10 декабря 2012
Рациональный контроль персонала с помощью DLP-систем
Часть 2
Ни один адекватный человек не любит чрезмерного контроля над собой. Контроль поражает волю, снижает эффективность, убивает творческую деятельность и просто «давит». Поэтому при введении контроля персонала с помощью DLP-систем логично скрывать даже сам факт наличия оных. В первой части мы коснулись юридических аспектов, концепции BYOD и социальных сетей. Двигаемся дальше.
Пароли
В прошлой части мы убедились, что контролировать социальные сети гораздо выгоднее, чем их блокировать. Заодно была решена задача о мониторинге отзывов и мнений, которые сотрудник в них оставляет. Но был упущен один важный нюанс – пароли. Не секрет, что человек плохо запоминает красивые и криптостойкие комбинации вида «?*ОАВАРаввввHJKBF((*^», предпочитая им дни рождения, девичью фамилии матери или отрывки матерных частушек, набранных на английской раскладке. Тем не менее, в интернете хватает способов создания и запоминания надёжных паролей. Ниже в качестве примера представлен один из них.
Как известно, qr-код может содержать в себе различную информацию, в том числе и текст. Таким образом, хранить пароли можно в неявном виде. Нюанс заключается в том, что представленный код не может быть распознан, так как был предварительно отражён по горизонтали. Другими словами, распознано может быть только отражение. Стоит отметить, что представленный способ более теоретический, нежели практический.
На практике же можно усилить безопасность паролей с помощью DLP. Но прежде необходимо создать политику, которая позволит в автоматическом режиме выявлять факты пересылки этой информации. В общем случае она будет генерировать инцидент, если в перехваченной информации будет обнаружена хотя бы одна из перечисленных комбинаций. При этом, на всякий случай, учитывается вариант замены символов, одинаковых по написанию.
Теперь разберём задачу на «усиление» безопасности. Не секрет, что при выборе паролей люди не слишком оригинальны. В качестве примера обратимся к июньскому взлому популярной социальной сети Linkedin, когда в общий доступ были выложены 165000 хешей паролей от аккаунтов пользователей. Компания Rapid7 провела их анализ и составила небольшой отчёт в виде инфографики, в котором показала ТОП-30 комбинаций.
Кроме того, часто люди используют одну и ту же комбинацию «логин\пароль» для нескольких ресурсов. Указывать, что делать и какие пароли в «одноклассниках» лучше, безопасник не имеет право. Но позаботиться о том, чтобы эти пароли не использовались в корпоративной сети, обязан. Для этого понадобится DLP-система и немного логики.
Пароли, которые сотрудник вводит для авторизации на том или ином ресурсе, отправляются с его машины в виде POST-запросов. Таким образом, на первом этапе в перехваченной информации нужно выделить из всех запросов те, в которых «идёт речь» о пароле. Характерным признаком такого POST-запроса может быть слово «password», «pass», «psw» и т.п.
Таким образом, каждому пользователю можно сопоставить набор логинов и паролей, которые он использует для авторизации на различных ресурсах. Прошу заметить, что вмешательством в частную жизнь это станет, если офицер безопасности воспользуется полученной информацией или передаст её третьим лицам. Но наша цель иная. Имея на руках подобных набор, сравним комбинации сотрудника с теми, которые он использует в корпоративной сети. Если найдутся совпадения – меняем «проштрафившиеся» корпоративные пароли, объясняя это «плановой сменой паролей». В итоге, мы не вторгаемся в частную жизнь человека, но повышаем уровень безопасности предприятия.
Скажи мне кто твой друг
И это поможет безопаснику. Но в принципе, можно и не говорить. Анализ социальных связей сотрудников – большой пласт в работе офицера по безопасности. Его особенность заключается в том, что он не столько технический, сколько психологический. Этот факт, к сожалению, сильно снижает популярность подхода. Ниже я попытаюсь показать, насколько бывает полезно время от времени побыть психологом.
Сплочённый и дружный коллектив, думаю, не мешал ещё ни одному работодателю. Но конфликты и ссоры – неизбежная часть трудовой деятельности. Творческий подход неизбежно ведёт к конфликту, так как только выдвигая разные точки зрения для решения одной и той же задачи, можно найти наиболее подходящий путь к выходу. Проблема в том, что после спора всегда есть как минимум две стороны: победители и побеждённые. Другими словами, мы имеем дело с обиженными сотрудниками. А от обиды до мести – всего ничего. Таким образом, чтобы предотвратить возможные негативные последствия, обиженных сотрудников следует включать в особую «группу риска». Т.е. брать под более плотный контроль всю их деятельность на рабочем месте. Но сначала необходимо научиться выявлять этих «обиженных».
