Net Secure
Сетевая безопасность

Новости


Все новости

Aтака WannaCry больше всего затронула Windows 7

| 2017-05-23 12:09:00 |

Исследователи безопасности сообщают о том, что большинство компьютеров, пострадавших от эпидемии WannaCry,...


Эксплоиты для Android используют уязвимость Dirty COW

| 2016-10-26 09:44:24 |

Dirty COW – уязвимость ядра Linux, была публично раскрыта на прошлой неделе. Эксперты предупреждают,...


Что ожидать в 2016 году - Лаборатория Касперского

| 2015-12-16 13:07:13 |

В уходящем 2015 году произошло немало значимых киберсобытий, некоторые из которых получили по-настоящему...


ESET NOD32 защитит информационную систему компании «СТС Медиа»

| 2015-10-16 13:36:04 |

Международная компания ESET объявляет о начале сотрудничества с «СТС Медиа», ведущей независимой медиакомпанией...


Компания SAP оперативно закрыла критичную уязвимость в SAP HANA

| 2015-10-16 13:27:05 |

Компания Digital Security, предупреждает о выявлении опасных уязвимостей в SAP HANA, инновационном...


 

Утечка данных: Профилактика средствами DLP, IRM и средствами Windows Server 2008 | 2011-02-02 14:33:06

Cтатья рассказывает о двух системах, двух подходах: DLP и IRM, и их возможностях и недостатках. А заодно рассмотрим одно из решений в области IRM с элементами DLP – то, которое идет в составе ОС Windows Server 2008.

Суть проблемы

Стандартное разграничение доступа или шифрование данных на уровне файловой системы позволяет либо разрешить доступ к данным, либо целиком его запретить. Но существуют ситуации, когда такого грубого разграничения недостаточно. Чаще всего приходится сталкиваться с "гибкими" ограничениями со стороны правообладателей, когда конченым пользователям навязывают способ употребления купленного контента. Технологии, позволяющие ограничить или отследить создание копий, задать срок использования файла, называют DRM (DigitalRightsManagement, иногда расшифровывают как DigitalRestrictionsManagement). При использовании ограничений на операции с файлами в корпоративной среде (для защиты персональных данных, коммерческой тайны, финансовых отчетов) чаще используют другие близкие термины:

  • EDRM – Enterprise Digital Rights Management;
  • ERM – Enterprise Rights Management;
  • IRM – Information Rights Management;
  • RMS – Rights Management Services, название от Microsoft для IRM.

Все перечисленные выше технологии используют шифрование для защиты содержимого файла и применяют ограничения на возможные действия с файлами на уровне приложений.

Другая проблема – это утечка конфиденциальных данных. Причем, если раньше утечка могла нанести вред репутации или выручке компании, то сейчас все ближе тот день, когда у нас начнет действовать федеральный закон "О персональных данных", и утечка данных сможет привести к административной, гражданской и уголовной ответственности. Особую остроту этой проблеме придает то, что утечка может быть непреднамеренной, например:

  • При отправке письма пользователь прикрепил не тот документ, или при выборе e-mail из списка получателей ошибся и отправил конфиденциальные данные не тому;
  • Сотрудник, потратив целый день на просмотр новостей и блогов, решил вовремя довести проект до конца и для этого списал документы на флешку, чтобы поработать дома, но флешку потерял.

Для решения проблемы утечек применяются DLP (DataLeakage (Loss)Prevention) приложения, которые отслеживают и предотвращают неавторизованную передачу данных.

DLP и IRM – конкуренты или союзники?

Сейчас на рынке существуют две технологии, которые решают сходные, но не одинаковые задачи двумя различными способами – DLP и IRM. Практически все крупные фирмы (IBM, Cisco, RSA (подразделение EMC), Oracle, Microsoft, CheckPoint, Symantec) имеют решение хотя бы в одной из этих областей. С каждым годом ущерб от утечек и нецелевого использования данных растет, как растут и прибыли компаний. В реальности же ни одна из технологий не решает свою задачу полностью, поэтому все больше производителей понимают необходимость их объединения, создают комплексные решения или предлагают интеграцию.

DLP-приложение контролирует данные на разных этапах:

  • Data-at-Rest . Обнаруживает и классифицирует данные, находящиеся на серверах, дисках, ленточных накопителях. Проверяет, что данные не исчезли, и генерирует соответствующие отчеты.
  • Data-in-Motion . Отслеживает (и, возможно, блокирует) данные, передаваемые по сети.
  • Data-in-Use . Контролирует перемещение данных на конечных системах, например, отправку на печать или копирование на внешние носители.

Для полноценного DLP-решения необходима реализация возможности блокировки передачи данных – часть решений способна только генерировать оповещения. Блокировка, с одной стороны, позволяет реально предотвратить утечку, но с другой может сильно мешать нормальному течению бизнес-процессов. Еще важно наличие единой консоли для просмотра всех отчетов, хранения истории и возможности ее анализа. Для DLP-решения очень важна классификация данных и отделение общедоступных данных от тех, которые требуют защиты. Для корректной классификации необходимо очень много ручной работы, но часть классификации можно автоматизировать с помощью ключевых слов, шаблонов (например, по формату паспортных данных или номеру кредитной карты), задания местоположения файлов, которые автоматически попадают в категорию "конфиденциально", или автоматическое добавление в эту категорию файлов, созданных определенными пользователями.

