microbik.ru
1 2


__________________________________________________________________



ФАКУЛЬТЕТ

« ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ »

Кафедра

« Информационной безопасности банковских систем »

__________________________________________________________________

Реферат

«Борьба с инсайдерами»



Исполнитель:

Студент гр. Б9-03 Боровиков Н.В.

Принял доц. каф. 41 Журин С.И.

Москва – 2009



Оглавление

Введение 3


Введение


Информационная безопасность, как известно, имеет дело с двумя категориями угроз: внешними и внутренними. Именно к последнему типу относятся инсайдеры. Их деятельность в большинстве случаев неумышленна, и именно поэтому ее трудно предугадать и обезвредить. Для этого надо задействовать весь арсенал доступных средств ИБ.

Существующая в настоящее время индустрия информационной безопасности (ИБ), обороты которой составляют десятки миллиардов долларов, развивается в основном на волне противодействия внешним угрозам, обязанным своим появлением прорыву в области высоких технологий, Интернет и электронной коммерции. Одним из первых и фундаментальных механизмов защиты от внешней угрозы стал межсетевой экран, постепенно "обросший" системами обнаружения вторжений, средствами VPN и фильтрации контента. Наряду с межсетевыми экранами активно развивались и продолжают развиваться другие средства обеспечения сетевой и хостовой безопасности: системы мониторинга и аудита событий, средства защиты от вредоносного ПО, средства аутентификации и контроля доступа, криптографические и другие средства, работающие на предотвращение несанкционированного доступа к информации.

Для предотвращения инсайдерской угрозы на рабочих местах и ноутбуках должно быть установлено специализированное шпионское ПО

Чем больших успехов достигает человечество в борьбе с внешними киберугрозами, тем решительнее на первый план выходят угрозы внутренние, с которыми по статистике связано более 70% процентов всех инцидентов безопасности. По данным исследования, проведенного компанией InfoWatch, самым распространенным и опасным видом внутренней угрозы является утечка информации. Средства защиты от несанкционированного доступа здесь оказывают практически бесполезными, поскольку в качестве основного источника угрозы выступает "инсайдер" - пользователь информационной системы, имеющий вполне легальный доступ к конфиденциальной информации и применяющий весь арсенал доступных ему средств для того, чтобы использовать конфиденциальную информацию в своих интересах.

Наиболее распространенные каналы утечки относятся к категории неумышленного раскрытия, по причине неосведомленности или недисциплинированности. Это и банальная "болтовня сотрудников", и отсутствие представлений о правилах работы с конфиденциальными документами, и неумение определить какие документы являются конфиденциальными. Умышленный "слив информации" встречается значительно реже, зато в данном случае информация "сливается" целенаправленно и с наиболее опасными последствиями для организации[1].

Инсайдеры представляют угрозу, прежде всего, для интеллектуальной собственности организации - одного из ее основных активов. Установление и защита прав на интеллектуальную собственность в настоящее время является важнейшим аспектом любого бизнеса, в особенности малого, являющегося, как известно, оплотом любой здоровой экономики.

  1. Кто угрожает интеллектуальной собственности?

Чтобы выжить на рынке, бизнесу нужно уметь справляться с целой армией разного рода конкурентов. Майкл Лектер в своей книге "Защити свой главный актив" [2] подразделяет их на три категории: "большие парни", "спойлеры" и "пираты".

Оружием инсайдера можется стать любой носитель информации, например, простая флешка

"Большие парни" - это конкуренты, прочно закрепившиеся на рынке. Они располагают значительными финансовыми ресурсами и вкладывают их в маркетинг, исследования и разработки. Они могут получать значительные преимущества от масштабов ведения дела, используя стабильные каналы сбыта, налаженные взаимоотношения с партнерами и хорошую репутацию у потребителей. Хотя "большие парни" обычно проявляют особую щепетильность относительно чужих законных прав на интеллектуальную собственность, они воспользуются любым пробелом в этой области, чтобы обернуть его в свою пользу и попытаться сокрушить конкурента при помощи денег и силы, которой они обладают на рынке.

"Спойлеры" - это конкуренты, представляющие на рынке менее дорогие и худшие по качеству варианты продукции. Они могут сбить цены или вообще разрушить рынок компании. "Спойлер" старается не замечать прав на интеллектуальную собственность, но, получив отпор, научится проявлять к ним уважение.

