте и через
консоль
Временная запись
отчёта в
локальное
хранилище в
случае
недоступности
сервера
Есть
Есть
Есть
Есть
Экспорт отчетов
Есть
Есть
(текстовый
ANSI,
текстовый
Unicode и
XML)
Есть
Есть (PDF,
Excel, HTML)
Логирование
действий
администраторов
системы
Есть
Есть
Полная история
всех действий,
даже для
инцидентов,
удаленных из
системы
Есть
Таким образом, проведя сравнение по набору ранее выделенных
критериев, для выбора DLP системы для внедрения на ООО «Альбатрос»,
используем метод анализа иерархий [2].
Подобный метод становится математическим инструментом, дающим
возможность использовать системный подход к различным проблемам
выявления решений.
Такой метод помогает в онлайн режиме выяснить, какое из возможных
решений проблемы больше всего сочетается с теми требованиями, которые
представлены к решению.
53
Этот метод используется только в такой последовательности:
выделить цель и методики ее достижения;
построить модель описываемой проблемы в виде иерархии
с описанием критериев для определения возможной
альтернативы;
выделить приоритет любого критерия и любого элемента
иерархии методом сравнения попарно;
определить важнейшие приоритеты вариантов методом
сравнения важности критериев;
выявить корректность полученных выводов;
определить наилучший вариант в рамках исследования.
Цель сравнения в нашем случает заключена непосредственно в выборе
самой соответствующей DLP системы для минимизации утечек в ИС
компании.
Для этого проведем сравнение 3 из 4 описанных ранее СЗИ, а именно
Zecurion DLP, Symantec DLP, DeviceLock Endpoint DLP Suite по 10
независимым критериям (три канала утечек, шесть вариантов предотвращения
утечек данных, а также наличие сертификата).
К каналам утечки информации отнесены:
– общедоступные каналы связи;
– рабочие станции;
– места хранения информации.
К методам предотвращения утечек информации относятся:
– разграничения прав доступа пользователей;
– контроль управления подключением внешних устройств;
– обеспечение закрытости программной среды для пользователей и
процессов;
– разделение файловых объектов и процессов между пользователями;
54
– контроль доступа к буферу обмена для процессов и пользователей;
– криптографическая защита данных с использованием аппаратных
средств и подключения защищенных баз данных.
Для определения приоритетов составляются матрицы попарных
сравнений (таблица 12).
Экспертные данные сформулированы на основании выше изложенной
информации (характеристиках сравниваемых DLP-систем и представлениях
об объекте защиты).
Сравнения проводились по шкале значимости от 1 до 9 (1 - одинаковая
значимость, 3 - незначительное превосходство и т. д., обратные величины -
если сравниваемый объект уступает в данной характеристике).
Таблица 6 – Матрица попарных сравнений
Для каждой из матриц N определяется нормализованный вектор
локальных приоритетов, со следующими компонентами:
(1)
где n размерность матрицы — aj элемент -i-ой строки матрицы. Таким
образом, матрице N сопоставляется вектор а.
К примеру, для матрицы размером 5*5 нормализованный вектор равен:
55
1,28
Нормирование компонент осуществляется путем деления каждой
компоненты вектора, а на сумму всех компонент этого вектора:
(2)
К примеру, для строки 1 (Сумма компонент вектора равна 15,75):
Далее определяем приоритеты для сравнения альтернатив по всем
критериям (таблица 7).
Таблица 7 – Приоритеты сравнения альтернатив по всем критериям
Полученный вектор приоритетов для сравнения значимости критериев
между собой приведен в таблице 8.
Таблица 8 – Приоритеты значимости критериев
Перемножив одну матрицу на другую, получаем итоговый вектор
приоритетов для альтернатив (А - 0,17; B - 0,36; C - 0,46).
По результатам проведенных вычислений получаем значения общего
ранжирования альтернатив:
A = 0,17; B =0,36; C = 0,46.
Таким образом, наиболее приемлемой альтернативой для оценивающего
эксперта является DLP-система DeviceLock Endpoint DLP Suite.
56
На основании представленных характеристик для рассматриваемого
предприятия наиболее подходит DeviceLock Endpoint DLP Suite.
3.2 Структура программно-аппаратного комплекса
информационной безопасности и защиты информации предприятия
В большинстве случаях защиты от утечек информации требуется
довольно глубокий уровень контроля [21].
К таким относят проверку содержимого передаваемых данных на
наличие персональных данных или конфиденциальной информации в
условиях, когда порты ввода-вывода не должны блокироваться, чтобы не
нарушать производственные процессы, но отдельные пользователи входят в
«группу риска», поскольку подозреваются в причастности к нарушениям
корпоративной политики информационной безопасности.
В подобных ситуациях необходимо дополнительно к контекстному
контролю включать в метод защиты и непосредственно применение
технологий контентного анализа и фильтрации, которые позволяют выявлять
и предотвращать передачу неавторизованных данных.
При этом данный подход не препятствует самому информационному
обмену четко в рамках конкретных служебных обязанностей сотрудников
организации.
Программный комплекс DeviceLock DLP Suite применяет как
контекстные, так и основанные именно на анализе контента методы контроля
данных.
Что в итоге обеспечивает надежную защиту от информационных утечек
с пользовательских компьютеров и серверов корпоративных ИС конкретно
при минимальных затратах непосредственно на приобретение и обслуживание
комплекса [22].
57
Наряду с методами активного контроля эффективность применения
DeviceLock обеспечивается за счет детального протоколирования действий
пользователей и административного персонала.
Также эффективность обеспечивается и за счет выборочного скрытого
копирования передаваемых данных для их последующего анализа, в том числе
непосредственно с использованием определенных методов именно
полнотекстового поиска.