Так как существует масса разнообразной информации, передаваемой по различным протоколам во всевозможных форматах и кодировках, то основные ограничения DLP-систем связаны с невозможностью отслеживания всех каналов утечки и обработки всех форматов данных. Другое ограничение – это необходимость ручной классификации данных и сложность локализации, которая учитывала бы не только ключевые слова, но и местные формы представления данных, чувствительных к утечке. Кроме того, невозможно отследить данные на бумажных носителях, которые были легально распечатаны. Возникают серьезные проблемы при анализе видео-конференций, голосового общения, файлов, хранящихся в облаке, и архивов, даже с самыми короткими паролями.

Внедрение DLP-решения может растянуться не на один месяц. Самое сложное при внедрении – это определение данных, которые необходимо защищать, и всех возможных каналов утечки. Кроме того, необходимо ограничивать использование программ/протоколов/типов данных, которые не обрабатываются DLP-решением, на уровне операционных систем. А еще очень важно сохранить возможность нормальной работы с не конфиденциальными документами.

Надо понимать, что есть решения, которые отслеживают отправку на печать, есть решения, которые затрудняют получение скриншотов, но нет программных или аппаратных решений, которые помешают пользователю сфотографировать экран или запомнить данные и пересказать их. Так что все DLP-решения направлены в большей степени на защиту от непреднамеренной утечки. Если же нам требуется передать конфиденциальные данные за пределы организации, например, партнерам, то как отследить, что они не "утекут" от партнера? Тут и возникает необходимость в IRM-решениях.

IRM позволяет "удаленно" контролировать использование документов. За счет шифрования файлов удается предотвратить неавторизованный доступ, а с помощью клиентских приложений удается ограничить возможные действия над документами. В отличие от DRM, который принудительно навязывают пользователям, IRM полезен организации, так как позволяет сохранить конфиденциальные данные в секрете. Использование IRM ограничивается поддержкой на уровне пользовательских приложений.

Совместное использование DLP и IRM очень и очень оправдано. DLP – хорошее решение для наблюдения за системами и сетью, опознавания конфиденциального содержимого с последующим оповещением или блокировкой передачи данных. Но DLP – это "внутреннее" решение, которое не работает за пределами организации. Вы не можете применить свои политики к партнерам или к облачным хранилищам, но спокойно можете использовать в этих ситуациях IRM.

Что позволяет сделать AD RMS?

Служба управления правами ActiveDirectory (AD RMS; ее роль появилась в Windows Server 2008, ранее Rights Management Services были доступны как отдельный компонент) – одно из самых доступных IRM-решений, так как идет в составе довольно популярной в компаниях ОС и замечательно интегрируется с остальными компонентами. То есть для внедрения ADRMS не требуются дополнительные финансовые вливания и работа с напильником для интеграции в существующую инфраструктуру. Например, при работе с Share Point нет необходимости вручную назначать разрешения на каждый документ, так как разрешения применяются на уровне библиотеки. Кроме того, Windows Server 2008 R2 включает в себя File Classification Infrastructure, что позволяет автоматизировать классификацию файлов на основании местоположения, владельца или создателя файла, содержимого, размера и других параметров.

AD RMS позволяет задавать следующие разрешения на работу с файлами: Full Control, View, Edit, Save, Extract, Export, Print, Allow Macros, Forward, Reply, Reply All, View Rights. AD RMS по умолчанию может работать со следующими типами документов:

  • Документы Word, Excel, PowerPoint и InfoPath, начиная с 2003 версии офиса. В версиях офиса, кроме Microsoft Office Ultimate 2007, OfficeEnterprise 2007, Office Professional Plus 2007 и Office 2003 Profession, можно только читать, но нельзя создавать документы, защищенные с помощью AD RMS.
  • Файлы Microsoft XML Paper Specification (XPS).

Кроме этого партнеры MS регулярно добавляют поддержку новых типов документов:

  • Создание и работа с защищенными pdf-файлами с помощью Foxit PDF Security Suite, GigaTrust Enterprise, решений от компаний Liquid Machines и Secure Islands. Продукты Foxit ориентированы только на работу с pdf-файлами и неплохо интегрируются с Microsoft Office Share Point Server. Преимущество же решения GigaTrust в том, что оно блокирует несколько сотен приложений по захвату экрана и предоставлению файлов в общий доступ.
  • Вышеперечисленные компании предлагаю решения и для защиты CAD-файлов и некоторых других форматов.
  • Для поддержки любых типов фалов можно использовать ADRMS Software Development Kit (SDK), который позволяет программно шифровать и расшифровывать документы, ассоциировать права с содержимым файлов и взаимодействовать со службами ADRMS.

