DLP de endpoints

El enfoque tradicional del DLP situaba la inspección en el borde de la red, con un equipo que observaba el tráfico entrante y saliente. Funcionaba mientras los datos circulaban por pocos canales bien definidos, como el correo corporativo y algunos protocolos web. En un entorno moderno deja de funcionar por tres razones.

El cifrado es omnipresente. Cuando un usuario sube un archivo a un servicio de almacenamiento en la nube por HTTPS, el equipo de red solo ve un flujo cifrado. El contenido del archivo, que el DLP necesita inspeccionar, resulta invisible. El DLP de endpoints ve el archivo antes de cifrarlo para el tránsito, porque el agente lee el contenido en el momento de la subida, en el propio dispositivo.

Los canales son locales. Copiar un archivo a una memoria USB, imprimir un documento o pegar texto en una aplicación nunca pasa por la red. Un equipo de red no ve estas acciones. Un agente en la computadora sí.

La nube y el SaaS eluden el perímetro. Cuando los empleados usan aplicaciones en la nube desde el navegador o desde clientes de escritorio, el borde de la red deja de ser un único punto de paso. El DLP de endpoints sigue a los datos allí donde se manejan.

Un agente de DLP en endpoint cumple cuatro funciones, y la primera depende de las reglas de clasificación de datos que define el administrador:

1. 1

   Inspección de contenido

   Cuando un archivo va a subirse, enviarse por correo, copiarse o imprimirse, el agente evalúa su contenido según reglas de clasificación. Estas incluyen diccionarios de palabras clave, expresiones regulares (números de tarjeta y de documentos de identidad), coincidencias exactas de datos, huellas digitales de documentos conocidos y etiquetas de sensibilidad.

2. 2

   Monitorización de canales

   El agente vigila los canales por los que los datos pueden salir del dispositivo: tráfico de red (HTTP/HTTPS, FTP, SMTP), clientes de correo, webmail, aplicaciones de almacenamiento en la nube, mensajería instantánea, soportes extraíbles, impresoras, portapapeles y captura de pantalla.

3. 3

   Aplicación de políticas

   Ante una coincidencia, el agente puede bloquear la transferencia, poner el archivo en cuarentena, permitirla registrando el evento, avisar al usuario o alertar a un analista de seguridad. La acción depende de la gravedad de la regla.

4. 4

   Registro de eventos

   Los eventos capturados se envían a un servidor central para su almacenamiento, búsqueda y auditoría. Cada uno incluye metadatos: usuario, marca de tiempo, canal, clasificación del contenido y acción adoptada.

El DLP de endpoints es una de varias variantes del DLP, y cada una observa un lugar distinto.

Muchas organizaciones combinan variantes, por ejemplo DLP en endpoint junto con DLP en la nube. El DLP en endpoint es la única variante que da visibilidad completa, porque la computadora del usuario es el único punto por el que pasa toda la actividad con datos.

La tabla muestra dónde observa cada variante, en qué es fuerte y dónde se queda corta.

Al desplegar DLP de endpoints, cuatro puntos prácticos marcan la diferencia.

• Huella del agente. El agente se ejecuta de forma continua en cada puesto, así que su consumo de CPU y disco debe ser bajo para no entorpecer el trabajo. Los agentes modernos son ligeros y, en algunos despliegues, están ocultos para el usuario.
• Cobertura de plataformas. Los entornos corporativos suelen combinar Windows, Linux y macOS, incluido ARM64. El agente debe soportar todas las plataformas en uso o aparecerán huecos de cobertura.
• Funcionamiento sin conexión. Cuando el puesto está desconectado de la red, el agente debe seguir aplicando las políticas en local y poner los eventos en cola para enviarlos después al servidor central.
• Privacidad y proporcionalidad. El DLP de endpoints ve buena parte de la actividad del usuario. El despliegue necesita una política clara, información a los empleados y controles de acceso a los datos recogidos, de acuerdo con la legislación laboral y de protección de datos de la jurisdicción aplicable.

La ficha de cada estación de trabajo en la consola muestra el hardware que detectó el agente, con tipo de dispositivo y fabricante. Esta lista muestra lo que está conectado a la máquina y es el punto de partida para un inventario de hardware.

Empiece por los canales que más riesgo tienen en las propias estaciones de trabajo: almacenamiento USB, impresión, portapapeles y subidas a servicios web. Las reglas escritas para todos los archivos a la vez bloquean el trabajo normal y acaban desactivadas, así que empiece con pocas reglas acotadas y amplíelas cuando los eventos muestren cómo es el trabajo habitual.

Revise los eventos capturados cada mes. Las reglas que se disparan sin motivo son las primeras que hay que ajustar, y los eventos muestran de qué canales depende realmente el trabajo.

Lectura recomendada: Sistemas DLP — qué son y cómo funcionan; ¿Cómo comprar un sistema DLP?.