Перейти к содержанию
Сергей Ильин

DLP на уровне рабочих станций (Endpoint решение)

Recommended Posts

Сергей Ильин

Коллеги, хотел бы обсудить интересную с моей точки зрения тему.

Речь пойдет о плюсах и минусах DLP-систем, работающих на уровне рабочих станций (EndPoint или Host DLP). Если говорить более детально, то на рынке сейчас представлена целая серия решений, которые не имеют шлюзовой составляющей, а весь анализ событий происходит на именно на уровне рабочих станций.

К таковым продуктам, например, относятся McAfee Host DLP или Trend Micro LeakProof.

К плюсам решений можно отнести:

- более гибкие возможности перехвата трафика;

- контроль действий пользователя с конф. данными (что открывается и что происходит дальше);

- запись всех событий с конфиденциальными данными (попытки снятия скриншота, copy/past и т.п.);

- возможности контроля конфиденциальных данных даже за пределами корп. сети.

К минусам можно отнести:

- нагрузка на рабочие станции (деградация производительности);

- деактивация агента на рабочей станции ведет к потере контроля;

- нет возможности использования ресурсоемких методов анализа контента (например, контентный анализ);

- необходимость постоянного отслеживания новых рабочих станций в сети - Policy Enforcement.

Что думаете, если у кого-то что добавить к этому?

Плюсы и минусы не всегда являются таковыми :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
karmacoma

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует. Понимаю что многие скажут где же она? Отвечу - она уже в Москве. Тестирования - ведутся :)

1) Самый главный плюс McAfee DLP Host - это его стоимость. Из расчета в 100 рабочих станций она составляет 54 доллара/1 лицензия. По истечению года работы, желательно купить поддержку в рамках которой пользователь получает обновления/патчи. Стоимость поддержки составляет 15% от стоимости самой лицензии. Если кто-то решил "поддержку" не продлять продукт всё также будет работать, но только без возможности получать обновления и перейти на новую версию.

2) Возможность разграничения доступа к внешним устройствам (функциональная часть McAfee Device Control входит в состав McAfee DLP Host). По функционалу это 99.99 % возможностей Devicelock/Zlock (печать на локальных и сетевых принтерах, физические устройства DVD/CD, USB-устройства, Wi-Fi, Bluetooth и др.).

3) Контроль приложений которым нужно сетевое соединение (электронная почта, HTTP (в том числе веб-почта) FTP, IM, )

4) Функционал "Discover" поиска тэгированных документов на рабочих станциях с установленным агентом

5) Совокупность 3-ех методов: Основной - тэг (метка на документе). И два вспомогательных: Цифровой отпечаток (помеченного/тэгированного документа) + поиск ключевых слов или регулярных выражений (целесообразно для документов без метки/тэга).

6) Русифицированный интерфейс консоли управления ePO Orchestraror

Теперь о минусах

1) Нагрузка на рабочую станцию (всё что установлено в виде агента, хоть и немного, но есть)

2) Не "разгрызает" БД на составление цифровых отпечатков, - здесь сила в шлюзовых решениях

3) Нет возможности снятия снимка экрана с рабочей станции с установленным агентом по желанию (контролирует функцию printscreen, но ведь есть и сторонные граберы экрана нежели стандартные)...

4) Решение не сертифицировано

5) Если не ошибаюсь, то не работает на ОС 64-bit

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

karmacoma, спасибо за квалифицированное мнение и оценку. Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

Шлюзовая часть McAfee ввиду покупки Reconnex - присутствует.

Да, конечно, продукты от бывшей Reconnex очень удачно дополнили McAfee Host DLP.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
karmacoma
Что думаете по поводу возможности отключения юзером агента на рабочей станции и, как следствие, потери контроля над ней?

ИМХО тут при всех вариантах самозащиты агента все равно есть множество вариантов его отключения продвинутым инсайдером. Принудительное шифрование может снизить риски (отключишь контроль, а вынести данные все равно не сможешь), но это уже другая история.

В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно. В принципе для большинства пользователей (подразумевая что большая часть утечек происходит по халатности), - этого вполне достаточно.

Если человек имеет необходимое количество ресурсов/квалификацию/мотивицаю (деньги/знания), то любую информацию можно украсть, это неоспоримый факт, тем более в рамках нашей страны. Надо полагать что при желании, злоумышленник выберет скорее другие, нежели технические механизмы воровста информации. Подкупит администратора безопасности, или что-то в этом роде :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot

а триал новой версии есть, а то предыдущая 2.2 в рамках device control была где-то на уровне развития 2001-2002-го года?

И защиты там тоже никакой особой небыло.

Интересно посмотреть 3-ю версию или какая там у них последняя?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Алeксaндр Кoвaлев
В рамках продукта McAfee Host DLP отключить агента с помощью остановки службы или процессов, даже будучи наделенным правами локального администратора, - невозможно.

Прямо совсем невозможно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dav
Прямо совсем невозможно?

Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

А если с диска или флешки загрузиться? ;) Права не нужны, файлы все доступны, копируй сколько угодно и следов не будет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Все зависит от правил в организации и от уровня "параноидальности" защиты. USB может быть отключен/загрузка запрещена с сидюков/блоки опечатаны/все запаролено.

:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ИБ-Специалист

Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot
Действительно McAfee Host DLP сложно отключить.

Ну так где на него посмотреть, а то может его сложно отключить так же как поймать того самого Джо? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Н.Зенин
Я так понимаю, что McAfee Host DLP и Trend Micro LeakProof - не единственные решения такого класса?

McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

Далее, Symantec, Websense, RSA Security, Vericept, CA - предоставляют конкурентоспособную агентскую часть DLP решения. Symantec, Websense - стали уже распространены в России. Vericept - вряд ли у нас появится.

По моему мнению, одним только Endpoint DLP-агентом сложно обойтись относительно крупному (более 500 рабочих станций) предприятию, потому что большие потоки исходящего трафика проходят через одну "трубу", - где их удобнее всего анализировать на уровне серверов, и удобнее обосновать необходимость в DLP системы (результатами пилотного запуска).

Endpoint DLP - решения скорее подходят для достаточно зрелых (осведомленных с текущими рисками утечек) предприятий, либо в качестве дополнения к основной части DLP системы, анализирующей сетевой трафик.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nremezov
McAfee DLP и LeakProof - не единственные, конечно:

Надо добавить к списку Verdasys - это единственный из западных вендоров, поставляющий исключительно агентское content-aware DLP решение. В России они появились относительно недавно. До начала 2009 года Endpoint DLP продукт от Verdasys считался самым продвинутым. Сейчас такого же уровня достигли прочие DLP решения (Symantec, Websense, McAfee).

У Verdasys такой подход, они считают (причём вполне оправданно), что утечки происходят на конечных клиентах по причине раздолбайства или злого умысла пользователей, и контролировать надо именно на этом уровне, вне зависимости от местонахождения конечного устройства.

Сетевые DLP эфективны внутри периметра, когда надо ловить трафик, который гонится по сетке. В этом случае у них огромный плюс - поскольку не надо ставить агентов. Как только устройство покидает пределы периметра - тут нужны агентские решения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Н.Зенин
Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

За разработкой user-friendly интеграции DLP и шифрования - будущее. Если вы, логично, хотите одновременно использовать Endpoint-DLP и Endpoint-Encryption (EE), то можно определить несколько уровней симбиоза агентских подсистем:

0) DLP и EE работают независимо друг от друга и имеют разные интерфейсы управления. В таком случае почти нет разницы, один разработчик у этих подсистем или разные (у одного вендора гарантированно не будет конфликтов между двумя подсистемами);

1) DLP и EE работают независимо, но имеют единый интерфейс управления агентами для администратора систем, есть возможность устанавливать единые политики для подсистем DLP и EE. При помощи EE можно зашифровать вручную выбранные объекты (диск/директорию/файл) или канал;

2) Агентская DLP подсистема способна вызвать определенное поведение подсистемы EE; например: зашифровать документ, перемещаемый в недоверенную среду, если этот документ попадает под определенную категорию секретности;

3) Симбиоз DLP и ERM (Enterprise Right Management), при котором подсистемы DLP и EE работают созависимо: DLP проводит классификацию документов и назначает категорию секретности; EE прозрачно для пользователя шифрует/открывает обрабатываемые документы в соответствии с категорией; централизованные политики управляют выдачей ключей.

Большинство разработок сейчас находятся на уровне 1 (например, Symantec DLP + SEE, McAfee Host DLP + EE)

Уровня 2 достиг Verdasys (например, для сценария "спасти секретный документ на флешку" можно политиками установить, что этот документ в недоверенной зоне будет сохранятся только в зашифрованном виде и будет доступен:

- только с рабочей станции с агентом Verdasys,

- либо по паролю - если политики разрешат сохранить рядом с секретным файлом на флешку декриптор-exe-шник)

К уровню 3, собственно, стремятся все разработки. Работающий прототип уже есть у RSA Security - это интеграция RSA DLP Suite и Microsoft RMS. Определенные усилия предпринимала также компания McAfee (партнерство с Liquid Machines).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Алeксaндр Кoвaлев
Действительно McAfee Host DLP сложно отключить. На практике получилось его удалить только официальным путем.

Cisco агента легче снести. Но везде без прав админа практически бесполезно что либо делать.

Есть достаточное количество способов отключения подобных защит, поэтому говорить, как коллега, о невозможности отключения из-под локального админа McAfee Host DLP — как минимум некорректно. Тем более, относительно решений enterprise-уровня.

Во всех этих DLP есть шифрование данных или они полагаются в этом на стороннее ПО?

У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
karmacoma
У нас есть подобный симбиоз, причем у мы можем шифровать не только пользовательские ПК/ноутбуки, но и данные в серверных хранилищах и на магнитных лентах.

Простейшие реализации шифрования есть у Symantec и McAfee, как заметил Николай.

"Простенькую" компанию Safeboot - McAfee купили за 350 млн условных енотов. Линейка продуктов по шифрованию охватывают не только OS Win, но и все ОС/390 V2 R10, сч:, AIX, HP-UX, Linux, Solaris, SuSE Linux.

Линейку их продуктов можно посмотреть тут:

http://www.mcafee.com/us/enterprise/produc...tion/index.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ИБ-Специалист

А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy
А что слышно с российскими разработчиками DLP? Боюсь, что западные для нас будет неподъёмно...

Например, продукты компании Info Watch.

В каком смысле неподъемно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Интересно, а почему в Гартнеровском квадранте по DLP нет Infowatch? Вроде бы декларируемые требования не слишком неподъемные.

Или обязательно присутствие на американском рынке?

Хоть и оффтоп, но отвечу. Infowatch не стал участвовать по причине нецелесообразности. Участие подразумевает выделение некоторых ресурсов, а отдача на данном этапе (из-за небольшого присутствия за рубежом) крайне маленькая. К тому же без хорошей market presence на американском и европейском рынке особо нечего в этих квадрантах ловить, скажем прямо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×