"Пираты" - это неразборчивые в средствах ребята. Пренебрегая правами на интеллектуальную собственность, они сознательно копируют продукцию или создают путаницу на рынке, сбывая свой товар под видом чужого. Они будут присваивать инвестиции, сделанные в продукцию и товарный знак до тех пор, пока их не остановят [2].

Существуют различные законные и не очень методы конкурентной разведки, но попадает конфиденциальная информация к этим парням, главным образом, через инсайдеров. Это и "халатные" сотрудники, выносящие информацию из офиса для работы с ней дома или в командировке с последующей утерей этой информации, и "жертвы социальной инженерии", дублирующие конфиденциальную информацию на почтовый ящик мошенника, и "обиженные", стремящиеся скомпрометировать работодателя любым способом, и "нелояльные", мечтающие поскорее сменить место работы, прихватив с собой корпоративные ноу-хау, и подрабатывающие или специально внедренные "инсайдеры", передающие секретные планы слияний и поглощений недобросовестным участникам фондового рынка, готовым отвалить за эту информацию "любые бабки".

Поэтому крайне важно минимизировать негативное влияние инсайдеров на бизнес организации путем своевременного их обнаружения, адекватного реагирования, предотвращения "слива" информации и применения к ним дисциплинарных и правовых мер пресечения. Для решения этой непростой задачи придется задействовать весь арсенал доступных средств, включая юридические, организационные и программно-технические механизмы защиты.

Конечно "большие парни", "спойлеры" и "пираты" редко встречаются на рынке в чистом виде. Обычно мы имеем дело с некоторой их комбинацией. Однако к какой бы категории не относился конкурент, самой эффективной защитой от него является правильно заложенный законодательный фундамент прав на интеллектуальную собственность. Чтобы выжить в конкурентной борьбе, необходимо использовать всю мощь и силу государства - нашего самого главного акционера, всегда стабильно получающего свои дивиденды.

  1. Юридические инструменты

Использование юридических инструментов для защиты интеллектуальной собственности - единственный шанс для малого бизнеса на выживание в конкурентной борьбе с "большими парнями". Эти инструменты включают в себя патентное и авторское право, а также право на защиту товарных знаков и коммерческой тайны. Первые три инструмента используются для защиты прав интеллектуальной собственности на открытую информацию и являются самодостаточными, т.е. не требуют применения каких-либо дополнительных мер. Значительно сложнее обстоит дело с защитой коммерческой тайны, так как основной угрозой здесь является утечка информации, и обусловлена она, прежде всего, фундаментальной природой человека как носителя и распространителя информации.

При решении столь сложной проблемы как защита коммерческой тайны не удастся ограничиться одними юридическими инструментами. Эти инструменты позволяют предотвратить многие неправомерные действия со стороны конкурентов, адекватно на них отреагировать и восстановить справедливость, обрушив на противника всю мощь беспощадной государственной машины. Однако для того, чтобы привести юридические механизмы в действие, необходимо вовремя обнаружить утечку информации и собрать необходимые доказательства.

Механизмы юридической защиты коммерческой тайны могут быть запущены только при определенных условиях. Согласно закону "О коммерческой тайне", права обладателя информации, составляющей коммерческую тайну, возникают с момента установления им в отношении такой информации режима коммерческой тайны, под которым понимаются "правовые, организационные, технические и иные принимаемые обладателем информации, составляющей коммерческую тайну, меры по охране ее конфиденциальности".

Таким образом, помимо юридических мер по защите коммерческой тайны, заключающихся главным образом в подписании сотрудниками организации соглашений о конфиденциальности, определении положений по защите коммерческой тайны и соответствующих перечней конфиденциальной информации, должен применяться целый комплекс организационных и программно-технических мер защиты.

  1. Социальный межсетевой экран

Поскольку традиционные средства защиты от несанкционированного доступа оказываются малопригодными для защиты от утечки информации, здесь должны использоваться совсем иные средства, в основе которых лежит введенное кем-то из экспертов понятие "социального межсетевого экрана" (human firewall). Под эти термином понимается совокупность организационных мер информационной безопасности, направленных на работу с персоналом.

Основные принципы и правила управления персоналом с учетом требований ИБ определены в международном стандарте ISO 17799. Они сводятся к необходимости выполнения определенных требований при найме и увольнении работников, повышения осведомленности и применения мер пресечения к нарушителям. Соблюдение этих правил позволяет существенно снизить влияние человеческого фактора, избежать характерных ошибок и, во многих случаях, предотвратить утечку и ненадлежащее использование информации1.

