Обзор DLP-систем. 
Разработка проекта модернизации системы защиты информации бухгалтерии предприятия ООО "Завод "Калининградгазавтоматика""

Authentica ARM Platform.

Компания Authentica предлагает решение для всеобъемлющего контроля над оборотом конфиденциальной информации в сети предприятия. Однако, в отличие от продуктов конкурентов, Authentica делает акцент не на обнаружении и предотвращении утечек, а на управлении цифровыми правами на предприятии (ERM — Enterprise Rights Management). Рассматриваемые на примере Authentica ARM Platform преимущества и недостатки такого метода сопоставимы с преимуществами и недостатками остальных продуктов, основанных на ERM-технологии. Архитектура решения представлена на рисунке 2.1.

Authentica ARM Platform поддерживает дополнительные модули, которые интегрируются с различными приложениями (Microsoft Office и Outlook, Lotus Notes, Adobe Acrobat, Microsoft Explorer и Netscape), а также внешними средствами аутентификации (LDAP, Windows Single Sign-on, X.509, RSA SecurID).

Рисунок 2.1 — Схема работы Authentica ARM Platform.

Функциональные возможности Authentica ARM Platform включают в себя средства аутентификации и авторизации пользователей с целью доступа к конфиденциальной информации, осуществление контроля над печатью документов и иными операциями с ними. Вся конфиденциальная информация пребывает в зашифрованном виде и расшифровывается только для санкционированной работы с ней. Также шифруется трафик между сервером политик ARM и клиентскими компонентами. Из этого следует, что конфиденциальная информация постоянно защищена от несанкционированного доступа, в том числе, в момент передачи этой информации по каналам связи.

Однако, продукт реализует защиту от несанкционированного доступа, но не от утечки конфиденциальной информации. Таким образом, блокируется возможность доступа к информации извне, однако, сотрудник, обладающий правами доступа к информации, обладает возможностью воздействовать на нее с целью ее кражи, искажения или уничтожения. Например, если сотрудник создает новый документ для внесения в него конфиденциальной информации, то этот документ еще не контролируется. Также в связи с тем, что все каналы передачи данных шифруются, у злоумышленника есть защищенный канал для передачи конфиденциальной информации.

Также к недостаткам продукта можно отнести отсутствие функции архивирования корреспонденции, что в свою очередь накладывает сложности на процесс расследования инцидентов информационной безопасности.

Authentica ARM Platform является эффективным продуктом для организации защиты информации от несанкционированного доступа извне, другими словами, от реализации внешних угроз, если злоумышленник не обладает ключом шифрования.

В заключение следует отметить обширный комплекс услуг по сопровождению продукта, которые Authentica предоставляет заказчику: анализ информационной системы с учетом профиля организации, техническая поддержка и обучение персонала.

InfoWatch Enterprise Solution.

InfoWatch Enterprise Solution — комплексное решение, позволяющее контролировать веб-трафик, почтовый трафик и иные коммуникационные каналы. Также продукт обладает функцией архивирования всего объема пересылаемого сетевого трафика.

Архитектура InfoWatch объединяет в себе три составляющие: мониторы, осуществляющие контроль действий пользователя на уровне рабочих станций, мониторы, контролирующие коммуникационные каналы, и модуль *Storage. Первые устанавливаются на рабочих станциях и контролируют операции, совершаемые пользователем на уровне операционной системы. Вторые развертываются в сети в виде шлюзов и организовывают фильтрацию исходящего сетевого трафика. Модуль *Storage является базой, в которую архивируется весь перехваченный сетевой трафик. Архитектура представлена на рисунке 2.2.

Модуль InfoWatch Net Monitor устанавливается на рабочие станции пользователей, его основная задача состоит в контроле операций, совершаемых пользователями с файлами, в том числе при работе в приложениях. К таким операциям относятся чтение, редактирование, копирование, печать. Все действия, совершаемые пользователем с конфиденциальной информацией, протоколируются.

В InfoWatch Net Monitor интегрирован модуль Device Monitor, осуществляющий контроль над обращением к внешним накопителям, портам, сетям беспроводной передачи данных.

При обнаружении попытки пользователя нарушить установленную политику, система уведомляет администратора безопасности.

Все модули, включенные в состав InfoWatch Enterprise Solution, обладают способностью блокировки утечки конфиденциальной информации в режиме реального времени и уведомления администратора безопасности об инциденте информационной безопасности.

