66
Эффективным решением на рынке HIPS-систем является система
«SysWatch Deluxe» от разработчика «SafenSoft». Выбор HIPS-системы был
сделан в пользу этого программного обеспечения потому, что «SafenSoft
SysWatch Deluxe» сочетает в себе высокую степень эффективности обеспечения
информационной безопасности с простотой использования. Программный
продукт включает в себя технологию «V.I.P.O.», в основе которой лежит драйвер
«SafenSoft». Драйвер загружается при запуске операционной системы и
осуществляет перехват вызова системных функций на уровне нулевого кольца
безопасности ядра Windows. Это позволяет HIPS-системе осуществлять
контроль деятельность всех установленных на ПК приложений.
Отличием этого программного продукта от других HIPS-систем является
использование трехуровневой системы защиты:
1. На уровне D.I.C. (Dynamic Integrity Control) система контролирует
запуск неизвестных программ и предотвращает скрытую установку или
выполнение приложений.
2. На уровне D.S.E. (Dynamic Sandbox Execution) создается
изолированная среда для запуска потенциально опасных программных
продуктов.
3. На уровне D.R.C. (Dynamic Resource Control) система осуществляет
контроль файловой активности программного обеспечения и попыток внесения
изменений в системный реестр, а также получения доступа к внешним
устройствам и другим инструментам для предотвращения вредоносных
действий.
HIPS-система «SysWatch Deluxe» обладает следующими системными
требованиями для установки в операционной системе Windows10:
1. Частота процессора от 800 МГц.
2. Оперативная память от 512 Мб.
3. Место на жестком диске от 150 Мб.
Следующим шагом является выбор DLP-системы. При выборе DLP-
системы необходимо уделить внимание следующим моментам:
Проверка соответствия заявленного функционала фактическим
функциям системы.
67
Подготовка детального технического задания для заполнения
компании, предоставляющей систему.
Во время тестирования необходимо использовать весь функционал,
а не только тот, который планируется приобрести.
Ведение статистики и итогового отчета, в которых будут включены
следующие критерии: результативность за период времени, стабильность
серверных, клиентских и агентских частей, конфликты с другими системами и
качество поддержки, т.к. этих важных данных, даже сильно усредненных, вы не
найдете нигде.
Безопасность DLP-системы.
Создание стресс-нагрузки серверной части DLP-системы для
определения предела возможностей системы.
Из категории DLP-систем для внедрения в компании «Тандер» была
выбрана система «Контур информационной безопасности SearchInform».
Разработчиком этой системы является компания «SearchInform». Программный
продукт представляет собой комплексную DLP-систему, предназначенную для
защиты от действий инсайдеров и утечек конфиденциальных данных.
Для обеспечения защиты от внутренних угроз информационной
безопасности была выбрана система «Контур информационной безопасности
SearchInform», поскольку в ней реализован широкий спектр возможностей для
контроля каналов передачи данных и контроля эффективности сотрудников. На
рисунке № 8 представлена архитектура системы.
Система имеет модульную структуру, которая включает в себя следующие
модули:
Модули контроля информации. SearchInform EndpointSniffer –
модуль, отвечающий за перехват и блокировку информационных потоков с
помощью агентов, установленных на ПК сотрудников компании. SearchInform
NetworkSniffer – модуль, отвечающий за перехват и блокировку
информационных потоков на сетевом уровне. Этот модуль позволяет
осуществить работу с зеркалируемым трафиком, прокси-серверами (ICAP либо
ISA\TMG), почтовыми серверами (интеграция через почтовый ящик (POP3,
IMAP, EWS), через SMTP, путем транспортных правил или журналирования),
68
прочим корпоративным ПО, например, Lynс. Перехват сетевого трафика
производится на уровне сетевых протоколов (Mail, HTTP, IM, FTP, Cloud).
Возможна фильтрация по доменному имени пользователя, имени компьютера,
IP- и MAC-адресам.
Рисунок № 8. Архитектура DLP-системы
Модули анализа информации. Модуль «Search Server» обеспечивает
индексацию и поиск данных. Модуль «SearchInform AlertCenter» позволяет
осуществить настройки системы и обеспечить их исполнение. Модуль
«SearchInform ReportCenter» помогает собрать статистику и сформировать
отчеты по выявленным инцидентам с нарушением политик информационной
безопасности.
Модули администрирования. Модуль «SearchInform DataCenter»
обеспечивает автоматизированное и ручное управление базами данных и
индексами, созданными компонентами системы, а также осуществляет
автоматический контроль за их состоянием. Модули перехвата «SearchInform
KeyLogger» позволяет осуществить перехват данных, который пользователи
вводят с клавиатуры. Модуль «SearchInform FileSniffer» осуществляет контроль
операций с файлами, хранящимися на серверах и в общих сетевых папках.