Социальный межсетевой экран строится на фундаменте политики ИБ. В организации необходимо разработать положение по защите конфиденциальной информации и соответствующие инструкции. Эти документы должны определять правила и критерии для категорирования информационных ресурсов по степени конфиденциальности, правила маркирования и обращения с конфиденциальными сведениями. Следует определить правила предоставления доступа к информационным ресурсам, внедрить соответствующие процедуры и механизмы контроля, включая авторизацию и аудит доступа [1].

Для предотвращения утечек необходимо предупредить персонал о мерах, принимаемых руководством с целью защиты информации, и мерах воздействия на нарушителей политики ИБ

Социальный межсетевой экран позволяет успешно бороться с наиболее многочисленным классом угроз - угрозами непреднамеренного разглашения конфиденциальной информации, но для борьбы со злоумышленниками его явно недостаточно. Для того чтобы остановить инсайдера, намеренно "сливающего" информацию, придется дополнительно задействовать разнообразные программно-технические механизмы защиты.

  1. Средства контроля доступа и предотвращения утечки информации

Для ограничения доступа к информации и протоколирования фактов доступа можно использовать стандартные сервисы безопасности. К их числу относятся аутентификация, управление доступом, шифрование и аудит.

Однако традиционные схемы аутентификации и управления доступом не обеспечивают адекватного уровня защиты. В дополнение к ним целесообразно использовать специализированные сервисы управления правами доступа к электронным документам, использующиеся, например, в MS Windows Server 2003. RMS (Rights Management Services) - технология, используемая RMS-совместимыми приложениями для защиты электронных документов от несанкционированного употребления. RMS позволяет при распространении информации определять ограничения по ее использованию. Например, автор документа может ограничить "время жизни" документа, а также возможность для определенных пользователей открывать, изменять, копировать в буфер обмена, печатать или пересылать документ. Основное отличие данной технологии от традиционных способов разграничения доступа к информации заключается в том, что права доступа и дополнительные ограничения хранятся в теле самого документа и действуют независимо от его местонахождения. Шифрование документов, реализованное в технологии RMS, не позволяет получать доступ к их содержанию каким-либо обходным путем 1.

Для предотвращения несанкционированного копирования конфиденциальной информации на внешние носители используется специализированное программное обеспечение, предназначенное для контроля внешних коммуникационных портов компьютера (USB, IR, PCMCIA и т.п.). Эти программные продукты поставляются такими компаниями как SecureWave, Safend, Control Guard и др., а также отечественными разработчиками: SmartLine и SecurIT. Пользователям присваиваются права доступа к контролируемым устройствам, по аналогии с правами доступа к файлам. В принципе, практически такого же эффекта можно добиться, используя штатные механизмы Windows, однако использование специализированного продукта все же предпочтительней, тем более что в ряде продуктов поддерживается также механизм теневого копирования данных, позволяющий дублировать информацию, копируемую пользователем на внешние устройства.

Недостатки подобных продуктов на основе статической блокировки устройств заключаются в том, что они не контролируют передачу сведений по сети и не умеют выделять конфиденциальную информацию из общего потока, работая по принципу "все или ничего". Кроме того, защиту от выгрузки программного агента такой системы, как правило, можно обойти [4].

Большие возможности по предотвращению утечки информации предоставляет программное обеспечение, обладающее возможностью динамически регулировать доступ к каналам передачи данных, в зависимости от уровня конфиденциальности информации и уровня допуска сотрудника. Для реализации этого принципа используется механизм мандатного управления доступом. Хозяин информационного ресурса не может ослабить требования на доступ к этому ресурсу, в его власти только усиливать их в пределах своего уровня. В таких системах конфиденциальные сведения не могут копироваться на носитель или передаваться по коммуникационному порту, имеющему более низкий уровень конфиденциальности, нежели копируемая информация. Ослаблять требования может только администратор, наделенный особыми полномочиями[4].

