«Российский Государственный Социальный Университет»

Кафедра информационных систем, сетей и безопасности

Специальность Информационная безопасность

Автор работы

студент 2 курса

группы ИНБ-ДБ-2 Р.С. Курбалев

Руководитель

доцент Алейников В. В.

Москва 2015

Цель работы: рассмотреть аппаратные решения для выявления и предотвращения утечек и сделать сравнительный анализ программных компонентов.

В современном мире информация играет огромную роль. Кто владеет информацией, тот владеет миром Поэтому защита конфиденциальных данных имеет большое значение в наше время. Существует великое множество различных аппаратных решений предотвращения утечек информации. В данной работе я попробую провести сравнительную характеристику и выбрать наиболее оптимальное решение для защиты данных.

Компания InfoWatch

Российская компания InfoWatch, представленная также в Европе и странах СНГ, поставляет комплексное решение InfoWatch Enterprise Solution (IES), предназначенное для выявления и предотвращения утечек конфиденциальной информации, а также обеспечения совместимости с требованиями российских и иностранных нормативных актов.

Архитектура комплексного решения IES носит распределенный характер и включает следующие программные компоненты, также доступные в качестве автономных продуктов:

• InfoWatch Web Monitor (IWM) - программный продукт для предотвращения утечки конфиденциальной информации через Интернет, в том числе веб-почту, форумы и чаты. IWM в масштабе реального времени сканирует исходящий интернет-трафик (перехватывает POST-запросы) и блокирует пересылку пакетов, которые содержат или могут содержать конфиденциальные данные. Система ведет подробный отчет о произведенных операциях и сообщает сотруднику IT-безопасности о нарушении политики внутренней безопасности.

• InfoWatch Mail Monitor (IMM) - программный продукт для предотвращения утечки конфиденциальной информации через корпоративную почтовую систему. IMM в режиме реального времени сканирует почтовый трафик (текст электронных сообщений и вложенные файлы) и блокирует пересылку корреспонденции, которая содержит или может содержать конфиденциальные данные. Система ведет подробный учет пересылаемых сообщений и оповещает сотруднику IT-безопасности о нарушении политики внутренней безопасности.

• InfoWatch Net Monitor (INM) - программный продукт для контроля над обращением конфиденциальной информации на рабочих станциях и файловых серверах. INM в масштабе реального времени отслеживает операции с файлами (чтение, изменение, копирование, копирование в буфер обмена, печать и др.) и сообщает сотруднику IT-безопасности о тех из них, которые не соответствуют принятой политике информационной безопасности. Продукт ведет подробное протоколирование всех действий с файлами и сообщает ответственным лицам о нарушениях.

• InfoWatch Mail Storage (IMS) - программный продукт для создания архива электронной корреспонденции в рамках корпоративной почтовой системы с возможностью дальнейшего анализа. IMS в режиме реального времени накапливает копии электронных писем, укладывает их в хранилище и позволяет делать аналитические выборки из него для расследования случаев утечки конфиденциальных данных.

• InfoWatch Device Monitor (IDM) - программный продукт для контроля над доступом пользователей к коммуникационным портам и устройствам ввода-вывода рабочей станции (CD, floppy, съемные накопители, COM-, LPT-, USB-, IrDA-порты, Bluetooth, FireWire, Wi-Fi). Система в режиме реального времени отслеживает доступ к коммуникационным портам и блокирует операции, не соответствующие принятой политике внутренней IT-безопасности.

• 

Cхема 1.Архитектура InfoWatch Enterprise Solution

Все эти компоненты являются программными, поэтому они не будут рассмотрены подробно, однако компания InfoWatch предлагает заказчикам выбор: модули Web и Mail Monitor доступны в аппаратном исполнении - устройстве InfoWatch Security Appliance (IWSA). Данный продукт создан совместными усилиями компаний InfoWatch и "ГЕЛИОС КОМПЬЮТЕР".

Продукт IWSA в масштабе реального времени фильтрует трафик, передаваемый по протоколам SMTP и HTTP, предотвращает неавторизованную пересылку документов через корпоративный почтовый шлюз, веб-почту, форумы, чаты и другие сервисы в Интернете. В случае обнаружения фактов несоблюдения корпоративной политики конфиденциальности система оперативно сообщает об инциденте сотруднику IT-безопасности, блокирует действия нарушителя и помещает подозрительные объекты в область карантина.

Устройство IWSA легко интегрируется в существующую IT-инфраструктуру: система устанавливается в качестве дополнительного relay-сервера корпоративной сети, принимает перенаправленные потоки SMTP и HTTP, а после фильтрации возвращает данные отправителю. В составе комплексного решения IES или при использовании IWSA отдельно доступно средство централизованного управления, позволяющее осуществить настройку и контроль над работой устройства, как из офиса, так и удаленно, через защищенный канал с консоли сотрудника IT-безопасности головного офиса.

IWSA может похвастаться не только быстрым развертыванием, но и высокой производительностью благодаря аппаратному форм-фактору. Устройство использует 64-разрядный сервер HELiOS Fortice IFS на базе процессора Intel Xeon с тактовой частотой до 3,60 ГГц, поддержкой технологии Hyper-Threading и Intel Extended Memory 64 Technology, кэш-памятью второго уровня объемом 2 Мбайт, 800-МГц системной шиной, 12 Гбайт ОЗУ, массивом до 10 жестких дисков SCSI. Подобные характеристики позволяют системе в рабочем режиме обрабатывать до 50 тыс. писем или 10 Гбайт трафика в день.

