Автор:

Алексей Парфентьев

Заместитель генерального директора по инновационной деятельности «СёрчИнформ»

Опубликовано 31.07.2026

Обновлено 31.07.2026

Системы аудита и защиты файловых хранилищ (DCAP) помогают компаниям контролировать действия привилегированных пользователей, предотвращать инциденты и расследовать попытки обхода ограничений. На примере системы «СёрчИнформ Файловый аудитор» («СёрчИнформ FileAuditor») разберем, как выстроить надежную защиту без ущерба для работы ИТ-службы.

Почему стандартной защиты прав доступа недостаточно

Основа информационной безопасности — организация хранения данных и распределение прав доступа. Злоумышленник не сможет украсть или испортить охраняемый контент, если у него не будет доступа к файлу. Но судебная практика показывает, что эта логика не всегда работает, если инсайдер — штатный ИТ-специалист или системный администратор. Они могут использовать привилегии своей учетной записи или поменять ее параметры, чтобы получить доступ к файлам с защищаемыми сведениями.

Защитить данные от несанкционированных действий привилегированных пользователей поможет система файлового аудита «СёрчИнформ Файловый аудитор». Как это работает:

1.  Как найти и взять под контроль данные

Первое, что нужно сделать, — найти все файлы, которые представляют особую ценность для компании. Например, это может быть финансовая, проектная документация, договоры с клиентами и т. д. Все конфиденциальные сведения нужно взять под контроль — отслеживать, кто и что с ними делает.

В этом лучше остальных средств защиты поможет система аудита и защиты файловых хранилищ (DCAP). «Файловый аудитор» сканирует локальные и облачные файловые хранилища, вычитывает все документы и присваивает метку классификации тем, в которых находит защищаемый контент. Метка встраивается в файловый поток, то есть становится неотъемлемой частью документа, но пользователю по умолчанию не видна. Зато в интерфейсе системы метки на документах отображаются и показывают, что именно внутри: персональные данные, пароли и т. д.

Для всех размеченных документов «Файловый аудитор» также вычитывает права доступа и фиксирует файловые операции. Можно просматривать эти данные для конкретных файлов и директорий, а можно сразу оценить картину целиком: например, в отчетах, которые показывают ошибки в наследовании прав, реальных владельцев документов и прочее.

Алексей Парфентьев

Заместитель генерального директора по инновационной деятельности «СёрчИнформ»

Вместе результаты такого аудита дают ИБ-специалисту понимание «фронта работ»: сколько в компании таких данных, где они хранятся и что с ними происходит. С этими вводными проще навести порядок и грамотно распределить права доступа в файловой системе. А чтобы проконтролировать, как идет эта работа, «Файловый аудитор» интегрирован с контроллером домена. Например, из Active Directory (AD) система получает сведения о действиях системных администраторов: создании, изменении учетных записей, раздаче прав и т. д. Так ИБ-специалист сможет удостовериться, что все настроено «как надо».

2.    Как избежать рисков

Главный риск ИБ, связанный с файлами, — это неправомерный доступ к ним. Поэтому кроме вычитки прав доступа системы файлового аудита должны ими управлять: ограничивать пользовательские разрешения или отзывать их при подозрении на инцидент.

Обычно управление правами происходит в контроллере домена. В контексте суперпользователей это ненадежно. Сотрудник с учетной записью администратора может получить доступ к любому документу, несмотря на ограничения.
«Файловый аудитор» позволяет избежать риска при помощи блокировок на основе собственного механизма распределения прав. Он запрещает вычитывать документы из файловой системы при заданных условиях. Их можно настроить для документов с критичным содержимым по метке классификации — и применять для выбранных пользователей, ПК и их групп в разных сочетаниях.

Важно, что блокировки «Файлового аудитора» не связаны с привилегиями пользователей в Active Directory и операционной системе. Они работают на уровне альтернативных файловых потоков файловой системы ПК и запрещают доступ в зависимости от процесса, с помощью которого пользователь пытается взаимодействовать с файлом, — например, отредактировать в Microsoft Word и пр. Таким образом можно блокировать небезопасные сценарии доступа к файлу, сохраняя возможность штатной работы с ним.