Однако системы мандатного управления доступом, как правило, дороги, сложны в реализации и оказывают существенное ограничивающее влияние на бизнес-процессы. Но самое обидное то, что, если речь идет не об особо охраняемых объектах, где на входе обыскивают, сотрудники работают по записи и все за одним компьютером, который никуда не подключен, опломбирован и не имеет внешних портов, а о реальной корпоративной среде, в которой используются ноутбуки, КПК и разнообразные каналы внешних коммуникаций, то злонамеренный инсайдер все равно найдет способ похитить информацию, поскольку он имеет к ней легальный доступ. Поэтому, в то время как нормативная база предписывает обязательное использование мандатного управления доступом в системах, имеющих дело с государственной тайной, в корпоративной среде такие механизмы защиты применяются редко.

Средства контроля доступа и предотвращения утечки информации направлены, главным образом, на защиту от несанкционированного доступа и несанкционированного копирования информации и малоэффективны для защиты от "инсайдеров", имеющих к этой информации легальный доступ. В связи с этим в настоящее время особенно активно развивается рынок специализированных систем обнаружения и предотвращения утечек информации (Information Leakage Detection and Prevention или сокращенно ILD&P).

  1. Системы обнаружения и предотвращения утечек информации

Существующие на рынке ILD&P системы можно подразделить на сетевые, хостовые и комбинированные.

Сетевые ILD&P используются для мониторинга исходящего трафика и выявления несанкционированной передачи информации по электронной почте, в чатах, системах мгновенного обмена сообщениями и с использованием различных протоколов сети интернет. Подобные системы начали поставляться на рынок сравнительно недавно созданными компаниями (Vericept, Vontu, PortAuthority, Tablus и др). Они представляют собой либо анализаторы сетевого трафика, выполненные в виде аппаратных комплексов на базе Linux, либо прокси-серверы, предназначенные для анализа определенные протоколов интернет (http, ftp и т.п.), либо почтовые шлюзы, анализирующие протоколы smtp, pop3, и imap 3.

Однако использование шлюзовых продуктов для обнаружения и предотвращения умышленного "слива" данных равносильно попыткам поймать шпиона путем наблюдения за его явочными квартирами и прослушивания его телефона. Эффективность этих мер невысока, т.к. явочные квартиры можно поменять, а вместо своего телефона воспользоваться другими средствами связи или другим телефоном. Поэтому продукты данного класса годятся только для создания архивов трафика и предотвращения случайной утечки информации.

Чтобы выявлять и останавливать инсайдеров-шпионов, необходимо действовать против них их же испытанным оружием, которым пользуются все спецслужбы: вести за ними постоянное наблюдения и подробно регистрировать все их действия (жучок в кармане пиджака, слежка, видео-наблюдение, скрытая камера и другие формы наблюдения). На рабочих местах и ноутбуках должно быть установлено специализированное шпионское программное обеспечение, перехватывающее не только все формы электронных взаимодействий, но и клавиатурный набор, а также образы экрана. Это программное обеспечение должно обладать возможностями идентификации подозрительной активности пользователя (в том числе такой, которая может предшествовать "сливу" сведений) и предоставлять аналитику набор отчетов, содержащих различные срезы информации, касающейся действий над конфиденциальными базами и файлами. Скрытая слежка и непрерывный анализ всех действий потенциального злоумышленника является наиболее действенным и бескомпромиссным способом его обнаружения и нейтрализации. Рано или поздно шпион себя проявит и вот тут надо документировать улики и юридически грамотно провести расследование.

Одним из средств контроля доступа к информации является использование USB-ключей

Поскольку затраты на безопасность должны быть адекватны величине риска, в корпоративной среде полный комплекс оперативно-розыскных мероприятий конечно редко будет применяться, а вот использование специализированного шпионского ПО себя вполне оправдывает, хотя, также как и все остальное, не является панацеей.

Специализированное шпионское программное обеспечение хостового уровня использует программные агенты, скрытно устанавливаемые на компьютерах пользователей, за которыми ведется наблюдение, и осуществляющие подробное протоколирование всех их действий. Это ПО поставляется на рынок такими компаниями, как Verdasys, Orchestria, Onigma, SpectorSoft и др. Программные агенты таких систем могут также блокировать определенные действия пользователей, например, передачу файлов, запись определенной информации на внешние носители и доступ к определенным категориям веб-сайтов.

К примеру, программный продукт Spector 360, разработанный американской компанией SpectorSoft, непрерывно протоколирует все действия пользователей и связанную с ними информацию, включая сообщения электронной почты, службы мгновенных сообщений, посещаемые веб сайты, вводимые с клавиатуры символы, передаваемые и распечатываемые файлы, используемые поисковые фразы и образы экрана. Агенты Spector 360 могут функционировать в стелс-режиме незаметно для пользователя и антивирусных программ. При этом они не отображаются диспетчером задач, их сложно обнаружить стандартными средствами операционной системы и деинсталлировать.

