Τι σημαίνουν τα δεδομένα σε μεταφορά
Οι ομάδες ασφάλειας περιγράφουν συνήθως τα δεδομένα σε τρεις καταστάσεις: αποθηκευμένα σε δίσκο (δεδομένα σε ηρεμία), ανοιγμένα και υπό επεξεργασία από μια εφαρμογή (δεδομένα σε χρήση) και μετακινούμενα από ένα σημείο σε άλλο (δεδομένα σε μεταφορά, γνωστά και ως δεδομένα σε κίνηση). Η τρίτη κατάσταση καλύπτει τα πάντα, από ένα μήνυμα προς έναν συνάδελφο μέχρι ένα αντίγραφο ασφαλείας που αντιγράφεται σε άλλη τοποθεσία.
Τα δεδομένα σε μεταφορά εκτίθενται με ιδιαίτερο τρόπο: φεύγουν από τα συστήματα που ελέγχει ο οργανισμός και διασχίζουν δίκτυα, παρόχους και συσκευές που δεν ελέγχει. Γι' αυτό τα προγράμματα προστασίας δεδομένων τα αντιμετωπίζουν ως ξεχωριστό πρόβλημα με δικούς του ελέγχους και όχι ως παρενέργεια της ασφάλειας της αποθήκευσης.
Από πού κινούνται τα δεδομένα
Τα επαγγελματικά δεδομένα ταξιδεύουν μέσα από λίγα κανάλια και καθένα αποτυγχάνει με τον δικό του τρόπο. Το email είναι το παλαιότερο: ένα μήνυμα μπορεί να περάσει από αρκετούς διακομιστές πριν φτάσει, και η παρακολούθηση email το βλέπει καθαρά μόνο όσο βρίσκεται ακόμη σε συστήματα που ελέγχει η εταιρεία.
| Κανάλι | Τυπικό παράδειγμα | Τι μπορεί να πάει στραβά |
|---|---|---|
| Ένα συμβόλαιο που στέλνεται σε πελάτη | Το μήνυμα περνά από αρκετούς διακομιστές και η κρυπτογράφηση μεταξύ τους δεν είναι εγγυημένη | |
| Διαδίκτυο και υπηρεσίες cloud | Ένα αρχείο που ανεβαίνει σε προσωπικό λογαριασμό αποθήκευσης | Το HTTPS κρύβει το περιεχόμενο από το δίκτυο και ο προορισμός μπορεί να μην είναι εγκεκριμένος |
| Εφαρμογές μηνυμάτων και συνεργασίας | Ένα υπολογιστικό φύλλο που επικολλάται σε συνομιλία | Τα δεδομένα φεύγουν από κανάλι που δεν διαχειρίζεται η εταιρεία |
| Μεταφορά αρχείων | Αντιγραφή αρχείων σε κοινόχρηστο φάκελο δικτύου ή μέσω FTP | Τα πρωτόκολλα χωρίς κρυπτογράφηση εκθέτουν το περιεχόμενο σε οποιονδήποτε βρίσκεται στη διαδρομή |
| Εσωτερική κίνηση | Μια εφαρμογή που καλεί βάση δεδομένων ή API | Θεωρείται αξιόπιστη και γι' αυτό συχνά μένει χωρίς κρυπτογράφηση |
Πώς προστατεύει η κρυπτογράφηση
Η βασική άμυνα είναι το TLS, το πρωτόκολλο πίσω από το HTTPS και από πολλές ασφαλείς συνδέσεις email και μεταφοράς αρχείων. Διαδέχθηκε το παλαιότερο πρωτόκολλο SSL και η ακολουθία είναι ίδια στις περισσότερες εφαρμογές.
- 1
Διαπραγμάτευση
Ο πελάτης και ο διακομιστής συμφωνούν σε έκδοση πρωτοκόλλου και σε σύνολο αλγορίθμων κρυπτογράφησης.
- 2
Έλεγχος ταυτότητας
Ο διακομιστής παρουσιάζει πιστοποιητικό και ο πελάτης το ελέγχει σε σχέση με τις αρχές πιστοποίησης που εμπιστεύεται.
- 3
Ανταλλαγή κλειδιών
Και οι δύο πλευρές παράγουν κοινά κλειδιά συνεδρίας χωρίς να τα στείλουν ποτέ ανοιχτά.
- 4
Προστασία της κίνησης
Τα δεδομένα κρυπτογραφούνται και συνοδεύονται από έλεγχο ακεραιότητας, ώστε κάθε αλλαγή στη διαδρομή να εντοπίζεται.
Πώς φαίνεται στο Anexet
Το Anexet παρακολουθεί τα δεδομένα σε μεταφορά στον σταθμό εργασίας μέσω των πρακτόρων του και μέσω του ελέγχου της κίνησης δικτύου και των ιστοτόπων. Η οθόνη του προφίλ δείχνει ποια πρωτόκολλα υποκλέπτονται και αν περιλαμβάνεται η κρυπτογραφημένη κίνηση, ενώ η οθόνη των πιστοποιητικών δείχνει πώς οι κρυπτογραφημένες συνεδρίες ιστού γίνονται αναγνώσιμες για ανάλυση.
