Перейти к содержанию
Сергей Ильин

DLP на уровне рабочих станций (Endpoint решение)

Recommended Posts

Сергей Ильин

Коллеги, хотел бы обсудить интересную с моей точки зрения тему.

Речь пойдет о плюсах и минусах DLP-систем, работающих на уровне рабочих станций (EndPoint или Host DLP). Если говорить более детально, то на рынке сейчас представлена целая серия решений, которые не имеют шлюзовой составляющей, а весь анализ событий происходит на именно на уровне рабочих станций.

К таковым продуктам, например, относятся McAfee Host DLP или Trend Micro LeakProof.

К плюсам решений можно отнести:

- более гибкие возможности перехвата трафика;

- контроль действий пользователя с конф. данными (что открывается и что происходит дальше);

- запись всех событий с конфиденциальными данными (попытки снятия скриншота, copy/past и т.п.);

- возможности контроля конфиденциальных данных даже за пределами корп. сети.

К минусам можно отнести:

- нагрузка на рабочие станции (деградация производительности);

- деактивация агента на рабочей станции ведет к потере контроля;

- нет возможности использования ресурсоемких методов анализа контента (например, контентный анализ);

- необходимость постоянного отслеживания новых рабочих станций в сети - Policy Enforcement.

Что думаете, если у кого-то что добавить к этому?

Плюсы и минусы не всегда являются таковыми :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
karmacoma

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует. Понимаю что многие скажут где же она? Отвечу - она уже в Москве. Тестирования - ведутся :)

1) Самый главный плюс McAfee DLP Host - это его стоимость. Из расчета в 100 рабочих станций она составляет 54 доллара/1 лицензия. По истечению года работы, желательно купить поддержку в рамках которой пользователь получает обновления/патчи. Стоимость поддержки составляет 15% от стоимости самой лицензии. Если кто-то решил "поддержку" не продлять продукт всё также будет работать, но только без возможности получать обновления и перейти на новую версию.

2) Возможность разграничения доступа к внешним устройствам (функциональная часть McAfee Device Control входит в состав McAfee DLP Host). По функционалу это 99.99 % возможностей Devicelock/Zlock (печать на локальных и сетевых принтерах, физические устройства DVD/CD, USB-устройства, Wi-Fi, Bluetooth и др.).

3) Контроль приложений которым нужно сетевое соединение (электронная почта, HTTP (в том числе веб-почта) FTP, IM, )

4) Функционал "Discover" поиска тэгированных документов на рабочих станциях с установленным агентом

5) Совокупность 3-ех методов: Основной - тэг (метка на документе). И два вспомогательных: Цифровой отпечаток (помеченного/тэгированного документа) + поиск ключевых слов или регулярных выражений (целесообразно для документов без метки/тэга).

6) Русифицированный интерфейс консоли управления ePO Orchestraror

Теперь о минусах

1) Нагрузка на рабочую станцию (всё что установлено в виде агента, хоть и немного, но есть)

2) Не "разгрызает" БД на составление цифровых отпечатков, - здесь сила в шлюзовых решениях

3) Нет возможности снятия снимка экрана с рабочей станции с установленным агентом по желанию (контролирует функцию printscreen, но ведь есть и сторонные граберы экрана нежели стандартные)...

4) Решение не сертифицировано

5) Если не ошибаюсь, то не работает на ОС 64-bit

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

karmacoma, спасибо за квалифицированное мнение и оценку. Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует.

Да, конечно, продукты от бывшей Reconnex очень удачно дополнили McAfee Host DLP.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
karmacoma
Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно. В принципе для большинства пользователей (подразумевая что большая часть утечек происходит по халатности), - этого вполне достаточно.

Если человек имеет необходимое количество ресурсов/квалификацию/мотивицаю (деньги/знания), то любую информацию можно украсть, это неоспоримый факт, тем более в рамках нашей страны. Надо полагать что при желании, злоумышленник выберет скорее другие, нежели технические механизмы воровста информации. Подкупит администратора безопасности, или что-то в этом роде :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot

а триал новой версии есть, а то предыдущая 2.2 в рамках device control была где-то на уровне развития 2001-2002-го года?

И защиты там тоже никакой особой небыло.

Интересно посмотреть 3-ю версию или какая там у них последняя?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Алeксaндр Кoвaлев
В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно.

Прямо совсем невозможно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dav
Прямо совсем невозможно?

Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

А если с диска или флешки загрузиться? ;) Права не нужны, файлы все доступны, копируй сколько угодно и следов не будет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Все зависит от правил в организации и от уровня "параноидальности" защиты. USB может быть отключен/загрузка запрещена с сидюков/блоки опечатаны/все запаролено.

:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ИБ-Специалист

Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot
Действительно McAfee Host DLP сложно отключить.

