‏DLP على نقاط النهاية

كان النهج التقليدي لـ DLP يضع الفحص عند حدود الشبكة، حيث يراقب جهاز واحد حركة الدخول والخروج. وكان هذا النهج يعمل ما دامت البيانات تمر عبر قنوات قليلة ومحددة، مثل البريد المؤسسي وبعض بروتوكولات الويب. أما في البيئة الحديثة فيفقد فعاليته لثلاثة أسباب.

التشفير منتشر في كل مكان. عندما يرفع المستخدم ملفاً إلى خدمة تخزين سحابي عبر HTTPS، لا يرى جهاز الشبكة إلا تدفقاً مشفراً. ومحتوى الملف، وهو بالضبط ما يحتاج DLP إلى فحصه، يبقى غير مرئي. أما DLP على نقاط النهاية فيرى الملف قبل تشفيره للنقل، لأن الوكيل يقرأ المحتوى لحظة الرفع، على الجهاز نفسه.

القنوات محلية. نسخ ملف إلى وحدة USB أو طباعة مستند أو لصق نص في تطبيق لا يمر بالشبكة أبداً. جهاز الشبكة لا يرى هذه الأفعال، بينما يراها الوكيل على الجهاز.

السحابة وخدمات SaaS تتجاوز الحدود. عندما يستخدم الموظفون تطبيقات سحابية مباشرة من المتصفح أو من برامج سطح المكتب، لم يعد حد الشبكة نقطة عبور واحدة. لذلك يتبع DLP على نقاط النهاية البيانات إلى حيث تُعالج فعلاً.

يؤدي وكيل DLP على نقاط النهاية أربع وظائف، وترتكز الأولى على قواعد تصنيف البيانات التي يحددها المسؤول:

1. 1

   فحص المحتوى

   عندما يوشك ملف على النقل، برفعه أو إرساله بالبريد أو نسخه أو طباعته، يقيّم الوكيل محتواه وفق قواعد التصنيف. تشمل هذه القواعد قوائم المصطلحات، والتعابير النمطية (أرقام البطاقات وأرقام الهوية)، والمطابقات الدقيقة للبيانات، والبصمات الرقمية للمستندات المعروفة، وعلامات الحساسية.

2. 2

   مراقبة القنوات

   يراقب الوكيل القنوات التي يمكن أن تغادر منها البيانات الجهاز: حركة الشبكة (HTTP/HTTPS وFTP وSMTP)، وبرامج البريد، والبريد عبر المتصفح، وتطبيقات التخزين السحابي، والمراسلة الفورية، والأجهزة القابلة للإزالة، والطابعات، والحافظة، والتقاط الشاشة.

3. 3

   إنفاذ السياسات

   عند تطابق مع قاعدة، يمكن للوكيل أن يحجب النقل، أو يضع الملف في الحجر، أو يسمح به مع تسجيل الحدث، أو ينبّه المستخدم، أو يُبلغ محلل الأمن، بحسب خطورة القاعدة.

4. 4

   الإبلاغ عن الأحداث

   تُرسل الأحداث الملتقطة إلى خادم مركزي للتخزين والبحث والتدقيق. ويحمل كل حدث بياناته الوصفية: المستخدم، والطابع الزمني، والقناة، وتصنيف المحتوى، والإجراء المتخذ.

DLP على نقاط النهاية نمط واحد من عدة أنماط، ولكل نمط موقع مراقبة مختلف.

تعتمد مؤسسات كثيرة مزيجاً من الأنواع، مثل DLP على نقاط النهاية إلى جانب DLP السحابي. DLP على نقاط النهاية هو النوع الوحيد الذي يمنح رؤية كاملة، لأن نقطة النهاية هي الموضع الوحيد الذي تمر منه كل أنشطة المستخدمين المتعلقة بالبيانات.

يوضح الجدول أين يراقب كل نمط، وما نقطة قوته، وأين يتوقف.

تحدد أربع نقاط عملية نجاح تطبيق DLP على نقاط النهاية.

• أثر الوكيل. يعمل الوكيل باستمرار على كل محطة، لذلك يجب أن يبقى استهلاكه للمعالج والقرص منخفضاً حتى لا يعطّل عمل المستخدم. والوكلاء الحديثون خفيفون، وفي بعض عمليات النشر يكونون مخفيين عن المستخدم.
• تغطية المنصات. تجمع بيئات المؤسسات عادة بين Windows وLinux وmacOS، بما في ذلك ARM64. ويجب أن يدعم الوكيل كل المنصات المستخدمة، وإلا ظهرت ثغرات في التغطية.
• السلوك دون اتصال. حين تكون المحطة مفصولة عن الشبكة، يواصل الوكيل تطبيق السياسات محلياً، ويضع الأحداث في طابور لإرسالها لاحقاً إلى الخادم المركزي.
• الخصوصية والتناسب. بما أن DLP على نقاط النهاية يرى قدراً كبيراً من نشاط المستخدم، يلزم تطبيقه بسياسة واضحة وإبلاغ الموظفين وضبط الوصول إلى البيانات المجمعة، بما يتوافق مع قانون العمل وأنظمة حماية البيانات في الولاية القضائية المعنية.

تعرض بطاقة كل محطة عمل في وحدة التحكم قائمة الأجهزة التي اكتشفها الوكيل، مع نوع الجهاز والشركة المصنعة. تُظهر هذه القائمة ما هو متصل بالجهاز، وهي نقطة البداية لبناء جرد للعتاد.

ابدأ بالقنوات التي تحمل أكبر قدر من الخطر على محطات العمل نفسها: تخزين USB والطباعة والحافظة ورفع الملفات إلى خدمات الويب. القواعد المكتوبة لكل الملفات دفعة واحدة تعيق العمل المعتاد وتنتهي بإيقافها، لذلك ابدأ بعدد قليل من القواعد الضيقة ووسّعها عندما تُظهر الأحداث شكل العمل الطبيعي.

راجع الأحداث المسجلة كل شهر. القواعد التي تعمل دون سبب هي أول ما يجب ضبطه، وتكشف الأحداث القنوات التي يعتمد عليها العمل فعلاً.

للمزيد من القراءة: أنظمة DLP: ما هي وكيف تعمل; كيف تشتري نظام DLP؟.