Средства реализации правил использования системы электронных сообщений

Внедрение политики использования СЭС требует от руководства организации понимания того, что наличие только документально оформленных правил не гарантирует ее выполнения. Необходимо создание соответствующих условий их реализации. При этом важным условием является наличие программно-технических средств контроля за выполнением положений и требований правил. К таким средствам относятся системы контроля содержимого СЭС — программное обеспечение, способное анализировать содержание сообщений по различным компонентам и структуре в целях реализации правил их использования. Отмстим также особенности данного программного обеспечения. как:

• · применение при анализе содержания специально разработанных правил использования СЭС;
• · способность осуществлять «рекурсивную декомпозицию» электронных сообщений;
• · возможность распознавания реальных форматов файлов вне зависимости от способов их маскировки (искажение расширения файлов. архивирование файлов и т. д.);
• · анализ множества параметров электронных сообщений;
• · веление архива системы электронных сообщений;
• · анализ содержимого электронного сообщения и прикрепленных файлов на наличие запрещенных к использованию слов и выражений.

Спектр возможностей всех категорий систем контроля содержимого СЭС достаточно широк и существенно меняется в зависимости от производителя. Однако ко всем системам предъявляются следующие наиболее общие требования, которые позволяют решать задачи, связанные с контролем почтового трафика.

Полнота. Это способность систем контроля обеспечить наиболее глубокую проверку — сообщений. Это предполагает, что фильтрация должна производиться по всем компонентам электронного сообщения. При этом ни один из объектов, входящих в структуру электронного сообщения, не должен быть «оставлен без внимания. Условия проверки сообщений должны учитывать все проблемы, риски и угрозы, которые могут существовать в организации, использующей систему электронных сообщений.

Адекватность. Это способность систем контроля содержимого как можно более полно воплощать словесно сформулированную политику использования СЭС, иметь все необходимые средства реализации написанных людьми правил в понятные системе условия фильтрации.

Текстовый анализ (анализ ключевых слов и выражений с помощью встроенных словарей). Позволяет обнаружить и своевременно предотвратить утечку конфиденциальной информации, установить наличие непристойного или запрещенного содержания, остановить рассылку спама, а также передачу других запрещенных материалов. При этом качественный анализ текста должен предполагать морфологический анализ слов, т. е. система должна иметь возможность генерировать и определять всевозможные грамматические конструкции слова. Эта функция приобретает большое значение в связи с особенностями русского языка, в котором слова имеют сложные грамматические конструкции.

Контроль отправителей и получателей электронных сообщений. Позволяет фильтровать почтовый трафик, тем самым реализуя некоторые функции межсетевого экрана в системе.

Разбор электронных сообщений на составляющие их компоненты (MIME-заголовки, тело сообщения, прикрепленные файлы и т. п.). Устранение «опасных» вложений и последующий отбор компонентов сообщения воедино, причем с возможностью добавлять к сообщению необходимые для администраторов безопасности элементы (например, предупреждения о наличии вирусов или запрещенного текста в содержании сообщения).

Блокировка или задержка сообщений большого размера до того момента, когда канал связи будет менее всего загружен, например п нерабочее время. Циркуляция в СЭС организации таких сообщений может привести к перегрузке сети, а блокировка или отложенная доставка позволят этого избежать.

Распознавание графических, видеои звуковых файлов. Как правило. такие файлы имеют большой размер, и их циркуляция может привести к потере производительности сетевых ресурсов. Поэтому способность распознавать и задерживать данные типы файлов позволяет предотвратить снижение эффективности работы организации.

Обработка сжатых/архивных файлов. Дает возможность проверять сжатые файлы на содержание в них запрещенных материалов.

Распознавание исполняемых файлов. Как правило, такие файлы имеют большой размер и редко относятся к деятельности организации. Кроме того, они являются основным источником заражения вирусами, передаваемыми с электронными сообщениями. В связи с этим способность распознавать и задерживать данные тины файлов позволяет предотвратить снижение эффективности работы организации и избежать заражения АИС.

Контроль и блокирование спама. Циркуляция спама приводит к перегрузке сети и потере рабочего времени сотрудников. Функция контроля и блокирования спама позволяет сберечь сетевые ресурсы и предотвратить снижение эффективности работы организации. Основными способами защиты от спама являются: проверка имен доменов и IP-адресов источников рассылки спама по спискам, запрос на указанный адрес отправителя (блокировка в случае отсутствия ответа), текстовый анализ спам-сообщения на наличие характерных слов и выражений в заголовках, проверка заголовков на соответствие спецификации и т. д.

Способность определять число вложений в электронных сообщениях. Пересылка электронного сообщения с большим количеством вложений может привести к перегрузке сети, поэтому контроль за соблюдением определенных политикой информационной безопасности ограничений на количество вложений обеспечивает сохранение ресурсов сети.

Контроль и блокирование программ-закладок, вредоносного мобильного кода (Java, ActiveX, JavaScript, VBScript и т. д.) а также файлов, осуществляющих автоматическую рассылку (так называемые Automatic Mail-to). Эти виды вложений являются опасными и приводят к утечке конфиденциальной информации из сети и систем электронного документооборота.

