Комментарии 16
Начало заворожило. Вам бы сказки писать :-)
Расскажите, как предотвращается утечка данных, если:
— Если не запрещать проносить свои смартфоны (сфоткал документ важный и отправил конкурентам через мобильный инет?)
— А если запрещать смартфоны, то нужно ли делать досмотр при входе в офис и рентген просветку тела, чтобы в попе миникамеру не пронесли?)
— А если не запрещать смартфоны, нужно ли ставить глушилки сигналов сотовой связи? (звонить только через проводной корпоративный телефон, который уже выныривает в мобильную сеть где-то подальше от глушилок?)
— А если здание арендное и там много фирм и чужих сотрудников — пропускной режим и глушилки не прокатят?
— А если не вводить белые списки доступа к ресурсам в глобальной сети, и не запретить https, который everywere, то что делать с гугл дисками и документами, гуглопочтами (веб морда), скайпами, web телеграм (end to end шифрование), соц.сетями (которые давно не только для баловства, но и для общения по работе, для продаж, рекламы и маркетинга)?
— А если сделать лютый DPI, белые списки и подделку сертификатов (mitm), то как работать то? (безопасность обратно пропорционально удобству — я бы не хотел в такой конторе работать).
Ну, и затраты на покупку, внедрение и обслуживание такой системы могут превысить потери от утечки данных.
(про военные супер секретные объекты речи не идет сейчас — там деньги «из тумбочки»)
А если все это не делать, то зачем платить сотни нефти за DLP, если оно, как чугунная 5 метровая стена, но только на 86% периметра, а кое где остается деревянный заборчик, а иногда просто кусты и прудик ..)))
P.S. Работаю в корпорации,где сотни нефти где только на региональном уровне пару тыщ сотрудников (а ваще входит в международную группу компаний). Даже наши лютые безопаснеги, которые согласовывают каждый чих, правило фаера или программу — месяцами!!! (и это для не для бухгалтера или маркетолога, который только что пришел на работу второй день — а для системного инженера, который работает много лет, который обосновал и согласовал с тыщей начальников) — даже в такой компании не внедрили DLP…
— Если не запрещать проносить свои смартфоны (сфоткал документ важный и отправил конкурентам через мобильный инет?)
— А если запрещать смартфоны, то нужно ли делать досмотр при входе в офис и рентген просветку тела, чтобы в попе миникамеру не пронесли?)
— А если не запрещать смартфоны, нужно ли ставить глушилки сигналов сотовой связи? (звонить только через проводной корпоративный телефон, который уже выныривает в мобильную сеть где-то подальше от глушилок?)
— А если здание арендное и там много фирм и чужих сотрудников — пропускной режим и глушилки не прокатят?
— А если не вводить белые списки доступа к ресурсам в глобальной сети, и не запретить https, который everywere, то что делать с гугл дисками и документами, гуглопочтами (веб морда), скайпами, web телеграм (end to end шифрование), соц.сетями (которые давно не только для баловства, но и для общения по работе, для продаж, рекламы и маркетинга)?
— А если сделать лютый DPI, белые списки и подделку сертификатов (mitm), то как работать то? (безопасность обратно пропорционально удобству — я бы не хотел в такой конторе работать).
Ну, и затраты на покупку, внедрение и обслуживание такой системы могут превысить потери от утечки данных.
(про военные супер секретные объекты речи не идет сейчас — там деньги «из тумбочки»)
А если все это не делать, то зачем платить сотни нефти за DLP, если оно, как чугунная 5 метровая стена, но только на 86% периметра, а кое где остается деревянный заборчик, а иногда просто кусты и прудик ..)))
P.S. Работаю в корпорации,
люто плюсую
Имхо, только Ситхи возводят всё в абсолют. DLP всё же может прилично минимизировать риски.
1. Утечек будет значительно меньше, если хотя бы простой бухгалтер не сможет отправить приватную информацию по почте. Или хотя бы попадётся на этом.
2. Потерять 1млн записей личных данных которые кто-то куда-то закачал, и потерять данные, которые можно нафотографировать на смартфон — вещи разных порядков.
1. Утечек будет значительно меньше, если хотя бы простой бухгалтер не сможет отправить приватную информацию по почте. Или хотя бы попадётся на этом.
2. Потерять 1млн записей личных данных которые кто-то куда-то закачал, и потерять данные, которые можно нафотографировать на смартфон — вещи разных порядков.
Я согласен, что приукрасил)) Но все же нужно сильно считать расходы и риски…
Т.е. это ничего, если простой бухгалтер нащелкает на камеру пару сотен договоров с ключевыми клиентами или еще какие отчеты годовые по балансам, долгам, прибыли — с экрана монитора?
