Особенности лицензирования DeviceLock DLP Suite 8

Политика лицензирования DeviceLock DLP Suite построена по модульному принципу. Она предусматривает как возможность приобретения лицензии «все в одном» (all-in-one), так и выборочное лицензирование по отдельным компонентам. Базовый компонент DeviceLock Base обязателен для любой инсталляции комплекса и может использоваться независимо. Опциональные компоненты — ContentLock, NetworkLock, Discovery и DLSS — могут приобретаться дополнительно к DeviceLock Base независимо друг от друга. Они лицензируются отдельно, что обеспечивает пользователям гибкое и экономное расширение функционала.

Поскольку инсталляционный пакет DeviceLock DLP Suite включает сразу все компоненты комплекса (в состав агента DeviceLock входят компоненты DeviceLock Base, ContentLock и NetworkLock), активация опциональных лицензий не требует переустановки каких-либо его частей, равно как и дополнительной установки компонентов.

Функциональные возможности DeviceLock DLP Suite 8

Функциональные возможности программного комплекса DeviceLock Endpoint DLP Suite весьма широки. Рассмотрим основные его функции и возможности.

1. Контроль доступа к устройствам и интерфейсам

DeviceLock Base обеспечивает полный контроль доступа пользователей и пользовательских групп к портам ввода-вывода (USB, FireWire, COM, LPT, IrDA), сетевым адаптерам WiFi и Bluetooth, любым типам принтеров (локальные, сетевые и виртуальные), мобильным устройствам (на базе iOS, Android, Windows Phone и других платформ), а также сменным носителям CD/DVD и т. п.

Для любого типа устройства или порта можно задать доступ в зависимости от времени и дня недели, а также задать тип доступа «только чтение» для сменных носителей.

2. Контроль сетевых коммуникаций

NetworkLock имеет механизм распознавания сетевых протоколов и используемых портов TCP/UDP, детектирования приложений, инициирующих соединение. Согласно настраиваемым политикам безопасности, выполняет селективную блокировку, реконструкцию сообщений и сессий с восстановлением файлов, данных и параметров, а также протоколирование и теневое копирование передаваемых файлов.

NetworkLock контролирует следующие сетевые протоколы и сервисы:

Почтовые протоколы: MAPI (Microsoft Exchange), SMTP/SMTPS.

Веб-сервисы (включая мобильные версии): Почта Mail.Ru, Рамблер-Почта, Яндекс. Почта, Gmail, AOL Mail, Hotmail/Outlook.com, Yahoo! Mail, GMX. de, Web. de, Outlook Web App/Access (OWA).

Социальные сети (включая мобильные версии): ВКонтакте (+API), Одноклассники, LiveJournal, LiveInternet.ru, Facebook (+API), Twitter, Google+, LinkedIn, Tumblr, MySpace, XING.com, MeinVZ. de, StudiVZ. de, Disqus.

Сетевые сервисы файлового обмена и синхронизации: Яндекс. Диск, Google Drive, Dropbox, OneDrive, RapidShare, Amazon S3, iFolder.ru (Rusfolder.com).

Службы мгновенных сообщений: Skype, Агент Mail.Ru, ICQ/AOL, MSN Messenger, Jabber, IRC, Yahoo! Messenger.

Сетевые протоколы: HTTP/HTTP-SSL, FTP/FTP-SSL, Telnet.

Прочее: внутрисетевые файловые ресурсы (SMB), звонки Skype.

3. Контентная фильтрация

ContentLock обеспечивает контентную фильтрацию данных, отправляемых на печать, передаваемых через буфер обмена, копируемых на съемные устройства хранения данных и передаваемых через сетевые протоколы. В арсенале ContentLock — распознавание более чем 160 типов форматов файлов, анализ по регулярным выражениям с различными численными и логическими условиями соответствия заданным критериям, ключевым словам и другие технологии.

Контентная фильтрация представлена следующими технологиями:

Поиск по ключевым словам с применением морфологического анализа (для английского, французского, итальянского, немецкого, испанского, русского, португальского и польского языков). Поиск по целым словам или частичному совпадению, поддержка транслитерации для русского языка.

Поиск по шаблонам на базе регулярных выражений с числовыми и булевыми порогами срабатывания.

Поиск по встроенным комплексным шаблонам регулярных выражений (номера кредитных карт, адреса, паспортные данные и т. д.).

Встроенные отраслевые терминологические словари.

Поиск по расширенным свойствам документов и файлов (имя, размер, наличие парольной защиты, наличие текста, дата и время последнего изменения, титул, тема, метки и категории документа, комментарии и авторы, наличие отпечатка Oracle IRM и др.).

