zablokowanie przez DLP

Zablokowanie przez DLP to odrzucenie wiadomości zawierającej treści chronione polityką bezpieczeństwa.

Co oznacza zablokowanie przez DLP

Zablokowanie przez DLP oznacza, że mechanizm zapobiegania utracie danych rozpoznał w wiadomości, załączniku albo innym przesyłanym pliku treść pasującą do określonej polityki bezpieczeństwa i nie dopuścił do jej dostarczenia lub wysłania. DLP może działać w systemie pocztowym, na stacji roboczej, w przeglądarce internetowej, podczas kopiowania danych na nośnik USB albo przy przesyłaniu plików do usługi chmurowej. Sam komunikat o blokadzie nie wskazuje jeszcze, czy przyczyną był tekst wiadomości, nazwa pliku, jego zawartość, typ dokumentu czy kontekst operacji.

Polityka DLP może wykorzystywać reguły wyszukujące określone wzorce, na przykład numery kart płatniczych, identyfikatory, oznaczenia dokumentów lub frazy związane z wewnętrzną klasyfikacją informacji. Bardziej rozbudowane wdrożenia uwzględniają także etykiety poufności, właściciela pliku, adresata, lokalizację urządzenia, kanał transmisji oraz grupę użytkownika. Zablokowanie jest zwykle jedną z możliwych reakcji polityki. Inne reakcje to ostrzeżenie, zapisanie zdarzenia w dzienniku, żądanie uzasadnienia, zaszyfrowanie pliku albo przekazanie przypadku do zatwierdzenia.

Jak system ocenia wiadomość i załączniki

Podczas kontroli DLP system analizuje dane w momencie wykonania operacji objętej polityką. W przypadku poczty może sprawdzić temat, treść, podpis, nazwy załączników oraz dane możliwe do odczytania z dokumentów, takich jak pliki tekstowe, arkusze kalkulacyjne czy dokumenty PDF. Reguła może wymagać pojedynczego dopasowania albo określonej liczby dopasowań w jednym dokumencie. Znaczenie może mieć również otoczenie wykrytej wartości, ponieważ ciąg cyfr pasujący do wzorca nie zawsze jest rzeczywistym numerem dokumentu lub karty.

Nie każda blokada oznacza awarię programu pocztowego. Jeżeli polityka działa po stronie nadawcy, operacja może zostać zatrzymana przed opuszczeniem urządzenia. Jeżeli kontrola odbywa się w usłudze pośredniczącej, wiadomość może zostać odrzucona, zatrzymana w kwarantannie albo oznaczona jako wymagająca dalszej weryfikacji. Użytkownik może zobaczyć ogólny komunikat, natomiast szczegółowa przyczyna znajduje się często w dzienniku DLP: identyfikator reguły, czas zdarzenia, rodzaj naruszenia, kanał transmisji i zastosowane działanie. Do odczytania tych informacji potrzebne są odpowiednie uprawnienia administracyjne.

Najczęstsze przyczyny odrzucenia wysyłki

Blokada może wynikać z rzeczywistego naruszenia zasad, na przykład wysłania dokumentu oznaczonego jako poufny do odbiorcy spoza dozwolonej domeny. Przyczyną może być także załącznik zawierający dane dopasowane do wzorca określonego w regule. System może wykryć informacje nie tylko w głównym tekście dokumentu, ale również w tabeli, komentarzu, metadanych lub treści ukrytej w pliku. W przypadku archiwów dodatkowe znaczenie ma to, czy mechanizm potrafi rozpakować i przeanalizować ich zawartość.

Zdarzają się również dopasowania prawidłowo techniczne, ale nieadekwatne do sytuacji. Numer zamówienia, fragment kodu źródłowego lub ciąg testowych danych może przypominać wzorzec chronionej informacji. Na wynik wpływa wersja i konfiguracja używanego inspektora treści, zakres wyjątków oraz kolejność reguł. Diagnostyka powinna obejmować sprawdzenie dokładnego zdarzenia w logach, porównanie adresata z warunkami polityki, analizę załącznika oraz próbę wysłania nieszkodliwego pliku testowego. Nie należy wielokrotnie ponawiać tej samej wysyłki z poufną treścią, ponieważ każde podejście może zostać zapisane jako kolejne zdarzenie bezpieczeństwa.

Bezpieczna diagnostyka i dalsze postępowanie

Przydatne jest zachowanie pełnego komunikatu, godziny blokady, adresu odbiorcy, nazwy załącznika i identyfikatora korelacyjnego, jeżeli system go wyświetla. Nie wolno usuwać ani modyfikować oryginalnego dokumentu wyłącznie po to, aby ominąć kontrolę. Zamiast tego należy ustalić, czy wysyłka jest zgodna z przeznaczeniem danych, a następnie skorzystać z zatwierdzonej procedury wyjątków lub przekazać sprawę administratorowi bezpieczeństwa. Zmiana rozszerzenia pliku, spakowanie go, wykonanie zrzutu ekranu albo użycie prywatnego komunikatora może naruszyć politykę i utrudnić późniejsze ustalenie przyczyny.

W środowisku domowym lub biurowym warto również sprawdzić, czy problem dotyczy jednej wiadomości, konkretnego konta, danego urządzenia czy wszystkich prób wysyłki. Jeżeli blokada występuje tylko na jednym komputerze, przyczyną może być lokalny agent DLP, nieaktualna konfiguracja lub konflikt z dodatkiem pocztowym. Jeżeli pojawia się niezależnie od urządzenia, bardziej prawdopodobna jest reguła egzekwowana po stronie usługi pocztowej albo bramy bezpieczeństwa. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku problemów z lokalnym działaniem systemu można rozpocząć od sprawdzenia aplikacji, połączenia sieciowego oraz poprawności konfiguracji stacji roboczej.