DLP-систем не существует. Категорично. Однако посмотрим вместе.
Система DLP – Data Leak Prevention – система предотвращения утечки данных. Цель таких систем – не дать возможность защищаемым данным покинуть некоторое информационное пространство. Цель, конечно, хорошая, но применяемыми методами не осуществимая.
Посмотрим список основных функций, предлагаемых различными DLP системами:
• контроля сети,
• внешнего оборудования,
• разграничение доступа к файлам
• и какие-то побочные функции (контроль буфера обмена, снятие скриншотов).
Теперь представим себе типового нарушителя такой системы – инсайдера (поскольку почти все компоненты защиты направлены внутрь информационного пространства).
Инсайдеру достаточно достать фотоаппарат или телефон и сделать снимки прямо с экрана (необязательно своего!) и защитные системы даже не узнают об этом. Предотвратить этого нельзя? Почему же, можно. Помогут организационные меры, видеонаблюдение, а не DLP.
Пойдем по каналам, «профильным» для DLP: попытаемся отправить электронное письмо с вложением. Почтовый прокси-сервер прекрасно отрабатывает – по каким-то своим признакам (специальные маркеры в файле, ключевые слова, …) наше письмо блокируется как попытка утечки данных.
А что если мы положим файл в архив с паролем? Из документа файл превратился в последовательность байт, близкую к случайной. Что в таком случае сделает DLP?
Запретим все письма, вложения которых нам не удается распознать? А вы уверены, что ваша DLP «знает» и «понимает» все основные форматы: txt, rtf, doc, docx, xls, xlsx, ppt, pptx, jpg, gif, png, avi, mp3, wav, mp4, … ? Распознает речь, фотографии, видео? Или немного более тонкий пример: сохраним наш защищаемый файл с какой-нибудь неправильной кодировкой (например, старые кодировки DOS), скопируем весь текст на слайд рекламной презентации и поменяем цвет текста на цвет фона. Такой «рекламе» конкуренты только рады будут.
Не забудем и про стеганографию. Простейший пример, который не требует дополнительных программ, кроме стандартных программ Windows и архиватора WinRAR – так называемый RARJPEG. Суть метода состоит в бинарном склеивании jpg картинки и rar архива. Стандарт JPEG предписывает игнорировать все байты после JPEG-контейнера, а WinRAR же наоборот игнорирует все байты до заголовка архива: файл, который, с одной стороны, корректно открывается просмотрщиком графических файлов, а с другой – корректно воспринимается как rar архив.
Получается, для защиты, нужно запретить возможность вложений как таковых.
Но даже при таком раскладе всегда есть функция base64, позволяющая превратить любую последовательность байт в текст, который можно вставить в письмо.
Запрещаем почту совсем? Остальные способы сетевой связи тоже? Отключить компьютер от локальной сети надежнее и дешевле любой DLP.
В то же время средствами создания изолированной среды можно надежно запретить такие действия именно для тех объектов, для которых это нужно, не запрещая механизм в целом.
Еще один классический канал утечек – подключаемые устройства. Зачем сотрудник копирует документ на флешку? Он понесет ее показать своему коллеге или отнесет домой и продаст конкурентам? Получается, или флешками пользоваться нельзя вообще, или... (как я показал в примере с вложением к письму, сделать файл недоступным для анализа, но выглядящим «безобидно» очень легко). Логичнее просто исключить возможность использования флешки за пределами системы, и пусть на ней будут любые файлы, не так ли?
А еще – аппаратные кейлоггеры – миниатюрные устройства, вставляемые в разрыв между компьютером и клавиатурой. Инсайдеру достаточно подключить такое устройство и перепечатать текст документа, чтобы вынести его. DLP не сможет помешать. Но сделать этого невозможно, если система контролирует состав своего оборудования.
У DLP-систем остается протоколирование действий пользователя (правда, не всех). Да, такое протоколирование очень важно при расследовании инцидентов, но где же тут Prevention?
DLP систем не существует. Под этим названием существуют системы контроля действий пользователей, которые уже после утечки, может быть, помогут найти виновного.
Я не останавливаюсь на морально-этической стороне описываемых ситуаций («Уважаемые коллеги, я, ваш начальник, не доверяю вам. Поэтому все ваши действия будут анализироваться на предмет того, не работаете ли вы на конкурентов». В то время как создание изолированной программной среды позволит сотруднику «не видеть» того, что его ограничивают – не видеть файлов, которые ему нельзя открывать, не иметь возможности скопировать в буфер обмена текст документа, из которого нельзя копировать, и так далее. «Не доводить до греха», а не «ловить за руку»).
И все же хочется отметить один важный плюс существования «DLP-систем». Люди начинают понимать, что за безопасность нужно платить деньги. К сожалению, под видом DLP-систем сейчас продается не реальная защита, а только видимость безопасности. Вместо новых способов затыкания дыр – нужно просто создавать доверенную среду. И решать тем самым вопрос радикально.
