Даже самые модные ИТ-термины надо употреблять к месту и максимально корректно. Хотя бы для того, чтобы не вводить в заблуждение потребителей. Относить себя к производителям DLP-решений определенно вошло в моду. К примеру, на недавней выставке CeBIT-2008 надпись “DLP solution” нередко можно было лицезреть на стендах производителей не только малоизвестных в мире антивирусов и прокси-серверов, но даже брандмауэров. Иногда возникало ощущение, что за следующим углом можно будет увидеть какой-нибудь CD ejector (программа, управляющая открыванием привода CD) с гордым лозунгом корпоративного DLP-решения. И, как это ни странно, каждый из таких производителей, как правило, имел более или менее логичное объяснение такому позиционированию своего продукта (естественно, помимо желания получить “гешефт” от модного термина).
Прежде чем рассматривать рынок производителей DLP-систем и его основных игроков, следует определиться с тем, что же мы будем подразумевать под DLP-системой. Попыток дать определение этому классу информационных систем было много: ILD&P — Information Leakage Detection & Prevention (“выявление и предотвращение утечек информации”, термин был предложен IDC в 2007 г.), ILP - Information Leakage Protection (“защита от утечек информации”, Forrester, 2006 г.), ALS - Anti-Leakage Software (“антиутечное ПО”, E&Y), Content Monitoring and Filtering (CMF, Gartner), Extrusion Prevention System (по аналогии с Intrusion-prevention system).
Но в качестве общеупотребительного термина всё же утвердилось название DLP - Data Loss Prevention (или Data Leak Prevention, защита от утечек данных), предложенная в 2005 г. В качестве русского (скорее не перевода, а аналогичного термина) было принято словосочетание “системы защиты конфиденциальных данных от внутренних угроз”. При этом под внутренними угрозами понимаются злоупотребления (намеренные или случайные) со стороны сотрудников организации, имеющих легальные права доступа к соответствующим данным, своими полномочиями.
Наиболее стройные и непротиворечивые критерии принадлежности к DLP-системам были выдвинуты исследовательским агентством Forrester Research в ходе их ежегодного исследования данного рынка. Они предложили четыре критерия, в соответствии с которыми систему можно отнести к классу DLP. 1.
Многоканальность. Система должна быть способна осуществлять мониторинг нескольких возможных каналов утечки данных. В сетевом окружении это как минимум e-mail, Web и IM (instant messengers), а не только сканирование почтового трафика или активности базы данных. На рабочей станции - мониторинг файловых операций, работы с буфером обмена данными, а также контроль e-mail, Web и IM. 2.
Унифицированный менеджмент. Система должна обладать унифицированными средствами управления политикой информационной безопасности, анализом и отчетами о событиях по всем каналам мониторинга. 3.
Активная защита. Система должна не только обнаруживать факты нарушения политики безопасности, но и при необходимости принуждать к ее соблюдению. К примеру, блокировать подозрительные сообщения. 4.
Исходя из этих критериев, в 2008 г. для обзора и оценки агентство Forrester отобрало список из 12 производителей программного обеспечения (ниже они перечислены в алфавитном порядке, при этом в скобках указано название компании, поглощенной данным вендором в целях выхода на рынок DLP-cистем):
- Code Green;
- InfoWatch;
- McAfee (Onigma);
- Orchestria;
- Reconnex;
- RSA/EMC (Tablus);
- Symantec (Vontu);
- Trend Micro (Provilla);
- Verdasys;
- Vericept;
- Websense (PortAuthority);
- Workshare.
На сегодняшний день из вышеупомянутых 12 вендоров на российском рынке в той или иной степени представлены только InfoWatch и Websense. Остальные либо вообще не работают в России, либо только анонсировали свои намерения о начале продаж DLP-решений (Trend Micro).
Рассматривая функциональность DLP-систем, аналитики (Forrester, Gartner, IDC) вводят категоризацию объектов защиты - типов информационных объектов подлежащих мониторингу. Подобная категоризация позволяет в первом приближении оценить область применения той или иной системы. Выделяют три категории объектов мониторинга.
1. Data-in-motion (данные в движении) - сообщения электронной почты, интернет-пейджеров, сетей peer-to-peer, передача файлов, Web-трафик, а также другие типы сообщений, которые можно передавать по каналам связи. 2. Data-at-rest (хранящиеся данные) - информация на рабочих станциях, лаптопах, файловых серверах, в специализированных хранилищах, USB-устройствах и других типах устройств хранения данных.
3. Data-in-use (данные в использовании) - информация, обрабатываемая в данный момент.
В настоящий момент на нашем рынке представлено около двух десятков отечественных и зарубежных продуктов, обладающих некоторыми свойствами DLP-cистем. Краткие сведения о них в духе приведенной выше классификации, перечислены в табл. 1 и 2. Также в табл. 1 внесен такой параметр, как “централизованное хранилище данных и аудит”, подразумевающий возможность системы сохранять данные в едином депозитарии (для всех каналов мониторинга) для их дальнейшего анализа и аудита. Этот функционал приобретает в последнее время особенную значимость не только в силу требований различных законодательных актов, но и в силу популярности у заказчиков (по опыту реализованных проектов). Все сведения, содержащиеся в этих таблицах, взяты из открытых источников и маркетинговых материалов соответствующих компаний.
Исходя из приведенных в таблицах 1 и 2 данных можно сделать вывод, что на сегодня в России представлены только три DLP-системы (от компаний InfoWatch, Perimetrix и WebSence). К ним также можно отнести недавно анонсированный интегрированный продукт от “Инфосистемы Джет” (СКВТ+СМАП), так как он будет покрывать несколько каналов и иметь унифицированный менеджмент политик безопасности.
Говорить о долях рынка этих продуктов в России довольно сложно, поскольку большинство упомянутых производителей не раскрывают объемов продаж, количество клиентов и защищенных рабочих станций, ограничиваясь только маркетинговой информацией. Точно можно сказать лишь о том, что основными поставщиками на данный момент являются:
- системы “Дозор”, присутствующие на рынке с 2001 г.;
- продукты InfoWatch, продающиеся с 2004 г.;
- WebSense CPS (начал продаваться в России и во всем мире в 2007 г.);
- Perimetrix (молодая компания, первая версия продуктов которой анонсирована на ее сайте на конец 2008 г.).