В InfoWatch Enterprise Solution отдельная роль отведена администратору безопасности, при помощи которой уполномоченный сотрудник имеет возможность оперативно реагировать на инциденты с помощью центральной консоли.

Отдельный программный модуль InfoWatch Storage в InfoWatch Enterprise Solution отведен для осуществления функции архивирования всей корреспонденции и сетевого трафика. Задачей InfoWatch Storage является перехват передаваемых сообщений и их архивирование с целью дальнейшего анализа. Это происходит в автоматическом режиме и позволяет администратору безопасности в случае выявления нарушения политики не обращаться к рабочей станции предполагаемого злоумышленника, вследствие чего повышается эффективность предотвращения утечки.

Компания InfoWatch также предусматривает набор различных сопроводительных услуг таких, как: предварительное исследование объекта защиты, содействие формализации целей и задач средств защиты информации, разработка политики информационной безопасности, сопровождение продукта и оказание технической поддержки.

Onigma Platform.

Компания Onigma разрабатывает продукт, предназначенный для выявления и предотвращения утечки информации с помощью мониторов деятельности пользователей на уровне рабочих станций и фильтров сетевого трафика. Компания находится в Израиле и штат ее сотрудников включает с себя бывших служащих Министерства Обороны Израиля.

В открытых источниках мало информации об архитектуре и примененных в Onigma Platform технологиях. Однако, основываясь на информации о реализованном в продукте функционале, можно утверждать, что Onigma Platform — система, покрывающая следующие потенциальные каналы реализации угроз: внешние носители информации, электронная почта, веб-трафик. На рабочей станции пользователей устанавливается программа, контролирующая соблюдение политики информационной безопасности, управление системой осуществляется через центральную консоль.

Основное преимущество Onigma Platform — простота внедрения системы в существующую на предприятии информационную систему без необходимости нести дополнительные затраты на обучение персонала работе с продуктом и сопроводительные услуги.

Серьезный недостаток системы заключается в отсутствии функции архивирования трафика, что накладывает трудности на анализ подозрительной деятельности пользователей и расследование инцидентов информационной безопасности. Также продукт предоставляет ограниченный функционал в области мониторинга операций с файлами.

PC Activity Monitor.

Программный продукт PC Activity Monitor разрабатывается и продается компанией Raytown Corp. PC Activity Monitor позволяет обеспечить всеобъемлющий и максимально глубокий контроль деятельности пользователя на уровне рабочей станции. К недостаткам решения сразу следует отнести то, что оно не является комплексным и не охватывает сетевые каналы утечки конфиденциальной информации.

PC Activity Monitor объединяет в себе два модуля. Первый модуль — это средства централизованного управления и развертывания. Второй модуль — программные средства контроля, устанавливаемые на рабочие станции пользователей информационной системы. Первый модуль позволяет централизованно распределить клиентские программы на рабочие станции и, в дальнейшем, так же централизованно осуществлять контроль над ними.

Программные компоненты, устанавливаемые на рабочие станции, глубоко внедряются в операционную систему и интегрируются в ядро, что исключает возможность пользователю отключить модуль своими силами. Программа подробно протоколирует всю деятельность пользователя вплоть до нажатия клавиш и движения мыши. Полученный журнал событий передается на центральную консоль, где запротоколированные данные анализируются. Из этого вытекают недостатки продукта.

Так как протоколируются абсолютно все действия пользователя на рабочей станции, журнал событий получается очень объемным и содержит в себе огромное количество мусора, среди которого очень сложно выделить те события, которые повлекли за собой утечку информации. Можно сказать, что PC Activity Monitor в принципе не работает с политиками и единственная задача, к которой сводится функционал продукта — составление максимально подробного протокола и передача его на модуль управления. За день может быть сгенерировано десятки тысяч событий силами лишь одной рабочей станции, но так как количество компьютеров в организации может исчисляться сотнями, то проанализировать все вручную не представляется возможным. Не является панацеей и встроенный фильтр в силу своей примитивности, так как его возможности ограничиваются лишь привязкой протоколируемых событий к какому-либо конкретному приложению.

Помимо того, что выявить утечку путем анализа громоздкого журнала крайне затруднительно, продукт не позволяет ее предотвратить. Системы оповещения не предусмотрено, и администратор безопасности узнает об инциденте информационной безопасности лишь постфактум.

Обычно, протоколов действий с конфиденциальными документами, ведущихся рассмотренными программными продуктами вполне достаточно, чтобы отреагировать на инцидент, и столь подробные журналы, как ведет PC Activity Monitor, не требуются.