Вопросы к диэлпишнегам или кто внедрял или эксплуатировал DLP:
— Как я понимаю, на компьютеры сотрудников ставится программа-агент, которая анализирует данные еще до браузера и httpS? Есть ли агент под Linux и Яблоко? Или только виндовс?
И как вот такой вектор утечки отразить — простому админу с рут доступом к серверам с СУБД или хранилкам дампов/бэкапов БД — заплатили конкуренты компании, чтобы он слил низкоуровнево базу CRM/ERP (это я к тому, что фоткать ничего не надо и агента на сервере нету). Админ сливает на примонтированный накопитель, или создает временный тунель в мир, который притворяется https web трафиком и за пару недель порциями по чуть чуть аккуратненько сливает гигабайты кому надо? Затем подтирает команды, журналы на серве…
Дальше воображение рисует еще более сложную схему — чтобы там не палить даже https исходящий трафик с сервера через корпоративную сеть — воткнуть в сервак роутер с 3G свистком, настроить маршрут /32 до специального хоста в Мире через этот роутер и слить через этот канал...)
Т.е. это ничего, если простой бухгалтер нащелкает на камеру пару сотен договоров с ключевыми клиентами или еще какие отчеты годовые по балансам, долгам, прибыли — с экрана монитора?
Вопросы к диэлпишнегам или кто внедрял или эксплуатировал DLP:
— Как я понимаю, на компьютеры сотрудников ставится программа-агент, которая анализирует данные еще до браузера и httpS? Есть ли агент под Linux и Яблоко? Или только виндовс?
И как вот такой вектор утечки отразить — простому админу с рут доступом к серверам с СУБД или хранилкам дампов/бэкапов БД — заплатили конкуренты компании, чтобы он слил низкоуровнево базу CRM/ERP (это я к тому, что фоткать ничего не надо и агента на сервере нету). Админ сливает на примонтированный накопитель, или создает временный тунель в мир, который притворяется https web трафиком и за пару недель порциями по чуть чуть аккуратненько сливает гигабайты кому надо? Затем подтирает команды, журналы на серве…
Дальше воображение рисует еще более сложную схему — чтобы там не палить даже https исходящий трафик с сервера через корпоративную сеть — воткнуть в сервак роутер с 3G свистком, настроить маршрут /32 до специального хоста в Мире через этот роутер и слить через этот канал...)
Для защиты от админа используются немного другие методы. Анализ сетевой активности, операции с логами и тп (не с помощью DLP). Туда же входит анализ подключаемого оборудования. Организовать полноценную защиту (в том числе от утечек) с учетом разных фактор — это задача, выходящая за рамки настройки DLP.
— Как я понимаю, на компьютеры сотрудников ставится программа-агент, которая анализирует данные еще до браузера и httpS? Есть ли агент под Linux и Яблоко? Или только виндовс?
Агент является популярным решением, существуют реализации системы без агентов и с применением смешанных технологий агент / без агента. Касаемо Linux дистрибутивов и эндпоинт-агентов для них, все зависит от конкретного дистрибутива и производителя DLP. На ОС Windows и MacOS, конечно, существуют реализации агентских решений.
И как вот такой вектор утечки отразить — простому админу с рут доступом к серверам с СУБД или хранилкам дампов/бэкапов БД — заплатили конкуренты компании, чтобы он слил низкоуровнево базу CRM/ERP (это я к тому, что фоткать ничего не надо и агента на сервере нету). Админ сливает на примонтированный накопитель, или создает временный тунель в мир, который притворяется https web трафиком и за пару недель порциями по чуть чуть аккуратненько сливает гигабайты кому надо? Затем подтирает команды, журналы на серве…
Дальше воображение рисует еще более сложную схему — чтобы там не палить даже https исходящий трафик с сервера через корпоративную сеть — воткнуть в сервак роутер с 3G свистком, настроить маршрут /32 до специального хоста в Мире через этот роутер и слить через этот канал...)
Отследить канал, построенный администратором-инсайдером с 3g роутером, действительно будет очень сложной задачей. В этой ситуации могут помочь построенные процессы управления ИБ и ИТ, чтобы предотвратить такой инцидент.
Неистово плюсую.
Сначала организационные меры: изучение какие данные есть, что в принципе надо охранять и от кого, стандарты ИБ, обучение пользователей основам ИБ и так далее.
А все эти DLP — это возможно затычка на определенные (строго ограниченные) рабочие места и то не факт.
И всегда надо считать, окупится ли DLP, не дешевле ли просто потерять данные… например уйдет на сторону некая бухгалтерская или финансовая информация… и что? Если компания белая — ну ушла… и? она может уйти и через налоговую. Ну если и ушла то какой потенциальный вред может быть нанесен? Кому очень большой а кому-то и все равно.
В общем тема очень специфическая, и всякие системы контроля — это одно из решений, внедрение (частичное внедрение) которой надо очень хорошо просчитать сначала.