Технологии обнаружения конфиденциальных данных, реализованные в IWSA, основаны на сканировании пересылаемых данных для выявления определенных ключевых слов и фраз. При этом фильтр умеет обрабатывать такие форматы данных, как Plain Text, HTML, Word, Excel, PowerPoint, PDF, RTF, различные архивы (ZIP, RAR ARJ). Дальнейший лингвистический анализ позволяет учесть контекст, в котором используются ключевые слова и фразы, и тем самым существенно повысить точность анализа. На соответствие политике безопасности проверяются и атрибуты сообщения, например, размер письма, адрес DNS-сервера отправителя, соответствие черным и белым спискам, наличие шифрования или неопознанных форматов вложенных файлов. Вдобавок используется распознавание шаблонов, что позволяет детектировать неразрешенную пересылку структурированных данных. Наконец, процесс фильтрации включает сравнение каждого исходящего сообщения с его атрибутами и образцов, представленных в базе данных, содержащей постоянно обновляемые "прототипы" конфиденциальных сообщений, специфичных для каждого конкретного заказчика. Таким образом, IWSA позволяет выявлять чувствительные сведения почти при полном отсутствии ложных срабатываний.

В зависимости от выбранной аппаратной конфигурации ориентировочная стоимость решения в расчете на 100 пользователей составляет $10-15 тыс. Кроме этого, заказчику предлагается воспользоваться услугами по созданию специализированной фильтрационной базы данных, учитывающей специфику деловой терминологии организации, и технической поддержкой.

Пользователям комплексного решения IES компания InfoWatch предлагает такие возможности, как тренинг персонала, модификация отдельных модулей под специфические требования заказчика, анализ и аудит ITинфраструктуры, создание политики IT-безопасности, разрешение юридических вопросов и модификация трудовых договоров.

Компания Tizor

Североамериканская компания Tizor поставляет аппаратное решение TZX 1000, позволяющее предотвратить утечку конфиденциальной информации по внутренним сетевым каналам и обеспечить совместимость с нормативными требованиями США. Продукт контролирует доступ к серверам, на которых расположены критически важные данные. Это могут быть серверы приложений, файловые серверы или серверы баз данных. Аппаратный форм-фактор позволяет подключать TZX 1000 к сети нелинейно, а та же не снижать ее пропускной способности при анализе данных.

В основе выявления утечек лежит запатентованная технология Behavioral Fingerprinting. Разработчик утверждает, что с помощью данной технологии продукт в состоянии предотвратить хищение конфиденциальной информации, не осуществляя контентной фильтрации. Суть подхода состоит в построении шаблонов, описывающих активность пользователей. Каждый такой шаблон - своего рода цифровой отпечаток пальцев соответствующего пользователя, однако определение аномалий в рамках совершаемых людьми действий в любом случае носит вероятностный и статистический характер. Другими словами, в основе продукта компании Tizor лежит эвристический анализатор. Каждый раз, когда пользователь обращается к одному из защищенных серверов, TZX 1000 анализирует запрос и принимает решение на основе заданных политик. В сам продукт уже заложены некоторые политики для удовлетворения требований законодательных актов США, но для выполнения положений корпоративной политики IT-безопасности требуется специальная настройка.

Cхема 2.Tizor: активный аудит онлайн

Впрочем, у продукта есть и слабая сторона - это отсутствие комплексности. В частности, в состав решения не входят программные компоненты, которые могли бы предотвратить утечку через коммуникационные порты рабочей станции, принтеры, приводы и т. д. То есть, если конфиденциальная информация покидает сервер и достигает персонального компьютера, она становится полностью беззащитной.

Несмотря на то что продукт компании Tizor ориентирован на рынок США, автономность аппаратного исполнения TZX 1000 разрешает использовать его в любых компаниях, вне зависимости от их географического положения, но лишь в тех случаях, когда все информационные активы предприятия сосредоточены в базах данных или файловых серверах.

Начальная цена Tizor TZX 1000 составляет $25 тыс. Среди сопроводительных услуг Tizor предоставляет только консультации на этапе внедрения и техническую поддержку.

Компания Proofpoint

Компания Proofpoint имеет штаб-квартиры в США, Европе и Японии, а ее продукт Proofpoint Messaging Security позволяет обеспечить полный контроль над электронной почтой. С помощью этого устройства можно проверить сообщения на вирусы и спам, предотвратить нецелевое использование почтовых ресурсов и утечку конфиденциальной информации через них.

Защита от утечки конфиденциальных данных построена на базе механизма контентной фильтрации. Так, вся передаваемая информация заранее распределена по нескольким тематическим категориям. Фильтр способен проанализировать более 300 типов вложений, включая популярные форматы Microsoft Word, Adobe PDF, ZIP и другие.

Решение Proofpoint является классическим примером продукта, предназначенного для защиты одного конкретного канала передачи данных, - электронной почты. Такой подход, конечно же, не создает комплексной защиты, однако может быть использован в тех случаях, когда основным предназначением становится фильтрация спама и выявление вирусов, а предотвращение утечек - всего лишь приятное дополнение.

Начальная стоимость Proofpoint Messaging Security составляет $10 тыс., а ежегодное обновление лицензии на 1 тыс. пользователей - $18 тыс.