1 / 2
Κρυπτογράφηση δεν σημαίνει έλεγχος
Η κρυπτογράφηση απαντά σε ένα ερώτημα: μπορεί κάποιος στη διαδρομή να διαβάσει ή να αλλοιώσει τα δεδομένα; Δεν ρωτά αν ο αποστολέας έπρεπε να τα στείλει. Σε αυτό το κενό συμβαίνει το μεγαλύτερο μέρος της εξαγωγής δεδομένων, επειδή ένας υπάλληλος που ανεβάζει αρχείο μέσω HTTPS χρησιμοποιεί απολύτως ασφαλή σύνδεση.
| Κίνδυνος | Κρυπτογράφηση σε μεταφορά | Έλεγχος περιεχομένου |
|---|---|---|
| Υποκλοπή της κίνησης στο δίκτυο | ||
| Αλλοίωση των δεδομένων στη διαδρομή | ||
| Εμπιστευτικό αρχείο που ανεβαίνει σε προσωπικό cloud μέσω HTTPS | ||
| Μήνυμα με δεδομένα πελατών που στέλνεται σε λάθος παραλήπτη |
Συνήθη λάθη
Οι αστοχίες σπάνια οφείλονται σε αδύναμους αλγορίθμους. Οφείλονται σε παραδοχές, και το shadow IT χειροτερεύει την τελευταία, γιατί οι μη εγκεκριμένες υπηρεσίες προσθέτουν προορισμούς που κανείς δεν έχει ελέγξει.
Κρυπτογραφημένο δεν σημαίνει εξουσιοδοτημένο: μια ασφαλής σύνδεση με λάθος προορισμό εξακολουθεί να βγάζει τα δεδομένα έξω.
- Εμπιστοσύνη στο εσωτερικό δίκτυο και διατήρηση της κίνησης μεταξύ διακομιστών σε απλό κείμενο
- Απενεργοποίηση του ελέγχου πιστοποιητικών για να φύγει ένα σφάλμα, κάτι που αφαιρεί την προστασία από την πλαστοπροσωπία
- Διατήρηση παλαιών πρωτοκόλλων, όπως FTP ή HTTP χωρίς κρυπτογράφηση, επειδή μέχρι τώρα δεν χάλασε τίποτα
- Παραδοχή ότι το email είναι κρυπτογραφημένο από άκρη σε άκρη, ενώ κρυπτογραφούνται μόνο ορισμένα τμήματα της διαδρομής
- Θεώρηση του HTTPS προς οποιονδήποτε προορισμό ως ασφαλούς, και προς προσωπική αποθήκευση και μη εγκεκριμένες υπηρεσίες
Κανονισμοί και δεδομένα σε μεταφορά
Τα περισσότερα πλαίσια ασφάλειας και απορρήτου αναμένουν την προστασία των δεδομένων κατά τη μετάδοση, αν και το καθένα τη διατυπώνει διαφορετικά. Ο GDPR ζητά κατάλληλα τεχνικά μέτρα και αναφέρει την κρυπτογράφηση ως παράδειγμα, ο κανόνας ασφάλειας HIPAA (Security Rule) περιέχει πρότυπο ασφάλειας μετάδοσης και το PCI DSS απαιτεί ισχυρή κρυπτογραφία όταν τα δεδομένα καρτών διασχίζουν ανοιχτά δημόσια δίκτυα.
Σε έναν έλεγχο μετρούν οι αποδείξεις: ποια κανάλια μεταφέρουν ρυθμιζόμενα δεδομένα, ποια από αυτά είναι κρυπτογραφημένα και τι συμβαίνει όταν κάποιο δεν είναι. Ένας ενημερωμένος χάρτης ροών δεδομένων και μια λειτουργική ρουτίνα διαχείρισης συμμόρφωσης επιτρέπουν γρήγορες απαντήσεις.
Από πού να ξεκινήσετε
Ξεκινήστε χαρτογραφώντας από πού κινούνται πραγματικά τα εμπιστευτικά και ρυθμιζόμενα δεδομένα, έπειτα κρυπτογραφήστε ό,τι ταξιδεύει ακόμη σε απλό κείμενο και ελέγξτε ό,τι φεύγει από κρυπτογραφημένα κανάλια. Η κρυπτογράφηση κλείνει τον δρόμο στους ξένους, και ένα σύστημα DLP καλύπτει τον δρόμο που χρησιμοποιούν νόμιμα οι εργαζόμενοι.
Ένας κλειδωμένος σωλήνας προστατεύει τα δεδομένα από αγνώστους. Δεν λέει τίποτα για το ποιος τα έβαλε μέσα ή πού πηγαίνουν.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Το Anexet εργάζεται με δεδομένα σε μεταφορά στον σταθμό εργασίας και στο δίκτυο, και τα δεδομένα που καταγράφονται παραμένουν στην υποδομή του πελάτη, επειδή το σύστημα εγκαθίσταται τοπικά (on-premise).
Υποκλοπή πρωτοκόλλων
Τα προφίλ πρακτόρων ενεργοποιούν ή απενεργοποιούν την υποκλοπή ανά πρωτόκολλο, μεταξύ άλλων POP3, SMTP, IMAP, MAPI, HTTP και FTP, καθώς και αρκετά πρωτόκολλα εφαρμογών μηνυμάτων.
Κρυπτογραφημένη κίνηση
Ένα προφίλ μπορεί να υποκλέπτει κρυπτογραφημένη και μη κρυπτογραφημένη κίνηση μαζί. Για το HTTPS, οι πράκτορες αντικαθιστούν τα πιστοποιητικά σε αυτόματη ή οριζόμενη από τον χρήστη λειτουργία.
Φίλτρο hosts SSL
Μια μαύρη ή λευκή λίστα hosts καθορίζει πού αντικαθίστανται τα πιστοποιητικά, ώστε επιλεγμένοι ιστότοποι να μπορούν να εξαιρεθούν.
Υπηρεσίες ιστού
Το webmail, οι εφαρμογές μηνυμάτων ιστού και οι εκδόσεις ιστού της αποθήκευσης cloud έχουν δικές τους ρυθμίσεις υποκλοπής, με όριο μεγέθους για το αρχείο που υποκλέπτεται.
Anexet DLP
Μάθετε περισσότερα