SecrecyKeeper - защита от инсайдеров

Автор: Марат Давлетханов
Опубликовано: 18.03.2010
Источник: SoftKey.info

Воровство конфиденциальной информации инсайдерами - одна из наиболее серьезных проблем в области ИБ. Не раз и не два утечки финансовых документов, планов или данных по новым разработкам наносили компаниям огромный ущерб. Причем потери зачастую идут не только финансовые, но и имиджевые. Особенно это верно для компаний, работающих в финансовой области: банков, страховых компаний и т. п. Также необходимо учитывать, что очень часто деятельность инсайдеров остается в тени. Просто компания сталкивается с ситуацией, когда конкуренты опередили ее с выпуском нового продукта, переманили значительную часть клиентов и пр. Именно поэтому защита от инсайдеров - очень важный элемент корпоративной системы информационной безопасности. И сегодня мы поговорим о продукте SecrecyKeeper, который как раз и предназначен для решения описанной проблемы.

Но для начала надо сказать пару слов о теории. На сегодняшний день наиболее распространены четыре способа технической защиты конфиденциальных данных от воровства сотрудниками, которые имеют к ним доступ в силу служебной необходимости. Первый из них заключается в блокировании носителей, с помощью которых инсайдер может украсть важные файлы и документы. Главная его проблема заключается в том, что сегодня данные проще всего "вынести" за пределы корпоративной информационной системы с помощью Интернета, например отправить их по электронной почте или закачать на удаленный FTP-сервер. Между тем отказаться от использования в офисе Глобальной сети сегодня практически невозможно. А обеспечить каждого сотрудника двумя рабочими местами достаточно проблематично. Также нецелесообразно отключение USB-портов, которые часто используются для подключения периферии: клавиатур, мышек, принтеров.

Второй способ - разграничение прав доступа к портам, через которые может осуществляться вывод информации. Сегодня такое разграничение может быть очень гибким, учитывающим не только пользователей и интерфейсы, но и типы съемных накопителей, а также их уникальные номера. В принципе подобная система достаточно эффективна. Однако есть у нее очень серьезное упущение. Она не может защитить данные от воровства теми сотрудниками, кому по долгу службы необходимо пользоваться съемными накопителями или доступом в Интернет. То есть случайный человек или же сотрудник с малыми правами унести данные не сможет. Чего не скажешь о других работниках.

Третий вариант - контентный анализ информации, передаваемый по любым каналам связи (в том числе и копируемый на мобильные накопители). Его цель - выявить попытки передать в Интернет или, например, распечатать данные тем пользователям, кому эти действия запрещены корпоративной политикой ИБ. Правда, защититься от подобных систем достаточно просто. Особенно человеку, сведущему в области информационных технологий. В частности, для этого могут использоваться криптография (передача информации в зашифрованном виде, недоступном для анализа) и стеганография (сокрытие данных в "разрешенных" файлах, например в картинках и аудиозаписях).

Рассматриваемая же нами сегодня программа SecrecyKeeper использует четвертый способ. В нем применяется принцип категоризации информации, пользователей и компьютеров по степени секретности, а также понятие режима работы. Давайте остановимся на этом моменте подробнее.

При использовании SecrecyKeeper вся информация делится на разные уровни секретности. По умолчанию это public, secret и top secret. Присвоение этих уровней осуществляется ответственным сотрудником при внедрении системы защиты. Здесь все просто и никаких вопросов обычно не возникает.

Уровень доступа пользователей - более сложный параметр. Он состоит из четырех частей. Это уровень доступа к информации, уровень доступа к сети, уровень доступа к сменным накопителям и уровень доступа к принтерам. Первый из них определяет степень секретности информации, к которой данный сотрудник может получить доступ. Например, если человеку присвоен статус secret, он сможет открывать файлы с грифами public и secret, но ни при каких обстоятельствах не сможет работать с документами, относящимися к категории top secret. Похожим образом работают и другие части уровня доступа пользователей. Только они определяют права на выполнение с данными тех или иных действий: их передачи в сеть (в том числе и в Интернет, который "раздается" через корпоративную сеть), копирования на внешние накопители и распечатки на принтерах. То есть если установить сотруднику уровень доступа к информации secret, а уровень доступа к сменным накопителям public, то он сможет работать с конфиденциальными файлами, но не сможет скопировать данные из них на свою флешку.

