Integracja z systemem DLP

Integracja z systemem DLP umożliwia automatyczne wykrywanie poufnych treści w dokumentach przed ich udostępnieniem.

Rola integracji DLP w przepływie dokumentu

Integracja z systemem DLP, czyli rozwiązaniem do zapobiegania wyciekom danych, łączy mechanizmy analizy treści z miejscem, w którym dokument jest tworzony, przechowywany albo udostępniany. System DLP może sprawdzać pliki podczas zapisu na urządzeniu końcowym, wysyłania pocztą elektroniczną, kopiowania na nośnik USB, przesyłania do usługi internetowej lub publikowania w repozytorium dokumentów. Celem nie jest samo wykrycie określonego słowa, lecz porównanie zawartości i kontekstu operacji z regułami ochrony informacji.

Po wykryciu dopasowania polityka DLP może dopuścić operację, zarejestrować zdarzenie, wyświetlić ostrzeżenie, wymagać uzasadnienia, zablokować transmisję albo przekazać zdarzenie do dalszej obsługi. Dokładny wynik zależy od konfiguracji silnika, rodzaju kanału oraz poziomu pewności klasyfikacji. Integracja nie zastępuje więc polityk bezpieczeństwa. Dostarcza mechanizm egzekwowania reguł w konkretnych punktach przepływu danych i umożliwia powiązanie analizy dokumentu z działaniem użytkownika lub aplikacji.

Źródła danych i punkty kontroli

Najczęściej spotykane integracje obejmują agentów instalowanych na laptopach i komputerach PC, bramy pocztowe, serwery proxy, systemy udostępniania plików oraz aplikacje współpracujące z repozytoriami dokumentów. Agent na komputerze może obserwować operacje kopiowania, drukowania, zapisywania na nośnikach wymiennych i przesyłania plików przez określone programy. Integracja sieciowa może analizować ruch wychodzący, natomiast moduł po stronie repozytorium może kontrolować zmianę uprawnień, pobieranie oraz udostępnianie dokumentów.

Zakres analizy zależy od tego, czy system otrzymuje pełną treść pliku, jego metadane, skrót kryptograficzny, etykietę klasyfikacyjną czy tylko opis wykonywanej operacji. Dokument tekstowy może być analizowany bezpośrednio, a plik binarny wymaga obsługi właściwego formatu lub wcześniejszego wydobycia tekstu. W przypadku archiwów konieczne może być rozpakowanie zawartości w kontrolowanym procesie. Pliki zaszyfrowane, uszkodzone albo zabezpieczone hasłem mogą ograniczać możliwość inspekcji, dlatego polityka powinna określać, co dzieje się z materiałem, którego silnik nie potrafi odczytać.

Reguły klasyfikacji, reakcje i rejestrowanie zdarzeń

Reguły DLP mogą wykorzystywać wyrażenia regularne, słowniki, rozpoznawanie wzorców, analizę kontekstu, porównanie z wcześniej zdefiniowanymi zbiorami danych oraz etykiety przypisane do dokumentów. Pojedyncze dopasowanie zwykle nie powinno automatycznie oznaczać naruszenia. Wiarygodność wyniku zwiększa się przez połączenie kilku warunków, na przykład rodzaju danych, lokalizacji docelowej, użytkownika, aplikacji i kierunku transmisji. Polityka może także rozróżniać operacje odczytu, modyfikacji, kopiowania i publikowania.

Ważnym elementem integracji jest przekazanie informacji o zdarzeniu do konsoli administracyjnej albo systemu zarządzania incydentami. Rekord powinien wskazywać co najmniej czas operacji, urządzenie, konto, kanał transmisji, zastosowaną regułę i podjętą reakcję. W zależności od architektury do systemu centralnego trafia pełny dokument, fragment dopasowanej treści albo wyłącznie metadane. Ograniczenie przechowywania treści zdarzenia zmniejsza zakres wtórnego ujawnienia informacji, ale może utrudnić późniejszą analizę. Dlatego sposób logowania powinien wynikać z wymagań operacyjnych i poziomu poufności.

Diagnostyka integracji DLP na komputerze

Problemy z działaniem integracji zwykle wynikają z niepełnego wdrożenia agenta, braku komunikacji z usługą centralną, niewłaściwego zakresu polityki albo nieobsługiwanego formatu pliku. Podczas diagnostyki sprawdza się wersję i stan agenta, jego uprawnienia, adres usługi zarządzającej, poprawność certyfikatów, czas systemowy oraz dostępność połączenia sieciowego. Należy również ustalić, czy reguła jest aktywna dla danego urządzenia, użytkownika i kanału. Sam fakt obecności agenta na laptopie nie potwierdza jeszcze, że przechwytuje on konkretną operację.

Test kontrolowany powinien obejmować dokument o znanej zawartości, jasno określoną operację oraz przewidywaną reakcję polityki. Wynik porównuje się z logiem lokalnym, zdarzeniem w konsoli centralnej i rzeczywistym zachowaniem aplikacji. Jeżeli dokument został przepuszczony, trzeba rozdzielić błąd klasyfikacji od błędu transportu lub egzekwowania reguły. Jeżeli został zablokowany bez uzasadnienia, analizuje się dopasowany wzorzec, progi pewności, wyjątki oraz możliwość wystąpienia fałszywego alarmu. Taka diagnostyka pozwala ocenić, czy problem dotyczy komputera, aplikacji, połączenia z systemem DLP, czy samej konfiguracji polityki.