Наибольшего эффекта позволяют добиться комбинированные ILD&P системы, сочетающие в себе возможности как сетевых, так и хостовых систем. В частности, по пути разработки комбинированных систем пошла российская компания InfoWatch, разрабатывающая комплекс программных средств под названием InfoWatch Enterprise Solution, в состав которого входят как средства сетевого уровня (Web Monitor), так и средства хостового уровня (Net Monitor), объединенные общим интерфейсом управления и использующие общее программное ядро анализа контента.

  1. Этическая сторона вопроса

Противодействие внутренней угрозе требует от организации применения целого комплекса мер. Организационные и юридические меры, направленные на предотвращение, реагирование и восстановление после инцидента и способствующие повышению лояльности сотрудников, как правило, воспринимаются позитивно, создавая у людей положительную мотивацию. Меры же технического характера, направленные на обнаружение нарушений безопасности путем мониторинга действий пользователей, воспринимаются крайне негативно и не способствуют развитию доверительных отношений между руководством организации и ее сотрудниками. Кому приятно сознавать, что за ним постоянно ведется скрытое наблюдение, и все его действия протоколируются?

Мониторинг действий пользователей при помощи особого класса шпионского программного обеспечения действительно является мощным оружием, особенно в борьбе с инсайдерами, тунеядцами и недобросовестными сотрудниками. Однако это оружие требует крайне осторожного обращения.

Политика безопасности организации должна четко определять, что вся информация, хранимая, обрабатываемая и передаваемая по каналам связи в корпоративной сети является собственностью этой организации. Должны быть категорически и открыто запрещены несанкционированный доступ, раскрытие, дублирование, изменение, удаление и ненадлежащее использование сведений. Служебная информация должна использоваться только в производственных целях. Границы допустимого использования этих данных должно определять руководство организации.

  1. Защита от инсайдеров в российских компаниях [5]

Большой интерес в исследовании представляет анализ угроз, возникших вследствие внедрения таких новых технологий, как беспроводные сети, VoIP, мобильные устройства и т.п. Известно, что любая новая технология на этапе своего внедрения проходит период, когда ее безопасность еще не отработана, и поэтому в ряде случаев новая технология вместо повышения эффективности бизнеса приводит к ее снижению из-за потерь интеллектуальной собственности и нарушения конфиденциальности информации.

На рис. 1 представлены ответы на вопрос о том, какие новые технологии вызывают значительные ИТ-угрозы. Большинство опрошенных руководителей (53%) главной опасностью называют внедрение мобильных компьютеров. Мобильный офис — очень удобное решение, так как пользователь может подключиться к корпоративной сети из дома, аэропорта, отеля и т.д. Однако безопасность подобных систем требует защиты передаваемых данных с помощью механизма VPN, блокирования вирусов, червей и другого вредоносного кода. Мобильные устройства в гораздо большей степени находятся в сфере личного пользования сотрудников, и в случае потери и кражи мобильных компьютеров может происходить утечка данных.



Рис. 1. Ответы на вопрос о том, какие новые технологии признаются респондентами в качестве значительных ИТ-угроз

Второе месте занимают переносные накопители информации, поскольку сегодня, вставив в USB-порт флэшку (которая помещается на брелоке от ключей), можно за считаные минуты перекачать базу в сотни мегабайт. И такие устройства есть почти у каждого пользователя.

На третьем месте — беспроводные сети. Если незащищенная информация передается «по воздуху», ее может перехватить практически любой желающий. Хакер может достаточно легко отследить пакеты незащищенной беспроводной сети, используя, например, такие программы, как AirMagnet AeroPeek.

Поэтому при внедрении беспроводной сети необходимо принять специальные меры безопасности, обеспечивающие конфиденциальность и целостность передаваемой информации.

Как показывают исследования (рис. 2), несмотря на осознание возможных угроз, некоторые компании не спешат принимать срочные меры. Так, 42% респондентов сообщили, что, по их прогнозам, адекватных мер в ближайшие двенадцать месяцев принято не будет и что проблемы, возникающие в связи с переходом на новые технологии, в этот период даже усилятся.