В процессе работы с ADRMS генерируется большое количество сертификатов и лицензий, которые, по сути, тоже являются сертификатами.

На рисунке перечислены основные сертификаты и их содержимое.

Далее изображен процесс создания и работы с защищенным документом, который состоит из следующих шагов:

  1. Автор единожды, при первой попытке создать защищенный документ, получает RAC и CLC от кластера AD RMS.
  2. С помощью приложения, поддерживающего работу с AD RMS, автор создает файл и задает набор разрешений на использование файла. Приложение шифрует файл симметричным ключом, который, в свою очередь, шифруется открытым ключом AD RMS сервера. Зашифрованный ключ помещается в "publishing license", которая привязывается к файлу. Лицензию может выдать только AD RMS кластер, к которому принадлежит автор. Если кластер автору недоступен, то копия симметричного ключа шифруется с помощью CLC.
  3. Файл любым способом доставляется от автора получателю. На компьютере получателя должен быть RAC. Если его нет, то он издается AD RMS кластером.
  4. Для работы с файлом клиентское приложение отправляет запрос на "use license" кластеру AD RMS, издавшему "publishing license". В запросе отправляется сертификат учетной записи получателя и "publishing license", которая содержит ключ шифрования защищенного файла.
  5. Сервер проверяет, что получатель авторизован для работы с документом. Затем расшифровывает ключ шифрования файла своим закрытым ключом, перешифровывает его с использованием открытого ключа получателя и отправляет пользователю "use license", в которую могут быть включены дополнительные ограничения (например, версия ОС или срок действия).
  6. На стороне клиента происходит проверка сертификатов, списков отзыва, цепочек доверия сертификатов, и если все проверки проходят успешно, то пользователь получает доступ к файлу.

Настройка и работа с ADRMS

Для работы ADRMS требуются следующие компоненты:

  • Active Directory Domain Services (ADDS) хранит информацию об URL для доступа к кластеру AD RMS в Service Connection Point (SCP) и проводит аутентификацию клиентов. Сервер AD RMS обязательно должен входить в домен.
  • Для хранения конфигурационной информации и журналирования используется Microsoft SQL Server или база, встроенная в Windows Server 2008.
  • На первом сервере в домене, на котором устанавливается роль AD RMS, обязательно должна быть установлена роль Web Server (IIS).
  • Для Windows XP, Windows 2000 и Windows Server 2003 для работы с AD RMS требуется установка Microsoft Windows Rights Management Services Client.

Установка AD RMS осуществляется путем добавления серверной роли, состоящей из двух компонентов: непосредственно Active Directory Rights Management Services и Identity Federation Support, который необходим для интеграции с AD FS и дает возможность клиентам работать с AD RMS при наличии федеративных отношений доверия. Не рекомендуется добавлять роль AD RMS на контроллер домена. Для установки AD RMS требуются права локального администратора, для регистрации Service Connection Point необходимы права Enterprise Admins.

Перед установкой необходимо создать учетную запись, с правами по умолчанию и не истекающим сроком действия пароля, от имени которой будет запускаться служба AD RMS. Для повышения отказоустойчивости в случае восстановления или миграции рекомендуется создавать записи типа А (или CNAME) на DNS-сервере для URL кластера AD RMS и SQL-сервера, на котором хранятся базы AD RMS.

AD RMS поддерживает шаблоны (Rights Policy Templates), с помощью которых можно контролировать права, которые получают пользователи и группы при работе с документами, защищенными шаблоном. При создании документов автор может выбирать, какой шаблон будет применен, тем самым упрощается задание разрешений. Шаблоны хранятся либо в конфигурационной базе данных, либо в папке, которая может быть использована offline-пользователями. Для того, чтобы шаблоны были доступны offline-пользователям, необходимо экспортировать шаблоны через консоль AD RMS в общую папку, перенести шаблоны на клиентские компьютеры и задать соответствующий путь в реестре (в зависимости от используемого ПО необходимо настраивать разные ветки, например, для Office 2007 надо изменить ключ реестра HKEY_CURRENT_USERSOFTWAREMicrosoftOffice12.0CommonDRMAdminTemplatePath).

Итоги

DLP- и IRM-решения позволяют значительно снизить вероятность раскрытия конфиденциальных данных, особенно когда они используются совместно. Но ни одно техническое решение не сможет помешать инсайдеру, у которого есть доступ к данным, передать их на сторону.

AD RMS, если разобраться в принципах его работы и всех выдаваемых сертификатах, позволяет быстро развернуть IRM-решение , работающее с наиболее популярными форматами файлов, которое еще и позволяет выполнить автоматическую классификацию данных и создать шаблоны, которые легко применимы в доменной инфраструктуре. Кроме того, AD RMS поддерживает интеграцию с DLP-решениями, например, RSADLP.

Источник : www.xakep.ru/post/54673/

 


Распечатать данную страницу




Всего просмотров этой страницы: 3100. Сегодня: 3
Главная | Cтатистика | | Новости | Ссылки
© 2011 NSecure.RU All Rights Reserved