Розділ 2. Засоби та методи захисту мереж від витоків інформації

2.1. Забезпечення безпеки конфіденційної інформації за допомогою програмних продуктів компанії InfoWatch

Ядро сучасної системи безпеки - керування ризиками. Ідентифікація, аналіз ризиків і правила реагування на реалізовані загрози - все це складає систему керування ІТ інцидентами. Її функції - фіксація факту порушення політики інформаційної безпеки та оповіщення про нього офіцера безпеки, ранжирування інцидентів по ступені критичності та визначення регламентів реагування на них, консолідація й зберігання інформації про інциденти, що відбулися, у масштабі всього підприємства, і, нарешті, ретроспективний аналіз інцидентів, що відбулися.

Сімейство продуктів InfoWatch розроблено з урахуванням цих вимог і являє собою збалансований засіб для ефективного керування інформаційною безпекою компанії, без якого немислимо безперервне ведення сучасного бізнесу.

InfoWatch допомагає зберегти репутацію замовника, мінімізувати фінансові ризики, пов'язані із втратою конфіденційності даних і привести інформаційну систему у відповідність із національними й міжнародними законами та стандартами.

Рішення компанії забезпечують контроль над найпоширенішими шляхами витоку, моніторинг доступу співробітників до корпоративних інформаційних ресурсів і зберігання докладного архіву операцій з документами.

InfoWatch у масштабі реального часу фільтрує поштовий і веб-трафик і контролює операції з документами на робочих станціях, запобігаючи виводу конфіденційних даних за межі інформаційної системи. У випадку виявлення фактів порушення корпоративної політики ІТ безпеки система оперативно повідомляє про інцидент компетентним особам і поміщає підозрілі об'єкти в область карантину.

InfoWatch Traffic Monitor (далі Traffic Monitor або система) - це розподілена багатокомпонентна система, призначена для контролю за трафиком вихідних листів, переданих по протоколах SMTP і HTTP.

Для виконання даного завдання в системі передбачені два види перехоплювачів:

• Mail Monitor - призначений для перехоплення SMTP-трафика. Перехоплення SMTP-трафика здійснюється за допомогою інтеграції з поштовим сервером Postfix.

• Web Monitor - призначений для перехоплення HTTP-трафика. Поставляється у вигляді окремого компонента - Traffic Monitor ISA Server Plugin. Перехоплення HTTP-трафика здійснюється за допомогою інтеграції із Proxy-сервером MS ISA Server.

У процесі роботи системи Traffic Monitor накопичується великий обсяг даних. Завдання зберігання отриманих даних вирішується інтеграцією системи Traffic Monitor із СУБД Oracle.

2.1.1. Склад Traffic Monitor

До складу системи Traffic Monitor входять наступні компоненти:

• Traffic Monitor Server (сервер поштової фільтрації).

• Traffic Monitor ISA Server Plugin (модуль фільтрації POST-запитів).

• Компоненти користувальницького інтерфейсу:

• Traffic Monitor Security Administrator.

• Traffic Monitor Security Officer.

• Traffic Monitor DB Administrator.

• Traffic Monitor Analyser.

• Traffic Monitor Eraser.

2.1.2. Traffic Monitor Server

Traffic Monitor Server (далі Traffic Monitor Server або сервер поштової фільтрації) призначений для виконання наступних функцій:

• здійснення тематичної класифікації поштових листів;

• виділення з потоку електронної кореспонденції листів, що містять ознаки конфіденційної інформації;

• збереження копій листів, що відповідають корпоративній політиці безпеки в архіві;

• модифікація заголовків листів, списків одержувачів, відповідно до вимог корпоративної політики безпеки;

• передачу затриманих листів, що порушують корпоративну політику безпеки в карантин (з можливістю відкладеного прийняття Офіцером безпеки рішення про відправлення листа одержувачам);

• створення архіву листів шляхом експорту листів з бази даних у зазначене місце (з можливістю імпорту створеного архіву листів назад у базу даних).

Кожний електронний лист, що проходить через сервер поштової фільтрації, перевіряється на його відповідність корпоративній політиці безпеки.

По-перше, виконується перевірка атрибутів листа на відповідність або невідповідність певним умовам. До таких атрибутів відносяться:

• адреси відправника й одержувачів (з SMTP-конверта);

• розмір листа, його заголовки;

• кількість та тип вкладених файлів.

По-друге, використовується контентна фільтрація, тобто аналізується зміст самого листа та вкладених файлів. Застосовуються лінгвістичні алгоритми, засновані на:

• пошуку характерних термінів (слів і словосполучень);

• порівнянні з листами-зразками.