Kopie (von Daten)

In der Datensicherheit bedeutet Kopieren, dass Daten außerhalb ihres ursprünglichen Ortes oder Formats ein zweites Mal entstehen. Die Kopie kann eine duplizierte Datei sein, eine Übertragung über die Zwischenablage oder ein in eine andere Anwendung eingefügter Abschnitt. Das Original bleibt an seinem Platz, daher verschwindet an der Quelle nichts sichtbar, und genau deshalb werden Kopien leicht übersehen.

Kopieren gehört zur täglichen Arbeit, und genau deshalb ist es schwer zu kontrollieren. Ein Einfügen zwischen zwei Fenstern geht schneller als jeder Freigabeprozess, und die meisten Menschen sehen darin keine Übertragung. Für Sicherheitsteams ist nicht entscheidend, ob Daten kopiert wurden, sondern was die Kopie enthält und wohin sie als Nächstes gelangt. Das ist eine Kernaufgabe der Verhinderung von Datenverlust.

Die meisten Kopien gehören zur normalen Arbeit. Sie treten in einigen typischen Formen auf:

Die Datenklassifizierung und die Zugriffskontrollen hängen in der Regel am Container: an der Datei, dem Repository, der Datenbank oder dem Anwendungsdatensatz. Beim Kopieren wandert der Inhalt, der Container bleibt jedoch zurück, mit seinem Label, seinen Berechtigungen und seinem Prüfkontext. Ein Absatz, der aus einem eingestuften Dokument in eine Nachricht eingefügt wird, trägt keinen Hinweis darauf, dass er jemals eingestuft war.

Jede Kopie wird damit zu einer eigenen, unbeaufsichtigten Instanz desselben sensiblen Inhalts. Kopien verbreiten sich über den Kreis hinaus, für den das Original gedacht war, und so beginnt eine unkontrollierte Ausbreitung von Daten.

Kopieren ist wichtig, weil es der erste Schritt der meisten Datenlecks ist, ob absichtlich oder versehentlich. Da es meist am Endgerät stattfindet, sieht es wie gewöhnliche Anwendungsaktivität aus, bis der Inhalt selbst geprüft wird.

Ein absichtliches Leck kann wie eine Bedrohung durch Insider aussehen, bei der jemand Daten in kleinen Teilen sammelt, ohne Regeln für Datei-Downloads auszulösen. Versehentliche Lecks sind jedoch häufiger: ein Tabellenausschnitt mit Kundendaten, der in einen öffentlichen Chat eingefügt wird, oder eine „Arbeitskopie“, die außerhalb eines geschützten Ordners geteilt wird. Der Ablauf ist in beiden Fällen derselbe:

1. 1

   Inhalt auswählen

   Der Nutzer markiert Kundendaten, einen Vertragsentwurf oder einen Codeausschnitt in einer kontrollierten Anwendung.

2. 2

   Kopieren

   Der Inhalt landet in der Zwischenablage, während Label, Berechtigungen und Prüfkontext zurückbleiben.

3. 3

   Anderswo einfügen

   Die Kopie landet in einer privaten E-Mail, einem Chatfenster oder einem Dokument außerhalb des Unternehmens.

4. 4

   Senden oder speichern

   Die Kopie verlässt die Organisation, und die Originaldatei zeigt keine Spur der Übertragung.

Wirksame Kontrolle setzt am Inhalt an und nicht nur am Kopiervorgang selbst. Prüfen Sie, was in die Zwischenablage gelangt oder eingefügt wird, vergleichen Sie es mit Klassifizierungsregeln und den digitalen Fingerabdrücken geschützter Dokumente und erlauben, warnen oder blockieren Sie anschließend gemäß Richtlinie.

Die Zwischenablage wird mit denselben Prüfmethoden kontrolliert wie andere Kanäle: Wortlisten, Hash-Banken, digitale Fingerabdrücke und Sensitivitätslabels. Eine Kopie wird nach ihrem Inhalt bewertet und nicht allein deshalb, weil sie kopiert wurde.

• Jedes Kopierereignis speichert Benutzer, Zeitpunkt, Anwendung und Einstufung des Inhalts.
• Blockierte Daten lassen sich als Schattenkopie für die spätere Prüfung sichern.
• Dieselben Regeln gelten für die Zwischenablage und die übrigen Kanäle, sodass die Richtlinie nicht vom Weg abhängt.
• Regeln sollten anhand echter Ereignisse verfeinert werden, bevor das Blockieren aktiviert wird.
• Die Zwischenablagen-Kontrolle läuft auf dem Arbeitsplatz über den Schutz von Endgeräten und erfasst daher auch Kopien, die nie das Netzwerk passieren.

Eine reine Netzwerkkontrolle sieht Daten erst, wenn sie den Arbeitsplatz verlassen. Kopieren und Einfügen zwischen zwei Anwendungen auf demselben Rechner überschreitet diese Grenze nie. Die Tabelle zeigt daher, welcher Ansatz welches Ereignis sehen kann:

In der Anexet-Konsole wird die Zwischenablagen-Kontrolle je Agentenprofil aktiviert. Das Profil legt fest, in welche Richtungen Inhalte geprüft werden, welche Inhaltstypen abgefangen werden und ob Dateien geprüft und ihre Schattenkopien gespeichert werden. Das erste Bild zeigt diese Einstellungen, das zweite den Verlauf der Kopier- und Einfügeereignisse an einem Arbeitsplatz.

1 / 2

• 
• 

Beginnen Sie mit den Inhalten, deren Abfluss am meisten schaden würde, und kartieren Sie danach die Kopierwege, die Menschen tatsächlich nutzen, die Zwischenablage eingeschlossen. Regeln, die für alle Dateien gleichzeitig geschrieben werden, blockieren den Alltag und werden am Ende abgeschaltet.

Die Zwischenablagen-Kontrolle wirkt am besten als Teil eines größeren Programms: dieselben Datenklassen, dieselben Regeln und dieselbe Prüfspur in allen Kanälen.