96
SearchInform MonitorSniffer - информацию, отображаемую на
мониторах пользователей, нажатия клавиш и содержимое буфера обмена.
SearchInform ProgramSniffer - активность пользователей в
запускаемых ими приложениях и на посещаемых веб-сайтах.
Агенты Searchlnform Endpoint- Sniffer производят теневое копирование
отправленных на печать документов, переговоров в Skype; информации,
записываемой на сменные носители, передаваемой по протоколу FTP и
отображаемой на мониторах пользователей; отслеживают операции с файлами и
направляют полученные данные серверу SearchInform EndpointSniffer.
Рисунок 2.2. Схема работы Searchlnform Endpoint- Sniffer
97
Сервер помещает перехваченные данные в базу под управлением СУБД
Microsoft SQL Server.
Для быстрого поиска по базе и просмотра документов база индексируется
компонентом Search Server. При помощи планировщика обновлений
обеспечивается поддержание индекса в постоянно актуальном состоянии. В
случае обнаружения фактов нарушения политик безопасности организации,
Search- Inform Alert Center немедленно оповещает об этом сотрудника службы
безопасности.
Для комплексного контроля передаваемых данных целесообразно
использовать одновременно и SearchInform NetworkSniffer, и SearchInform
EndpointSniffer. Например, если агент сумел перехватить сообщения, не
перехваченные на «зеркале», то, очевидно, имеет место шифрование трафика,
которое может использоваться для передачи конфиденциальных данных за
пределы организации. Когда же агент не перехватывает данные, появляющиеся
на «зеркале», становится очевидным, что пользователь каким-то образом
деактивировал агент, что также требует проведения немедленного
расследования.
2.2.2. Контрольный пример реализации проекта и его описание
SearchInform AlertCenter - «мозговой центр» системы безопасности.
Опрашивает все модули и, при наличии в перехваченной информации
определенных ключевых слов, фраз или фрагментов текста, немедленно
оповещает об этом офицеров безопасности.
В клиентской консоли AlertCenter создаются политики информационной
безопасности, применяемые к перехваченным данным (рисунок 2.3).
98
Рисунок 2.3. Консоль SearchInform AlertCenter
«Мозговой центр» КИБ – AlertCenter – регулярно опрашивает все
компоненты продукта, используя более 10 поисковых алгоритмов. При
обнаружении определенных слов, фраз, фрагментов текста или файлов система
сообщает об их использовании офицеру безопасности. Результаты мониторинга
отображаются в ReportCenter.
Проверки происходят с заданной частотой и в соответствии с политиками
безопасности, каждая из которых ориентирована на поиск данных конкретного
типа. «КИБ СёрчИнформ» задействует два вида политик (таблица 2.1):
Таблица 2.1.
Политики безопасности
Универсальные политики безопасности
Уникальные политики безопасности
Актуальны для каждой организации
Учитывают специфику конкретной
отрасли
контроль откатов и взяточничества;
выявление негативных настроений
и сговоров в коллективе;
определение групп риска
(проблемы с алкоголем, наркотиками,
крупные долги и т.д.).
контроль передачи реестров
выпуска банковских карт (финансовая
деятельность/банки);
выявление фактов хищения
перевозимой продукции (транспорт и
логистика);
мониторинг тендерных закупок
(торговля) и т.д.
99
Социальные сети (Facebook, Одноклассники, ВКонтакте, LinkedIn) и
программы для мгновенного обмена сообщениями превратились в полноценный
инструмент ведения деловых переговоров. Как ограничить передачу
конфиденциальных данных через них и найти инсайдера?
Модуль IMSniffer перехватывает сообщения популярных IM-клиентов:
Mail.ru Agent;
Google Hangouts;
XMPP (Jabber);
ICQ;
Windows Live (MSN).
IMSniffer перехватывает сообщения сотрудников в чатах популярных
социальных сетей:
Facebook;
Одноклассники;
МойМир;
ВКонтакте;
LinkedIn.
IMSniffer перехватывает текстовые, голосовые сообщения, файлы в
Microsoft Lync и Viber Desktop. Программа копирует переписку в базу данных,
чтобы восстанавливать диалоги при помощи полнотекстового поиска:
морфология, синонимы, «Поиск похожих».