Для обеспечения эффективности работы системы защиты SecrecyKeeper использует несколько режимов работы компьютера. Суть этого инструмента заключается в следующем. При включении ПК он находится в режиме public. Это значит, что пользователь сможет открывать только общедоступную информацию. В том случае, если он обращается к файлу с грифом secret, на экран выдается предупреждение и предложение о переходе в соответствующий режим (естественно, если у сотрудника есть права на открытие файла с таким грифом). Если человек отказывается от этого, то доступ к информации блокируется. В противном случае компьютер переходит в режим secret. При этом автоматически вступают в действия ограничения, указанные в уровне доступа данного пользователя. Рассмотрим этот процесс на нашем примере. После запуска компьютера пользователь может без ограничений работать с любой общедоступной информацией, в том числе и копировать ее на съемные накопители. При открытии файла с грифом secret и переходе системы в соответствующий режим доступ к флешкам автоматически заблокируется. То есть пользователь уже не сможет копировать на них никакие данные (в том числе и общедоступные). Для понижения режима человеку необходимо перезагрузить компьютер.

Для чего нужны такие сложности? Во-первых, благодаря наличию нескольких режимов работы компьютера практически исключается риск утечки конфиденциальных данных (за исключением ошибок в настройке системы безопасности). Во-вторых, обеспечивается удобство работы пользователя. Естественно, перегружать несколько раз в день компьютер - не сахар. Тем не менее это отличная альтернатива полной блокировке всех портов и отключению от корпоративной сети и Интернета. В-третьих, разные режимы гарантируют невозможность воровства конфиденциальных данных путем их копирования из исходного файла в другие или в буфер обмена. Дело в том, что все файлы, созданные в режиме secret, автоматически получают соответствующий гриф и не могут быть в будущем открыты в режиме public. Ну а необходимость перезагрузки компьютера не позволяет пользователями спрятать конфиденциальную информацию в оперативной памяти и извлечь ее оттуда в будущем.

Дополнительным инструментом защиты, реализованным в системе защиты SecrecyKeeper, является уровень безопасности компьютера. С его помощью можно определить максимальный гриф информации, которую можно открывать на данной машине. Для чего это нужно? Дело в том, что разные компьютеры априори обладают разной степенью защищенности. Это касается даже физического доступа. Например, доступ к машине директора имеют всего несколько человек. В то время как в клиентском отделе сесть за компьютер может десяток разных сотрудников а при недогляде даже и не работники компании. Так зачем же лишний риск? Лучше заранее выявить наиболее уязвимые рабочие станции и ограничить круг информации, которая может быть на них открыта.

Итак, с принципами работы SecrecyKeeper мы разобрались. Теперь давайте хотя бы кратко рассмотрим функциональные возможности этой системы. Начать нужно с того, что управление рассматриваемым продуктом ведется с помощью единой консоли. Все задачи реализуются интуитивно просто, а русскоязычный интерфейс сильно облегчает настройку системы защиты. Консоль может использоваться удаленно. То есть ответственному сотруднику не нужен физический доступ к серверу: управлять SecrecyKeeper он может прямо со своего компьютера. Реализована в рассматриваемом продукте и система защиты от несанкционированного изменения параметров работы. Все настройки программы хранятся в зашифрованном виде. Для доступа к ним необходим файл, содержащий ключ шифрования. Он создается при первом запуске и должен храниться у офицера безопасности.

Другой важной особенностью рассматриваемого продукта является система ограничений программной среды. По сути, это список файлов, которые могут или, наоборот, не могут запускаться на компьютерах пользователей. Ее использование позволяет не только увеличить производительность труда (в частности, путем запрета игр из категории "убийца офисного времени"), но и увеличить безопасность корпоративной информационной системы из-за блокирования запуска вредоносного ПО.

Ну и, конечно же, есть в SecrecyKeeper система ведения журналов. В них хранятся данные о всех удачных и неудачных попытках доступа к секретной информации, загрузки исполняемых модулей, изменения конфигурации операционной системы, входа пользователей в систему и пр. Таким образом, ответственный сотрудник может контролировать работу всех пользователей и оперативно реагировать на их попытки обойти систему защиты.

В заключение нашей сегодняшней статьи можно подвести небольшой итог. После изучения продукта SecrecyKeeper можно прийти к выводу, что он действительно позволяет обезопасить конфиденциальную информацию от воровства со стороны сотрудников компании. Понятно, что стопроцентной защиты не бывает. Однако использование рассмотренного продукта позволяет практически исключить риск кражи данных, не доставляя при этом пользователям больших неудобств.