В заключение хотелось бы добавить, что принадлежность или нет к классу DLP-систем, не делает продукты хуже или лучше - это просто вопрос классификации и ничего более.
| Компания | Продукт | Возможности продукта | |||
|---|---|---|---|---|---|
| Защита “данных в движении” (data-in-motion) | Защита “данных в использовании” (data-in-use) | Защита “данных в хранении” (data-at-rest) | Централизованное хранилище и аудит | ||
| InfoWatch | IW Traffic Monitor | Да | Да | Нет | Да |
| IW CryptoStorage | Нет | Нет | Да | Нет | |
| Perimetrix | SafeSpace | Да | Да | Да | Да |
| Инфосистемы Джет | Дозор Джет (СКВТ) | Да | Нет | Нет | Да |
| Дозор Джет (СМАП) | Да | Нет | Нет | Да | |
| Смарт Лайн Инк | DeviceLock | Нет | Да | Нет | Да |
| SecurIT | Zlock | Нет | Да | Нет | Нет |
| SecrecyKeeper | Нет | Да | Нет | Нет | |
| SpectorSoft | Spector 360 | Да | Нет | Нет | Нет |
| Lumension Security | Sanctuary Device Control | Нет | Да | Нет | Нет |
| WebSense | Websense Content Protection | Да | Да | Да | Нет |
| Информзащита | Security Studio | Нет | Да | Да | Нет |
| Праймтек | Insider | Нет | Да | Нет | Нет |
| АтомПарк Софтваре | StaffCop | Нет | Да | Нет | Нет |
| СофтИнформ | SearchInform Server | Да | Да | Нет | Нет |
| Компания | Продукт | Критерий принадлежности к DLP системам | |||
|---|---|---|---|---|---|
| Многоканальность | Унифицированный менеджмент | Активная защита | Учет как содержания, так и контекста | ||
| InfoWatch | IW Traffic Monitor | Да | Да | Да | Да |
| Perimetrix | SafeSpace | Да | Да | Да | Да |
| “Инфосистемы Джет” | “Дозор Джет” (СКВТ) | Нет | Нет | Да | Да |
| “Дозор Джет” (СМАП) | Нет | Нет | Да | Да | |
| “Смарт Лайн Инк” | DeviceLock | Нет | Нет | Нет | Нет |
| SecurIT | Zlock | Нет | Нет | Нет | Нет |
| Smart Protection Labs Software | SecrecyKeeper | Да | Да | Да | Нет |
| SpectorSoft | Spector 360 | Да | Да | Да | Нет |
| Lumension Security | Sanctuary Device Control | Нет | Нет | Нет | Нет |
| WebSense | Websense Content Protection | Да | Да | Да | Да |
| “Информзащита” | Security Studio | Да | Да | Да | Нет |
| “Праймтек” | Insider | Да | Да | Да | Нет |
| “АтомПарк Софтваре” | StaffCop | Да | Да | Да | Нет |
| “СофтИнформ” | SearchInform Server | Да | Да | Нет | Нет |
| “Инфооборона” | “Инфопериметр” | Да | Да | Нет | Нет |
(Data Loss Prevention)
Системы контроля действий пользователей, система защиты конфиденциальных данных от внутренних угроз.
DLP-системы применяются для обнаружения и предотвращения передачи конфиденциальных данных на разных этапах. (при перемещении, использовании и хранении). DLP-система позволяет:
Контроллировать работу пользователей, не давая бесконтрольно тратить рабочее время в личных целях.
Автоматически, незаметно для пользователя, записывать все действия, включая отправляемые и принимаемые сообщения электройнной почты, общение в чатах и системах мгновенного обмена сообщениями, социальных сетях, посещаемые веб-сайты, набранные на клавиатуре данные, переданные, напечатанные и сохранённые файлы и т. д.
Контроллировать использование компьютерных игр на рабочем месте и учитывать количество рабочего времени, потраченного на компьютерные игры.
Контроллировать сетевую активность пользователей, учитывать объёмы сетевого трафика
Контроллировать копирование документов на различные носители (съемные носители, жесткие диски, сетевые папки и т. д.)
Контроллировать сетевую печать пользователя
Фиксировать запросы пользователей поисковым машинам и т. д.
Data-in-motion - данные в движении - сообщения email, передача веб-трафика, файлов и т. д.
Data-in-rest - хранящиеся данные - информация на рабочих станциях, файловых серверах, usb-устройствах и т. д.
Data-in-use - данные в использовании - информация, обрабатываемая в данный момент.
Архитектура DLP решений у разных разработчиков может различаться, но в целом выделяют 3 основных веяния:
Перехватчики и контроллеры на разные каналы передачи информации. Перехватчики анализируют проходящие потоки информации, исходящие с периметра компании, обнаруживают конфиденциальные данные, классифицируют информацию и передают для обработки возможного инцидента на управляющий сервер. Контроллеры для обнаружения хранимых данных запускают процессы обнаружения в сетевых ресурсах конфиденциальной информации. Контроллеры для операций на рабочих станциях распределяют политики безопасности на оконечные устройства (компьютеры), анализируют результаты деятельности сотрудников с конфиденциальной информацией и передают данные возможного инцедента на управляющий сервер.
Агентские программы, устанавливаемые на оконечные устройства: замечают конфиденциальные данные в обработке и следят за соблюдением таких правил, как сохранение на сменный носитель информации, отправке, распечатывании, копировании через буфер обмена.
Центральный управляющий сервер - сопоставляет поступающие с перехватчиков и контроллеров сведения и предоставляет интерфейс проработки инцидентов и построения отчётности.
В решениях DLP имеется широкий набор комбинированных методов обнаружения информации:
Цифровые отпечатки документов и их частей
Цифровые отпечатки баз данных и другой структурированной информации, которую важно защитить от распространения
Статистические методы (повышение чувствительности системы при повторении нарушений).