Судя по статье, в организации не было порядка с ИБ, если понадобилось интервьюирование и помощь в составлении ТЗ.
Сначала организационные меры: изучение какие данные есть, что в принципе надо охранять и от кого, стандарты ИБ, обучение пользователей основам ИБ и так далее.
А все эти DLP — это возможно затычка на определенные (строго ограниченные) рабочие места и то не факт.
И всегда надо считать, окупится ли DLP, не дешевле ли просто потерять данные… например уйдет на сторону некая бухгалтерская или финансовая информация… и что? Если компания белая — ну ушла… и? она может уйти и через налоговую. Ну если и ушла то какой потенциальный вред может быть нанесен? Кому очень большой а кому-то и все равно.
В общем тема очень специфическая, и всякие системы контроля — это одно из решений, внедрение (частичное внедрение) которой надо очень хорошо просчитать сначала.
Судя по статье, в организации не было порядка с ИБ, если понадобилось интервьюирование и помощь в составлении ТЗ.
В первую очередь стоит учитывать стоимость защищаемой информации. В случае, если потенциальный ущерб от разглашения информации составляет меньшую сумму, чем внедренные / проектируемые средства защиты, можно сделать вывод о серьезных ошибках в таком проекте. Однако в некоторых случаях действительно следует рассматривать защиту таких каналов утечки информации, но чаще всего это касается оооочень секретной информации, которой обычно нет у большинства коммерческих компаний;)
Также важнейшими аспектами в выборе этих средств являются модели потенциальных злоумышленников. В целом, действия подготовленного и квалифицированного внутреннего злоумышленника-инсайдера предотвратить действительно практически невозможно. Однако не следует забывать о функционале, который позволяет вести расследования уже произошедших инцидентов ИБ, а также о функционале, позволяющем предотвратить непреднамеренные “сливы” информации сотрудниками по ошибке (т.е. система может не только использоваться для “карательных” воздействий, но также может и помогать не совершать ошибок).
Абсолютно верно, DLP не может являться единственной технологией “на страже конфиденциальных данных”, концепция линии Мажино в современном мире технологий неприменима. Однако DLP-система будет являться эффективным компонентом системы информационной безопасности при поддержке руководства организации, где происходит внедрение и эксплуатация данной системы.
Также важнейшими аспектами в выборе этих средств являются модели потенциальных злоумышленников. В целом, действия подготовленного и квалифицированного внутреннего злоумышленника-инсайдера предотвратить действительно практически невозможно. Однако не следует забывать о функционале, который позволяет вести расследования уже произошедших инцидентов ИБ, а также о функционале, позволяющем предотвратить непреднамеренные “сливы” информации сотрудниками по ошибке (т.е. система может не только использоваться для “карательных” воздействий, но также может и помогать не совершать ошибок).
зачем платить сотни нефти за DLP, если оно, как чугунная 5 метровая стена, но только на 86% периметра
Абсолютно верно, DLP не может являться единственной технологией “на страже конфиденциальных данных”, концепция линии Мажино в современном мире технологий неприменима. Однако DLP-система будет являться эффективным компонентом системы информационной безопасности при поддержке руководства организации, где происходит внедрение и эксплуатация данной системы.
НЛО прилетело и опубликовало эту надпись здесь
В банках DLP — одна из слоев защиты (их там намного больше), так вот касаемо жгучего вопроса о смартфонах.
Его можно пронести, зарегать у CSO, после чего выходить с него в корпоративный вайфай, но при этом доступ в среду ДДК будет заблокирован.
Наиболее сильная сторона DLP — это внедрение меток. Например, сотрудник выложил некий документ с портала в публичный доступ. Прикол в том, что при скачивании туда добавилась стеганография с инфой про сотрудника.
Далее ИБ карает сотрудника и все ходят испуганные и не пытаются этого повторить.
P.S. Если вы думаете, что настраивать DLP очень сложно — то вас ждут множество сюрпризов в будущем.
Его можно пронести, зарегать у CSO, после чего выходить с него в корпоративный вайфай, но при этом доступ в среду ДДК будет заблокирован.
Наиболее сильная сторона DLP — это внедрение меток. Например, сотрудник выложил некий документ с портала в публичный доступ. Прикол в том, что при скачивании туда добавилась стеганография с инфой про сотрудника.
Далее ИБ карает сотрудника и все ходят испуганные и не пытаются этого повторить.
P.S. Если вы думаете, что настраивать DLP очень сложно — то вас ждут множество сюрпризов в будущем.
Короче, я не против DLP.
И автор молодец, что выделил в статье важную мысль:
Я добавлю важное уточнение — мало эту систему внедрить!
Безопасность — это процесс.
DLP — сложная система, в которой нужно постоянно тюнить правила и т.д.