Возможности:
Контроль переписки сотрудников. IMSniffer отслеживает утечки
конфиденциальных данных, контролирует ведение переговоров и
целесообразность использования рабочего времени;
Широкие поисковые возможности. IMSniffer проводит полнотекстовый
поиск с учетом морфологии и словаря синонимов. Также поддерживается
фразовый поиск с учетом расстояния между словами в поисковом запросе;
Запатентованная технология «Поиск похожих». В качестве поискового
запроса используется фрагмент текста. Найденные сообщения выстраиваются в
релевантном порядке с указанием процента похожести;
100
Функция «История переписки». Позволяет посмотреть переписку
сотрудника с конкретным собеседником по разным каналам, включая чаты
социальных сетей. В результате отображаются только сообщения, отправленные
указанному адресату и полученные от него, а вся переписка будет показана в
хронологическом порядке;
Масштабируемость. Работа с большими объемами данных и трафика.
Рисунок 2.4. Консоль модуля IMSniffer
Копирование данных из корпоративной сети предприятия на сменные
носители – один из самых распространенных способов хищения информации.
Сотрудники подключают flash-карты и жесткие диски через USB, записывают
данные на CD/DVD. Блокировка внешних носителей снижает риск утечки
информации, но эффективнее оставлять каналы передачи данных открытыми и
отслеживать информацию, копируемую на внешние носители.
SearchInform DeviceSniffer – это программный модуль для мониторинга
подключаемых внешних устройств и передаваемой на них информации.
SearchInform DeviceSniffer контролирует возможные утечки данных через
внешние устройства и позволяет ограничить доступ к различным типам: flash-
карты, сканеры, модемы, принтеры или жесткие диски. Перехваченная
информация помещается в хранилище, откуда становится доступной для поиска.
101
Возможности:
Сохранность конфиденциальной информации обеспечивается путем
полного контроля над информационными потоками данных на внешние
устройства.
Пресечение несанкционированного подключения внешних устройств.
Программный модуль позволяет запретить подключение к компьютеру
различных типов внешних устройств: Bluetooth-адаптеров, инфракрасных
портов, фотокамер, смартфонов и т.п.
Управление блокировкой доступа к внешним устройствам. Режим с
открытым доступом к внешним устройствам не вызывает у сотрудников чувства
дискомфорта и позволяет им использовать возможности офисного оборудования
в полном объеме.
Частичная и полная блокировка устройств хранения данных. Доступ к
USB-накопителям, внешним винчестерам, картам памяти может блокироваться
частично, когда данные разрешается использовать для чтения с одновременным
запретом всех других операций (создание, копирование, переименование,
запись).
Шифрование данных, записываемых на USB-накопители. Использование
шифрования позволяет предотвратить возможную утечку данных в случае утери
USB-накопителя, так как просмотреть записанную информацию сможет только
пользователь с разрешенным доступом.
Использование «белого списка». Внешние устройства, пользующиеся
доверием, могут быть добавлены в «белый список», после чего они будут изъяты
из зоны контроля системы безопасности.
Перехваченные данные помещаются в специальное хранилище, где
индексируются и становятся доступными для полнотекстового поиска.
Информация хранится в течение заданного пользователем времени.
102
Рисунок 2.5. Консоль SearchInform DeviceSniffer
Продукт SearchInform ReportCenter предназначен для сбора статистики по
активности пользователей и инцидентам, связанным с нарушениями политик
информационной безопасности, и представления ее в виде отчетов.
Основные возможности ReportCenter:
генерация отчетов по имеющимся шаблонам;
наличие библиотеки базовых шаблонов;
возможность добавлять пользовательские шаблоны;
переключение между различными формами отчетов;
переход по связанным отчетам одним щелчком;
генерирование и рассылка оповещений по активности
пользователей, запускаемых ими процессов и/или посещаемых веб-сайтах.
