ochrona DLP

Ochrona DLP to mechanizmy wykrywające i blokujące przesyłanie chronionych informacji poza organizację.

Ochrona DLP — kontrola przepływu informacji

Ochrona DLP, czyli Data Loss Prevention, obejmuje mechanizmy służące do wykrywania oraz ograniczania nieuprawnionego przesyłania informacji poza ustalone obszary organizacji. System DLP analizuje dane znajdujące się w użyciu, przechowywane na nośnikach i serwerach oraz przesyłane przez sieć. Reguły mogą rozpoznawać określone wzorce tekstowe, numery identyfikacyjne, oznaczenia dokumentów, nazwy plików, rozszerzenia, klasyfikację informacji albo zawartość analizowanego dokumentu. Samo rozszerzenie pliku nie jest jednak wiarygodnym dowodem jego zawartości, dlatego dokładniejsze rozwiązania korzystają z inspekcji treści.

Polityka DLP określa, jakie dane są chronione, jakie działania są dozwolone i w jakich sytuacjach system ma zareagować. Reakcją może być rejestracja zdarzenia, ostrzeżenie użytkownika, zablokowanie operacji, przeniesienie wiadomości do kwarantanny, usunięcie załącznika lub wymaganie dodatkowego zatwierdzenia. Reguły często uwzględniają tożsamość użytkownika, urządzenie, lokalizację sieciową, aplikację, typ kanału komunikacji oraz poziom poufności pliku. Dzięki temu wysłanie dokumentu do zatwierdzonego odbiorcy może być dozwolone, podczas gdy ta sama czynność wykonana na prywatny adres pocztowy zostanie zablokowana.

Jak system rozpoznaje chronione dane

Do wykrywania informacji DLP wykorzystuje kilka technik. Najprostsze reguły wyszukują słowa kluczowe, określone ciągi znaków lub wyrażenia regularne. Bardziej precyzyjne detektory sprawdzają poprawność znalezionego wzorca, na przykład długość numeru, sumę kontrolną albo jego otoczenie w tekście. System może także porównywać zawartość z wcześniej zdefiniowanym wzorcem dokumentu, odciskiem pliku lub bazą próbek. Odcisk dokumentu pozwala wykryć udostępnienie fragmentu materiału nawet wtedy, gdy użytkownik zmienił nazwę pliku albo skopiował tylko część jego treści.

Analiza może dotyczyć dokumentów tekstowych, arkuszy kalkulacyjnych, prezentacji, plików PDF, archiwów oraz danych kopiowanych do schowka. Skuteczność zależy od tego, czy używany silnik potrafi odczytać konkretny format i czy analizuje pliki po rozpakowaniu. W przypadku szyfrowanego archiwum zawartość może być niedostępna dla inspekcji, chyba że system działa w punkcie, w którym dane są jeszcze odszyfrowane. Podobne ograniczenie występuje przy szyfrowaniu transportowym: urządzenie monitorujące musi mieć możliwość analizy treści przed zaszyfrowaniem albo po kontrolowanym odszyfrowaniu zgodnym z konfiguracją środowiska.

Wynik detekcji jest zwykle oceniany według poziomu pewności i liczby spełnionych warunków. Reguła może wymagać jednoczesnego wystąpienia wzorca, określonego typu dokumentu i przesłania pliku do zewnętrznego odbiorcy. Takie łączenie warunków ogranicza liczbę fałszywych alarmów. Nadmiernie ogólna reguła, na przykład blokująca każde wystąpienie wybranego słowa, może zakłócać pracę i powodować ignorowanie ostrzeżeń przez użytkowników. Dlatego polityki powinny być testowane na rzeczywistych, lecz odpowiednio zabezpieczonych próbkach danych.

