kontrola wycieku danych

Kontrola wycieku danych to zbiór działań ograniczających ryzyko wydostania się informacji poza organizację.

Zakres kontroli wycieku danych

Kontrola wycieku danych, określana często skrótem DLP od angielskiego Data Loss Prevention, obejmuje techniczne mechanizmy wykrywania, klasyfikowania i ograniczania przesyłania informacji poza dozwolony obszar. Chronione mogą być między innymi dokumenty tekstowe, arkusze kalkulacyjne, bazy eksportowane do plików, obrazy dysków, kopie zapasowe, klucze dostępu oraz pliki zawierające dane konfiguracyjne. Celem nie jest samo znalezienie podejrzanego pliku, lecz ustalenie, czy jego zapisanie, skopiowanie, wysłanie albo udostępnienie jest zgodne z przyjętą regułą.

Kontrola może dotyczyć kilku dróg przepływu informacji: poczty elektronicznej, przeglądarki internetowej, usług synchronizacji plików, pamięci USB, drukarek, schowka systemowego oraz udziałów sieciowych. System może analizować nazwę i rozszerzenie pliku, jego zawartość, lokalizację, właściciela, odbiorcę oraz sposób użycia. W zależności od konfiguracji naruszenie jest rejestrowane, sygnalizowane użytkownikowi, blokowane albo przekazywane do ręcznej weryfikacji.

Klasyfikowanie informacji i reguły działania

Skuteczna kontrola wycieku wymaga najpierw określenia, które informacje mają być rozpoznawane. Reguły mogą wykorzystywać dopasowanie do wzorców tekstowych, charakterystyczne nagłówki dokumentów, rozszerzenia plików, sumy kontrolne znanych dokumentów lub przypisane etykiety klasyfikacyjne. Samo rozszerzenie, takie jak .docx albo .zip, nie potwierdza jednak wrażliwości danych, ponieważ taki sam typ pliku może zawierać zarówno materiał publiczny, jak i poufny.

Reguła DLP powinna wskazywać co najmniej obiekt kontroli, kanał transmisji, warunek oraz reakcję. Przykładowo można rejestrować próbę skopiowania oznaczonego dokumentu na wymienny nośnik, wymagać uzasadnienia przy wysyłce pliku do zewnętrznego odbiorcy albo blokować przesłanie pliku zawierającego określony wzorzec. Istotne jest także ograniczenie liczby fałszywych alarmów. Zbyt szeroka reguła może zatrzymywać prawidłowe operacje, a zbyt wąska pozostawi nieuwzględnione kanały kopiowania.

Ślady zdarzeń i analiza przepływu plików

Rejestrowanie zdarzeń pozwala odtworzyć, co stało się z informacją. Warto zapisywać identyfikator użytkownika lub procesu, nazwę pliku, czas operacji, urządzenie źródłowe, miejsce docelowe, rodzaj działania oraz wynik decyzji. Przydatne jest rozróżnienie między odczytem, kopiowaniem, zmianą nazwy, kompresją, drukowaniem i wysłaniem. Sam komunikat „plik zablokowany” nie wyjaśnia, czy przyczyną była zawartość dokumentu, odbiorca, użyty kanał czy błąd klasyfikacji.

Analiza powinna uwzględniać pełny łańcuch zdarzeń. Plik może zostać najpierw skopiowany do katalogu tymczasowego, następnie spakowany, zaszyfrowany przez aplikację i dopiero później przesłany. Kontrola pojedynczego rozszerzenia nie musi wykryć takiego przepływu, dlatego znaczenie mają również korelacja zdarzeń, obserwacja procesów oraz kontrola nietypowych operacji wejścia i wyjścia. Należy też sprawdzić, czy logi mają poprawny czas, czy nie są nadpisywane zbyt szybko oraz czy administrator potrafi odróżnić blokadę od samego ostrzeżenia.

Kontrola wycieku na laptopie i komputerze PC

Na pojedynczym laptopie lub komputerze PC podstawowe znaczenie ma kontrola kont użytkowników, uprawnień do katalogów, urządzeń USB oraz aplikacji, które mogą odczytywać i wysyłać pliki. Warto zweryfikować, czy nieznane programy nie uruchamiają się automatycznie, czy przeglądarka nie synchronizuje danych z nieautoryzowanym profilem oraz czy w systemie nie pozostały tymczasowe kopie dokumentów. Przy diagnostyce trzeba zachować ostrożność, ponieważ usunięcie plików tymczasowych może zniszczyć ślady potrzebne do ustalenia przebiegu zdarzenia.

Jeżeli podejrzany komputer nadal pracuje, najpierw należy ograniczyć dalszą transmisję, na przykład odłączyć urządzenie od sieci zgodnie z procedurą i zabezpieczyć nośniki bez ich pochopnego formatowania. Następnie można sprawdzić aktywne procesy, zadania automatycznego uruchamiania, historię podłączanych urządzeń oraz dzienniki systemowe i aplikacyjne. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z nośnikami, systemem operacyjnym oraz działaniem aplikacji zabezpieczających.