DLP на уровне рабочих станций (Endpoint решение)

[Сергей Ильин 1538]

Коллеги, хотел бы обсудить интересную с моей точки зрения тему.

Речь пойдет о плюсах и минусах DLP-систем, работающих на уровне рабочих станций (EndPoint или Host DLP). Если говорить более детально, то на рынке сейчас представлена целая серия решений, которые не имеют шлюзовой составляющей, а весь анализ событий происходит на именно на уровне рабочих станций.

К таковым продуктам, например, относятся McAfee Host DLP или Trend Micro LeakProof.

К плюсам решений можно отнести:

- более гибкие возможности перехвата трафика;

- контроль действий пользователя с конф. данными (что открывается и что происходит дальше);

- запись всех событий с конфиденциальными данными (попытки снятия скриншота, copy/past и т.п.);

- возможности контроля конфиденциальных данных даже за пределами корп. сети.

К минусам можно отнести:

- нагрузка на рабочие станции (деградация производительности);

- деактивация агента на рабочей станции ведет к потере контроля;

- нет возможности использования ресурсоемких методов анализа контента (например, контентный анализ);

- необходимость постоянного отслеживания новых рабочих станций в сети - Policy Enforcement.

Что думаете, если у кого-то что добавить к этому?

Плюсы и минусы не всегда являются таковыми

[karmacoma 10]

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует. Понимаю что многие скажут где же она? Отвечу - она уже в Москве. Тестирования - ведутся

1) Самый главный плюс McAfee DLP Host - это его стоимость. Из расчета в 100 рабочих станций она составляет 54 доллара/1 лицензия. По истечению года работы, желательно купить поддержку в рамках которой пользователь получает обновления/патчи. Стоимость поддержки составляет 15% от стоимости самой лицензии. Если кто-то решил "поддержку" не продлять продукт всё также будет работать, но только без возможности получать обновления и перейти на новую версию.

2) Возможность разграничения доступа к внешним устройствам (функциональная часть McAfee Device Control входит в состав McAfee DLP Host). По функционалу это 99.99 % возможностей Devicelock/Zlock (печать на локальных и сетевых принтерах, физические устройства DVD/CD, USB-устройства, Wi-Fi, Bluetooth и др.).

3) Контроль приложений которым нужно сетевое соединение (электронная почта, HTTP (в том числе веб-почта) FTP, IM, )

4) Функционал "Discover" поиска тэгированных документов на рабочих станциях с установленным агентом

5) Совокупность 3-ех методов: Основной - тэг (метка на документе). И два вспомогательных: Цифровой отпечаток (помеченного/тэгированного документа) + поиск ключевых слов или регулярных выражений (целесообразно для документов без метки/тэга).

6) Русифицированный интерфейс консоли управления ePO Orchestraror

Теперь о минусах

1) Нагрузка на рабочую станцию (всё что установлено в виде агента, хоть и немного, но есть)

2) Не "разгрызает" БД на составление цифровых отпечатков, - здесь сила в шлюзовых решениях

3) Нет возможности снятия снимка экрана с рабочей станции с установленным агентом по желанию (контролирует функцию printscreen, но ведь есть и сторонные граберы экрана нежели стандартные)...

4) Решение не сертифицировано

5) Если не ошибаюсь, то не работает на ОС 64-bit

[Сергей Ильин 1538]

karmacoma, спасибо за квалифицированное мнение и оценку. Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует.

Да, конечно, продукты от бывшей Reconnex очень удачно дополнили McAfee Host DLP.

[karmacoma 10]

Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно. В принципе для большинства пользователей (подразумевая что большая часть утечек происходит по халатности), - этого вполне достаточно.

Если человек имеет необходимое количество ресурсов/квалификацию/мотивицаю (деньги/знания), то любую информацию можно украсть, это неоспоримый факт, тем более в рамках нашей страны. Надо полагать что при желании, злоумышленник выберет скорее другие, нежели технические механизмы воровста информации. Подкупит администратора безопасности, или что-то в этом роде

[Ashot 110]

а триал новой версии есть, а то предыдущая 2.2 в рамках device control была где-то на уровне развития 2001-2002-го года?

И защиты там тоже никакой особой небыло.

Интересно посмотреть 3-ю версию или какая там у них последняя?

[Алeксaндр Кoвaлев 0]

В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно.

Прямо совсем невозможно?

[dav 5]

Прямо совсем невозможно?

Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

[Сергей Ильин 1538]

Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

А если с диска или флешки загрузиться? Права не нужны, файлы все доступны, копируй сколько угодно и следов не будет.

[priv8v 960]

Все зависит от правил в организации и от уровня "параноидальности" защиты. USB может быть отключен/загрузка запрещена с сидюков/блоки опечатаны/все запаролено.

[ИБ-Специалист 0]

Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

[Ashot 110]

Действительно McAfee Host DLP сложно отключить.

