Was Cloud-DLP abdeckt
Cloud-DLP überträgt die Grundprinzipien der Data Loss Prevention, also Inhaltserkennung, Überwachung und Durchsetzung von Richtlinien, auf Daten, die in Cloud-Diensten liegen oder darüber übertragen werden. Dazu gehören Speicher- und Synchronisationsplattformen, Kollaborationssuiten und Dateifreigabedienste.
Das Risiko wirkt in zwei Richtungen. Sensible Daten können in Cloud-Dienste hochgeladen werden, vor allem über private oder nicht freigegebene Konten. Bereits in der Cloud gespeicherte Daten können außerdem zu weit geteilt oder über einen öffentlichen Link preisgegeben werden.
Drei Integrationspunkte
Cloud-Kanäle werden an drei Integrationspunkten abgedeckt, und jeder sieht die Daten in einem anderen Zustand. Am nächsten am Anwender arbeitet das Endpoint-DLP direkt auf dem Gerät.
| Integrationspunkt | Was geprüft wird | Beispiel |
|---|---|---|
| API-basiert | Dateien, die auf Cloud-Plattformen gespeichert sind (ruhende Daten) | Kartennummern in einer Tabelle |
| Inline-Prüfung | Datenverkehr in die Cloud über ein Gateway (Daten in Übertragung) | Uploads, die vor dem Verlassen der Organisation geprüft werden |
| Endpoint-Agenten | Übertragungen auf dem Gerät, direkt an der Quelle | Eine Übertragung von einem Laptop im häuslichen WLAN |
So wird ein blockierter Upload behandelt
In allen drei Fällen beruht die Erkennung auf der Inhaltsanalyse: Wörterbücher mit Schlüsselwörtern und Thesauri, Mustererkennung für Kennungen, exakter Abgleich von Dateien über Hashwerte, Dokumenten-Fingerprints und Klassifizierungsetiketten. Jede ausgelöste Regel folgt demselben Ablauf:
- 1
Erkennung
Die Inhaltsanalyse ordnet die Datei einer Regel zu, bevor die Übertragung abgeschlossen ist.
- 2
Entscheidung
Die Richtlinie wählt Blockieren, Quarantäne, Protokollierung oder Alarm.
- 3
Hinweis
Der Anwender sieht einen Hinweis, warum die Übertragung nicht durchging.
- 4
Protokoll
Das Ereignis wird mit Benutzer, Dienst, Inhaltsklassifizierung und ausgeführter Aktion gespeichert.
Warum Cloud-Nutzung eigene Kontrollen braucht
Die Cloud-Nutzung erzeugt vier Arten von Exposition, und jede braucht eine eigene Kontrolle. Shadow IT wird am häufigsten unterschätzt, weil private Konten außerhalb aller Unternehmenssysteme liegen.
| Risiko | Was es bedeutet |
|---|---|
| Shadow IT | Mitarbeitende verschieben Arbeitsdaten über private Konten, die die Netzwerküberwachung nicht sieht |
| Geteilte Verantwortung | Der Anbieter sichert die Infrastruktur. Der Inhalt der Dateien bleibt in der Verantwortung des Kunden. |
| Wildwuchs | Kopien auf Laufwerken, in gemeinsamen Arbeitsbereichen und in Backups vergrößern die Exposition |
| Drittanbieter-Apps | Per OAuth verbundene Apps können Unternehmensdaten in der Cloud lesen, ohne dass eine Datei übertragen wird |
Typische Szenarien
Drei Situationen zeigen, wie die Kontrollen in der Praxis wirken:
- Ein Ingenieur lädt eine Kundendatenbank auf ein privates Cloud-Speicherkonto hoch. Die Inhaltsprüfung blockiert den Upload, bevor er abgeschlossen ist.
- Ein vertraulicher Vertrag liegt auf einem Unternehmenslaufwerk mit der öffentlichen Einstellung „Jeder mit dem Link“. Ein Scan ruhender Daten findet ihn.
- Ein ausscheidender Mitarbeiter synchronisiert Projektordner massenhaft auf ein externes Cloud-Laufwerk. Die Übertragung wird als Datenabfluss markiert.
So sieht es in Anexet aus
Zugriff, Audit und Schattenkopie werden für jeden Cloud-Dienst getrennt im Agentenprofil festgelegt. Die Liste der webbasierten Versionen, die abgefangen werden, wird ebenfalls separat konfiguriert.
1 / 2
Wo man anfängt
Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und danach mit den Cloud-Diensten, die Ihre Mitarbeitenden tatsächlich nutzen. Regeln, die gleich für alle Dienste gelten, blockieren am Ende die normale Arbeit und werden abgeschaltet. Starten Sie die Kontrolle von Uploads in die Cloud lieber in wenigen Kanälen als in allen auf einmal.
Wenn die Richtlinie sensible Daten abdecken soll, hält eine On-Premise-Bereitstellung Regeln, erfasste Inhalte und Protokolle in der eigenen Infrastruktur des Unternehmens.
Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Wie kauft man ein DLP-System?.
Daten aus der Cloud verlassen selten in einem Zug das Unternehmen. Sie gehen in einer Reihe gewöhnlicher Uploads, und jeder wirkt harmlos.
Anexet TeamWie Anexet das löst
Anexet deckt Cloud-Kanäle über seine Endpoint-Agenten und die ICAP-Integration ab. Dieselben inhaltsbasierten Richtlinien, die E-Mail, Web und Wechselmedien steuern, gelten damit auch für Cloud-Speicher und Dateifreigabedienste.
Da Anexet On-Premise betrieben wird, werden Erkennungsregeln, erfasste Inhalte und Audit-Protokolle in der eigenen Infrastruktur der Organisation verarbeitet und gespeichert. Sensible Daten gehen nicht zur Analyse an einen externen DLP-Anbieter.
Abdeckung von Cloud-Speichern
Überwachung und Kontrolle der Übertragungen zu und von Diensten wie Box, Dropbox, Google Drive, OneDrive, SharePoint, MEGA, ownCloud, Nextcloud, WeTransfer und Amazon S3.
Endpoint-Agenten als primärer Kontrollpunkt
Agenten auf überwachten Arbeitsplätzen prüfen Cloud-Uploads an der Quelle, auch wenn sie das Unternehmensnetz vollständig umgehen.
Inhaltsbasierte Erkennung
dieselbe Klassifizierungs-Engine mit Sicherheitsthesauri, Hash-Datenbanken, digitalen Fingerprints und Sensitivitätsetiketten. Entschieden wird danach, was eine Datei enthält, nicht nur danach, wohin sie geht.
Durchsetzung und Audit-Trail
Richtlinien können eine Übertragung blockieren, in Quarantäne legen, protokollieren oder melden. Jedes Ereignis erfasst Benutzer, Dienst, Inhaltsklassifizierung und die ausgeführte Aktion.
Anexet DLP
Mehr erfahren