Структура комплекса DeviceLock Endpoint DLP Suite приведена на
рисунке 7.
DeviceLock Discovery
Корпоративные данные
NetworkLock
DeviceLock
ContentLock
Searchserver
Рисунок 7 – Структура DeviceLock Endpoint DLP Suite
DeviceLock реализует доступ пользователей и групп к портам
подключения (USB, FireWire, COM, LPT, IrDA), контроллерам WiFi и
Bluetooth, принтерам (виртуальным, локальным и сетевым), смартфонам
(BlackBerry, iPhone/iPad, коммуникаторам на ОС Windows Mobile и Palm,
MTP-устройствам Android, Windows Phone и т.п.), а также приводами,
переносными носителям и техникой Plug-and-Play, терминалами.
Для любого порта или устройства задается доступ в зависимости от даты
и времени дня, а также тип доступа "read only" для сменных носителей,
приводов, жестких дисков, КПК и ленточных накопителей.
Модуль NetworkLock определяет сетевые протоколы независимо от
применяемых портов, поддерживает отслеживание коммуникационных
58
приложений и их выборочную блокировку, реконструкцию сессий с
восстановлением файлов, параметров и данных, а также запись событий и
теневое копирование отправляемых данных.
NetworkLock отслеживает коммуникации пользователей через
известные сетевые приложения, включая отправку почты по доступным и
SSL-защищенным SMTP-сессиям и протоколу MAPI (с контролем вложений и
сообщений), web-доступ и другие HTTP/HTTPS-приложения, e-mail, сервисы
для отправки сообщений Skype, ICQ, Mail.ru Agent, социальные сети Facebook,
LiveJournal, ОК, ВК и др., обмен файлами через сервисы RapidShare, Yandex
Disk, Dropbox, Google Drive и др., передачу данных при помощи протоколов
SMB, FTP/FTP-SSL, Telnet.
Модуль ContentLock поддерживает фильтрацию данных, передаваемых
на печать, передаваемых на устройства записи и хранения информации, а
также отправляемых по каналам подключения сети ПК, контролируемого
модулем NetworkLock.
Определяя больше 160 типов форматов файлов и данных, ContentLock
фильтрует и изымает содержимое данных из файлов и объектов, включая
передаваемые в СМС, веб-формах, соц. сетях и т.д.
ContentLock поддерживает проверку потоков информации, базируясь на
реализации шаблонов основных выражений (RegExp) с различными
логическими и количественными условиями соответствия шаблона критериям
и отдельным словам.
Выбирая из более 50 параметров, которые можно применять для
указания таких шаблонов, есть и такие, как пользователи, ПК, группы
пользователей, порты и интерфейсы, устройства, каналы данных, сторону
передачи данных, временные сроки и многие другие.
59
DeviceLock Discovery необходим для автоматической проверки ПК и
систем хранения информации, размещенной как внутри, так и снаружи
корпоративной сети, в рамках заданных правил.
Администраторы могут определять правила, отражающие, какого рода
данные персоналу нельзя хранить в сети компании, и реализующие различные
опциональные действия с найденными документами и файлами.
DeviceLock Discovery лицензируется отдельно от других компонентов
DeviceLock DLP.
Опционально лицензируемый модуль DeviceLock Search Server
реализует полноценный поиск по имени и составу файла теневого
копирования и журналам, которые созданы в центральной БД сервера
DeviceLock Enterprise Server.
Полнотекстовый поиск очень помогает тогда, когда вам нудно найти
файл по содержимому, хранимый в БД теневого копирования.
DeviceLock Search Server позволяет сразу распознавать, подсчитывать,
находить и представлять документы множества форматов от известных
программ: PDF-файлы, Ami Pro, архивы GZIP, RAR, ZIP, Lotus 1-2-3, файлы
пакета MS Office, AutoCAD, Microsoft Works, Quattro Pro, WordPerfect,
WordStar и все остальные.
При помощи компонента DeviceLock Discovery можно достичь контроля
над конфиденциальными корпоративными данными, хранимыми в ИТ-
инфраструктуре организации (“data at rest”), для целей предотвращения утечек
данных и достижения соответствия установленным корпоративным
стандартам безопасности и требованиям регуляторов.
DeviceLock Discovery обнаруживает документы и файлы с критическим
содержимым, осуществляет различные заложенные непосредственно в самой
программе действия с обнаруженными документами.
60
В состоянии также и инициировать процедуры управления
инцидентами, посредством направления тревожных оповещений именно в
реальном режиме времени в SIEM-системы, которые используются в
организации.
Комплекс DeviceLock DLP Suite включает в себя следующие основные
части:
агент (DeviceLock Service);
сервер (DeviceLock Enterprise Server и DeviceLock Content Security
Server);
консоли управления (DeviceLock Management Console, DeviceLock
Group Policy Manager, DeviceLock Enterprise Manager и DeviceLock
WebConsole).
Агент DeviceLock, или DeviceLock Service представляет собой ядро
системы DeviceLock.
Агент устанавливается на каждый контролируемый компьютер.
Далее он автоматически запускается и обеспечивает защиту устройств и
сети на машине-клиенте.
При этом все эти действия проходят незаметно, и агент DeviceLock,
оставаясь в то же время невидимым для локального пользователя, работает
(Рисунок 8).
61
Рисунок 8 – Агент DeviceLock
DeviceLock Enterprise Server - это дополнительный необязательный
компонент, используемый для централизованного сбора и хранения данных
теневого копирования и журналов аудита.
DeviceLock Enterprise Server использует MS SQL Server для хранения
своих данных.
Для равномерного распределения нагрузки в локальной сети можно
установить несколько экземпляров DLES, которые, в свою очередь,
используют любое количество SQL- серверов для хранения данных (Рисунок
9).