Основные функции DLP-решений
Запобегание утечке данных (Data Loss Prevention, DLP) – это не просто одна технология, а хорошо интегрированный набор технологий, которые совместно автоматически выявляют любые ситуации, где существует потенциальный риск утечки данных. Поскольку корпоративные данные хранятся или передаются через многочисленные информационные системы и решения, покрытие каждого места, где может произойти утечка, кража или нарушение данных, является сложной задачей.
Решения DLP выполняют три основные функции: определение и выявление конфиденциальных данных, обеспечение безопасных средств передачи данных через небезопасные каналы и мониторинг обнаруженных данных как путём регулярного сканирования в состоянии покоя, так и наблюдением за любым доступом к данным и их перемещением. Таким образом, в основе современных решений DLP находятся усовершенствованные механизмы мониторинга предотвращения утечек данных, которые отвечают за постоянное наблюдение за данными, поднятие тревог и/или активацию превентивных механизмов при подозрении на несанкционированный доступ или использование.
Как работает DLP мониторинг?
Сложность современной информационной системы делает DLP мониторинг сложной задачей. Возрастающая зависимость от облачных технологий, распределённых решений и популярность удалённой работы означают, что существует несколько уровней хранения данных, которые необходимо постоянно мониторить, а также множество различных каналов потенциального доступа к данным и их передачи. Для понимания нужно представить, как легко было, когда все данные просто хранились на сервере компании в локальном серверном помещении, доступном только через Ethernet-сети внутри компании, и просматривались на старых текстовых терминалах без доступа в Интернет. Противопоставить можно сегодняшнему ассортименту разнообразных операционных систем, мобильных устройств, интернет-технологий и полностью удалённых хранилищ, управляемых третьими сторонами.
Из-за этого разнообразия технологий поставщики решений для DLP мониторинга должны шаг за шагом глубоко понимать каждую базовую технологию. Например, мониторинг доступа и потока данных на ноутбуке с Windows требует использования совершенно других программных хитростей, чем та же задача на устройствах с macOS или Linux. И это только небольшая часть, поскольку нужно учитывать не только другие операционные системы, такие как Android, Linux или iOS, но и, прежде всего, перемещение данных в современные облачные решения и из них, каждое из которых использует разные технологии.
Таким образом, нет простого ответа на вопрос “как работает DLP мониторинг”, потому что он работает по-разному для каждой аппаратной платформы, каждой операционной системы и каждой сопутствующей технологии. Чем сложнее решение, тем лучше оно “взламывает” саму систему, способную наблюдать за действиями пользователя и системными процедурами. Например, хорошо спроектированный агент для DLP мониторинга на настольном компьютере должен иметь возможность заметить, когда данные, например, загружаются из облака и сохраняются на локальном диске, а затем становятся доступными любым другим программным обеспечением, не только как результат целенаправленных действий пользователя.
Почему мониторинг DLP настолько важен?
Роль, которую играет DLP мониторинг в стратегиях корпоративной безопасности, абсолютно критична, так как он является последней линией защиты от атак. Это также один из немногих механизмов, которые могут выявить внутренние угрозы и предотвратить случайные ошибки, которые могут дорого обойтись организациям. Другие технологии кибербезопасности действуют больше как начальная оборона периметра, но если они терпят неудачу, то всё зависит от DLP.
Например, антивирусное программное обеспечение или инструменты для выявления фишинга устраняют многие угрозы ещё до того, как они произойдут. Однако достаточно одной вредоносной программы или одной фишинговой рассылки, чтобы вызвать массовую утечку данных. Как только эта угроза достигает пользователя, всё зависит от DLP мониторинга — только такие технологии могут в последний момент обнаружить, что пользователь имеет доступ к конфиденциальным данным и собирается поделиться ими через небезопасный канал, например, электронную почту или программное обеспечение для обмена мгновенными сообщениями.
Каждая корпоративная стратегия безопасности должна включать использование мониторинга DLP как последней линии защиты, и это также рекомендация многих кибербезопасных рамок и требование большинства стандартов регуляторной соответствия, таких как HIPAA, PCI DSS или NIST. Хотя, конечно, ни один из таких стандартов не указывает на конкретные решения, демонстрация того, что конфиденциальные данные хорошо мониторятся как в состоянии покоя, так и в движении, важна для прохождения аудита безопасности.