Рис. 2. Ответы на вопрос о том, когда компании планируют предпринимать действия по борьбе с возникающими технологическими угрозами

Одним из выводов исследования является то, что риски, связанные с мобильными вычислениями, портативными устройствами, беспроводными сетями и VoIP, серьезно возрастут в ближайшее время. Прежде чем брать на вооружение новые технологии, компаниям следует выяснить, какими рисками это чревато, и принять надлежащие меры безопасности.

Обращая внимание на опасность новых технологий, не стоит упускать из виду и старые. В этом плане интересно недавно опубликованное исследование компании Lexmark International, согласно которому одной из самых серьезных угроз информационной безопасности для европейских компаний является обычный бумажный носитель.

Опрос проводился среди более чем 1000 офисных служащих по всей Европе и выявил следующее:

  • 25% профессиональных офисных служащих держат конфиденциальные документы открытыми на своих рабочих столах;

  • одним из наиболее слабых звеньев в системе безопасности является выходной лоток для бумаги на принтере — почти половина (49%) остающихся там документов содержат важную или конфиденциальную информацию о компании или ее сотрудниках. А 8% сотрудников признались, что просматривали документы своих коллег в выходном лотке принтера;

  • около 7% офисных служащих сообщили, что обычно хранят важные или конфиденциальные документы в своих рабочих столах среди других бумаг, вместо того чтобы вовремя отправить их на уничтожение.

Имон Райан (Eamon Ryan), вице-президент и генеральный менеджер Lexmark EMEA, утверждает, что компании игнорируют проблему безопасности документов, несмотря на высокие риски для их бизнеса.

Обычно считают, что так называемая проблема кражи личности связана преимущественно с хищением баз данных на электронных носителях, однако из опросов Lexmark следует, что 41% сотрудников оставляют свои распечатанные биографии на принтере.

Для работы с конфиденциальной информацией Lexmark предлагает простые решения — такие, например, как функция Lexmark Confidential Print, которая требует от сотрудников ввода PIN-кода для получения документа с принтера и позволяет повысить безопасность работы с документами.

Лишь несколько организаций так или иначе минимизировали риски внутренней ИТ-безопасности. Однако, как отмечает аналитический центр InfoWatch, наблюдается постепенный рост числа компаний, находящихся в авангарде, и положительная тенденция к перелому ситуации.

Как объяснить выявленный опросом парадокс? Ответы на следующий вопрос (рис. 3) показывают, стоящие на пути внедрения соответствующих решений, изменились. Так, доля ответа «Отсутствие технологических решений» снизилась вдвое — с 58 до 29%. И хотя именно эта причина осталась основной, ее количественное изменение свидетельствует о том, что бизнес стал более информированным о рынке специализированных продуктов и услуг.



Рис. 3. Препятствия для внедрения защиты от утечки

Далее с небольшим отставанием идут следующие причины: бюджетные ограничения (17%), нехватка квалифицированного персонала (14%), отсутствие стандартов (9%), юридические препятствия (2%), другое (11%). Необходимо особо отметить высокий процент респондентов, затруднившихся ответить на вопрос. Аналитический центр InfoWatch считает, что представители этой группы компаний еще не преодолели психологический барьер по отношению к внедрению защиты от утечки конфиденциальной информации. Другими словами, они не видят причин, чтобы отказываться, но еще не готовы дать положительный ответ.

Следует отметить три другие группы респондентов. Прежде всего, как ни странно, налицо снижение доли «бюджетных ограничений» — обычно это препятствие является ключевым на пути любых проектов. В то же время ровно в два раза выросла доля обеспокоенных нехваткой квалифицированного персонала (с 7 до 14%). В данном случае сложилась ситуация, прямо противоположная положению дел в индустрии информационных технологий: средства есть, но некому их осваивать.

И наконец, интересна динамика показателя «отсутствие стандартов» как препятствия для внедрения защиты от утечки данных. Такие проекты отличаются высокой сложностью, сочетают разнообразные технические и организационные аспекты. Это зачастую отпугивает предприятия, которые не могут точно определить методику внедрения. По сути, они выступают в роли первопроходцев. С одной стороны, организации совместно с поставщиками самостоятельно ищут оптимальный вариант, а с другой, государству самое время задуматься о разработке федерального стандарта защиты данных. Это уже сделано в большинстве развитых стран. К тому же многие международные стандарты уже оказывают влияние на российские компании: акт Сарбаниса-Оксли, соглашение Basel II, ISO 17799 и многие другие. Российский стандарт мог бы укрепить общий уровень защищенности и обеспечить соответствие мировым тенденциям для коммерческих и государственных организаций.