Существует несколько способов для решения этой задачи, и каждый имеет свои плюсы и минусы. Поэтому полезно использовать их все, чтобы затем иметь информацию для составления общей картины.
Итак, первое, что нам необходимо – установить факт конфликта. В фокусе DLP признаками может служить аномальное увеличение или снижение активности разговоров в мессенджерах. Определить это можно с помощью ReportCenter – инструмента, входящего в «КИБ SearchInfrom» и позволяющего составлять отчёты на основе собранной статистики.
Вот подозрительная активность, которую необходимо проверить. Ещё 1 февраля у Шумилина Олега «в активе» было лишь 1 сообщение за день, а 2 числа почти сотня. Установить наличие конфликта помогут перехваченные сообщения.
Лидеры коллектива, нелояльные сотрудники и дезинформация
Однако, может случится и так, что в электронной переписке корня проблемы не обнаружится. А значит, что понадобится информация от людей на местах. Но идти и спрашивать у всех «что случилось» - не вариант. Гораздо проще найти тех, кто обычно в курсе всего и вся. Речь идёт о популярных сотрудниках. Дружить с «душой коллектива» безопаснику крайне полезно. «По дружбе» люди делятся информацией гораздо охотнее, чем «по приказу». Но как незаметно выявить неформальных лидеров коллектива? Для этого используем граф отношений, входящий в состав ReportCenter.
В нём предусмотрена цветовая дифференциация пользователей по принципу «свой-чужой». Зелёным выделены доменные пользователи, фиолетовым – внешние. Цвет нитей визуально показывает какое количество сообщений и по какому каналу связи было передано. Анализируя графы по каждому сотруднику можно выделить «самых общительных».
Таким образом, обнаружив аномальные всплески активности можно воспользоваться дружескими отношениями с популярными сотрудниками, чтобы более полно выяснить причины и участников.
Лидеров коллектива также можно использовать для выявления нелояльных сотрудников. Естественно, они не должны знать о том, что с их помощью решаются какие-то задачи по безопасности. Итак, популярным сотрудником безопасник сообщает какую-либо дезинформацию, которую затем легко можно будет отыскать в переписке. К примеру «всем, кто завтра придёт без галстука, штраф 5000 рублей». Затем остаётся лишь проанализировать диалоги с фразами «без галстука», «5000» и т.п. и посмотреть на реакцию сотрудников. Почему мы использовали именно популярных сотрудников? Всё просто – чтобы информация быстрее разошлась, при этом охватив максимальное количество работников.
Бывшие
Бывшие сотрудники представляют собой отдельную опасность. Причём особо опасны те, кто был уволен или уходил со скандалом, но имеет друзей в действующем коллективе. Рассмотрим ситуацию на конкретном примере.
В одной из структур сотрудница была отправлена на заслуженную пенсию в 75 лет. Беда в том, что полюбовный «уход на покой» был лишь на бумаге. По факту сотрудница обиделась и начала писать «кляузы» в проверяющие инстанции. При этом в основу обращений вкладывались существующие факты с небольшими изменениями. К примеру, загорелась урна у склада готовой продукции. Этот факт трансформировался в «из-за недосмотра администрации предприятия и грубого нарушения пожарной безопасности произошло возгорание, которое едва не привело к возгоранию готовой продукции»… Приезжающие комиссии отмечали данные заявления, как «частично подтвержденные», что лишало предприятие возможности сделать ответные действия в сторону бывшей сотрудницы.
В решении проблемы поспособствовала DLP-система. Сперва «подняли» тот период, когда пенсионерка ещё работала в компании. С помощью графа связей были установлены лица, с которыми сотрудница часто переписывалась. Они первыми подпадали под подозрения, так как обращения в инстанцию начались уже после увольнения, а, значит, кто-то снабжал «мстителя» информацией. Переписку сотрудниц-подруг проверили и выяснили, что некоторые из них делились информацией об инцидентах и происшествиях без злого умысла. Так сказать, просто отвечая на вопрос «ну, что нового у вас там?». С сотрудницами была проведена профилактическая беседа, продемонстрированы «жалобы», после чего они сами перестали делиться «чувствительной информацией» с бывшей коллегой.
Напоследок
Хотелось бы ещё раз напомнить, что DLP-системы – это мощный инструмент, для работы которого недостаточно нажать пару кнопок. Информация, полученная с помощью него, может быть использована и в преступных целях. Поэтому крайне важно быть уверенным в том человеке, который работает с DLP. Рациональный контроль персонала заключается в умении офицера безопасности быть «меж двух огней». За утечкой информации всегда стоит какой-то конфликт. Умение выявлять, анализировать и разрешать конфликты – один из самых важных навыков безопасника, на мой взгляд. Именно о конфликтах, и о всём, что с ними связано, мы поговорим в следующей статье.
