Сергей Ильин

DLP на уровне рабочих станций (Endpoint решение)

В этой теме 22 сообщений

Коллеги, хотел бы обсудить интересную с моей точки зрения тему.

Речь пойдет о плюсах и минусах DLP-систем, работающих на уровне рабочих станций (EndPoint или Host DLP). Если говорить более детально, то на рынке сейчас представлена целая серия решений, которые не имеют шлюзовой составляющей, а весь анализ событий происходит на именно на уровне рабочих станций.

К таковым продуктам, например, относятся McAfee Host DLP или Trend Micro LeakProof.

К плюсам решений можно отнести:

- более гибкие возможности перехвата трафика;

- контроль действий пользователя с конф. данными (что открывается и что происходит дальше);

- запись всех событий с конфиденциальными данными (попытки снятия скриншота, copy/past и т.п.);

- возможности контроля конфиденциальных данных даже за пределами корп. сети.

К минусам можно отнести:

- нагрузка на рабочие станции (деградация производительности);

- деактивация агента на рабочей станции ведет к потере контроля;

- нет возможности использования ресурсоемких методов анализа контента (например, контентный анализ);

- необходимость постоянного отслеживания новых рабочих станций в сети - Policy Enforcement.

Что думаете, если у кого-то что добавить к этому?

Плюсы и минусы не всегда являются таковыми :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует. Понимаю что многие скажут где же она? Отвечу - она уже в Москве. Тестирования - ведутся :)

1) Самый главный плюс McAfee DLP Host - это его стоимость. Из расчета в 100 рабочих станций она составляет 54 доллара/1 лицензия. По истечению года работы, желательно купить поддержку в рамках которой пользователь получает обновления/патчи. Стоимость поддержки составляет 15% от стоимости самой лицензии. Если кто-то решил "поддержку" не продлять продукт всё также будет работать, но только без возможности получать обновления и перейти на новую версию.

2) Возможность разграничения доступа к внешним устройствам (функциональная часть McAfee Device Control входит в состав McAfee DLP Host). По функционалу это 99.99 % возможностей Devicelock/Zlock (печать на локальных и сетевых принтерах, физические устройства DVD/CD, USB-устройства, Wi-Fi, Bluetooth и др.).

3) Контроль приложений которым нужно сетевое соединение (электронная почта, HTTP (в том числе веб-почта) FTP, IM, )

4) Функционал "Discover" поиска тэгированных документов на рабочих станциях с установленным агентом

5) Совокупность 3-ех методов: Основной - тэг (метка на документе). И два вспомогательных: Цифровой отпечаток (помеченного/тэгированного документа) + поиск ключевых слов или регулярных выражений (целесообразно для документов без метки/тэга).

6) Русифицированный интерфейс консоли управления ePO Orchestraror

Теперь о минусах

1) Нагрузка на рабочую станцию (всё что установлено в виде агента, хоть и немного, но есть)

2) Не "разгрызает" БД на составление цифровых отпечатков, - здесь сила в шлюзовых решениях

3) Нет возможности снятия снимка экрана с рабочей станции с установленным агентом по желанию (контролирует функцию printscreen, но ведь есть и сторонные граберы экрана нежели стандартные)...

4) Решение не сертифицировано

5) Если не ошибаюсь, то не работает на ОС 64-bit

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

karmacoma, спасибо за квалифицированное мнение и оценку. Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует.

Да, конечно, продукты от бывшей Reconnex очень удачно дополнили McAfee Host DLP.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно. В принципе для большинства пользователей (подразумевая что большая часть утечек происходит по халатности), - этого вполне достаточно.

Если человек имеет необходимое количество ресурсов/квалификацию/мотивицаю (деньги/знания), то любую информацию можно украсть, это неоспоримый факт, тем более в рамках нашей страны. Надо полагать что при желании, злоумышленник выберет скорее другие, нежели технические механизмы воровста информации. Подкупит администратора безопасности, или что-то в этом роде :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

а триал новой версии есть, а то предыдущая 2.2 в рамках device control была где-то на уровне развития 2001-2002-го года?

И защиты там тоже никакой особой небыло.

Интересно посмотреть 3-ю версию или какая там у них последняя?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно.

Прямо совсем невозможно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Прямо совсем невозможно?

Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

А если с диска или флешки загрузиться? ;) Права не нужны, файлы все доступны, копируй сколько угодно и следов не будет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Все зависит от правил в организации и от уровня "параноидальности" защиты. USB может быть отключен/загрузка запрещена с сидюков/блоки опечатаны/все запаролено.

:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Действительно McAfee Host DLP сложно отключить.

Ну так где на него посмотреть, а то может его сложно отключить так же как поймать того самого Джо? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

Далее, Symantec, Websense, RSA Security, Vericept, CA - предоставляют конкурентоспособную агентскую часть DLP решения. Symantec, Websense - стали уже распространены в России. Vericept - вряд ли у нас появится.

