«Если уже слили»: как сделать документооборот чуточку безопаснее — базовые ИБ-рекомендации

    Ранее мы обсуждали неочевидные моменты, связанные с ротацией парольных фраз и персональной ИБ. Сегодня продолжим тему, но поговорим о работе с файлами, а именно о том, как вычислить, кто «слил» конфиденциальную информацию по метаданным и защитить документы компании.

     Wikimedia / U.S. Navy photo / PD
    Wikimedia / U.S. Navy photo / PD

    Поиск «уникальных утечек»

    Если компания обменивается конфиденциальными файлами с большим количеством партнеров, неизбежно случаются утечки и закрытая информация попадает в сеть. Как сообщили в ZDNet, буквально пару месяцев назад так «слили» корпоративные файлы Intel объёмом более 20 Гбайт.

    Источник подобной проблемы можно было бы обнаружить, если заранее внедрить в документооборот вспомогательную систему, которая вносила бы в каждую копию особо ценных документов незначительные модификации — дополнительные пробелы, отсутствующие точки, «невидимые символы», омоглифы или даже опечатки. Это — один из самых простых вариантов защиты, поэтому его достаточно легко вычислить, если у человека есть опыт работы с текстом. В качестве более продвинутого подхода применяют более сложные аффинные преобразования.

    Такой метод годится как для обычных бумаг, так и для электронных файлов. С помощью средств автоматизации в распространяемые экземпляры вносят уникальные комбинации изменений — например, незначительные различия в межстрочных интервалах, кернинге, цвете текста и других параметрах форматирования. Проверка копий производится с помощью программного наложения таких признаков — в системе они находятся в виде компактных «слепков», чтобы не забивать хранилище сотнями вариантов для каждого отдельного PDF-файла. Кстати, на днях на Хабре выходил рассказ от лица компании, занимающейся разработками в этой области, а простейшие действия можно предпринять и путем генерации документов с помощью Python-библиотеки FPDF:

    from fpdf import FPDF 
    
    pdf = FPDF() 
    
    pdf.add_page() 
    
    pdf.set_font("Arial", size = 15) 
      
    pdf.cell(200, 10, txt = "HabraPost",  
             ln = 1, align = 'C') 

    Помимо или в качестве дополнения к работе с содержимым стоит рассмотреть возможность учета метаданных. Уникальные экземпляры особо ценных файлов можно «прогонять» через утилиты вроде MD5 Hash Changer, модифицирующие хеш путем добавления произвольного числа null-значений.

    Вендор-лок aka DRM

    Этот подход стоит смело отнести к более жестким, но уже из категории превентивных. Он известен всем по широкому применению в среде дистрибуции музыки, игр и электронных книг, где сложно себе представить возможность отслеживания судьбы сотен миллионов уникальных копий файлов.

    Решения такого типа есть для корпоративной среды — например, их используют для лицензирования видео в индустрии гостеприимства, чтобы не закупать специальное DRM-железо для отелей, защитить трансляции от копирования и эффективнее управлять инфраструктурой для доставки контента.

    Если говорить о более классических use-кейсах (защите корпоративных документов), речь в основном сводится к работе над корпоративной мобильностью (на дистанционное и в офисе) — контролю за устройствами сотрудников, сетевым доступом и шифрованием. Этот подраздел DRM-контроля еще называют IRM (Information rights management) или E-DRM (Enterprise Digital Rights Management).

    Avi Richards / Unsplash.com
    Avi Richards / Unsplash.com

    Часто такие решения разворачивают в облаке — например, для отдельных виртуальных рабочих мест. Такой подход позволяет закрыть и ряд вопросов, связанных с угрозой зловредов и различных векторов атак, которые могут привести к сливу особо важных документов компании.

    Отдельные решения — вроде Dangerzone — могут послужить дополнением к такому сетапу.

    Они конвертируют в своей «песочнице» подозрительные док-файлы, изображения и презентации (например, поступившие от неизвестных отправителей по email в адрес компании) в безопасные PDF-ки.

    Вопрос доверия

    Различные методики защиты документов применяют и спецслужбы (см. дело Реалити Виннер), но иногда стоит взвесить необходимость использования большей части из этих мер в вашей компании.