Ну так где на него посмотреть, а то может его сложно отключить так же как поймать того самого Джо? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Н.Зенин
Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

Далее, Symantec, Websense, RSA Security, Vericept, CA - предоставляют конкурентоспособную агентскую часть DLP решения. Symantec, Websense - стали уже распространены в России. Vericept - вряд ли у нас появится.

По моему мнению, одним только Endpoint DLP-агентом сложно обойтись относительно крупному (более 500 рабочих станций) предприятию, потому что большие потоки исходящего трафика проходят через одну "трубу", - где их удобнее всего анализировать на уровне серверов, и удобнее обосновать необходимость в DLP системы (результатами пилотного запуска).

Endpoint DLP - решения скорее подходят для достаточно зрелых (осведомленных с текущими рисками утечек) предприятий, либо в качестве дополнения к основной части DLP системы, анализирующей сетевой трафик.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nremezov
McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

У Verdasys такой подход, они считают (причём вполне оправданно), что утечки происходят на конечных клиентах по причине раздолбайства или злого умысла пользователей, и контролировать надо именно на этом уровне, вне зависимости от местонахождения конечного устройства.

Сетевые DLP эфективны внутри периметра, когда надо ловить трафик, который гонится по сетке. В этом случае у них огромный плюс - поскольку не надо ставить агентов. Как только устройство покидает пределы периметра - тут нужны агентские решения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Н.Зенин
Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

За разработкой user-friendly интеграции DLP и шифрования - будущее. Если вы, логично, хотите одновременно использовать Endpoint-DLP и Endpoint-Encryption (EE), то можно определить несколько уровней симбиоза агентских подсистем:

0) DLP и EE работают независимо друг от друга и имеют разные интерфейсы управления. В таком случае почти нет разницы, один разработчик у этих подсистем или разные (у одного вендора гарантированно не будет конфликтов между двумя подсистемами);

1) DLP и EE работают независимо, но имеют единый интерфейс управления агентами для администратора систем, есть возможность устанавливать единые политики для подсистем DLP и EE. При помощи EE можно зашифровать вручную выбранные объекты (диск/директорию/файл) или канал;

2) Агентская DLP подсистема способна вызвать определенное поведение подсистемы EE; например: зашифровать документ, перемещаемый в недоверенную среду, если этот документ попадает под определенную категорию секретности;

3) Симбиоз DLP и ERM (Enterprise Right Management), при котором подсистемы DLP и EE работают созависимо: DLP проводит классификацию документов и назначает категорию секретности; EE прозрачно для пользователя шифрует/открывает обрабатываемые документы в соответствии с категорией; централизованные политики управляют выдачей ключей.

Большинство разработок сейчас находятся на уровне 1 (например, Symantec DLP + SEE, McAfee Host DLP + EE)

Уровня 2 достиг Verdasys (например, для сценария "спасти секретный документ на флешку" можно политиками установить, что этот документ в недоверенной зоне будет сохранятся только в зашифрованном виде и будет доступен:

- только с рабочей станции с агентом Verdasys,

- либо по паролю - если политики разрешат сохранить рядом с секретным файлом на флешку декриптор-exe-шник)

К уровню 3, собственно, стремятся все разработки. Работающий прототип уже есть у RSA Security - это интеграция RSA DLP Suite и Microsoft RMS. Определенные усилия предпринимала также компания McAfee (партнерство с Liquid Machines).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Алeксaндр Кoвaлев
Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Есть достаточное количество способов отключения подобных защит, поэтому говорить, как коллега, о невозможности отключения из-под локального админа McAfee Host DLP — как минимум некорректно. Тем более, относительно решений enterprise-уровня.

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
karmacoma
У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

"Простенькую" компанию Safeboot - McAfee купили за 350 млн условных енотов. Линейка продуктов по шифрованию охватывают не только OS Win, но и все ОС/390 V2 R10, сч:, AIX, HP-UX, Linux, Solaris, SuSE Linux.

Линейку их продуктов можно посмотреть тут:

http://www.mcafee.com/us/enterprise/produc...tion/index.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ИБ-Специалист

А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy
А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Например, продукты компании Info Watch.

