Разработка научно-методических рекомендаций по построению системы защиты конфиденциальной информации компании от внутренних утечек

Исследование контентной фильтрации Прежде, чем определить, какими продуктами необходимо защищаться от внутренних ИТ-угроз, необходимо, как и при внедрении любой системы безопасности, ответить на базовые вопросы — зачем от них нужно защищаться, каков портрет нарушителя и какие ресурсы компания готова потратить на защиту от внутренних угроз.

Ответ на вопрос «Зачем внедрять систему защиты от внутренних угроз?» и следующий из ответа на него вопрос «Как внедрять эту систему?» не столь очевиден, как это кажется на первый взгляд. Рассмотрим четыре возможных ответа на этот вопрос (см. Таблицу 1).

Таблица 1 — Основные цели систем защиты против внутренних нарушителей.

Системный ландшафт После определения цели защиты против инсайдеров необходимо описать системный ландшафт — комплекс технических средств и правил, имеющих место быть в компании.

Права пользователей Как обычно обстоят дела в информационной системе компании, офицеру информационной безопасности которой поручено создать технологическую инфраструктуру по защите от внутренних ИТ-угроз? Во-первых, отсутствует единая политика по стандартизации процессов, происходящих на рабочих местах пользователя. Это означает, что часть пользователей обладает правами локальных администраторов. Обычно это две группы пользователей — пользователи устаревших операционных систем (MS Windows 98, например) и пользователи ноутбуков. Это также означает, что копии конфиденциальных документов хранятся на рабочих местах. Кроме того, на рабочих местах установлено потенциально опасное ПО — файловые менеджеры, которые могут проводить операции с временными файлами Windows, программы синхронизации с мобильными устройствами, программы шифрования и т. д.

Средства защиты Нельзя сказать, что никакие меры по защите информации от внутренних угроз в типичной компании не принимаются. Обычно заказчики относят к этому типу технические решения по контролю доступа к ресурсам (Интернет, корпоративная почта и USB), а также сигнатурную контентную фильтрацию (обычно специальным образом настроенный антиспам-фильтр). Однако эти методы действенны лишь против неосторожных либо неквалифицированных нарушителей. Сигнатурная контентная фильтрация легко обходится либо примитивным удалением «опасных» слов, либо элементарным кодированием, не требующим запуска специальных программ шифрования — заменой символов одной части кодировки (например, западноевропейской) на похожие символы другой (например, кириллической), замена букв на цифры, транслитерирование и т. п. Запрещенный доступ злонамеренные сотрудники обычно получают имитацией служебной необходимости — не стоит забывать, что мы говорим о внутренней ИТ-безопасности, т. е. методы «запретить все» неприменимы, так как приведут к остановке бизнеса.

Таким образом, компании имеют необходимость, с одной стороны, упорядочить систему хранения конфиденциальной информации, с другой стороны, внедрить более совершенную систему защиты от внутренних угроз.

Положение о конфиденциальной информации в электронном виде Определив, для чего мы защищаем конфиденциальную информацию, хранящуюся в корпоративной информационной сети, важно понять, что конкретно мы собираемся защищать. Прежде всего, в компании необходимо дать определение конфиденциальной информации и установить разрешенные действия с ней для разных групп пользователей. В каждой компании существует (или, по крайней мере, должно существовать) «Положение о конфиденциальной информации», описывающее порядок работы с такими данными, находящимися в бумажном виде. Необходимо адаптировать его к электронным документам. В реальности эта процедура занимает несколько недель и сводится к регламентации действий с такими отсутствующими в бумажных документах сущностями, как копия документа, часть документа и т. п. Регламенты работы с конфиденциальной информацией в электронном виде также с небольшими изменениями приходят из регламентов обращения с документами в бумажном виде. То есть определяется цикл жизни документа — где он создается, как и кем используется, кто и в каких условиях может вносить в него изменения, сколько он хранится и как уничтожается. криминальный компьютерный преступление следственный Контентная категоризация Регламенты использования документов, содержащих конфиденциальную информацию, должны включать описание системы хранения документов и организации доступа к ним. Здесь тоже нет ничего принципиально нового — опыт работы с бумажными документами накоплен огромный. Те же нехитрые правила — перед получением доступа к документам для чтения или внесения изменений сотрудник указывает, на каком основании и для чего он собирается обратиться к документу; что собирается с ним делать; когда он закончит работать с документом и т. д. Этот «журнал» работы с документом в случае с электронными данными вести даже проще, так как большая часть операций (например, проверка прав доступа или прав на изменение содержания, учет времени работы и контроль изменений) может идти в автоматическом режиме. Термин «журналирование», обозначающий процесс ведения журнала доступа к документу, встречается в источниках наряду с термином «логирование» .

Также в положении должно быть отмечено, что никакой администратор не может изменять информацию в журнале своей работы, чтобы возможность скрыть следы не подвигла его на неправомерные действия.