При эксплуатации DLP-систем характерно циклическое выполнение нескольких процедур:
Обучение системы принципам классификации информации.
Ввод правил реагирования в привязке к категории обнаруживаемой информации и групп сотрудников, контроль действий которых должен осуществляться. Выделяются доверенные пользователи.
Выполнение DLP-системой операции контроля (система анализирует и нормализует информацию, выполняет сопоставление с принципами обнаружения и классификации данных, и при обнаружении конфиденциальной информации, система сопоставляет с существующими политиками, назначенными на обнаруженную категорию информации и, при необходимости, создаёт инцидент)
Обработка инцидентов (например проинформировать, приостановить или заблокировать отправку).
Особенности создания и эксплуатации VPN с точки зрения безопасности
Варианты построения VPN:
На базе сетевых операционных систем
На базе маршрутизаторов
На базе МСЭ
На базе специализированного программно-аппаратного обеспечения
На базе специализированного ПО
Для корректной и безопасной работы VPN необходимо понимать основы взаимодействия VPN и межсетевых экранов:
VPN способны создавать сквозные связующие тунели, проходящие через сетевой периметр, а потому крайне проблемные в плане контроля доступа со стороны межсетевого экрана, которому трудно анализировать зашифрованый трафик.
Благодаря своим функциям шифрования передаваемых данных, VPN можно использовать для обхода IDS-систем, не способных обнаруживать вторжения со стороны зашифрованных каналов связи.
В зависимости от сетевой архитектуры, крайне важная функция трансляции сетевых адресов (NAT - network adress translation) может оказаться несовместима с некоторыми реализациями VPN и т. д.
По сути, во время принятия решений о внедрении VPN-компонентов в сетевую архитектуру, администратор может либо выбрать VPN в качестве обособленного внешнего устройства, либо выбрать интеграцию VPN в МСЭ, для обеспечения обеих функций одной системы.
Внутри демилитаризованной зоны, между МСЭ и граничным маршрутизатором
Вутри подзащитной сети на сетевых адаптерах МСЭ
Внутри экранированной сети, позади МСЭ
Параллельно с МСЭ, на точке входа в подзащитную сеть.
При установлении защищённого соединения между VPN-устройствами (аутентификация, обмен ключами и т. д.)
Задержки, связанные с зашифрованием и расшифрованием защищаемых данных, а так же преобразованиями, необходимыми для контроля их целостности
Задержки, связанные с добавлением нового заголовка передаваемым пакетам
МСЭ + Обособленный VPN. Варианты размещения VPN:
МСЭ + VPN, размещенные как единое целое - подобное интегрированное решение более удобно при техническом сопровождении, чем предыдущий вариант, не вызывает проблем, связанных с NAT (трансляцией сетевых адресов) и обеспечивает более надёжный доступ к данным, за который отвечает МСЭ. Недостатком интегрированного решения является большая изначальная стоимость покупки такого средства, а так же ограниченность вариантов оптимизации соответствующих VPN и Брендмауэр-компонент (то есть максимально удовлетворяющие запросам реализации МСЭ могут оказаться не приспособленными к построению на их основе VPN-компонентов. VPN может оказывать существенное воздействие на производительность сети и задержки могут возникать на следующих этапах:
Безопасность электронной почты
Основные почтовые протоколы: (E)SMTP, POP, IMAP.
SMTP - simple mail transfer protocol, 25 порт TCP, нет аутентификации. Extended SMTP - добавлена аутентификация клиентов.
POP - post Office Protocol 3 - получение почты с сервера. Аутентификация в открытом виде. APOP - с возможностью аутентификации.
IMAP - internet message access protocol - незашифрованный почтовый протокол, который комбинирует свойства POP3 и IMAP. Позволяет работать напрямую с почтовым ящиком, без необходимости загрузки писем на компьютер.
Из-за отсутствия каких-либо нормальных средств шифровки информации, решили использовать SSL для шифровки данных этих протоколов. Отсюда появлились следующие разновидности:
POP3 SSL - 995 порт, SMTP SSL (SMTPS) 465 порт, IMAP SSL (IMAPS) - 993 порт, всё TCP.
Злоумышленник, работающий с системой электронной почты, может преследовать следующие цели:
Перехват паролей в POP и IMAP сеансах, в результате чего злоумышленник может получать и удалять почту без ведома пользователя
Перехват паролей в SMTP сеансах - в результате чего злоумышленник может быть незаконно авторизован для отправки почты через данный сервер
Атака на компьютер пользователя посредством рассылки почтовых вирусов, отправка поддельных писем (подделка адреса отправителя в SMTP - тривиальная задача), чтение чужих писем.
Атака на почтовый сервер средствами электронной почты с целью проникновения в его операционную систему или отказ в обслуживании
Использование почтового сервера в качестве ретранслятора при рассылке непрошенных сообщений (спама)
Перехват паролей:
Для решения проблем безопасности с протоколами POP, IMAP и SMTP, чаще всего используется протокол SSL, позволяющий зашифровать весь сеанс связи. Недостаток - SSL - ресурсоёмкий протокол, может существенно замедлить связь.
Спам и борьба с ним
Виды мошеннического спама:
Лотерея - восторженное уведомление о выигрышах в лотереях, в которых получатель сообщения не участвовал. Всё, что нужно - посетить соответствующий сайт и ввести там номер своего счёта и пин-код карты, необходимых якобы для оплаты услуг доставки.
Аукционы - заключается данный вид обмана в отсутствии товара, который продают жулики. Расплатившись, клиент ничего не получает.
Фишинг - письмо, содержащее ссылку на некоторый ресурс, где от вас желают предоставления данных и т. д. Выманивание у доверчивых или невнимательных пользователей персональных и конфиденциальных данных. Мошенники рассылают массу писем, как правило замаскированных под официальные письма различных учреждений, содержащих ссылки, ведущие на сайты-ловушки, визуально копирующие сайты банков, магазинов и др. организаций.