Verdasys Digital Guardian.

Американская компания Verdasys разрабатывает программный продукт Verdasys Digital Guardian, задачей которого является предотвращение утечки на уровне рабочей станции пользователя, однако, покрывает все потенциальные каналы утечки конфиденциальной информации.

Функционал схож с функционалом иных комплексных решений и включает в себя протоколирование действий пользователя в журналы событий, осуществление контроля над приложениями, данными и каналами связи, обнаружение нарушений политики информационной безопасности, фильтрацию событий перед отправкой на сервер.

Verdasys Digital Guardian централизованно распределяется по информационной системе предприятия без ведома пользователей. В систему добавляется новый элемент — сервер, на который модули, установленные на рабочие станции пользователей, отсылают протоколы событий. Также Verdasys Digital Guardian содержит консоль управления, посредством которой можно составлять отчеты, проводить анализ информации, контролировать установку продукта на рабочие станции и осуществлять управление политиками. Архитектура представлена на рисунке 2.3.

Рисунок 2.3 — Архитектура Digital Guardian.

Verdasys Digital Guardian обладает широким спектром сопроводительных услуг. Компания предоставляет консалтинговые услуги на этапе, предшествующем внедрению системы, создает предварительные проекты, принимает активное участие в обучении персонала и внедрении готовой системы.

Однако, Verdasys Digital Guardian не лишена недостатков. Во-первых, отсутствует возможность архивирования электронной корреспонденции, что накладывает трудности в расследовании инцидентов информационной безопасности. Во-вторых, отсутствует контентная фильтрация исходящего сетевого трафика вследствие значительной ресурсоемкости …

Zecurion DLP.

Zecurion DLP — комплексная система обеспечения защиты конфиденциальной информации от утечек от российского разработчика. Продукт имеет модульную структуру и включает в себя следующие компоненты, каждый из которых может работать автономно, но в целях снижения рисков реализации угроз информационной безопасности, рекомендуется внедрять комплексное решение:

Zecurion Zlock — программный модуль, осуществляющий контроль деятельности пользователей на уровне рабочих мест, включая такие операции с файлами, как чтение, редактирование, печать, удаление, переименование файлов. Архитектура представлена на рисунке 2.4;

Zecurion Zgate — программный модуль, осуществляющий контроль сетевых каналов передачи данных, включая электронную почту, веб-ресурсы, отправку файлов на внешние серверы. Архитектура представлена на рисунке 2.5;

Zecurion Zdiscovery — программный модуль, осуществляющий выявление конфиденциальной информации в сети предприятия и контроль соблюдения политик обращения с ней;

Zecurion Zserver — программный модуль, устанавливающийся на выделенный сервер с целью архивирования конфиденциальной информации и протоколирования действий пользователей с файлами, содержащими конфиденциальную информацию в журнал событий.

Рисунок 2.4 — Архитектура Zlock.

Рисунок 2.5 — Архитектура Zgate.

При выборе системы предотвращения утечки конфиденциальной информации необходимо учитывать следующие параметры:

комплексность — охват продуктом всевозможных потенциальных каналов утечки информации;

протоколирование — ведение журналов операций, совершаемых пользователями с конфиденциальной информацией.

Таблица 2.1 — Функционал программных решений по защите от утечек информации

Обобщая данные, полученные в ходе проведенного обзора программных продуктов, специализирующихся на предотвращении утечек конфиденциальной информации, подведем итог.

DLP-система InfoWatch обладает всеми преимуществами современных систем предотвращения утечки информации, однако, в связи со сложностью масштабирования подходит небольшим предприятиям.

Продукты западных производителей (Authentica, Onigma, PC Acme, Verdasys) не нашли широкого распространения в информационных системах российских предприятий. Главная причина этого — недостаточный уровень локализации. Речь идет не об отсутствии русскоязычного интерфейса или сопроводительной документации, а об отличиях в требованиях, предъявляемых подобного рода системам. Западные системы изначально разрабатывались с учетом западных же стандартов, соответствие которым неактуально для российских предприятий.

Zecurion DLP обладает высоким уровнем масштабируемости и высокой технологичностью. Также стоит отметить очень широкий спектр функциональных возможностей, полное покрытие всех потенциальных каналов утечки информации и модульность системы.

Система предотвращения утечки конфиденциальной информации Zecurion DLP соответствует всем сформулированным ранее требованиям. На следующем этапе работ было произведено внедрение в информационную инфраструктуру предприятия системы Zecurion DLP.