На российском рынке средств информационной безопасности представлены десятки систем защиты от утечек информации (систем защиты от утечек информации (DLP)) (от англ. Data Leak Prevention – предотвращение утечек данных). Согласно исследованию аналитического центра Anti-Malware, в 2015 году сегмент данных решений показал суммарный рост 17% в рублевом исчислении – и продолжает расти на десятки процентов в год.

Отправной точкой роста стала позиция руководителей крупных и средних российских компаний. Они приняли идею о том, что продукты являются неотъемлемым компонентом системы информационной безопасности. Теперь, когда отечественные и зарубежные разработчики продолжают наращивать мощности на рынке, потребители столкнулись с проблемой выбора. Сравнить характеристики и протестировать каждую из многочисленных систем в «боевых условиях», чтобы выбрать подходящую – задача трудоемкая и долгая.

С чего начать выбор системы защиты от утечек информации?

Отсеять неподходящие системы на предварительном этапе поможет грамотное техническое задание. Критерии выбора, которые следует учитывать при составлении документа, включают:

• количество контролируемых каналов;
• надежность и скорость работы системы;
• аналитические возможности;
• экспертиза, опыт и надежность разработчика;
• наличие, качество и быстрота реакции техподдержки;
• цена и стоимость владения системой.

Основное требование к системе – умение предотвратить утечку конфиденциальных данных по любому из каналов, которые используются в компании. Если решение не «закрывает» хотя бы один, стоит пристально изучить остальные возможности системы и понять, компенсируют ли они отсутствие контроля нужного канала передачи данных.

Базовые функции системы включают также контроль хранения, использования и перемещения критически важных документов внутри корпоративной инфраструктуры. Часть решений, представленных на российском ИБ-рынке, позволяют при необходимости блокировать конфиденциальную информацию и делать резервирование (сохранять теневые копии). Ряд систем способны шифровать данные, чтобы их невозможно было прочитать за периметром компании.

Какой тип системы защиты от утечек информации выбрать?

Традиционная классификация подразумевает две группы систем:

• активные, способные блокировать конфиденциальную информацию при обнаружении нарушений;
• пассивные, способные только «наблюдать» за потоками данных без возможности вмешаться и повлиять на процессы.

Современные решения для предотвращения утечек – это комплексы «два в одном», способные работать и в активном, и в пассивном режиме.

Сочетание двух режимов в системе дает преимущество уже на этапе тестирования. Внедрение DLP активного типа сопровождается риском приостановки отлаженных бизнес-процессов из-за некорректных настроек или неотлаженной реакции на события. Установка комплекса в пассивном тестовом режиме дает возможность спокойно убедиться, что правила мониторинга и реакции настроены корректно, каналы движения информации – под непрерывным наблюдением, а системы логирования и архивирования не перегружают сетевую инфраструктуру.

Другой критерий классификации решений – по методам архитектурной реализации.

Хостовые системы предполагают установку программ-«агентов» на компьютеры пользователей. Агенты следят за соблюдением политик безопасности и не дают совершать потенциально опасные действия, например, запускать ПО со съемных устройств. Одновременно агенты регистрирует все действия пользователей и передают информацию в единую базу. Таким образом ИБ-специалист получает полное представление о том, что происходит в корпоративной сети.

Основное преимущество хостовых решений заключается в более полном контроле каналов передачи информации и действий пользователя на рабочем месте. Агенты фиксируют все операции за компьютером, плюс решения нового поколения позволяют записывать переговоры сотрудников или, например, подключаются к веб-камере. Недостаток хостовых систем в том, что контроль распространяется только на устройства, которые подключаются напрямую и непосредственно взаимодействуют с рабочей станцией.

При выборе хостовых систем следует обратить внимание, каким способом устанавливаются агенты на компьютеры пользователей. Функция удаленной установки и администрирования избавит ИБ-специалистов от необходимости вручную ставить агента на каждую рабочую станцию.

Другое важное требование к агентским компонентам хостовых решений – скрытый режим работы и защита от удаления. Если у пользователя есть права локального администратора и уровень ИТ-грамотности выше среднего, он потенциально может остановить работу агентов и вывести компьютер из-под «поля зрения» системы.

Сетевые системы основаны на применении централизованных серверов, куда перенаправляется копия входящего и исходящего трафика для проверки на соответствие политикам безопасности. Сетевые решения обеспечивают высокий уровень защиты от несанкционированного воздействия, так как позволяют ограничить доступ к выделенному шлюзу и предоставить права администрирования узкому кругу сотрудников.