В каком смысле неподъемно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Хоть и оффтоп, но отвечу. Infowatch не стал участвовать по причине нецелесообразности. Участие подразумевает выделение некоторых ресурсов, а отдача на данном этапе (из-за небольшого присутствия за рубежом) крайне маленькая. К тому же без хорошей market presence на американском и европейском рынке особо нечего в этих квадрантах ловить, скажем прямо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Curtismab
      Неотразимые мягкие места в уборной выставляют дивчины https://devkis.net на развратных фотках
    • Dmitrius
      БигПикча новости в фотографиях Бигпикча – это уникальный портал, который предлагает ознакомиться с самыми интересными и увлекательными новостями. Они понравятся каждому, кто всегда желает держать руку на пульсе и быть в курсе последних новостей, событий в мире. Этот портал уникален тем, что все материалы сопровождаются красочной фотографией для наглядности. Сайт приковывает к себе внимание с самых первых минут. Его хочется постоянно рассматривать, наслаждаться интересной подачей материала. Над его созданием трудились лучшие авторы, настоящие эксперты в своем деле, которые преподносят информацию таким образом, чтобы она понравилась людям любого возраста и независимо от социального положения. На bigpicture.ru только интересные, яркие новости на самые злободневные темы, а потому вы обязательно найдете что-то стоящее для себя. Есть любопытные статьи про животных, людей, еду, оригинальные вещи. Имеются факты, а также топы, которые интересно пересматривать вновь. Администрация сайта регулярно выкладывает статьи, которые помогут взглянуть на привычные вещи под другим углом. Если и вы хотите развлечься после трудового дня или в выходной, то скорей заходите на этот сайт, который знает, что вам предложить, чтобы разнообразить досуг и сделать его ярким, насыщенным. Авторы умеют удивлять, поэтому при составлении контента учитываются интересы всех читателей. Рассматриваются факты, о которых раньше вы даже не догадывались. Они прольют свет на многие вопросы. Новости в фотографиях, увлекательные путешествия, истории, лонгриды и многое другое представлено на этом сайте. Добавляйте его в закладки, чтобы не потерять, ведь этот портал является пищей для мозга, возможностью расширить свое сознание и повысить уровень интеллекта. Ищите любимый сайт в социальных сетях.
    • Curtismab
      Офигенные соски в усадьбе показывают глупышки https://devkis.net на эро фотокарточках
    • Dmitrius
      Арбитражный управляющий Каждый может оказаться в такой ситуации, когда требуется профессиональная и своевременная поддержка юриста. Если и вы вынуждены стать банкротом и оформить это по закону, то необходимо обратиться за такой услугой в центр банкротства. В компании работают квалифицированные специалисты с большим опытом, а в их багаже большое количество успешно завершенных дел. Именно поэтому вы сможете надеяться на отличный результат. Важно учесть тот момент, что специалисты детально изучают вопрос для того, чтобы подробно рассмотреть вопрос, после чего выявить возможности благоприятного результата. Списать долги Волгоград (Списание кредитов) получится по закону. Нет необходимости в том, чтобы переживать за процесс. Так специалисту удастся списать те долги, которые вы не в силах выплатить. Увы, но этот процесс может занять несколько месяцев, к тому же он не бесплатный. Банкротство физических лиц в Волгограде ведет компетентный сотрудник – он добросовестно и ответственно подойдет к решению вопроса. Он будет защищать интересы клиента, руководствуясь Конституцией. Юрист по банкротству займется оформлением документов и заявления, подготовит все факты в пользу того, чтобы объявить вас неплатежеспособным. Опыт сотрудников позволяет браться за дела различной сложности. Арбитражный управляющий Волгоград поможет вам избавиться от долгов. Что касается расценок, то на них влияют самые разные факторы, включая расходы на законодательном уровне. Подписывается договор на указание услуг – в нем указываются обязанности каждой стороны, набор услуг. Юрист рассмотрит все аспекты вашего дела. Важным моментом является то, что все ваши долги будут списаны в полном объеме при положительном исходе дела. Специалист использует все ресурсы, которые потребуются для того, чтобы получить положительный результат.
    • Dmitrius
      Септик в Москве и Московской области Компания долгое время и на выгодных условиях оказывает услуги, связанные со строительством автономной канализации в Москве и области. Если Вам необходима выгребная яма – ознакомьтесь с интересующей информацией на официальном портале. Автономная канализация, организованная на дачном участке, положительно влияет на уровень комфорта. Несмотря на то, планируется ли круглый год проживать на участке или только летом, вы почувствуете удобство. Цену на ее установку вы сможете узнать на сайте. Компания длительное время работает в данной сфере, а потому предлагает только выгодные условия, доступные цены, а сами работы выполняются быстро, аккуратно и в наиболее комфортное время. Она наладила сотрудничество с проверенными и надежными поставщиками оборудования. Специалисты создадут высокотехнологичную и работающую систему под ключ. В работе используются только надежные, качественные материалы, выполняются технологические условия. Если говорить о ценах, то они остаются на среднем уровне, а потому воспользоваться услугой смогут все, кто хочет. Кольцевой накопитель отлично подходит для сбора сточных вод при условии, что в доме на постоянной основе проживают до 7 человек. Все работы будут выполнены в минимальные сроки и тогда, когда это удобно именно вам. С собой будут все необходимые инструменты, а также материалы. Сотрудники осуществят установку и выполнят все нужные работы. При появлении вопросов задайте их сотрудникам, которые все пояснят, а также определят общую стоимость работ. Специалисты выполнят все необходимые работы, несмотря на время года. Отсутствуют дополнительные наценки, переплаты, только прозрачные условия сотрудничества.
×