    Если вы введете их без помощи юристов или не уведомите ваших сотрудников о том, что защищаете документооборот с определенными целями, а они начнут замечать странное форматирование документов, такая забота об информационной безопасности может стать «выстрелом в собственную ногу». После этого вам придется тратить сили уже на восстановление доверия в коллективе.

    Нужно понимать, что технологии — не могут быть «серебряной пулей», если рассматривать их в отрыве от человеческого фактора и анализа общего устройства бизнес-процессов компании.

    Дополнительное чтение:

    На Хабре:


    1cloud.ru
    IaaS, VPS, VDS, Частное и публичное облако, SSL

    Комментарии 16

      +1
      Нет, будет примерно так: один сотрудник (безопасник) вносит в текст намеренные опечатки, другой сотрудник (нормоконтроллер или юрист) их удаляет, потому что «опять набрали дебилов по объявлению, не могут без ошибок простой документ набрать».
        +1
        Текст с опечатками предназначен для передачи в другие отделы/организации. Кому интересно вычишать текст, полученный от сторонней организации, если к следующей версии все твои старания пропадут.
        0

        А какая практическая польза от всех этих манипуляций с хэшами, пробелами и запятыми? Джон из компании Интел передал файлы Ивану из компании подрядчика и Иван выложил эти документы в общий неконтролируемый доступ в корпоративной сети. Теперь все внутри корпорации скачают данные файлы с одинаковыми запятыми и хэшами. А допустим, мы внедрим систему, что с файл-сервера компании для разных пользователей файлы будут скачиваться с разными пометками. Это решение максимум на один раз — потому что после поимки одного человека за слив и раскрытием данного метода остальные желающие сливать будут очищать документы от этих пометок перед сливом.

          +1
          Чтобы очищать, нужно иметь как минимум 2 копии текста для сравнения. А ещё можно так закодировать опечатки (например, фильтром Блума), что существенная часть опечаток будет одинаковой для этих двух копий и по утечке можно будет доказать, что слив произошёл из этих двух копий, а не других.
          0
          После этого вам придется тратить сили уже на восстановление доверия в коллективе.

          Не надо портить атмосферу в коллективе!
          Надо делать так, чтобы сливать было и стыдно и невыгодно.

            0

            Прям анекдотичная ситуация получится — конкуренты украли исходники продукта, а там такой трешак и лапшичные велосипеды, что проще свой продукт с нуля написать :-)

            0
            Пишется filesystem miniflter, который разрешает доступ к файлу только двум приложениям — ms-word и шифровальщик. Все остальные приложения не имеют доступ к файлу. Если надо его куда-то переслать, то это можно сделать только с помощью шифровальщика. На другом конце должен тоже быть установлен такой-же набор программ и ключей.
              +1
              Слишком много дыр.
              Ctrl+C в msword, Ctrl+V в WordPad или LibreOffice
                +1
                а еще принтскрин/фотка экрана мобильником и печать как есть
                  0

                  Интересно ещё то что документы защищённые в MS RMS нельзя скопировать и даже сделать с них скриншот. Даже через rdp сессию. Но если сессию открыть в окне. Сделать mstsc не активным окном, то скриншот работает.

                    0

                    Да, лучше бы про RMS статью написали, все же давно придумано

                    0
                    фотка экрана мобильником

                    От этого вообще трудно застраховаться программным способом.
                    Если только камеры видеонаблюдения в каждый угол поставить.
                    0
                    На это есть более комплексные решения типа Perimetrix. Там и копирование текста и скриншоты и сетевая активность, все под контролем. Любой чих и админ получает уведомление.
                  0

                  Самая большая проблема слитых данных- это куда их применить.

                    +1
                    А когда данные сливают целенаправленно, то мало какая методика поможет. Разве что блок всех I/O и видеокамеры над рабочеми местами, чтобы не фотографировали экраны. Или запрет на пронос любой техники и вынос любых распечаток. Хотя тут уже в бой вступают микро-разработки, как например сливали секретку из Штабов МО во времена Холодной войны.
                    0
                    Какой-то детский сад. Конфиденциальные документы нельзя шарить. Доступ к ним может быть только в чистой комнате.
                    Единственная утечка — сотрудник запомнит все напамять а потом воспроизведет. Но это уже забота HR не брать на работу потенциальных шпионов.

                    Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                    Самое читаемое