Категоризация ресурсов системы электронных сообщений организации: управленческий, кадровый, финансовый и т. д. и разграничение доступа сотрудников к различным категориям ресурсов сети (в том числе и в зависимости от времени суток).

Реализация различных вариантов реагирования, в том числе: удаление или временная блокировка сообщения, задержка сообщения и помещение его в карантин для последующего анализа, лечение зараженного вирусом файла, уведомление администратора безопасности или любого другого адресата о нарушении информационной безопасности и т. д.

Возможность модификации данных; которая предусматривает, например, удаление неприемлемых вложений в замену их на тексты заданного содержания. Такая возможность позволит администратору удалять из сообщений прикрепленные файлы, тип которых запрещен. К таким типам могут относиться исполняемые, видеои звуковые файлы, имеющие отношения к деятельности организации. В конечном счете, это позволит избежать заражения сети и систем ВЭД и МЭД вирусами и добиться от сотрудников продуктивного использования СЭС.

Ведение полнофункционального архива СЭС, способного обеспечить хранение в режиме on-line большого количества электронных сообщений с высоким уровнем доступности данных. На основании хранящейся в архиве информации можно проводить дальнейший анализ информационного потока электронных сообщений организации, корректировать работу системы, осуществлять анализ инцидентов, связанных со злоупотреблением сотрудниками СЭС, и др.

Схема обработки сообщения, как правило, включает в себя следующие этапы: рекурсивную декомпозицию электронного сообщения: анализ содержимого электронного сообщения: «категоризацию» сообщения (отнесение к определенной категории): действие над сообщением по результатам присвоения категории.

Каждое попадающее в систему электронное сообщение должно проверяться на соответствие заданным условиям. При этом, по меньшей мере должны выполняться следующие условия отбора сообщений:

• · на заголовки сообщений:
• · на структуру сообщения (наличие, количество и структура вложений):
• · на типы вложений (MS Office, исполняемые, архивы и т. д.):
• · на содержимое (текст) сообщений и вложений:
• · на результат обработки сообщения.

Кроме того, система должна позволять анализировать сообщения по всем их составляющим: атрибутам конверта, заголовкам сообщения. MIME-заголовкам, телу сообщения, присоединенным файлам.

Следует отметить, что гибкость при фильтрации сообщений особенно необходима, когда это касается такой проблемы, как спам. Одним из главных критериев выбора системы контроля содержимого электронных сообщений в настоящее время является как раз ее способность как можно более качественно справляться с данной проблемой. Существуют четыре основные методики определения того, какое сообщение относится к спаму, а какое нет.

Первая методика используется в антиспамных фильтрах, реализующих способ выявления спама по наличию в сообщении определенных признаков, таких как наличие ключевых слов или словосочетаний, характерное написание темы сообщения, например все заглавные буквы и большое количество восклицательных знаков, а также специфическая адресная информация.

Вторая методика связана с определением адреса отправителя и его принадлежности к так называемым — черным спискам" почтовых серверов (Open Relay Black List — ORBL). В эти списки заносятся тс серверы, которые замечены в массовых рассылках спама. Вообще не принимать и не транслировать сообщения, исходящие с этих серверов.

Третья методика включает обе перечисленные, но по продуктивности мало чем отличается от двух первых. Некачественное разделение спама и обычных сообщений обусловлено, в том числе и некоторой «однобокостью» стандартных фильтров. При отбраковке сообщений учитываются «плохие» признаки и не учитываются «хорошие». характерные для полезной переписки.

Этих недостатков лишена четвертая методика, которая позволяет автоматически настроить фильтры согласно особенностям индивидуальной пере писки, а при обработке учитывает признаки как — плохих". так и «хороших» фильтров. Методика основывается на теории вероятностей. По имеющимся оценкам, этот метод борьбы со спамом является весьма эффективным.

Таким обратом, системы контроля содержимого электронных сообщений, которые в своем составе имеют модули фильтрации спама, основанные на четвертой методике, являются в настоящее время наиболее эффективными и отвечающими современным требованиям по борьбе с рассылками рекламного характера. А это, в конечном счете, и явится еще одним критерием при выборе системы контроля содержимого электронных сообщений.

Требование полного разбора письма следует дополнить требованием устойчивости.

Структура сообщения подчиняется определенным правилам. Разбор сообщения на составляющие основан на применении этих правил к конкретному электронному сообщению.

Система должна надежно определять типы файлов-вложений. Под надежностью имеется в виду определение, не основанное на имени файла, а также на информации, вписываемой в сообщение клиентом при прикреплении файла (mimе-typе). Такая информация может быть недостоверной в результате либо сознательных попыток обмануть систему контроля, либо неправильных настроек программы электронных сообщений отправителя. Запрещать пересылку файлов типа JPEG бессмысленно, если файл picture. jpg после переименования Bpage. txt пройдет незамеченным.