Почтовое жульничество - набор персонала для некоторой фирмы якобы нуждающейся в представителе в какой-либо стране, способного взять на себя заботы о пересылке товаров или переводе денег иностранной компании. Как правило, здесь скрываются схемы по отмыванию денег.
Нигерийские письма - просят внести небольшую сумму перед получением денег.
Письма счастья
Спам бывает массовым и целевым.
У массового спама отсутствуют конкретные цели и используется мошеннические методы социальной инженерии против множества людей.
Целевой спам - техника, направленная на конкретное лицо или организацию, при которой злоумышленник выступает от имени директора, администратора или иного сотрудника той организации, в которой работает жертва или злоумышленник представляет компанию, с которой у целевой организации сложились доверительные отношения.
Сбор адресов осуществляется подбором по словарям имён собственных, красивых слов, частое сочетание слово-цифра, методом аналогии, сканированием всех доступных источников информации (чаты, форумы и т. д.), воровством БД и т. д.
Полученные адреса верифицируются (проверяются, что действующие), путём пробной рассылки сообщения, помещением в текст сообщения, уникальной ссылки на картинку со счётчиком загрузок или ссылка «отписаться от спам-сообщений».
В дальнейшем спам рассылается либо напрямую с арендованных серверов, либо с ошибочно сконфигурированных легальных почтовых сервисов, либо путём скрытой установки на компьютер пользователя злонамеренного ПО.
Злоумышленник усложняет работу антиспам-фильтров путём внесения случайных текстов, шума или невидимых текстов, с помощью графических писем или изменяющихся графических писем, фрагментированные изображения, в том числе использование анимации, префразировка текстов.
Методы борьбы со спамом
Существует 2 основных метода фильтрации спама:
Фильтрация по формальным признакам почтового сообщения
Фильтрация по содержанию
Фрагментация по спискам: чёрным, белым и серым. Серые списки - метод временного блокирования сообщений с неизвестными комбинациями почтового адреса и ip-адреса сервера-отправителя. Когда первая попытка заканчивается временным отказом (как правило, программы спамеров повторную посылку письма не осуществляют). Недостатком способа является возможный большой временной интервал между отправлением и получением легального сообщения.
Проверка, было ли письмо отправлено с настоящего или ложного (поддельного) почтового сервера из указанного в сообщении домена.
«Обратный звонок» (callback) - при получении входящего соединения, сервер-получатель приостанавливает сессию и имитирует рабочую сессию с сервером-отправителем. Если попытка не удалась, приостановленное соединение разрывается без дальнейшей обработки.
Фильтрация по формальным признакам письма: адреса отправителя и получателя, размер, наличие и количество вложений, ip-адрес отправителя и т. д.
Формальный метод
Распознавание по содержанию письма - проверяется наличие в письме признаков спамерского содержания: определённого набора и распределение по письму специфических словосочетаний.
Распознавание по образцам писем (сигнатурный метод фильтрации, включающий в себя графические сигнатуры)
Байесовская фильтрация - фильтрация строго по словам. При проверке пришедшего письма, вычисляется вероятность того, что оно спам, на основании обработки текста, включающей в себя вычисления усреднённого «веса» всех слов данного письма. Отнесение письма к спаму или не спаму, производится по тому, превышает ли его вес некоторую планку, заданную пользователем. После принятия решения по письму, в базе данных обновляются «веса» для вошедших в неё слов.
Лингвистические методы - работающие с содержанием письма
Аутентификация в компьютерных системах
Процессы аутентификации могут быть разделены на следующие категории:
Но основе знания чего-либо (PIN, пароль)
На основе обладания чем-либо (смарт-карта, usb-ключ)
Не основе неотъемлимых характеристик (биометрические характеристики)
Типы аутентификации:
Простая аутентификация, использующая пароли
Строгая аутентификация на основе использования многофакторных проверок и криптографических методов
Биометрическая аутентификация
Основными атаками на протоколы аутентификации являются:
«Маскарад» - когда пользователь пытается выдать себя за другого пользователя
Повторная передача - когда перехваченный пароль пересылается от имени другого пользователя
Принудительная задержка
Для предотвращения таких атак сипользуются следующие приёмы:
Механизмы типа запрос-ответ, метки времени, случайные числа, цифровые подписи и т. д.
Привязка результата аутентификации к последующим действиям пользователей в рамках системы.
Периодическое выполнение процедур аутентификации в рамках уже установленного сеанса связи.
Аутентификация на основе многоразовых паролей
Аутентификация на основе одноразовых паролей - OTP (one time password) - одноразовые пароли действительны только для одного входа в систему и могут генерироваться с помощью OTP токена. Для этого используется секретный ключ пользователя, размещенный как внутри OTP токена, так и на сервере аутентификации.
Простая аутентификация
Односторонней
Двухсторонней
Трёхсторонней
Строгая аутентификация в её ходе доказывающая сторона доказывает свою подлинность проверяющей стороне, демонстрируя знание некоторого секрета. Бывает:
Может проводиться на основе смарт-карт или usb-ключей или криптографией.
Строгая аутентификация может быть реализована на основе двух- и трёхфакторного процесса проверки.
В случае двухфакторной аутентификации, пользователь должен доказать, что он знает пароль или пин-код и имеет определённый персональных идентификатор (смарт-карту или usb-ключ).
Трёхфакторная аутентификация подразумевает, что пользователь предъявляет еще один тип идентификационных данных, например, биометрические данные.
Строгая аутентификация, использующая криптографические протоколы может опираться на симметричное шифрование и асимметричное, а также на хеш-функции. Доказывающая сторона доказывает знание секрета, но сам секрет при этом не раскрывается. Используются одноразовые параметры (случайные числа, метки времени и номера последовательностей), позволяющие избежать повтора пеердачи, обеспечить уникальность, однозначность и временные гарантии передаваемых сообщений.
