narzędzie DLP

Narzędzie DLP to system wykrywający i blokujący przesyłanie chronionych informacji poza dozwolone kanały.

Zakres działania narzędzia DLP

Narzędzie DLP, czyli Data Loss Prevention, służy do kontrolowania przepływu informacji sklasyfikowanych jako chronione. System analizuje dane podczas ich używania na urządzeniu, przesyłania przez sieć oraz przechowywania w określonych lokalizacjach. Może monitorować między innymi kopiowanie plików na pamięć USB, załączniki poczty elektronicznej, wysyłanie danych przez formularze internetowe, udostępnianie dokumentów w usługach chmurowych i kopiowanie treści do schowka systemowego. DLP nie jest pojedynczym protokołem ani formatem pliku. To zestaw mechanizmów rozpoznawania danych, egzekwowania reguł oraz rejestrowania zdarzeń.

Kluczowym elementem jest polityka określająca, jakie informacje podlegają ochronie, gdzie mogą być używane i jakie działania są dozwolone. Reguła może dotyczyć konkretnej lokalizacji, grupy użytkowników, aplikacji, typu urządzenia, kierunku transmisji albo klasy dokumentu. Po wykryciu naruszenia system może tylko zapisać zdarzenie, wyświetlić ostrzeżenie, zażądać uzasadnienia, zablokować operację albo skierować ją do zatwierdzenia przez uprawnioną osobę. Takie rozróżnienie pozwala odseparować obserwację przepływu danych od aktywnego blokowania.

Rozpoznawanie chronionej treści

DLP może identyfikować dane na podstawie ich zawartości, kontekstu i pochodzenia. Do kontroli treści tekstowej stosuje się między innymi wyrażenia regularne, słowniki słów kluczowych, reguły wykrywające określone układy znaków oraz walidację sum kontrolnych właściwych dla danego formatu identyfikatora. Samo znalezienie ciągu cyfr zwykle nie powinno wystarczać do blokady, ponieważ podobne ciągi mogą występować w dokumentach technicznych, numerach zamówień lub danych testowych. Dlatego reguły często łączą kilka warunków, takich jak wzorzec, liczba dopasowań, typ pliku i miejsce wystąpienia.

Innym mechanizmem jest dopasowanie dokumentu do wcześniej zarejestrowanego wzorca. Fingerprinting może wykrywać kopie lub fragmenty określonych plików, nawet jeśli ich nazwa została zmieniona. W praktyce system może także korzystać z etykiet klasyfikacyjnych zapisanych w metadanych dokumentu albo z informacji o właścicielu i repozytorium pliku. Skuteczność zależy od tego, czy moduł potrafi odczytać dany format. Plik zaszyfrowany, skompresowany, uszkodzony lub osadzony w nietypowym kontenerze może być widoczny dla systemu jedynie jako nieprzeanalizowany obiekt.

Rozpoznawanie zależy również od miejsca działania agenta. Agent końcowy może obserwować operacje wykonywane w systemie operacyjnym, takie jak kopiowanie, drukowanie lub zapis na nośniku wymiennym. Moduł sieciowy analizuje ruch przechodzący przez kontrolowany punkt, natomiast integracja z usługą chmurową może korzystać z interfejsu programistycznego tej usługi. Te źródła danych nie są równoważne: kontrola punktu końcowego nie zastępuje kontroli kanału sieciowego, a analiza ruchu zaszyfrowanego bez deszyfrowania pośredniego może nie umożliwiać inspekcji treści.

Reakcja na próbę wyprowadzenia danych

Po wykryciu dopasowania narzędzie DLP przypisuje zdarzeniu wynik zgodny z ustaloną polityką. Najłagodniejszą reakcją jest rejestracja informacji o operacji bez ingerencji w pracę użytkownika. Kolejny poziom może obejmować komunikat ostrzegawczy lub wymóg podania uzasadnienia. W przypadku operacji o wyższym ryzyku system może zablokować wysyłkę, zatrzymać kopiowanie, uniemożliwić zapis na nośniku albo oznaczyć zdarzenie do ręcznej weryfikacji. Niektóre wdrożenia pozwalają również automatycznie zmienić etykietę dokumentu, zastosować szyfrowanie lub przekazać kopię pliku do kontrolowanego repozytorium.

Reguły powinny uwzględniać wyjątki i poziomy ryzyka. Przykładowo, przesłanie dokumentu do zatwierdzonej domeny może być dozwolone, podczas gdy ten sam dokument wysłany na prywatny adres pocztowy zostanie zablokowany. Inaczej można traktować dział finansowy, inaczej konto serwisowe, a jeszcze inaczej urządzenie niezarządzane. Ważne jest także rozróżnienie trybu testowego od egzekwowania polityki. Najpierw rejestruje się potencjalne dopasowania, sprawdza ich poprawność i dopiero później włącza blokowanie. Ogranicza to liczbę fałszywych alarmów oraz ryzyko zatrzymania prawidłowych procesów.

Każde zdarzenie powinno zawierać informacje potrzebne do odtworzenia sytuacji: czas, użytkownika lub konto usługi, urządzenie, aplikację, typ operacji, kanał komunikacji, zastosowaną regułę i rezultat działania. Sam komunikat „naruszenie DLP” jest niewystarczający do rzetelnej analizy. Trzeba ustalić, czy system wykrył rzeczywistą chronioną treść, czy tylko przypadkowe dopasowanie wzorca. Należy też sprawdzić, czy blokada nastąpiła przed wysłaniem danych, czy dopiero po zapisaniu zdarzenia w dzienniku.

Diagnostyka wdrożenia DLP na komputerze

Podczas diagnozowania problemu należy najpierw ustalić, który komponent przejął obsługę operacji: agent na laptopie, brama sieciowa, integracja z pocztą, system zarządzania urządzeniami czy moduł usługi chmurowej. Następnie warto porównać czas zdarzenia z lokalnymi dziennikami systemu operacyjnego i aplikacji. Jeżeli użytkownik twierdzi, że plik nie został wysłany, należy sprawdzić zarówno log blokady, jak i log aplikacji źródłowej oraz serwera docelowego. Rozbieżność między tymi zapisami może wskazywać na opóźnioną synchronizację, działanie trybu monitorowania albo błąd w przypisaniu polityki.

Istotne są również aktualność agenta, dostęp do serwera zarządzającego, poprawna synchronizacja czasu i stan polityk zapisanych lokalnie. Brak łączności może powodować pracę według ostatniej pobranej konfiguracji, buforowanie zdarzeń albo przejście do trybu określonego przez politykę awaryjną. Na komputerze trzeba sprawdzić, czy agent działa, czy posiada wymagane uprawnienia oraz czy nie został wyłączony przez konflikt z innym oprogramowaniem zabezpieczającym. W przypadku problemów z jednym plikiem należy zweryfikować jego format, szyfrowanie, kompresję i obecność danych w osadzonych obiektach.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC oraz diagnostyką ich podzespołów. Przy incydencie związanym z DLP zakres czynności sprzętowych może obejmować sprawdzenie stabilności systemu, dysku, pamięci operacyjnej, połączenia sieciowego i poprawności działania systemu operacyjnego. Sama naprawa komputera nie zastępuje jednak przeglądu polityk bezpieczeństwa, konfiguracji centralnej ani analizy uprawnień po stronie administratora systemu DLP.