Анатомия DLP
Традиционные IPS, антивирусы и файерволы защищают инфраструктуру от внешних атак, но не способны обеспечить надежную защиту от внутренних. Data Loss Prevention-решения направлены на предотвращение умышленной или случайной утечки критически важной информации организации. Они создают защитный периметр вокруг организации и анализируют всю поступающую или выходящую информацию. Современные системы предотвращения утечки информации dlp контролируют не только Интернет-трафик, но и информационные источники, которые могут быть перенесены на внешние носители или распечатаны.
Аналитическая компания Radicati определяет DLP как «аппаратное и программное обеспечение, облачные сервисы и гибридные решения, которые обеспечивают надзор за электронными данными и управления ими, помогая организациям избежать несанкционированного распространения информации». При этом DLP-решения должны быть «контентно-сознательными», то есть понимать смысл информации и контролировать ее не просто по ключевым словам, которые встречаются в тексте. Gartner отмечает, что DLP - это прежде всего хорошо выписанный процесс, который подкрепляется вспомогательными технологиями.
DLP обеспечивает защиту данных, находящихся в трех состояниях. Прежде всего это используемые данные (Data in use), то есть обрабатываются какой-то программой или приложением. Для этих данных вручную или автоматически устанавливать правила относительно возможных действий с ними (разрешение на смену, контроль печати, контроль копирования и вставки и др). Также задают разрешенные протоколы связи и типы устройств, с помощью которых возможен доступ к этим данным.
Данные, которые находятся в движении (Data in motion), нужно обезопасить от передачи за пределы организации (например, по электронной почте или через USB), публикации в социальных сетях и т. др., а также их пересылка в незащищенные хранилища. Те данные, которые находятся на хранении, то бишь в покое (Data at rest), в частности в облаке, также нуждаются в защите от несанкционированного доступа, в том числе путем периодического мониторинга.
Традиционно DLP-системы разделяют на две категории: корпоративного класса (Enterprise DLP, EDLP), или же обособленные (Dedicated), и интегрированные. Первые представляют собой специализированные решения, вторые реализуются как функции в составе других средств безопасности.
Обособленные DLP обеспечивают защиту данных в любом состоянии, а также имеют полный арсенал функций для обеспечения политик защиты в зависимости от нужд компании (например, установление правил для различных групп пользователей и типов устройств), средства визуализации, оповещения и расследования. Считается, что отделенные DLP являются едва ли не единственным вариантом для крупных компаний, но могут быть слишком дорогими и сложными для меньших предприятий. Интегрированные решения дешевле и требуют меньше времени для развертывания, однако имеют более ограниченные возможности настройки, управления и визуализации. Gartner отмечает, что интегрированные DLP покупают организации, которые нуждаются только в базовой функциональности или защите конкретного направления — например, электронной почты. Те же, которых интересует защита нескольких направлений (например, конечных устройств, почты и облака), устанавливают решения корпоративного класса. Однако малым и средним бизнесам часто трудно внедрять и эксплуатировать такие системы и при этом получать заметный результат.
Radicati предлагает разделение решений на три типа.
Полноценные DLP, собственно, защищают данные во всех трех состояниях и, кроме ключевых слов, принимают во внимание метаданные, роли сотрудника в организации, принадлежность данных и другие параметры, которые определяют их ценность. С помощью этих решений можно программировать различные методы реагирования на попытку утечки (блокировка, предупреждение, перемещение в карантин и тому подобное). Радобныен решения использует компания TrustSpace.
Одноканальные DLP-решения (Channel DLP) обеспечивают защиту данных в каком-то одном состоянии (обычно в движении) по одному из каналов передачи (например, по электронной почте), они учитывают контент, но чаще всего осуществляют блокировку только по ключевым словам.
Наконец, облегченные решения DLP-Lite приложениями к других систем (например, архивирование и хранение информации), не всегда учитывают контент и обычно отслеживают только данные, находящиеся на хранении или используются.
Обычно DLP состоит из нескольких модулей, которые отвечают за защиту всех трех типов данных. Например, контроль информации, которая находится в движении, могут обеспечивать отдельные компоненты для съемных носителей, электронной почты, облачных сервисов. Отдельный модуль занимается поиском чувствительных данных в хранилищах. Некоторые платформы работают только на конечных устройствах, где их программные агенты следят за всеми операциями с данными, другие имеют возможности для отслеживания информации, которая передается в сети и наружу. Реализация DLP также возможна в различных вариантах: как аппаратное решение, виртуальное устройство или с размещением в облаке.