Значение для системы имеет полнота проводимых проверок, т. е. количество и разнообразие критериев анализа электронных сообщений. При этом система должна осуществлять фильтрацию по любым атрибутам сообщений: объему сообщений и вложенных файлов: количеству и типу вложений: глубине вложенности, а также уметь анализировать содержимое прикрепленных файлов вне зависимости от того, являются ли эти файлы сжатыми или архивными. Существенным преимуществом многих продуктов является возможность создания собственного сценария обработки сообщений.

По его результатам сообщение будет отнесено к какой-нибудь категории: безопасное, важное, неразрешенное и др. Если такая категоризация проведена, то можно говорить о каких-либо действиях по отношению к проанализированному сообщению, например, доставить его адресату, заблокировать и т. д. Другими словами, необходима возможность задавать системе правила, по которым она обрабатывает сообщения. Любое правило можно представить себе как связку «условие + действие» .

Отнесение сообщения к определенной категории уже может рассматриваться как неявное действие. Жесткая категоризация как основа для принятия решений по электронному сообщению оказывается непрактичной. Например, выделили категорию «сообщение, отправленное на запрещенный адрес» для того, чтобы блокировать сто доставку. С другой стороны, категория «сообщения руководства организации» говорит о том. что его надо, безусловно, отправлять. Такая «свободная категоризация» позволит системе гибко реагировать на самые различные комбинации данных, содержащихся в сообщениях.

В последнее время большое значение для обеспечения информационной безопасности АИС приобрело наличие в организации архива электронных сообщений. Некоторые разработчики систем контекстного анализа предусматривают прикрепление к своим продуктам специальных модулей архивирования. Именно наличие архива определяет в настоящее время полнофункциональность продуктов этой категории. При этом ведение архива — это не просто автоматическая архивация сообщений в файл, а способность регистрации сообщений и учета необходимой информации на протяжении всего жизненного цикла сообщения, возможность получения любых выборок и статистики из архива по запросам, созданным с использованием любых критериев.

Кроме того, долговременный архив не только предоставляет возможность ретроспективного анализа информационных потоков электронных сообщений и позволяет найти виновных в нарушении принятых в организации правил по прошествии определенного времени. но и даст материал для построения объективных и обоснованных правил использования СЭС.

Отличительным признаком средств контекстного анализа является способность накопления статистики и генерации отчетов. Многие продукты имеют в своем арсенале только встроенные формы отчетов, другие способны осуществлять лишь просмотр статистики работы конкретного пользователя СЭС. Вероятно, наиболее совершенными являются системы, которые способны обеспечить получение любых выборок и статистики из архива по запросам, создание специфических запросов, генерацию любых видов отчетов для анализа эффективности использования почтового сервиса организации.

Существуют несколько систем контроля содержимого СЭС с открытой архитектурой. В стандартный комплект поставки таких систем, как правило, входят несколько модулей, каждый из которых обеспечивает защиту от определенного вида угроз или решает отдельную задачу безопасности функционирования системы электронных сообщений. Например, в состав системы может входить модуль ЭЦП и шифрования, который обеспечивает конфиденциальность и контроль целостности пересылаемой информации.

Большое значение для систем контроля содержимого имеет удобство администрирования системы, что предполагает наличие русскоязычного интерфейса, возможности разделения функций управления и администрирования системы, т. е. разграничения доступа различных категории пользователей к средствам управления системой.

В настоящее время деятельность организаций, государственных и негосударственных структур все больше — зависит от СЭС. Однако нельзя не упитывать проблемы, которые возникают в связи с ее неконтролируемым использованием. Сейчас существуют средства реализации серьезных преимуществ СЭС, которые помогают устранить угрозы надежности, конфиденциальности и продуктивности организации — это системы контроля содержимого СЭС.

Системы контроля, помимо основной своей задачи мониторинга почтового трафика, способны выполнять и другие функции. Практика показала, что в настоящее время такие системы используются в качестве:

• · основы систем ВЭД и МЭД:
• · средств управления потоком сообщений:
• · средств управления доступом;
• · средств администрирования и хранения СЭС.
• · средств аудита контента, важнейшую функцию которого осуществляет архив электронных сообщений.

В заключение следует отметить, что необходимость систем контроля содержимого электронных сообщений подтверждается «Специальными требованиями и рекомендациями по технической защите конфиденциальной информации», разработанными Гостехкомиссией при Президенте Российской Федерации в 2001 г. (СТР-К). В ст. 6.3.11.5 этого документа определено; «В целях контроля за правомерностью использования абонентских пунктов и выявления нарушения требований по защите информации осуществлять анализ принимаемой из Сети и передаваемой в Сеть информации, в том числе на наличие вирусов. Конни исходящей электронной почты и отсылаемых в Сеть файлов следует направлять в адрес защищенного архива абонентских пунктов для последующего анализа со стороны администратора (службы безопасности)» .

Таким образом, все перечисленные выше факты еще раз указывают на необходимость применения в системах информационной безопасности сетей систем контроля содержимого СЭС, или, иными словами, системы электронной почты, которые способны не только обеспечить защиту системы электронных сообщений и стать эффективным элементом управления информационным потоком, но и значительно повысить эффективность деятельности организации.