В приложении предусмотрена возможность формирования разнообразных
отчетов, позволяющих составить представление о рациональности
использования рабочего времени тем или иным пользователем, а также
соблюдении им политик безопасности организации:
«топ» по числу перехваченных файлов и сообщений;
103
«топ» пользователей по числу инцидентов;
распределение инцидентов по группам пользователей и
ассоциированным политикам безопасности;
визуализация связей сотрудников с их адресатами;
средняя продолжительность рабочего дня и суммарное время
работы сотрудников;
среднесуточная и суммарная активность запускаемых
пользователями процессов;
среднесуточная и суммарная активность на посещаемых
пользователями веб-сайтах;
детальная информация по работе пользователей;
оповещения по активности пользователей и процессов/сайтов;
журнал рабочего времени пользователей;
отчет по нарушениям рабочего режима;
отчет по установленному и измененному на компьютерах
пользователей оборудованию;
список установленного на рабочих станциях программного
обеспечения, история его установки и удаления;
хронология событий над агентами: их установка, обновление и
удаление;
количество сообщений относительно каждого компьютера и
продукта.
Каждый из отчетов может формироваться как для всех протоколов
передачи данных, так и для каждого из них в отдельности, что позволит
сотрудникам службы информационной безопасности быстрее и точнее
анализировать данные о возможных инцидентах.
Отчет может быть сформирован в формате таблицы, диаграммы,
временного графика, а также в виде графа отношений, представляющего собой
регулируемую визуализацию связей между пользователями, находящимися в
контакте.
Схема программного обеспечения с учетом элементов системы защиты
информации приведена на рисунке 2.6.
104
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
АЛТИУС CRM –
Управление контактами
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
АЛТИУС CRM –
Управление контактами
АРМ пользователя других отделов
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Бухгалтерия 8.0
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
АЛТИУС CRM –
Управление контактами
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Документообор
от 8
АРМ пользователя других отделов
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Документообор
от 8
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
Руководство
Отдел кадров
Юрисконсульт
ИТ-отдел
Бухгалтерия
Отдел АХО
Сервер БД
СУБД
MS SQL Server 2012
MS Windows
Server 2008
MS Windows
Server 2008
Файловый
сервер
Почтовый
сервер
MS exchange
server 2008
MS Windows
Server 2008
MS Windows
Storage Server
2008
Сервер 1C
1C
MS Windows
Server 2008
System Center 2012 R2 Configuration Manager
Search Server (БД)
Searchlnform
MailSniffer
MS Windows
Server 2008
Сервер Searchlnform
Searchlnform
IMSniffer
Searchlnform
HTTPSniffer
SearchInform
FTPSniffer
SearchInform
CloudSniffer
SearchInform
ADSniffer
ReportCenter
Рисунок 2.6. Схема программного обеспечения с учетом элементов
системы защиты информации
Таким образом, для развертывания системы защиты необходима закупка
одного сервера – для развертывания системы DLP, а также рабочей станции для
администратора системы защиты информации.
105
III Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчета экономической эффективности
Опыт использования систем защиты данных показывает, что максимально
эффективной может быть только комплексная система защиты данных, которая
включает в себя следующие меры:
• Законодательные – предполагают примирение законодательных актов,
регламентирующих права и обязанности физических или юридических лиц, а
также самого государства в сфере защиты данных;
• Технические – реализуют применение электронных и других устройств
для осуществления защиты данных;
• Криптографические – используют методы шифрования и кодирования
для скрытия важных данных от несанкционированного доступа;
• Программные – предполагает применение программных средств для
разграничения доступа.
Средства защиты также можно разделить на действующие постоянно и
включающиеся только при обнаружении угрозы. По активности их можно
разделить на пассивные, полуактивные и активные. ПО классу обеспечения
защиты такие средства подразделяются на системы со слабой защитой (1 класс),
системы с сильной защитой, системы с очень сильной защитой и системы с
особой защитой. Предлагается рассмотреть несколько частных случаев
проблемы с защитой данных.
Способы защиты видеоданных при их передаче зависят от метода
передачи (оптоволокно, телефония, проводной канал или телевизионных канал),
а также предполагаемого способа нападения, формы воздействия на данные.
Способы защиты видеоданных при их хранении зависят от типов
носителей данных, форм воздействия на данные и носитель, а также
предполагаемого метода нападения.
Способы защиты звуковых данных зависят: при их хранении – от типа
носителя, меры воздействия на данные, а также предполагаемого метода
нападения, при передаче – от способа передачи, предполагаемого способа
нападения или формы воздействия на данные.