И кто-то должен анализировать новые угрозы, инциденты, проводить тесты.
ПОСТОЯННО!
Расскажу как это часто бывает в реале (это относится к любой системе, кстати, не только DLP, но и CRM, wiki, helpdesk, электронный документооборот etc.)
Если высшее руководство само не юзает систему, если не выстроены бизнес процессы и происходит рандомный хаос, если нет конкретных ответственных, которые реально замотивированы делать эту работу — все идет прахом)))
Например, у нас сам директор и гл. бух нарушали — не юзали электронный документооборот — юзали бумажки, флешки домой носили и обратно (ессно с вирусами и троянами)).
Периметр нарушен на самом высоком уровне!
И какой это пример всем остальным…
Итак, реальная история о DLP.
На предыдущем месте работы один акционер годами мечтал о безопасности.
Т.к. акционер это был не в штате, просто любил советы давать напрямую, минуя всякие собрания и глосования, то всем было похер на эти советы.
И все ложили на безопасность, кроме одного начальника, который пытался ее внедрить.
И еще контора экономила даже на туалетной бумаге.
Не было отдела безопасности, не было ни одной единицы в штате, кто официально должен был заниматься этим.
Потом мне втихую дописали в служебные обязанности, что я отвечаю за безопасность.
Я искренне пытался объяснять, как надо тогда все сделать. Что надо модель и оценка рисков, выстроить постоянные процессы безопасности, нанять людей, которые будут за это деньги получать и т.д. (Потому что у меня и так уже было дохера IT систем в хозяйстве) Вроде это было понятно всем, но все равно боссы и акционеры хотели сэкономить на штате и повесить это на кого-то в нагрузку без доплаты — типа поглядывать «в свободное время».
В итоге все было на от*ебись — и выбор системы и настройка.
Никто не мониторил, не тюнил, не анализировал сигналы и инциденты… А там было ацкое к-во настроек, аналитик, правил и прочих сущностей.
Руководство поставило галочку в зачотку «безопасность внедрена» и все на этом )))))
И автор молодец, что выделил в статье важную мысль:
Можно потратить миллионы на поставку и внедрение системы, но без ее правильной настройки результат не будет достигнут
Я добавлю важное уточнение — мало эту систему внедрить!
Безопасность — это процесс.
DLP — сложная система, в которой нужно постоянно тюнить правила и т.д.
И кто-то должен анализировать новые угрозы, инциденты, проводить тесты.
ПОСТОЯННО!
Расскажу как это часто бывает в реале (это относится к любой системе, кстати, не только DLP, но и CRM, wiki, helpdesk, электронный документооборот etc.)
Если высшее руководство само не юзает систему, если не выстроены бизнес процессы и происходит рандомный хаос, если нет конкретных ответственных, которые реально замотивированы делать эту работу — все идет прахом)))
Например, у нас сам директор и гл. бух нарушали — не юзали электронный документооборот — юзали бумажки, флешки домой носили и обратно (ессно с вирусами и троянами)).
Периметр нарушен на самом высоком уровне!
И какой это пример всем остальным…
Итак, реальная история о DLP.
На предыдущем месте работы один акционер годами мечтал о безопасности.
Т.к. акционер это был не в штате, просто любил советы давать напрямую, минуя всякие собрания и глосования, то всем было похер на эти советы.
И все ложили на безопасность, кроме одного начальника, который пытался ее внедрить.
И еще контора экономила даже на туалетной бумаге.
Не было отдела безопасности, не было ни одной единицы в штате, кто официально должен был заниматься этим.
Потом мне втихую дописали в служебные обязанности, что я отвечаю за безопасность.
Я искренне пытался объяснять, как надо тогда все сделать. Что надо модель и оценка рисков, выстроить постоянные процессы безопасности, нанять людей, которые будут за это деньги получать и т.д. (Потому что у меня и так уже было дохера IT систем в хозяйстве) Вроде это было понятно всем, но все равно боссы и акционеры хотели сэкономить на штате и повесить это на кого-то в нагрузку без доплаты — типа поглядывать «в свободное время».
В итоге все было на от*ебись — и выбор системы и настройка.
Никто не мониторил, не тюнил, не анализировал сигналы и инциденты… А там было ацкое к-во настроек, аналитик, правил и прочих сущностей.
Руководство поставило галочку в зачотку «безопасность внедрена» и все на этом )))))
В лучшем случае эти системы покажут что ваши файлы уже утекли. В обычном случае ничего не покажут. Так что не тратьте деньги, если вас не вынуждают установить такое законодательно. В реальных кейсах ничего это не поможет. Лучше делайте инфраструктуру безопасную. А копирование почты пользователей вам любый приличный админ прикрутит.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Внедрение DLP-системы на примере ритейла