В частности, можно запретить всем пользователям, кроме группы «Бухгалтеры», работать в офисных редакторах с файлами с меткой «Зарплатные ведомости». Тогда остальные сотрудники, даже с самыми привилегированными учетными записями, не смогут открыть файл с этим содержимым или отредактировать его.

При этом блокировки никак не повлияют на работу штатных ИТ-специалистов. Администраторы домена по-прежнему смогут изменять права инструментами ОС, устранять несоответствия с матрицей доступов и т. д.

3.    Как обнаружить инцидент

Столкнувшись с запретами, некоторые сотрудники пытаются их обойти. Поэтому в «Файловом аудиторе» есть политики безопасности — с ними система автоматически обнаруживает и реагирует на такие действия.

Это заранее созданные правила поиска инцидентов, которые фиксируют заданные ИБ-специалистом события и оповещают о них. Например, о том, что администратор домена внес критичное изменение в Active Directory: создал новую учетную запись и дал ей права администрирования в папке с конфиденциальными документами.

Алексей Парфентьев

Заместитель генерального директора по инновационной деятельности «СёрчИнформ»

Для наглядности смоделируем ситуацию. Администратор пытается получить доступ к файлу с коммерческой тайной, но обнаруживает, что не может его открыть или отправить. Он логично предполагает, что ограничения связаны с его учетной записью и для конспирации создает временную учетную запись с нужными правами. Совершает желаемое действие, а после удаляет ее. И все это в нерабочее время — пока служба ИБ «не видит». (Кстати, поэтому блокировки бывает полезно настраивать по принципу «белых списков», когда доступ по умолчанию запрещен всем, кроме конкретных пользователей/групп.)

Но «Файловый аудитор» зафиксирует каждое из этих событий, вплоть до времени совершения конкретных файловых операций. Благодаря этому ИБ-специалисту видно, где нормальные рабочие процессы, а где подозрительная активность. Кроме того, система регистрирует каждый раз, когда срабатывает блокировка доступа — по этим событиям тоже можно настроить политики с уведомлениями.

4.    Какие инструменты помогают расследовать инцидент

Для того чтобы инциденты не повторялись, нужно разобраться в причинах и найти причастных. Для этого «Файловый аудитор» предоставляет разные инструменты расследования, например:

• Гибкий поиск. Более 10 поисковых алгоритмов, которые можно комбинировать, помогают найти в документообороте любые файлы. Например, показать только документы с коммерческой тайной в общедоступных директориях. Или файлы, которые создал системный администратор, с особыми разрешениями.
• История редакций. Для любого документа система ведет журнал событий: какие права доступа к нему имели пользователи и когда, как изменялось расширение, расположение файла и т. д. Что удобно — сохраняется копия содержимого файла, и, если оно менялось, по копиям можно отследить, как именно. Это даст понимание того, что происходило с файлом в ретроспективе. 
• Вычитка журнала событий контроллера домена. Покажет, какие изменения произошли в Active Directory и позволит распределить их по дате и времени, связанным учетным записям и другим атрибутам. Благодаря этому ИБ-специалист может узнать, что предшествовало инциденту и кто является потенциальным нарушителем.

Алексей Парфентьев

Заместитель генерального директора по инновационной деятельности «СёрчИнформ»

Таким образом, система позволяет провести аналитику, собрать данные и после — понять, как стоит оптимизировать действующие правила ИБ. Например, объединить политики «Файлового аудитора» с правилами в системе защиты от утечек информации (DLP), чтобы усилить защиту не только при хранении, но и при передаче файлов. Так, «СёрчИнформ КИБ» может использовать метки классификации «Файлового аудитора» для блокировки отправки документов по каналам связи, не тратя время на вычитку содержимого. Это ускоряет работу систем и экономит ресурсы ИБ-службы.

Заключение

Система аудита и защиты файловых хранилищ (DCAP) хорошо подходит для контроля привилегий в ОС. Она отслеживает права доступа к файлам, все действия пользователей с ними, а также вычитывает события контроллера домена. Это позволяет автоматически обнаруживать потенциально опасные действия привилегированных пользователей и их ошибки. А блокировки «Файлового аудитора» помогают нивелировать риски, связанные с суперпользователями, — они защищают файлы вне зависимости от полномочий учетной записи, которая с ними взаимодействует.