Классификация информации по уровню конфиденциальности После построения документарной базы можно переходить к следующей процедуре: классификации имеющейся информации. Необходимо определить, какие документы являются конфиденциальными, какие сотрудники имеют доступ какого уровня к каким документам. Таким образом, создается так называемый реестр конфиденциальных документов, содержащий, помимо описания документов и прав доступа, еще и правила внесения в него документов и правила их изъятия (уничтожения). Поскольку в каждой компании каждый день создается множество новых документов, часть из них — конфиденциальные, то без создания механизма их автоматической или полуавтоматической классификации реестр уже через несколько месяцев потеряет актуальность.

Классификация внутренних нарушителей Сотрудники, допускающие утечку конфиденциальной информации, будучи допущенными к ней, классифицируются по нескольким критериям — злонамеренные или халатные, ставящие цели себе сами или действующие по заказу, охотящиеся за конкретной информацией или выносящие все, к чему имеют доступ. Правильно классифицировав потенциального нарушителя, сотрудники подразделения информационной безопасности компании могут спрогнозировать поведение нарушителя при невозможности осуществления попытки передачи информации. Кроме того, рассматривая средства защиты, всегда надо иметь в виду, против каких нарушителей эти средства действенны, а против каких — нет.

Разделим нарушителей на пять основных видов (см. Таблица 2) — неосторожные, манипулируемые, саботажники, нелояльные и мотивируемые извне. Рассмотрим каждый вид и их подвиды подробнее.

Таблица 2 — Экосистема внутренних нарушителей.

Контентаная фильтрация каналов движения информации Основной отличительной особенностью контентной фильтрации предлагаемой мной системы InfoWatch является использование морфологического ядра. В отличие от традиционной сигнатурной фильтрации, технология контентной фильтрации InfoWatch имеет два преимущества — нечувствительность к элементарному кодированию (замене одних символов на другие) и более высокую производительность. Поскольку ядро работает не со словами, а с корневыми формами, она автоматически отсекает корни, которые содержат смешанные кодировки. Также работа с корнями, которых в каждом языке насчитывается меньше десяти тысяч, а не со словоформами, которых в языках около миллиона, позволяет показывать значительные результаты на достаточно непроизводительном оборудовании.

Аудит пользователей Для мониторинга действий пользователей с документами на рабочей станции InfoWatch предлагает несколько перехватчиков в одном агенте на рабочей станции — перехватчики файловых операций, операций печати, операций внутри приложений, операций с присоединяемыми устройствами.

Модели поведения нарушителей Развернув систему мониторинга действий с конфиденциальной информацией, кроме наращивания функционала и аналитических возможностей, можно развиваться еще в двух направлениях. Первое — интеграция систем защиты от внутренних и внешних угроз. Инциденты последних лет показывают, что существует распределение ролей между внутренними и внешними злоумышленниками, и объединение информации из систем мониторинга внешних и внутренних угроз позволит обнаруживать факты таких комбинированных атак. Одной из точек соприкосновения внешней и внутренней безопасности является управление правами доступа, особенно в контексте симуляции производственной необходимости для увеличения прав нелояльными сотрудниками и саботажниками. Любые заявки на получение доступа к ресурсам, не предусмотренного служебными обязанностями, должны немедленно включать механизм аудита действий с этой информацией.

Предотвращение утечек на этапе подготовки Другое направление развития системы мониторинга внутренних инцидентов с конфиденциальной информацией — построение системы предотвращения утечек. Алгоритм работы такой системы тот же, что и в решениях по предотвращению вторжений. Сначала строится модель нарушителя, по ней формируется «сигнатура нарушения», то есть последовательность действий нарушителя. Если несколько действий пользователя совпали с сигнатурой нарушения, прогнозируется следующий шаг пользователя, если и он совпадает с сигнатурой — подается сигнал тревоги. Например, был открыт конфиденциальный документ, часть его была выделена и скопирована в буфер, затем был создан новый документ и в него было скопировано содержимое буфера. Система предполагает: если дальше новый документ будет сохранен без метки «конфиденциально» — это попытка похищения. Еще не вставлен USB-накопитель, не сформировано письмо, а система информирует офицера информационной безопасности, который принимает решение — остановить сотрудника или проследить, куда уйдет информация. К слову, модели (в других источниках — «профили») поведения нарушителя можно использовать, не только собирая информацию с программных агентов. Если анализировать характер запросов к базе данных, всегда можно выявить сотрудника, который рядом последовательных запросов к базе пытается получить конкретный срез информации.

Выводы Внедрение предложенных научно-методических рекомендаций по построению системы защиты конфиденциальной информации компании от внутренних утечек позволит сократить риски коммерческого предприятия, связанные с информационной безопасностью. Кроме того, данные рекомендации могут быть использованы для формирования системы управления безопасностью на объекте информатизации.