Оптическое распознавание символов (OCR) для следующих языков: болгарский, каталонский, хорватский, чешский, датский, голландский, английский, эстонский, финский, французский, немецкий, венгерский, индонезийский, итальянский, латышский, литовский, норвежский, польский, португальский, румынский, русский, словацкий, словенский, испанский, шведский и турецкий.

4. Контроль по типу файлов

DeviceLock DLP позволяет разрешать и запрещать доступ к определенным типам файлов вне зависимости от политик безопасности, установленных на отдельное устройство или сетевой протокол, а также задавать избирательные политики теневого копирования с целью исключения из хранимых на сервере файлов тех, что не имеют значимости для расследования инцидентов. Определение типов файлов основано на сигнатурном методе и не зависит от расширения файла. Алгоритм распознавания сигнатур на сегодня умеет распознавать более 4300 типов файлов, и этот перечень постоянно пополняется.

5. Контроль буфера обмена.

Буфер обмена — в умелых руках не менее опасный канал утечки информации, чем сетевые протоколы или флешки. DeviceLock позволяет эффективно предотвращать потенциальную утечку данных еще до того, как они будут переданы с компьютеров — когда пользователь намеренно или случайно копирует данные между различными приложениями и документами через системный буфер обмена Windows. Контекстный контроль доступа пользователей к операциям буфера обмена обеспечивается на уровне объектов и типов данных, включая файлы, текстовые данные, графические изображения, аудиофрагменты (например, записи, сделанные Windows Sound Recorder), а также данные неопределенного типа. DeviceLock также позволяет селективно блокировать «снимки экрана», выполняемые стандартной функцией PrintScreen, как для отдельных пользователей, так и для различных приложений.

6. Белые списки

DeviceLock поддерживает формирование политик безопасности на основании белых списков:

Белый список USB-устройств — по производителю, модели устройства или уникальному серийному номеру.

Белый список носителей CD/DVD-дисков на основе записанных на них данных с разрешением их использования, даже если сам CD/DVD-привод заблокирован.

Временный белый список для предоставления временного доступа к устройствам при отсутствии сетевого подключения, может также использоваться как механизм двойного набора политик безопасности для работы в офисной сети или за ее пределами. Для предоставления доступа к USB-устройству администратор безопасности сообщает пользователю специальный короткий буквенно-цифровой код (например, по телефону или текстовым сообщением), который временно разблокирует доступ только к требуемому устройству на заданное администратором время.

Белый список сетевых протоколов позволяет задавать политики безопасности для NetworkLock, основанные на принципе белого списка. Политики доступа в Белом списке могут быть заданы по IP-адресам, диапазонам и маскам подсетей, идентификаторам отправителей и получателей сообщений и писем (в мессенджерах и электронной почте), а также по сетевым портам TCPUDP и их диапазонам.

7. Поиск несанкционированных копий конфиденциальных данных

Используя DeviceLock Discovery, можно автоматически сканировать локальные диски и сетевые системы хранения данных, размещенные как внутри, так и за пределами корпоративной сети. Администраторы могут задавать правила сканирования и обнаружения, определяющие, какого рода данные сотрудникам недопустимо хранить на рабочих станциях в корпоративной сети, и выполняющие различные опциональные действия с обнаруженными документами и файлами — удаление, шифрование или изменение прав доступа.

8. Полнотекстовый поиск по журналам

DeviceLock Search Server позволяет проводить полнотекстовый поиск по содержимому файлов теневого копирования и журналам событийного протоколирования, хранящимся в центральной базе данных сервера DeviceLock Enterprise Server. Полнотекстовый поиск особенно полезен в случаях, когда надо решить задачу оперативного поиска по содержимому документов, хранимых как теневые копии. DeviceLock Search Server может автоматически распознавать, индексировать и отображать документы множества форматов, таких как: Adobe Acrobat (PDF), Ami Pro, Архивы (GZIP, RAR, ZIP), Lotus 1−2-3, Microsoft Access, Microsoft Excel, Microsoft PowerPoint, Microsoft Word, AutoCAD, Microsoft Works, OpenOffice (документы, таблицы и презентации), Quattro Pro, WordPerfect, WordStar и многие другие.

9. Оптическое распознавание символов (OCR)

Использование OCR-технологий в резидентном модуле позволяет извлекать текст из графических файлов (например, отсканированных документов или скриншотов) и проверять его контентно-зависимыми правилами. Данный модуль встроен в агент DeviceLock, сервер и агент Discovery и не требует дополнительного лицензирования.

10. Теневое копирование

Этот механизм в DeviceLock позволяет сохранять точную копию данных, копируемых на внешние устройства, передаваемых через LPTили COM-порты, печатаемых на локальных и сетевых принтерах, а также передаваемых по каналам сетевых коммуникаций (включая переписку и файлы в мессенджерах, сообщения и вложения в электронной почте и т. д.). Точные копии всех файлов и данных могут централизованно храниться в SQL-базе данных на сервере модулем DeviceLock Enterprise Server (DLES). DLES при этом может извлекать из ISO-образов CD/DVD/BD-дисков записываемые файлы.

