Посоветуйте IDS/IPS/DLP

[Алексей Дрозд 0]

Мне интересно. Появилась ли DLP или иная система мониторинга, которая бы отслеживала факт физического вытаскивания харда или загрузки с liveCD/USB с последующим копированием информации.

И да, и нет. У Контура информационной безопасности SearchInform появился новый модуль ProgrammSniffer, который, в том числе, умеет отслеживать физическое снятие\установки железа. В частности: жёсткие диски, оперативку, видеокарты, мониторы, аудиокарты, процессоры.

А вот загрузку с live-носителей, увы, пока не отследить. Агент работает на установленной ОС. Максимум что можно - контролировать пользователя, даже если он зашёл в безопасный режим. В случае же с live-носителями, система взята "с потолка". Тут надо принципиально нового агента разрабатывать, который бы, например, в BIOS или UEFI прошивался.

Вечером выключил машину, утащил жесткий. Дома подключил к компьютеру с линуксом. Слил все что было. Утром пришел, вставил обратно. Загрузил рабочий комп.

Мне надо чтоб Длп агент, как только он вгрузился в систему с принесенного обратно харда, сразу прочухал, что хард вынимали и дал алерт .

Собственно, именно эту идею мы и приследовали, когда разрабатывали ProgramSniffer.

Боюсь что в этом случае DLP не поможет. По крайней мере я таких решений не знаю, где был бы такой функционал. Возможно кто-то из коллег подскажет что-то или знает больше.

Уже поможет. Такой функционал заложили и в более "лёгкий" продукт WorktimeMonitor, и в КИБ.

[Dfg 36]

А вот загрузку с live-носителей, увы, пока не отследить. Агент работает на установленной ОС. Максимум что можно - контролировать пользователя, даже если он зашёл в безопасный режим.

Посмотрите выше про контроль временных меток ntfs, только спец-дистрибутивы linux заточенные под форензику не трогают эти метки. Либо применение аппаратного блокиратора записи. Остальное можно отловить.

[mvs 92]

неплохим дополнением - пароль на биос (для того чтобы нельзя было грузиться со всяких носителей), шифрование носителей ( в том числе ЖД), стикеры, наклейки, пломбы.

[Алексей Дрозд 0]

Посмотрите выше про контроль временных меток ntfs, только спец-дистрибутивы linux заточенные под форензику не трогают эти метки. Либо применение аппаратного блокиратора записи. Остальное можно отловить.

Согласен. Я говорил про текущее положение дел у КИБ. Не исключено, что подобные задачи поставлены на доработку и появятся в релизе в обозримом будущем.