Биометрическая аутентификация пользователя
В качестве наиболее часто используемых биометрических признаков, используются:
Отпечатки пальцев
Рисунок вен
Геометрия руки
Радужная оболочка
Геометрия лица
Комбинации вышеперечисленного
Управление доступом по схеме однократного входа с авторизацией Single Sign-On (SSO)
SSO даёт возможность пользователю корпоративной сети при их входе в сеть пройти только одну аутентификацию, предъявив только один раз пароль или иной требуемый аутентификатор и затем, без дополнительной аутентификации, получить доступ ко всем авторизованным сетевым ресурсам, которые нужны для выполнения работы. Активно применяются такие цифровые средства аутентификации как токены, цифровые сертификаты PKI, смарт-карты и биометрические устройства. Примеры: Kerberos, PKI, SSL.
Реагирование на инциденты ИБ
Среди задач, стоящих перед любой системой управления ИБ, можно выделить 2 наиболее значимые:
Предотвращение инцидентов
В случае их наступления, своевременная и корректная ответная реакция
Первая задача в большинстве случаев основывается на закупке разнообразных средств обеспечения ИБ.
Вторая задача находится в зависимости от степени подготовленности компании к подобного рода событиям:
Наличие подготовленной группы реагирования на инцидент ИБ с уже заранее распределёнными ролями и обязанностями.
Наличие продуманной и взаимосвязанной документации по порядку управления инцидентами ИБ, в частности, осуществлению реагирования и расследования выявленных инцидентов.
Наличие заготовленных ресурсов для нужд группы реагирования (средств коммуникации, ..., сейфа)
Наличие актуальной базы знаний по произошедшим инцидентам ИБ
Высокий уровень осведомлённости пользователей в области ИБ
Квалифицированность и слаженность работы группы реагирования
Процесс управления инцидентами ИБ состоит из следующих этапов:
Подготовка – предотвращение инцидентов, подготовка группы реагирования, разработка политик и процедур и т.д.
Обнаружение – уведомление от системы безопасности, уведомление от пользователей, анализ журналов средств безопасности.
Анализ – подтверждение факта наступления инцидента, сбор доступной информации об инциденте, определение пострадавших активов и классификация инцидента по безопасности и приоритетности.
Реагирование – остановка инцидента и сбор доказательств, принятие мер по остановке инцидента и сохранение доказательной информации, сбор доказательной информации, взаимодействие с внутренними подразделениями, партнёрами и пострадавшими сторонами, а так же привлечение внешних экспертных организаций.
Расследование – расследование обстоятельств инцидентов информационной безопасности, привлечение внешних экспертных организаций и взаимодействие со всеми пострадавшими сторонами, а так же с правоохранительными органами и судебными инстанциями.
Восстановление – принятие мер по закрытию уязвимостей, приведших к возникновению инцидента, ликвидация последствий инцидента, восстановление работоспособности затронутых сервисов и систем. Оформление страхового извещения.
Анализ эффективности и модернизация – анализ произошедшего инцидента, анализ эффективности и модернизация процесса расследования инцидентов ИБ и сопутствующих документов, частных инструкций. Формирование отчёта о проведении расследования и необходимости модернизации системы защиты для руководства, сбор информации об инциденте, добавление в базу знаний и помещение данных об инциденте на хранение.
Перед эффективной системой управления инцидентами ИБ стоят следующие цели:
Обеспечение юридической значимости собираемой доказательной информации по инцидентам ИБ
Обеспечение своевременности и корректности действий по реагированию и расследованию инцидентов ИБ
Обеспечение возможности выявления обстоятельств и причин возникновения инцидентов ИБ с целью дальнейшей модернизации системы информационной безопасности
Обеспечение расследования и правового сопровождения внутренних и внешних инцидентов ИБ
Обеспечение возможности преследования злоумышленников и привлечение их к ответственности, предусмотренной законодательством
Обеспечение возможности возмещения ущерба от инцидента ИБ в соответствии с законодательством
Система управления инцидентами ИБ в общем случае взаимодействует и интегририруется со следующими системами и процессами:
Управление ИБ
Управление рисками
Обеспечение непрерывности бизнеса
Интеграция выражается в согласованности документации и формализации порядка взаимодействия между процессами (входной, выходной информации и условий перехода).
Процесс управления инцидентами ИБ довольно сложен и объёмен. Требует накопления, обработки и хранения огромного количества информации, а так же выполнения множества параллельных задач, поэтому на рынке представлено множество средств, позволяющих автоматизировать те или иные задачи, например, так называемые SIEM-системы (security information and event management).
Chief Information Officer (CIO) – директор по информцаионным технологиям
Chief Information Security Officer (CISO) – руководитель отдела ИБ, директор по информационной безопасности
Основная задача SIEM-систем не просто собирать события из разных источников, но автоматизировать процесс обнаружения инцидентов с документированием в собственном журнале или внешней системе, а так же своевременно информировать о событии. Перед SIEM-системой ставятся следующие задачи:
Консолидация и хранение журналов событий от различных источников – сетевых устройств, приложений, журналов ОС, средств защиты
Представление инструментов для анализа событий и разбора инцидентов
Корреляция и обработка по правилам произошедших событий
Автоматическое оповещение и управление инцидентами
SIEM-системы способны выявлять:
Сетевые атаки во внутреннем и внешнем периметрах
Вирусные эпидемии или отдельные вирусные заражения, неудалённые вирусы, бэкдоры и трояны
Попытки несанкционированного доступа к конфиденциальной информации
Ошибки и сбои в работе ИС
Уязвимости
Ошибки в конфигурации, средствах защиты и информационных системах.
Основные источники SIEM
Антивирусная защита
Сканеры уязвимостей
Системы для учёта рисков, критичности угрозы и приоретизация инцидентов
Прочие системы защиты и контроля политик ИБ:
DLP-системы
Устройства контроля доступа и т.д.