Расширенные настройки аудита и теневого копирования в DeviceLock позволяют гибко настраивать потоковое сжатие данных, контроль пропускной способности сети, автоматический выбор оптимального сервера DLES и локальной квоты кэша данных.

Теневое копирование DeviceLock совместимо с библиотекой программного обеспечения, поддерживаемой национальным институтом стандартов и технологий США, а также с базой данных Hashkeeper, созданной и поддерживаемой министерством юстиции США. Данные теневого копирования могут быть проверены на вхождение в базы данных известных файлов, что позволяет их использовать в компьютерной криминалистике. Такие базы данных содержат цифровые отпечатки множества известных файлов (файлы операционных систем, прикладного программного обеспечения и т. п.). Возможно создание собственных баз данных цифровых отпечатков (поддерживаются алгоритмы SHA1, MD5 и CRC32) конфиденциальных файлов, чтобы затем использовать их для выявления фактов копирования пользователями этих конфиденциальных файлов.

11. Защита от локального администратора

Режим работы драйверов DeviceLock обеспечивает необходимый уровень защиты, даже если пользователи имеют административные привилегии на своих рабочих локальных компьютерах. Когда защита DeviceLock включена, никто, кроме авторизованных администраторов, не может подключиться к агенту, остановить или удалить сервис. Даже члены локальной группы Администраторы (если они не входят в список авторизованных администраторов DeviceLock) не могут обойти защиту. Все попытки некорректно завершить процесс будут игнорироваться системой или приведут к системной ошибке, что не позволит обойти политику безопасности.

12. Централизованное управление

Полная интеграция централизованного управления DeviceLock в групповые политики Windows позволяет автоматически устанавливать агенты DeviceLock на новые компьютеры и распространять DLP-политики как объекты групповых политик домена Active Directory. Управление DLP-политиками при интеграции с доменом осуществляется посредством консоли DeviceLock Group Policy Manager.

Агенты могут устанавливаться на удаленные компьютеры с уже определенными политиками безопасности путем развертывания заранее сформированного MSI-пакета. Он создается администратором при помощи стандартной консоли управления DeviceLock.

Наиболее часто применяемая консоль управления DeviceLock представляет собой оснастку для Microsoft Management Console (MMC) в стандартном стиле Windows, что обеспечивает интуитивно понятный и комфортный вариант работы для администраторов Windows. Для организаций, не использующих домен AD, предусмотрена дополнительная консоль с собственным интерфейсом — DeviceLock Enterprise Manager, позволяющая единовременно управлять группами агентов на группах компьютеров.

13. Аудит действий пользователей

DeviceLock позволяет протоколировать все действия пользователей с устройствами и файлами (копирование, чтение, удаление и т. п.). Также можно настроить протоколирование изменений в настройках DeviceLock, время старта и остановки сервиса. DeviceLock использует стандартную подсистему протоколирования событий в Windows, а также автоматически собирает данные событийного протоколирования с удаленных компьютеров в локальной сети и хранит их в центральной базе данных SQL-сервера. Даже пользователи с административными правами (если они не входят в список авторизованных администраторов DeviceLock) не могут изменить, удалить или иным образом исказить теневые копии и данные журналов, как еще хранимые в локальном кэше на контролируемой рабочей станции, так и уже переданные на DeviceLock Enterprise Server.

14. Система тревожных оповещений

DeviceLock обеспечивает отправку тревожных оповещений для администратора в режиме реального времени. Оповещения могут отправляться в почтовых сообщениях по протоколам SMTP и/или SNMP. Предусмотрено два типа оповещений: административные (изменение настроек сервиса, остановка агента DeviceLock, изменения в списке администраторов, неуспешные попытки пользователя внести изменения в политики и т. п.) и специфичные для устройств и протоколов, отправляемые при наступлении какого-либо инцидента информационной безопасности (попытка доступа к запрещенному устройству, передача файла с конфиденциальными данными и т. д.). Настройка тревожных оповещений осуществляется администратором аналогично настройке событийного протоколирования, но при этом не заменяет его.

15. Централизованное хранение журналов событий и теневого копирования

Для централизованного сбора и хранения данных теневого копирования и журналов событийного протоколирования используется нелицензируемый компонент DeviceLock Enterprise Server (DLES). Для равномерного распределения нагрузки в локальной сети можно установить несколько экземпляров DLES, которые, в свою очередь, используют любое количество доступных SQL-серверов для хранения данных. Это решает проблемы балансировки нагрузки в корпоративной сети и дает возможность гибкого масштабирования DLP-системы под различное количество защищаемых хостов.