Внедрение эффективных политик обработки данных
Начальная ошибка, которая часто является одной из причин проблем с безопасностью, заключается в том, что программное обеспечение для кибербезопасности можно приобрести, внедрить и “оно просто будет работать”. К сожалению, без затраты времени на определение правильных политик и случаев использования, очень легко либо спроектировать систему, которая будет слишком слабой и допустит дорогие утечки данных, либо спроектировать систему, которая будет слишком строгой и сделает повседневную работу невозможной. Первым шагом должно быть определение конкретных политик обработки данных с помощью программного обеспечения DLP для выявления потенциально конфиденциальных данных.
Только после того, как конфиденциальные данные идентифицированы и хорошо классифицированы, DLP мониторинг может выполнять свою работу надлежащим образом и предотвращать рискованный доступ, позволяя доступ, который необходим для регулярной работы. Например, конфиденциальный фрагмент данных не должен копироваться из безопасного облачного хранилища и храниться на диске пользователя в течение года, если он доступен примерно раз в неделю. В то же время, если пользователю нужен доступ к тем же данным много раз в день, немедленное удаление их через, например, 15 секунд и требование от пользователя прохождения сложного процесса для загрузки (например, с использованием дополнительной аутентификации и MFA) может сильно мешать сотруднику.
Задача команд кибербезопасности заключается в следующем:
- создание эффективных политик для различных типов данных и различных требований к доступу;
- настройка мониторинга DLP для поднятия тревоги только в необходимых случаях;
- отсутствие игнорирования потенциально рискованной ситуации.
Тому, хоча DLP моніторинг може бути надзвичайно ефективним інструментом у запобіганні витокам даних, як і кожне рішення з кібербезпеки, воно повинно якісно підтримуватися командою.
DLP мониторинг в реальном мире
Преимущества DLP мониторинга могут быть сначала трудно заметны, но рассмотрим два примера, где он может предотвратить массовую утечку данных.
- Один из топ-менеджеров определённой компании получает хорошо подготовленную фишинговую рассылку, созданную на основе месяцев наблюдения со стороны разведывательных служб недружественной страны. Ожидаемо, но ни одно программное обеспечение для защиты от фишинга не сможет остановить такое письмо. Кроме того, если не быть полностью параноиком по поводу безопасности, очень вероятно, что кто-то менее осведомленный в технологиях может попасть на этот крючок и вставить ключевые учетные данные на вредоносную страницу после копирования их из безопасного менеджера паролей. В таком случае, DLP мониторинг сможет заметить, что конфиденциальные учетные данные копируются и вставляются на незаконную страницу. После этого DLP остановит утечку, сделав это невозможным и подняв приоритетный сигнал тревоги, чтобы команды IT-безопасности могли немедленно принять меры.
- Еще один пример: К одному из ключевых сотрудников определённой компании в отделе исследований и разработок подошёл основной конкурент фирмы и заманил сотрудничеством, предложив большие финансовые стимулы. Сотрудник получает доступ к секретной формуле или алгоритму компании и вставляет эти данные в приватную сессию браузера, где он предварительно уже вошел в личный аккаунт электронной почты. DLP мониторинг немедленно обнаружит такую попытку, заблокирует её и поднимет тревогу, чтобы команда IT-безопасности могла за несколько минут отключить сотрудника от всех ресурсов компании, предотвращая утечку конфиденциальной информации. Важно отметить, что ни одно другое решение по кибербезопасности, кроме DLP, не сможет предотвратить такой инцидент.
DLP — не только мониторинг
Как уже упоминалось в начале, хотя DLP мониторинг является сердцем решений DLP, это не единственная технология, которая может помочь защитить конфиденциальные данные. Сегодняшние решения DLP выходят за рамки мониторинга и внедряют новейшие технологии, чтобы помочь пользователю выполнять свою работу. Например, они используют искусственный интеллект, чтобы помочь не только обнаруживать и классифицировать конфиденциальные данные, но и быстро и эффективно определять политики обработки данных.
Как пример современного DLP-решения для мониторинга конечных точек, Endpoint Protector. Он предоставляет не только надежный и высоконастраиваемый механизм DLP мониторинга в режиме реального времени, но и включает вышеупомянутые технологии ИИ, а также обеспечивает инструментами, которые позволяют безопасно передавать конфиденциальную информацию через небезопасные каналы. Благодаря Endpoint Protector, можно построить последнюю линию защиты для самых важных и часто используемых устройств — ноутбуков и настольных компьютеров пользователей.