Данные контроля доступа и аутентификации
Журналы событий серверов и рабочих станций
Сетевое активное оборудование
Системы инвентаризации
Системы учёта трафика
Наиболее известные SIEM-системы:
QRadar SIEM (IBM)
КОМРАД (ЗАО «НПО «ЭШЕЛОН»»)
Перед тем как подробно изучать и обсуждать рынок DLP-систем, нужно определиться с тем, что под этим подразумевается. Под DLP-системами обычно понимают программные продукты, которые созданы для защиты организаций и предприятий от утечек секретной информации. Так и переводится на русский язык сама аббревиатура DLP (полностью - Data Leak Prevention) - "избежание утечек данных".
Такие системы способны создавать цифровой защищенный "периметр" для анализа всей исходящей или входящей информации. Контролируемая данной системой информация - интернет-трафик и многочисленные информационные потоки: документы, выносящиеся за пределы защищаемого "периметра" на внешних носителях, которые распечатываются на принтере, отправляются на мобильные устройства посредством Bluetooth. Поскольку в наши дни рассылка и обмен разного рода информацией - неизбежная необходимость, значение такой защиты очевидно. Чем больше цифровых и интернет-технологий используется, тем большие гарантии безопасности необходимы на ежедневной основе, особенно в корпоративной среде.
Как это работает?
Так как DLP-система должна противодействовать утечкам корпоративной конфиденциальной информации, то она, конечно же, обладает встроенными механизмами диагностики степени конфиденциальности любого документа, находящегося в перехваченном трафике. Распространенными в данном случае являются два способа распознавания степени конфиденциальности файлов: посредством проверки специальных маркеров и путём анализа содержимого.
В настоящее время актуален второй вариант. Он более устойчив перед модификациями, которые могут быть внесены в файл накануне его отправки, а также дает возможность легко расширять количество конфиденциальных документов, с которыми может работать система.
Второстепенные задачи DLP
Кроме своей основной функции, которая связана с тем, чтобы предотвратить утечку информации, DLP-системы также подходят для решения множества других задач, ориентированных на контроль над действиями персонала. Чаще всего DLP-системами решается ряд следующих задач:
- полный контроль использования рабочего времени, а также рабочих ресурсов персоналом организации;
- мониторинг коммуникаций сотрудников с целью обнаружения их возможности причинить вред организации;
- контроль над действиями сотрудников в плане правомерности (предотвращение изготовления поддельных документов);
- выявление сотрудников, которые рассылают резюме, для быстрого поиска персонала на освободившуюся должность.
Классификация и сравнение DLP-систем
Все существующие DLP-системы можно распределить по определенным признакам на несколько основных подтипов, каждый из которых будет выделяться и иметь свои преимущества в сравнении с остальными.
По возможности блокирования информации, которая опознается как конфиденциальная, имеются системы с активным либо пассивным постоянным контролем действий пользователей. Первые системы умеют блокировать передающуюся информацию, в отличие от вторых. Также они намного лучше могут бороться со случайными прохождениями информации на сторону, но при этом могут устроить остановку текущих бизнес-процессов компании, что является не лучшим их качеством в сравнении со вторыми.
Другая классификация DLP-систем может быть выполнена, исходя из их сетевой архитектуры. Шлюзовые DLP функционируют на промежуточных серверах. В отличие от них хостовые применяют агенты, которые работают конкретно на рабочих станциях сотрудников. На данный момент более актуальным вариантом выступает одновременное применение хостовых и шлюзовых компонентов, но первые имеют определенные преимущества.
Мировой современный рынок DLP
В данный момент главные места на мировом рынке DLP-систем занимают компании, широко известные в данной сфере. К ним можно отнести Symantec, TrendMicro, McAffee, WebSense.
Symantec
Symantec сохраняет лидирующие позиции на рынке DLP, хотя этот факт и удивляет, так как многие другие компании могут заменить ее. Решение все так же состоит из модульных компонентов, которые позволяют обеспечивать новейшие возможности, рассчитанные на интеграцию систем DLP в наилучших технологиях. Дорожная технологическая карта на настоящий год составлялась с использованием сведений своих клиентов и является сегодня самой прогрессивной из имеющихся на рынке. Вместе с тем это далеко не самый лучший выбор DLP-системы.
Сильные стороны:
- значительное улучшение технологии Content-Aware DLP для портативных устройств;
- усовершенствование возможностей извлечения контента, по причине чего поддерживается наиболее комплексный подход;
- доработка интеграции возможностей DLP с иными продуктами Symantec (наиболее ярким примером может выступить Data Insight).
То, на что необходимо обратить внимание (немаловажные минусы в работе, над которыми стоит задуматься):
- несмотря на то что дорожная технологическая карта у Symantec считается прогрессивной, реализация ее зачастую происходит с заминками;
- даже при том, что консоль управления является в полной мере функциональной, ее конкурентоспособность не так высока, как заявляют специалисты Symantec;
- нередко клиенты этой системы жалуются на время реакции службы поддержки;
- цена на данное решение по-прежнему значительно выше, чем у разработок конкурентов, которые со временем могут занять лидирующее место благодаря малым изменениям в этой системе.
Websense
Последние несколько лет разработчики регулярно улучшают DLP-предложение Websense. Его смело можно считать полнофункциональным решением. Websense обеспечил современного пользователя расширенными возможностями.
Выигрышные стороны:
- Со стороны Websense выдвигается предложение, связанное с применением полнофункционального решения DLP-системами, поддерживающего конечные точки и обнаружение данных.
- Посредством функции drip DLP возможно обнаружение постепенных утечек информации, достаточно долго длящихся по времени.
Что заслуживает особого внимания:
- Редактировать данные можно только в покое.
- Технологическая карта характеризуется слабой мощностью.
McAfee DLP
Успела подвергнуться множеству изменений положительного характера и DLP-система безопасности McAfee. Ей не свойственно наличие особых функций, однако реализация базовых возможностей организована на высоком уровне. Ключевое отличие, если не считать интеграцию с иными продуктами консоли McAfee ePolicy Orchestrator (EPO), состоит в применении технологии хранения в централизованной базе захваченных данных. С помощью такой базы можно добиться их применения для оптимизации новых правил с целью проведения тестирования на предмет вероятности ложных срабатываний и для того, чтобы сократить время развертывания.
Что больше всего привлекает в данном решении?