16. Политики автономного и оперативного режима

DeviceLock может применять один набор политик для ситуации, когда компьютер подключен к сети, доступен контроллер домена или доступен DeviceLock Enterprise Server (онлайн-режим), и другой набор политик для ситуации, когда компьютер не подключен к сети, недоступен контроллер домена или недоступен DeviceLock Enterprise Server (офлайн-режим). Применение различных политик для двух режимов полезно, например, для запрета использования адаптеров Wi-Fi, когда компьютер подключен к офисной сети компании, и разрешения, когда находится за ее пределами.

17. Интеграция с внешними средствами шифрования

DeviceLock освобожден от привязки к национальным криптографическим алгоритмам, а взамен разработчики предлагают интеграцию со сторонним программным обеспечением. DeviceLock интегрируется со встроенными в Windows средствами шифрования, например BitLocker To Go. Есть поддержка FileVault — встроенного в Apple OS X средства шифрования данных, а также ViPNet SafeDisk от компании «Инфотекс» (сертифицирован ФСБ России как СКЗИ), PGP Whole Disk Encryption, DriveCrypt и TrueCrypt (USB-флешки и другие съемные устройства), а также флеш-диски Lexar JumpDrive SAFE S3000 и Lexar SAFE PSD, поддерживающие аппаратное шифрование данных. DeviceLock имеет возможность использования гибких политик интеграции — например, можно разрешить запись только зашифрованных данных на съемные устройства и запретить запись незашифрованных данных.

18. Поддержка виртуальных и терминальных сред

В DeviceLock DLP Suite реализована поддержка виртуальных и терминальных сред (см. статью о DeviceLock Virtual DLP), что существенно расширяет возможности по предотвращению утечек данных в виртуальной инфраструктуре, созданной как в форме локальных виртуальных машин, так и терминальных сессий или опубликованных приложений на гипервизорах (серверах виртуализации). Поддерживаются рабочие среды и приложения от трех основных разработчиков — Microsoft (RDS/RDP), Citrix (XenApp, XenDesktop) и VMware (VMware View).

Рисунок 6. Защита терминальных сессий в DeviceLock DLP Suite 8.

Благодаря полноценному набору контекстных и контентных методов фильтрации данных DLP-политики для виртуальных сред обеспечивают контроль потока данных между виртуальным рабочим столом (приложением) и перенаправленными на удаленные рабочие компьютеры периферийными устройствами, включая съемные CDDVDHDD-накопители, принтеры, USB-порты и буфер обмена данными. Более того, все сетевые соединения пользователей внутри терминальной сессии также контролируются DLP-механизмами DeviceLock. Как и в обычном режиме, обеспечиваются централизованное журналирование действий пользователя и теневое копирование переданных им файлов и данных.

Контроль удаленных устройств, подключенных к серверам организации через терминальные сессии, является универсальными и не зависящим от платформы на конечном устройстве, и работает на всех видах персональных устройств — под управлением iOS, Android и Windows RT/Phone, а также на любых тонких клиентах, не говоря уже про полноценные рабочие станции и лэптопы. Такая особенность контроля терминальных сред связана с тем, что агент DeviceLock устанавливается на стороне корпоративной среды, а не на конечном устройстве. Таким образом, пользователь сохраняет возможность подключать к корпоративной среде через сторонние сети любые персональные устройства для получения доступа к рабочим данным и бизнес-приложениям, в том числе мобильные устройства. Для него этот процесс прозрачен, а DLP-система продолжает обеспечивать защиту данных в терминальной среде. Администратор может отслеживать, проверять и отфильтровывать содержимое обмена данными между защищенной виртуальной рабочей средой и персональным устройством пользователя, а также всеми перенаправленными в терминальную сессию периферийными устройствами и буфером обмена данными.

19. Контроль синхронизации мобильных устройств

DeviceLock Base обеспечивает обнаружение и контроль локальных подсоединений мобильного устройства на уровне интерфейса (USB, Bluetooth, IrDA, COM), по типу устройства (Windows Phone, iPhone, Android) и, если возможно и необходимо, по модели и уникальному идентификатору.

Далее результаты передаются парсеру протокола синхронизации, который осуществляет протокольный анализ потока данных, детектирует его отдельные объекты (файлы, фотографии, календарь, почта, задачи, заметки), фильтрует запрещенные типы и пропускает остальные к детектору типов файлов. На этом этапе производится фильтрация файлов по их реальному типу, а на окончательном этапе выполняется фильтрация с применением контентного анализа.

Рисунок 7. Контроль протоколов мобильной синхронизации DeviceLock DLP Suite 8.