69
Модуль «SearchInform Сloud & SharePoint» контролирует трафик из облачных
хранилищ. Модуль «SearchInform FTPSniffer» осуществляет контроль входящего
и исходящего FTP-трафика на ПК сотрудников организации. В модуле
«SearchInform ProgramSniffer» ведется учет активности пользователей в
информационных системах и на веб-ресурсах. Модуль «SearchInform Print
Sniffer» обеспечивает контроль содержимого документов, отправленных на
печать. Модуль «SearchInform HTTP Sniffer» используется для перехвата
сообщений, передаваемых по НТТР-протоколу. Модуль «SearchInform
MonitorSniffer» перехватывает информацию, которая отображается на мониторе
пользователя. Модуль «SearchInform MicrophoneSniffer» обеспечивает запись
разговоров сотрудников. Модуль «SearchInform MailSniffer» перехватывает
почтовый трафик. Модуль «SearchInform IMSniffer» перехватывает сообщения
популярных с мессенжеров. Модуль «SearchInform ADSniffer» контролирует и
анализирует события журналов Active Directory и выявляет подозрительные
действия, которые могут быть совершены системным администратором. Модуль
шифрования данных предназначен для шифрования всех данных, которые
записываются на внешние устройства хранения USB.
Системные требования DLP-системы возрастают с размером
инфраструктуры компании. Минимальные системные требования для сервера, на
который будет установлена DLP-система представлены на рисунке № 9.
В системе «Контур информационной безопасности SearchInform»
существуют поисковые и аналитические инструменты, предназначенные для
анализа данных и формирования отчетности. Их использование позволяет
компании обеспечить эффективную защиту конфиденциальных данных и
снизить трудозатраты на проведение анализа.
Инструменты поиска данных эффективно работают со всеми видами
конфиденциальных данных, которые содержатся в перехваченном массиве
данных. В системе существуют следующие поисковые технологии:
Поиск по словам с учетом морфологии и синонимов, являющийся
простейшим видом поиска, позволяет находить документы, в которых
содержатся заданные пользователем слова, их формы и синонимы.
70
Поиск по фразам с учетом порядка слов и расстояния между ними
позволяет проанализировать документ в разрезе словосочетаний.
Поиск по атрибутам позволяет искать документы по их признакам:
формату, имени отправителя или получателя и др.
Поиск по регулярным выражениям отслеживает последовательность
символов, которые являются характерными для различных форм персональных
данных.
Рисунок № 9. Системные требования программного продукта
2.2.2. Контрольный пример реализации проекта и его описание
Контрольный пример реализации проекта и его описание будет включать:
Установку и настройку HIPS-системы «SysWatch Deluxe».
Установку и настройку DLP-системы «Контур информационной
безопасности SearchInform».
Рассмотрим процесс установки и первоначальной настройки HIPS-
системы. Установка системы не является трудоемкой. Для того, чтобы
71
осуществить установку системы необходимо загрузить дистрибутив с
официального сайта программы и запустить его. После запуска появится окно
выбора языка установки (рисунок № 10).
Рисунок № 10. Запуск установочного файла программы
Затем система осуществит распаковку файлов и запустит мастер
установки программы (рисунок № 11).
Рисунок № 11. Подготовка к запуску мастера установки
Когда запустится мастера установки системы «SysWatch Deluxe»,
необходимо нажать кнопку «Далее» (рисунок № 12).
72
Рисунок № 12. Запуск установки программы
Затем пользователю будет представлено лицензионное соглашение. После
прочтения необходимо принять условия и нажать кнопку «Далее» (рисунок №
13).
Рисунок № 13. Принятие лицензионного соглашения
73
Затем необходимо указать путь для установки программного обеспечения
(рисунок № 14).
Рисунок № 14. Выбор директории для установки программы
После выбора директории, процесс настройки инсталляции программного
обеспечения считается законченным. После нажатия на кнопку «Установить»,
будет запущен процесс установки программы (рисунок № 15).
Рисунок № 15. Запуск установки программы
74
После завершения работы мастера установки, будет выдано сообщение,
представленное на рисунке № 16.
Рисунок № 16. Завершение процесса установки системы
Система приступает к защите непосредственно после установки, не требуя
перезагрузки системы. Далее выполним настройку HIPS-системы. В главном
окне программы расположено несколько вкладок. На основной вкладке –
вкладке «Статус» - отображено текущее состояние системы защиты, число
зарегистрированных, доверенных и ограниченных приложений. Эта вкладка
используется для включения и отключения компонентов безопасности и для
просмотра списка программ. Главное окно системы представлено на рисунке №
17.
Рисунок № 17. Вкладка «Статус»
75
В процессе настройки системы будет создан профиль системы, в котором
будут перечислены все установленные приложения, которые будут разделены на
две группы – доверенные и ограниченные. К доверенным приложениям будут
отнесены известные и заведомо безопасные программы, а к ограниченным –
неизвестные системе защиты или же потенциально опасное ПО. Приложения из
второй группы будет разрешено запускать только в собственной изолированной
среде системы, называемой «песочницей», где они не смогут нанести вред
системе. Чтобы просмотреть результат обнаружения приложений, нужно
открыть окно настройки политики контроля приложений (рисунок № 18).
Рисунок № 18. Настройка политики контроля приложений
В ходе настройки политики контроля приложений было проверено
распределение приложений, установленных в системе. В результате проверки
был сделан вывод о том, что изначальное разделение приложений на доверенные
и ограниченные является верным.
Осуществим настройку файловой системы. Для этого необходимо открыть
окно настройки контроля файловой системы (рисунок № 19). В открывшемся
окне распределим права доступа к разделам жесткого диска.
Затем зададим права доступа на чтение и удаление ключей системного
реестра, как показано на рисунке № 20.