Организацию управления инцидентами смело можно назвать сильной стороной решения McAfee. С его помощью осуществляется прикрепление документов и комментариев, сулящих пользу при проработке на любом уровне. Данное решение способно обнаружить нетекстовой контент, например, картинку. Возможен вариант развёртывания DLP-системами от этого разработчика нового решения с целью защиты конечных точек, например, stand-alone.
Достаточно хорошо показали себя функции, нацеленные на развивающиеся платформы, представленные в форме устройств мобильной связи и социальных сетей. Это позволяет им обойти конкурентные решения. Посредством базы данных, содержащей захваченную информацию, осуществляется анализ новых правил, что способствует снижению числа ложных срабатываний и ускорению внедрения правил. Решение McAfee DLP наделено базовыми функциями в виртуальной среде. Планы, касающиеся их развития, ещё не совсем четко сформулированы.
Перспективы и современные DLP-системы
Обзор различных решений, представленный выше, показывает, что все они работают одинаковым образом. По мнению экспертов, главная тенденция развития состоит в том, что «заплаточные» системы, содержащие компоненты от нескольких производителей, занимающихся решением определенных задач, сменятся интегрированным программным комплексом. Этот переход будет осуществлен по причине потребности в избавлении специалистов от решения некоторых проблем. Кроме того, будут постоянно совершенствоваться имеющиеся DLP-системы, аналоги которых не могут обеспечить тот же уровень защиты.
Например, посредством комплексных интегрированных систем будет определяться совместимость компонентов «заплаточной» системы разного рода между собой. Это поспособствует лёгкой смене настроек для массивов огромного масштаба клиентских станций в организациях и одновременно отсутствию трудностей с переносом данных компонентами единой интегрированной системы друг в друга. Разработчики интегрированных систем усиливают специфику задач, направленных на обеспечение информационной безопасности. Ни один канал нельзя оставлять без контроля, ведь по нему часто происходит вероятная утечка информации.
Что будет в ближайшее время?
Западным изготовителям, пытающимся занять рынок DLP-систем в государствах СНГ, пришлось столкнуться с проблемами, касающимися поддержки национальных языков. Они достаточно активно интересуются нашим рынком, поэтому стремятся поддерживать русский язык.
В сфере DLP наблюдается переход к использованию модульной структуры. Заказчику будет предоставлена возможность выбора в самостоятельном порядке требуемых именно ему компонентов системы. Также развитие и внедрение DLP-систем зависит от отраслевой специфики. Вероятнее всего, появятся специальные версии известных систем, адаптация которых будет подчинена работе в банковской сфере или же госучреждениях. Здесь будут учтены соответствующие запросы конкретных организаций.
Корпоративная безопасность
Непосредственное влияние на направление развития DLP-систем имеет использование в корпоративной среде ноутбуков. Этот вид портативных компьютеров имеет гораздо больше уязвимостей, ввиду чего требуется усиление защиты. Из-за специфики лэптопов (возможности кражи информации и самого устройства) производители DLP-систем занимаются разработкой новых подходов к обеспечению безопасности портативных компьютеров.
Предлагаем ряд маркеров, которые помогут выжать максимум из любой системы DLP.
DLP -системы: что это такое
Напомним, что DLP-системы (Data Loss/Leak Prevention) позволяют контролировать все каналы сетевой коммуникации компании (почта, интернет, системы мгновенных сообщений, флешки, принтеры и т д.). Защита от утечки информации достигается за счет того, что на все компьютеры сотрудников ставятся агенты, которые собирают информацию и передают ее на сервер. Порой информация собирается через шлюз, с использованием SPAN-технологий. Информация анализируется, после чего системой или офицером безопасности принимаются решения по инциденту.
Итак, в вашей компании прошло внедрение DLP-системы. Какие шаги необходимо предпринять, чтобы система заработала эффективно?
1. Корректно настроить правила безопасности
Представим, что в системе, обслуживающей 100 компьютеров, создано правило «Фиксировать все переписки со словом «договор"». Такое правило спровоцирует огромное число инцидентов, в котором может затеряться настоящая утечка.
Кроме того, не каждая компания может позволить себе содержать целый штат сотрудников, отслеживающих инциденты.
Повысить коэффициент полезности правил поможет инструментарий по созданию эффективных правил и отслеживанию результатов их работы. В каждой DLP-системе есть функционал, который позволяет это сделать.
В целом методология предполагает анализ накопленной базы инцидентов и создание различных комбинаций правил, которые в идеале приводят к появлению 5-6 действительно неотложных инцидентов в день.
2. Актуализировать правила безопасности с определенной периодичностью
Резкое снижение или увеличение числа инцидентов — показатель того, что требуется корректировка правил. Причины могут быть в том, что правило потеряло актуальность (пользователи перестали обращаться к определенным файлам) либо сотрудники усвоили правило и больше не совершают действий, запрещенных системой (DLP — обучающая система). Однако практика показывает, что если одно правило усвоено, то в соседнем месте потенциальные риски утечки возросли.
Также следует обращать внимание на сезонность в работе предприятия. В течение года ключевые параметры, связанные со спецификой работы компании, могут меняться. Например, для оптового поставщика малой техники весной будут актуальны велосипеды, а осенью — снегокаты.
3. Продумать алгоритм реагирования на инциденты
Есть несколько подходов к реагированию на инциденты. При тестировании и обкатке DLP-систем чаще всего людей не оповещают об изменениях. За участниками инцидентов лишь наблюдают. При накоплении критической массы с ними общается представитель отдела безопасности или отдела кадров. В дальнейшем часто работу с пользователями отдают на откуп представителям отдела безопасности. Возникают мини-конфликты, в коллективе накапливается негатив. Он может выплеснуться в намеренном вредительстве сотрудников по отношению к компании. Важно соблюдать баланс между требованием дисциплины и поддержанием здоровой атмосферы в коллективе.