Punkty kontroli i reakcje na incydenty

Kontrole DLP mogą działać na stacjach roboczych, w bramach sieciowych, systemach pocztowych, usługach udostępniania plików oraz aplikacjach internetowych. Agent na komputerze może monitorować kopiowanie danych na pamięci USB, drukowanie, zrzuty ekranu, przesyłanie plików przez przeglądarkę lub użycie schowka. Kontrola sieciowa analizuje ruch przechodzący przez określony punkt, lecz nie zawsze widzi operacje wykonywane lokalnie na urządzeniu. Z kolei kontrola w systemie pocztowym może sprawdzać nadawcę, odbiorcę, temat, treść i załączniki przed przekazaniem wiadomości dalej.

Blokada operacji powinna być stosowana wtedy, gdy reguła wskazuje na rzeczywiste ryzyko i istnieje techniczna możliwość bezpiecznego przerwania czynności. W innych przypadkach używa się ostrzeżenia lub trybu monitorowania. Tryb audytowy rejestruje zdarzenia bez ingerencji w pracę użytkowników, co ułatwia ocenę skali problemu przed wdrożeniem blokad. Każde zdarzenie powinno zawierać co najmniej czas, konto, urządzenie, kanał przesyłania, nazwę lub identyfikator pliku, uruchomioną regułę oraz podjętą akcję. Same komunikaty o naruszeniu bez kontekstu nie wystarczają do ustalenia przyczyny.

Podczas obsługi incydentu analizuje się, czy doszło do faktycznego przesłania danych, czy tylko do próby zablokowanej przez politykę. Ważne jest także rozróżnienie między wielokrotnym wykryciem tego samego działania a niezależnymi zdarzeniami. Logi DLP mogą być korelowane z dziennikami systemu operacyjnego, zaporą sieciową, serwerem proxy oraz systemem uwierzytelniania. Jeżeli użytkownik zgłasza, że legalna operacja została zatrzymana, należy sprawdzić dokładnie dopasowany fragment reguły, typ pliku, ścieżkę procesu i moment wykonania blokady, zamiast wyłączać całą ochronę.

Diagnostyka wdrożenia DLP na komputerach

Problemy z działaniem DLP często wynikają z nieaktywnego agenta, nieaktualnej polityki, konfliktu z oprogramowaniem zabezpieczającym albo braku komunikacji z centralnym serwerem zarządzającym. Diagnostyka powinna rozpocząć się od sprawdzenia stanu usługi agenta, czasu ostatniego pobrania konfiguracji oraz obecności błędów w jego dzienniku. Następnie weryfikuje się, czy urządzenie ma przypisaną właściwą politykę, czy reguła jest włączona i czy obejmuje dany kanał, na przykład USB, drukowanie lub przeglądarkę internetową.

Test kontrolny powinien używać nieszkodliwego pliku zawierającego jednoznaczny, testowy wzorzec. Należy wykonać dokładnie tę operację, która ma być monitorowana, a następnie sprawdzić, czy agent zarejestrował zdarzenie i czy centralna konsola otrzymała je bez opóźnienia. Jeżeli lokalna blokada działa, ale zdarzenie nie pojawia się w konsoli, problem dotyczy zwykle kolejki zdarzeń, komunikacji albo synchronizacji. Jeżeli zdarzenie jest widoczne, lecz operacja nie została zablokowana, trzeba sprawdzić priorytet reguł, tryb audytowy, wyjątki oraz warunki określające odbiorcę lub aplikację.

Ochrona DLP nie zastępuje kopii zapasowych, kontroli dostępu, szyfrowania ani prawidłowej konfiguracji systemów operacyjnych. Jej zadaniem jest egzekwowanie zdefiniowanych zasad przepływu informacji w określonych punktach infrastruktury. Na komputerze przeznaczonym do pracy z takimi mechanizmami warto zweryfikować stabilność systemu, poprawność sterowników urządzeń, działanie portów USB, komunikację sieciową i zgodność agenta z wersją systemu. W przypadku awarii sprzętowej lub problemów z oprogramowaniem zabezpieczającym neutralna diagnostyka powinna obejmować dzienniki, stan usług, obciążenie zasobów oraz kolejność zdarzeń, bez pochopnego usuwania komponentów odpowiedzialnych za rejestrację incydentów.