Область применения сетевых систем ограничена, соответственно, сетевыми протоколами и каналами: SMTP, POP3, HTTP(S), IMAP, MAPI, NNTP, ICQ, XMPP, MMP, MSN, SIP, FTP и т.д. Весомым аргументом в пользу сетевого решения будет, соответственно, способность контролировать все протоколы передачи данных, востребованные в компании. С точки зрения администратора безопасности привлекательности сетевому комплексу добавит легкость внедрения и настройки.

Хостовые и сетевые системы контролируют разные каналы передачи информации, и логичным шагом разработчиков стала интеграция возможностей разнотипных решений. Практически все современные инструменты предотвращения утечек на ИБ-рынке – универсальные комплексы.

Помимо архитектурных следует учитывать также особенности администрирования систем. В сравнении нужно учесть алгоритмы развертывания компонентов системы, методы распределения ролей, реализацию консоли управления. Администратору безопасности надо предварительно оценить информативность интерфейса, сложность настройки правил и другие параметры, от которых зависит удобство управления комплексом защиты информации.

Отечественное или иностранное решение?

Несмотря на то, что зарубежные производители уделяют серьезное внимание локализации продуктов, при прочих равных условиях лучше выбрать систему с «родными» лингвистическими алгоритмами.

Для государственных организаций и учреждений в России выбор в пользу отечественных решений продиктован законом об импортозамещении. В государственном секторе при проведении тендеров российские решения пользуются преференциями. Кроме того, в системах обеспечения информационной безопасности рекомендуется использовать продукты, сертифицированные регуляторами, например, ФСТЭК. Для государственных учреждений использование несертифицированных систем недопустимо, а при внедрении ИБ-решений, например, в структурах Газпрома или Центрального банка, требуются сертификаты «внутренних» регуляторов.

Аналитические возможности систем защиты от утечек информации

Определить, отвечает ли решение задачам компании, помогут четыре параметра.

Формирование отчетности зависит от возможностей системы не только вести мониторинг, но и архивировать перехваченную информацию. Теневая копия может включать различные типы данных: веб-траффик; почтовые отправления; активность на принтерах; файлы, записываемые на внешние носители; информацию, проходящую по сетевым протоколам. Теневое копирование является эффективным средством расследования инцидентов, однако возможность сохранять «резервную копию» заложена не во всех системах защиты от утечек информации. Причина – дополнительная нагрузка на сетевые ресурсы и рабочие станции конечных пользователей.

Сколько стоит система защиты от утечек информации?

Важный критерий, который сузит круг подходящих решений на этапе формирования требований к системе, – цена продукта. Хостовые и сетевые системы стоят дешевле универсальных. Общий принцип ценообразования сводится к простой формуле: чем больше дополнительных опций, тем выше конечная стоимость решения.

Цена системы прямо пропорциональна наличию расширенного инструментария, включая механизм распознавания текста в изображении, модули лингвистического анализа, технологии самообучения и другие функции. Чем выше требования к защите корпоративной информации и чем солиднее бюджет на информационную безопасность, тем более «продвинутой» будет система. К «продвинутым» функциям, например, относят:

• способность определять транслитерацию;
• анализ текста по методу Байеса;
• применение сигнатур и регулярных выражений;
• технологию «цифровых отпечатков» для анализа документов с мало изменяемой структурой и содержанием;
• модули оптического распознавания символов (OCR) и другие высокотехнологичные средства контентного анализа.

Затраты на систему включают не только стоимость самого продукта. Окончательная сумма формируется по нескольким статьям расходов.

Один из вариантов снизить стоимость решения – выяснить, есть ли возможность купить отдельные модули системы защиты от утечек информации, чтобы не переплачивать за ненужные каналы перехвата.

Заключительный этап

Перед тем, как выбрать единственно верное решение, следует провести испытания под реальной нагрузкой. Для тестирования необходимо выбрать 2-3 системы в соответствии с техническим заданием и бюджетом. Тестированию системы предшествует составление программы и методики испытаний. Чтобы выявить все нюансы и проверить надежность ПО, потребуется от двух недель до месяца. По итогам останется только сравнить результаты и выбрать систему защиты от утечек, соответствующую всем критериям.