По моему мнению, одним только Endpoint DLP-агентом сложно обойтись относительно крупному (более 500 рабочих станций) предприятию, потому что большие потоки исходящего трафика проходят через одну "трубу", - где их удобнее всего анализировать на уровне серверов, и удобнее обосновать необходимость в DLP системы (результатами пилотного запуска).

Endpoint DLP - решения скорее подходят для достаточно зрелых (осведомленных с текущими рисками утечек) предприятий, либо в качестве дополнения к основной части DLP системы, анализирующей сетевой трафик.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

У Verdasys такой подход, они считают (причём вполне оправданно), что утечки происходят на конечных клиентах по причине раздолбайства или злого умысла пользователей, и контролировать надо именно на этом уровне, вне зависимости от местонахождения конечного устройства.

Сетевые DLP эфективны внутри периметра, когда надо ловить трафик, который гонится по сетке. В этом случае у них огромный плюс - поскольку не надо ставить агентов. Как только устройство покидает пределы периметра - тут нужны агентские решения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

За разработкой user-friendly интеграции DLP и шифрования - будущее. Если вы, логично, хотите одновременно использовать Endpoint-DLP и Endpoint-Encryption (EE), то можно определить несколько уровней симбиоза агентских подсистем:

0) DLP и EE работают независимо друг от друга и имеют разные интерфейсы управления. В таком случае почти нет разницы, один разработчик у этих подсистем или разные (у одного вендора гарантированно не будет конфликтов между двумя подсистемами);

1) DLP и EE работают независимо, но имеют единый интерфейс управления агентами для администратора систем, есть возможность устанавливать единые политики для подсистем DLP и EE. При помощи EE можно зашифровать вручную выбранные объекты (диск/директорию/файл) или канал;

2) Агентская DLP подсистема способна вызвать определенное поведение подсистемы EE; например: зашифровать документ, перемещаемый в недоверенную среду, если этот документ попадает под определенную категорию секретности;

3) Симбиоз DLP и ERM (Enterprise Right Management), при котором подсистемы DLP и EE работают созависимо: DLP проводит классификацию документов и назначает категорию секретности; EE прозрачно для пользователя шифрует/открывает обрабатываемые документы в соответствии с категорией; централизованные политики управляют выдачей ключей.

Большинство разработок сейчас находятся на уровне 1 (например, Symantec DLP + SEE, McAfee Host DLP + EE)

Уровня 2 достиг Verdasys (например, для сценария "спасти секретный документ на флешку" можно политиками установить, что этот документ в недоверенной зоне будет сохранятся только в зашифрованном виде и будет доступен:

- только с рабочей станции с агентом Verdasys,

- либо по паролю - если политики разрешат сохранить рядом с секретным файлом на флешку декриптор-exe-шник)

К уровню 3, собственно, стремятся все разработки. Работающий прототип уже есть у RSA Security - это интеграция RSA DLP Suite и Microsoft RMS. Определенные усилия предпринимала также компания McAfee (партнерство с Liquid Machines).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Есть достаточное количество способов отключения подобных защит, поэтому говорить, как коллега, о невозможности отключения из-под локального админа McAfee Host DLP — как минимум некорректно. Тем более, относительно решений enterprise-уровня.

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

"Простенькую" компанию Safeboot - McAfee купили за 350 млн условных енотов. Линейка продуктов по шифрованию охватывают не только OS Win, но и все ОС/390 V2 R10, сч:, AIX, HP-UX, Linux, Solaris, SuSE Linux.

Линейку их продуктов можно посмотреть тут:

http://www.mcafee.com/us/enterprise/produc...tion/index.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Например, продукты компании Info Watch.