4. Проверить работу режима блокировки
Существует два режима реагирования на инцидент в системе — фиксация и блокировка. Если каждый факт пересылки письма или прикрепления вложенного файла на флэшку блокируется, это создает проблемы для пользователя. Часто сотрудники атакуют системного администратора просьбами разблокировать часть функций, руководство также может быть недовольно такими настройками. В итоге система DLP и компания получают негатив, система дискредитируется и демаскируется.
5. Проверить, введен ли режим коммерческой тайны
Дает возможность сделать определенную информацию конфиденциальной, а также обязует любое лицо, знающее об этом, нести полную юридическую ответственность за ее разглашение. В случае серьезной утечки информации при действующем на предприятии режиме коммерческой тайны с нарушителя можно взыскать сумму фактического и морального ущерба через суд в соответствии с 98-ФЗ «О коммерческой тайне».
Надеемся, что данные советы помогут снизить число непреднамеренных утечек в компаниях, ведь именно с ними призваны успешно бороться системы DLP. Однако не стоит забывать о комплексной системе информационной безопасности и о том, что намеренные утечки информации требуют отдельного пристального внимания. Существуют современные решения, которые позволяют дополнить функционал систем DLP и значительно снизить риск намеренных утечек. Например, один из разработчиков предлагает интересную технологию — при подозрительно частом обращении к конфиденциальным файлам автоматически включается веб-камера и начинает вести запись. Именно эта система позволила зафиксировать, как незадачливый похититель активно делал снимки экрана с помощью мобильной фотокамеры.
Олег Нечеухин , эксперт по защите информационных систем, «Контур.Безопасность»
О проблеме Сегодня, информационные технологии являются важной составляющей любой современной организации. Говоря образно, информационные технологии - это сердце предприятия, которое поддерживает работоспособность бизнеса и повышает его эффективность и конкурентоспособность в условиях современной, жесткой конкуренции.Системы автоматизации бизнес-процессов, такие как документооборот, CRM -системы, ERP -системы, системы многомерного анализа и планированияпозволяют оперативно собирать информацию, систематизировать и группировать ее,ускоряя процессы принятия управленческих решений и обеспечивая прозрачность бизнеса и бизнес-процессов для руководства и акционеров.Становится очевидным, что большое количество стратегических, конфиденциальных и персональных данных является важным информационным активом предприятия, и последствия утечки этой информации скажутся на эффективности деятельности организации.Использование традиционных на сегодня мер безопасности,таких как антивирусы и фаерволлы выполняют функции защиты информационных активов от внешних угроз, но не каким образом не обеспечивают защиту информационных активов от утечки, искажения или уничтожения внутренним злоумышленником.Внутренние же угрозы информационной безопасности могут оставаться игнорируемыми или в ряде случаев незамеченными руководством ввиду отсутствия понимания критичности этих угроз для бизнеса.Именно по этой причине защита конфиденциальных данных так важна уже сегодня.О решении Защита конфиденциальной информации от утечки является важной составляющей комплекса информационной безопасности организации. Решить проблему случайных и умышленных утечек конфиденциальных данных, призваны DLP-системы (система защиты данных отутечки).
Комплексная система защиты данных от утечек (DLP-система) представляют собой программный, либо программно-аппаратный комплекс, предотвращающий утечку конфиденциальных данных.
Осуществляется DLP-системой при помощи использования следующих основных функций:
- Фильтрация трафика по всем каналам передачи данных;
- Глубокий анализ трафика на уровне контента и контекста.
Data-in-Motion – данные, передаваемые по сетевым каналам:
- Web (HTTP/HTTPS протоколы);
- Интернет – мессенджеры (ICQ, QIP, Skype, MSN и т.д.);
- Корпоративная и личная почта(POP, SMTP, IMAP и т.д.);
- Беспроводные системы (WiFi, Bluetooth, 3G и т.д.);
- FTP – соединения.
- Серверах;
- Рабочих станциях;
- Ноутбуках;
- Системах хранения данных (СХД).
Меры, направленные на предотвращение утечек информации состоят из двух основных частей: организационных и технических.
Защита конфиденциальной информации включает в себя организационные меры по поиску и классификации имеющихся в компании данных. В процессе классификации данные разделяются на 4 категории:
- Секретная информация;
- Конфиденциальная информация;
- Информация для служебного пользования;
- Общедоступная информация.
В DLP-системах конфиденциальная информация может определяться по ряду различных признаков, а также различными способами, например:
- Лингвистический анализ информации;
- Статистический анализ информации;
- Регулярные выражения (шаблоны);
- Метод цифровых отпечатков и т.д.
Технические меры:
Защита конфиденциальной информации при помощи технических мер основана на использование функционала и технологий системы по защите данных отутечек. В состав DLP-системы входят два модуля: хост модуль и сетевой модуль.
Хост модули устанавливаются на рабочие станции пользователей и обеспечивают контроль действий производимых пользователем в отношении классифицированных данных (конфиденциальной информации). Кроме этого модуль хоста позволяет отслеживать активность пользователя по различным параметрам,например время, проведенное в Интернет, запускаемые приложения, процессы и пути перемещения данных и т.д.
Сетевой модуль осуществляет анализ передаваемой по сети информации и контролирует трафик выходящей за пределы защищаемой информационной системы. В случае обнаружения в передаваемой трафике конфиденциальной информации сетевой модуль пресекает передачу данных.
Что даст внедрение DLP-системы?
После внедрения системы защиты данных от утечки компания получит:
- Защиту информационных активов и важной стратегической информации компании;
- Структурированные и систематизированные данные в организации;
- Прозрачности бизнеса и бизнес-процессов для руководства и служб безопасности;
- Контроль процессов передачи конфиденциальных данных в компании;
- Снижение рисков связанных с потерей, кражей и уничтожением важной информации;
- Защита от вредоносного ПО попадающего в организацию изнутри;
- Сохранение и архивация всех действий связанных с перемещением данных внутри информационной системы;
- Контроль присутствия персонала на рабочем месте;
- Экономия Интернет-трафика;
- Оптимизация работы корпоративной сети;
- Контроль используемых пользователем приложений;
- Повышение эффективности работы персонала.