Ну так где на него посмотреть, а то может его сложно отключить так же как поймать того самого Джо?

[Н.Зенин 30]

Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

Далее, Symantec, Websense, RSA Security, Vericept, CA - предоставляют конкурентоспособную агентскую часть DLP решения. Symantec, Websense - стали уже распространены в России. Vericept - вряд ли у нас появится.

По моему мнению, одним только Endpoint DLP-агентом сложно обойтись относительно крупному (более 500 рабочих станций) предприятию, потому что большие потоки исходящего трафика проходят через одну "трубу", - где их удобнее всего анализировать на уровне серверов, и удобнее обосновать необходимость в DLP системы (результатами пилотного запуска).

Endpoint DLP - решения скорее подходят для достаточно зрелых (осведомленных с текущими рисками утечек) предприятий, либо в качестве дополнения к основной части DLP системы, анализирующей сетевой трафик.

[nremezov 5]

McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

У Verdasys такой подход, они считают (причём вполне оправданно), что утечки происходят на конечных клиентах по причине раздолбайства или злого умысла пользователей, и контролировать надо именно на этом уровне, вне зависимости от местонахождения конечного устройства.

Сетевые DLP эфективны внутри периметра, когда надо ловить трафик, который гонится по сетке. В этом случае у них огромный плюс - поскольку не надо ставить агентов. Как только устройство покидает пределы периметра - тут нужны агентские решения.

[Вадим Волков 176]

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

[Н.Зенин 30]

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

За разработкой user-friendly интеграции DLP и шифрования - будущее. Если вы, логично, хотите одновременно использовать Endpoint-DLP и Endpoint-Encryption (EE), то можно определить несколько уровней симбиоза агентских подсистем:

0) DLP и EE работают независимо друг от друга и имеют разные интерфейсы управления. В таком случае почти нет разницы, один разработчик у этих подсистем или разные (у одного вендора гарантированно не будет конфликтов между двумя подсистемами);

1) DLP и EE работают независимо, но имеют единый интерфейс управления агентами для администратора систем, есть возможность устанавливать единые политики для подсистем DLP и EE. При помощи EE можно зашифровать вручную выбранные объекты (диск/директорию/файл) или канал;

2) Агентская DLP подсистема способна вызвать определенное поведение подсистемы EE; например: зашифровать документ, перемещаемый в недоверенную среду, если этот документ попадает под определенную категорию секретности;

3) Симбиоз DLP и ERM (Enterprise Right Management), при котором подсистемы DLP и EE работают созависимо: DLP проводит классификацию документов и назначает категорию секретности; EE прозрачно для пользователя шифрует/открывает обрабатываемые документы в соответствии с категорией; централизованные политики управляют выдачей ключей.

Большинство разработок сейчас находятся на уровне 1 (например, Symantec DLP + SEE, McAfee Host DLP + EE)

Уровня 2 достиг Verdasys (например, для сценария "спасти секретный документ на флешку" можно политиками установить, что этот документ в недоверенной зоне будет сохранятся только в зашифрованном виде и будет доступен:

- только с рабочей станции с агентом Verdasys,

- либо по паролю - если политики разрешат сохранить рядом с секретным файлом на флешку декриптор-exe-шник)

К уровню 3, собственно, стремятся все разработки. Работающий прототип уже есть у RSA Security - это интеграция RSA DLP Suite и Microsoft RMS. Определенные усилия предпринимала также компания McAfee (партнерство с Liquid Machines).

[Алeксaндр Кoвaлев 0]

Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Есть достаточное количество способов отключения подобных защит, поэтому говорить, как коллега, о невозможности отключения из-под локального админа McAfee Host DLP — как минимум некорректно. Тем более, относительно решений enterprise-уровня.

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

[karmacoma 10]

У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

"Простенькую" компанию Safeboot - McAfee купили за 350 млн условных енотов. Линейка продуктов по шифрованию охватывают не только OS Win, но и все ОС/390 V2 R10, сч:, AIX, HP-UX, Linux, Solaris, SuSE Linux.

Линейку их продуктов можно посмотреть тут:

http://www.mcafee.com/us/enterprise/produc...tion/index.html

[ИБ-Специалист 0]

А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

[Umnik 997]

Часть сообщений выделено в отдельную тему.

[Pavel Polyanskiy 65]

А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Например, продукты компании Info Watch.

В каком смысле неподъемно?

[Вадим Волков 176]

Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

[Сергей Ильин 1538]

Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Хоть и оффтоп, но отвечу. Infowatch не стал участвовать по причине нецелесообразности. Участие подразумевает выделение некоторых ресурсов, а отдача на данном этапе (из-за небольшого присутствия за рубежом) крайне маленькая. К тому же без хорошей market presence на американском и европейском рынке особо нечего в этих квадрантах ловить, скажем прямо.