В каком смысле неподъемно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Хоть и оффтоп, но отвечу. Infowatch не стал участвовать по причине нецелесообразности. Участие подразумевает выделение некоторых ресурсов, а отдача на данном этапе (из-за небольшого присутствия за рубежом) крайне маленькая. К тому же без хорошей market presence на американском и европейском рынке особо нечего в этих квадрантах ловить, скажем прямо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Обновляю: https://mega.nz/#!0FYBnRzT!Kh8GaRMVOzm99QJZX0NsDD51vDaFzPI-Vil02kw53rQ
    • Sergey22101979s
      Площадку надо свою делать и развивать её. А потом продавать места на ней. И не важно какую площадку - сайт, группу в соцсети, или что-то тому подобное.
    • homeobed
      На дому за копейки работать - дело нехитрое) Вот чтобы зарабатывать приличные деньги, на одних комментариях далеко не уедешь)
    • Mike
      Вышел McAfee VirusScan Enterprise 8.8.0 Patch 10  
    • Wenderoy
      Да, лучше удалить. Но это, разумеется, решает администрация... Я никакой не тролль, ANDYBOND прекрасно это понимает, просто именно с ним был разлад безо всякой причины, подробности приводить не буду, но теперь он старается как можно больше "навредить" мне. Собственно, вот отзывы про PS - https://www.mywot.com/ru/scorecard/provisionsecurity.ru Думаю, комментарии будут излишними. Есть очень много свидетелей, которых "примерная" администрация Provisionsecurity даже "поливала" нецензурной лексикой, у меня есть все скриншоты и т. д. И после всего этого надо подумать, а стоит ли верить таким людям? Это я в качестве отступления. Главное - то, что я устал здесь распинаться, тратя свое личное время, что идет только на руку уже упомянутым участниками форума. Все, что мне надо было доказать, я доказал, пользователи моего приложения знают и понимают мои цели и стремления, я ни от кого ничего не скрываю. Поэтому программу уже используют многие, а это значит, что дело поставлено на рельсы. Самое смешное, что на каждый мой аргумент, который я не поленился снабдить всей необходимой информацией в форме ссылок, скриншотов, записей, копий писем, сообщений лабораторий etc, в ответ мне летят одни и те же фразы: "мошенник", "вирусописатель", "тролль". Так кто же больше попадает под значение последнего слова? Просто упомяну еще пару вещей. Когда я объяснял, почему продукт детектит пустой файл, все равно меня никто не слышал. Каким же, интересно, образом мне следует растолковать это? Были приведены доказательства, что я часть баз собираю с ресурса VirusShare (благо, имеются очень хорошие источники самой разнообразной информации), где AVP в свое время почему-то пометил файл как Trojan... (где-то на предыдущих страницах все чрезвычайно подробно описано). Так вот, копируя MD5, в комплект попала и хеш-сумма пустого файла, вследствие чего как бы Вы его ни переименовывали, все рано будет сработка продукта (кстати, ее уже нет). Далее. Насчет "мошенник" и "вирусописатель". Если зимние переписки (не просто отчетов автоматического анализа лабораторий) с вирусным аналитиком McAfee ни о чем Вам не говорят, это, как говорится, не мои проблемы. Другие вендоры, да практически все (даже популярные Avast, Qihoo и др.) устанавливаются втихомолку вместе с другим ПО (DRP Solutions, различные дополнения для монетизации в пакеты дистрибутивов), но их Вы почему-то "вирусописателями"  не называете. И последнее. Насчет "мошенник". Я никого не принуждаю устанавливать KAR, каждый делает это добровольно. Лицензионное соглашение и Privacy Statment присутствуют на сайте, там все четко и ясно описано. На сервер высылаются исключительно анонимные отчеты, как и в любых других разработках аналогичного типа, не более того.  Kuranin Anti-Ransomware распространяется абсолютно бесплатно, никакой рекламы ни в продукте, ни даже на сайте, т. к. это мое хобби. Поэтому здесь не вижу ничего, связанного с мошенничеством. Это очень краткое обобщение, все мои подробные ночные отписки на однотипные бессмысленные сообщения можно посмотреть, листая предыдущие ни много ни мало двенадцать страниц. @VMS, радует, что еще есть адекватные люди, которые умеют слушать. Да, к сожалению, это не те времена, когда жизнь кипела в каждом уголке Anti-Malware и других подобных форумов. Обидно, что перевились разработчики-добровольцы, которые были очень активны в 2004-2014 годах. Сейчас в основном крупные компании все вытеснили, да есть те, кто просто сдался (Александр Калинин, его судьба мне не известна, но смею предположить, что он воплотил свое хобби в жизнь; Kerish, который, правда, стал чрезвычайно полезной утилитой Kerish Doctor, а ведь совсем немногие знают прошлое этого творения; ScreamAV, бесплатныq антивирус то ли из Индонезии, то ли с Филиппин; путем долгого анализа удалось выяснить, что создатели данного антивируса примкнули к проекту SmadAV;  SMK антивирус, когда-то известный в узких кругах; "Зоркий глаз" Петелина Александра;  AWS Core, приостановивший свое развитие и т. п.) Вообще обожаю древние сайты, особенно варианты на narod.ru и им подобные, пропахшие стариной и историей. Очень приятные ощущения, как будто бы открыл давно забытую, но вновь найденную на чердаке книгу с пожелтевшими от времени листами.  А еще очень много полезных ресурсов, которых уже нет, но они сохранились в "архиве". Все это "богатство" сложно отыскать, но зато там есть чрезвычайно много полезной информации... Вот, кстати, один из примеров: https://web.archive.org/web/20040905203536/http://www.winchanger.narod.ru:80/ Или https://web.archive.org/web/20070624081145/http://winchanger.whatis.ru:80/ Как бонус прилагаю собственную коллекцию малоизвестных продуктов любителей информационной безопасности, среди них, кстати, все вышеупомянутые образцы! https://mega.nz/#!tZBkkCKa!0WzfYt4A1zK4aCvVLtu3FLt7pfPIp7wWtyPIr9c-cbo Может, кому пригодится...