Есть и еще одно подтверждение противоречию теоретической озабоченности инсайдерскими угрозами и практическими шагами по их нейтрализации (рис. 4). Абсолютное большинство респондентов (90%), отвечая на вопрос о теоретических путях защиты от утечки информации, поддержали комплексные информационные решения. Этот показатель значительно обогнал все остальные способы: организационные меры (36%), ограничение связи с внешними сетями (15%), обучение сотрудников (15%) и др. Однако на практике оказалось, что самым популярным инструментом пользуется всего лишь 2% участников исследования, в то время как 59% вообще не предпринимают никаких шагов в этом направлении.



Рис. 4. Пути защиты от утечки данных

Самой популярной защитой от утечки конфиденциальной информации стали организационные меры — их практическое применение подтвердили 16% респондентов. На втором месте оказалось «ограничение связи с внешними сетями» — 13%.

Интересную тенденцию позволил выявить вопрос относительно планов компаний по внедрению специализированных защитных систем в ближайшие три года (рис. 5). По сравнению с предыдущим годом более чем на 20% снизилось число организаций, которые вообще не планируют установку таких систем (17%). Одновременно значительно увеличилось (31%) количество сторонников комплексного мониторинга сетевых ресурсов. Это, безусловно, положительная тенденция, поскольку она демонстрирует, что бизнес уже понимает, что для эффективной защиты информационных активов необходимо контролировать все возможные каналы утечки.



Рис. 5. Планы внедрения защиты от утечек

  1. Продукты для защиты конфиденциальной информации от утечек и инсайдеров

    1. PortAuthority Technologies

Компания PortAuthority Technologies (в январе текущего года была куплена компанией Websense), базирующаяся в Калифорнии (США), предлагает семейство программно-аппаратных решений PortAuthority 5.0, предназначенное для комплексной защиты конфиденциальной информации.

Область покрытия ее решений включает следующие каналы: SMTP/ESMTP, HTTP/HTTPS (в том числе веб-почта), протоколы популярных систем обмена мгновенными сообщениями (ICQ и т.п.), FTP и др. Кроме того, производитель заявляет о поддержке протоколов Microsoft Exchange и Lotus Notes, а также о контроле печати на сетевых принтерах. Решения PortAuthority также позволяют контролировать перемещение конфиденциальной информации на сменные устройства.

Версия PortAuthority 5.0 основана на трехуровневой архитектуре и включает PortAuthority Enterprise Manager — устройство, реализующее централизованное управление; PortAuthority Protector Appliance — устройство, ответственное за мониторинг и контроль сетевого трафика; PortAuthority Server Agent — программный модуль для мониторинга и предотвращения утечек через внутренние коммуникации (контроль над MS Exchange, Lotus Notes и сетевыми принтерами); PortAuthority Endpoint Protection — программный модуль для контроля за конфиденциальной информацией, копируемой на сменные устройства (USB и т.п.) на рабочих станциях, ноутбуках и серверах. Схема архитектуры решения приведена на рис. 6.



Рис. 6. Архитектура решения PortAuthority 5.0

Анализ передаваемой по контролируемым каналам информации проводится с помощью собственной технологии PreciseID, основанной на использовании цифровых отпечатков пальцев (digital fingerprints). Помимо метода digital fingerprints, технология PreciseID включает более привычные способы анализа передаваемого контента и позволяет производить мониторинг контролируемых каналов по ключевым словам и фразам, по словарям, на совпадение с образцами. Кроме того, решение предусматривает возможность анализа трафика с помощью регулярных выражений, а также по типам и сигнатурам файлов.

К сильным сторонам продукта PortAuthority 5.0 можно отнести достаточно большое покрытие каналов утечки конфиденциальной информации, а также собственную технологию контентного анализа, которая позволяет использовать различные методы для обнаружения утечек.

Одним из важных требований, предъявляемых к решениям по защите от утечек, является аудит использования конфиденциальной информации, что невозможно без архивирования и ретроспективного анализа инцидентов. Поэтому к слабым сторонам продукта прежде всего следует отнести отсутствие универсального интегрированного хранилища событий.


следующая страница >>