Перейти к содержанию
Сергей Ильин

Big Data на службе у корпоративного ИБ

Recommended Posts

Сергей Ильин

На прошедшей в пятницу конференции DLP Russia была сформулирована идея развития корпоративных систем информационной безопасности в сторону тотального контроля информации о сотрудниках. Накопление больших объемов данных из самых различных источниках о том, что делает сотрудник на рабочем месте и за его пределами, может по задумке помочь выявить многие нарушения и аномалии в зародыше.

В частности было высказан тезис, что АНБ действует в целом правильно. Но они просто кладируют данные и обрабатывают их если нужно (on-demand), а корп. системы должны делать тоже самое, но в меньшем масштабе + иметь возможности для автоматического и оперативного анализа событий.

Что скажете относительно столь смелой идеи?

Технически сделать это не так сложно. Для этого надо взять хорошую DLP-систему. Прикрутить к ней средство мониторинга открытых источников, такое как Крибрум, например. Прикрутить системы видео-наблюдения, перехвата мобильных звонков, геолокации. Вот вам и АНБ-мини для корпораций.

На конференции я высказал сомнения в том, что на практике такая система будет востребована на морально-этическом уровне. Многие вещи о сотрудниках лучше не знать. Иначе работать придется одному :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr. Faust

Скажу, что зря вы говорите, что это просто, это очень даже не просто. Когда говорят "Big Data" это означает определённый уровень подхода к методам хранения и поиска информации, и чем больше те объёмы информации с которой надо работать, тем более высокие требования у вас будут как к инфраструктуре ЦОД, так и к СПД и прочим подсистемам. Так что если вы хотите поиграть в АНБ и знать о сотрудниках всё, кому что писал, про что писал, какие вложения отправлял, о чём и с кем по аське или телефону трещал, с кем курить ходил, о чём говорил, в какой дропбокс и что заливал, какие программы за весь день открывал и б-г знает что ещё, то будте готовы к тому, что в инфраструктуру и обучение придётся вкладываться.

Сейчас взрывного интереса к тотальной слежке за сотрудниками с помощью технических средств не наблюдается, пока во всяком случае, из этого можно сделать вывод о том, что большинству компаний это не нужно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Скажу, что зря вы говорите, что это просто, это очень даже не просто. Когда говорят "Big Data" это означает определённый уровень подхода к методам хранения и поиска информации, и чем больше те объёмы информации с которой надо работать, тем более высокие требования у вас будут как к инфраструктуре ЦОД, так и к СПД и прочим подсистемам. Так что если вы хотите поиграть в АНБ и знать о сотрудниках всё, кому что писал, про что писал, какие вложения отправлял, о чём и с кем по аське или телефону трещал, с кем курить ходил, о чём говорил, в какой дропбокс и что заливал, какие программы за весь день открывал и б-г знает что ещё, то будте готовы к тому, что в инфраструктуру и обучение придётся вкладываться.

Я не говорил, что это просто. Но отталкиваясь от возможностей современных DLP, которые почти все перехватывают и "пишут", а также могут анализировать, задача выглядит уже не такой сложной. Почти все уже можно писать, и Skype, и Dropbox, и даже какие окна открывались и сколько человек там сидел, что копировал в буфер обмена и т.п.

Далее подтягиваются данные из открытых источников. Тут задача сложнее, потому как это по уровню технологий должен быть качественный поисковик с возможностью категоризации и кластеризации данных, их ранжирования.

Сейчас взрывного интереса к тотальной слежке за сотрудниками с помощью технических средств не наблюдается, пока во всяком случае, из этого можно сделать вывод о том, что большинству компаний это не нужно.

Верно, пока нет. Но движение в эту сторону намечается. Вопрос в том, что будет первым. Кто представит первое решение класса АНБ-мини :)

P.S. Наталья Касперская на пленарке заявила, что готова сделать такое за $5-10 млн. Т.е. как только найдется хороший клиент, то они это сделают.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Сегодня Игорь Ляпунов из Инфосистем Джет подтвердил тренд. Его компания тоже идет в том же направлении. Дозор агрегируем информацию из самых различных источников и складывает все в Oracle Exadata. Я мало знаком с этой системой баз данных, но судя по всему быстродействие она обеспечивает хорошее.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Сегодня Игорь Ляпунов из Инфосистем Джет подтвердил тренд. Его компания тоже идет в том же направлении. Дозор агрегируем информацию из самых различных источников и складывает все в Oracle Exadata. Я мало знаком с этой системой баз данных, но судя по всему быстродействие она обеспечивает хорошее.

Скорее всего имелось в виду вот это - http://www.oracle.com/us/products/database...view/index.html. Стоить оно будет как самолет, СУБД понятное дело Oracle.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr. Faust

Да, Олег, это именно оно и есть, стоить правда может по-разному, совсем не обязательно как самолёт:) Но то, что это чистый enterprise, это да, именно это я имел ввиду, когда говорил про определённый уровень хранения информации и необходимости платить за хотелку побыть мини-АНБ.

Кому интересно про Exadata можно почитать:

http://www.jetinfo.ru/author/aleksandr-sko...-oracle-exadata и

http://www.jetinfo.ru/stati/rezultaty-testirovaniya.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Дозор-Джет уже сейчас способен обрабатывать поток в десятки Гб/с, о поддержке 10Гб/c они объявили в версии 5.0. Естественно, весь снимаемый трафик после оптимизации и обработки надо куда-то складывать. Там конечно не гигабайты уже получаются, а на порядок меньше, но за сутки все равно будет прилично набегать. Поэтому и Exadata на повестке дня для таких крупных внедрений.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
    • PR55.RP55
      Предлагаю автоматически ( при формировании скрипта  ) удалять  идентичные расширения браузеров по ID т.е. удаляем расширение из одного браузера = автоматически  удаляем это расширение из всех браузеров. https://www.comss.ru/page.php?id=12970 --------------- Возможно в Категориях по браузерам стоит собирать\ консолидировать все доступные данные по этому браузеру. т.е. не только данные о расширениях, но и назначенные задания; все подписанные или не подписанные файлы; Все файлы _которые есть в каталогах браузеров_; скрипты; ярлыки; групповые политики; сетевая активность и т.д.    
×