Cosa si intende per supporto rimovibile
Il supporto rimovibile si definisce per la possibilità di essere staccato, non per la tecnologia. Rientra nella categoria qualsiasi memoria che può essere rimossa da un computer e collegata a un altro senza strumenti né privilegi particolari. Il termine fa parte della categoria più ampia dei dispositivi di trasferimento dati, ma è più ristretto: esclude le interfacce che spostano dati senza un elemento di memorizzazione portatile.
Anche telefoni e fotocamere rientrano nella categoria quando il sistema operativo li monta come memoria. I tipi più comuni sono elencati nella tabella seguente.
| Tipo di dispositivo | Dove sta il rischio | Uso tipico |
|---|---|---|
| Chiavetta USB | Sta in tasca, costa poco ed è facile da nascondere | Copie rapide tra postazioni |
| Disco rigido esterno o SSD | Contiene archivi di grandi dimensioni e interi insiemi di dati | Backup e trasferimenti massivi |
| Disco ottico | Scrivibile e invisibile ai controlli di rete | Archiviazione, in calo |
| Scheda di memoria | Facile da dimenticare in fotocamere e portatili | Foto, file e memoria dei dispositivi |
| Telefono o fotocamera | Montato come memoria tramite MTP o PTP | Sincronizzazione e trasferimento di file |
Fughe, malware e perdite
In uscita, il supporto rimovibile è un canale di esfiltrazione deliberato. Una chiavetta scritta su un computer aziendale non genera traffico di rete che un proxy o un gateway di posta possa ispezionare, e copia alla massima velocità dell'interfaccia. Per questo è il passaggio finale classico quando un dipendente lascia l'azienda.
In entrata, la stessa porta importa rischi. I supporti portati dall'esterno, come dischi personali, dischi di partner o dispositivi di origine ignota, possono introdurre malware su un endpoint. Dispositivi costruiti apposta possono perfino fingersi tastiere o schede di rete. La porta che esporta i dati importa anche ciò che si trova sul supporto.
La perdita non richiede un autore malevolo. Un piccolo dispositivo portato ogni giorno si dimentica facilmente su un treno o in una sala riunioni. Se contiene dati sensibili non cifrati, la perdita è un evento di divulgazione, e molti quadri normativi la considerano segnalabile. Cancellare file o formattare non li elimina in modo affidabile, quindi lo smaltimento richiede una sanitizzazione dei supporti o la distruzione fisica.
Come si sviluppa una fuga tramite supporto
L'autore più comune è una minaccia interna più che un attaccante esterno, e la sequenza è breve:
- 1
Collegamento
Un supporto non approvato viene collegato a una postazione di lavoro.
- 2
Copia
I file vengono scritti sul supporto in blocco, spesso in pochi minuti.
- 3
Trasporto
Il supporto lascia l'edificio, fuori dalla portata di qualsiasi filtro di rete.
- 4
Utilizzo
Il contenuto arriva a un concorrente, a un acquirente o al pubblico.
Confronto tra gli approcci di controllo
Nessuna misura da sola copre ogni caso. Il blocco delle porte, il controllo dei dispositivi con audit e il controllo della scrittura in base al contenuto rispondono a domande diverse, quindi funzionano meglio insieme:
| Approccio | Blocca i dispositivi non approvati | Ispeziona il contenuto dei file | Registra ogni scrittura |
|---|---|---|---|
| Solo blocco delle porte | |||
| Lista di dispositivi consentiti con audit | |||
| Controllo della scrittura in base al contenuto |
Come appare in Anexet
Nel controllo di USB e unità esterne, l'amministratore imposta le regole sui dispositivi per ogni profilo agente. La scheda Devices and drives attiva l'audit di utilizzo, l'audit delle operazioni sui file nei dispositivi di memorizzazione e il controllo della scrittura in base al contenuto, così ogni canale può essere regolato separatamente.
1 / 2
Errori comuni
La maggior parte dei programmi che falliscono cade sempre negli stessi pochi errori.
Il blocco totale il primo giorno è il modo più rapido per far disattivare il controllo dei dispositivi.
- Bloccare tutte le porte il primo giorno, così il lavoro di routine si ferma e il personale cerca aggiramenti
- Dare per scontato che un supporto sia innocuo perché non tocca mai la rete
- Trattare un supporto smarrito come un guasto hardware invece che come una fuga di dati che potrebbe andare segnalata
Da dove iniziare
Si parte dai dati la cui fuga farebbe più danni, poi dai canali che vengono davvero usati per portarli fuori. Le politiche scritte per tutti i file in una volta sola finiscono per bloccare il lavoro e vengono disattivate.
Il controllo dei supporti rimovibili è uno strato del DLP degli endpoint. I dati escono anche via email, upload web, cloud e messaggistica, quindi una sola regola di classificazione dei dati deve valere per tutti i canali.
Per approfondire: Sistemi DLP — che cosa sono e come funzionano; Come prevenire l'accesso non autorizzato al tuo computer.
La maggior parte delle fughe da supporto sembra una normale giornata di lavoro, una copia alla volta.
Anexet TeamCome Anexet affronta questo
In Anexet, i supporti rimovibili sono governati dal controllo dei dispositivi nell'agente endpoint, combinato con l'ispezione dei contenuti in modo che l'applicazione possa essere precisa anziché generica:
Poiché il prodotto è distribuito on-premise, le copie catturate dei file trasferiti e i log delle operazioni sui dispositivi restano all'interno dell'infrastruttura stessa dell'organizzazione.
Cosa viene trattato come rimovibile
chiavette flash, dischi rigidi esterni, unità ottiche e a dischetti, e qualsiasi dispositivo che il sistema operativo identifica come archiviazione rimovibile, inclusi telefoni e fotocamere collegati come dispositivi multimediali.
Blocco e whitelist
i dispositivi sulle porte USB, COM e LPT sono governati da regole di whitelist o blacklist basate su parametri del dispositivo (tipo, attributo, valore), con policy separate per l'accesso e per la scrittura.
Intercettazione delle operazioni sui file
ogni scrittura verso l'archiviazione esterna viene registrata con nome del file, dimensione e processo che l'ha avviata, e le copie shadow dei file trasferiti vengono catturate per la revisione in console.
Controllo consapevole del contenuto
le scritture verso unità esterne possono essere valutate in base al contenuto: thesauri di sicurezza, database di hash, librerie di impronte digitali ed etichette di sensibilità. In questo modo i trasferimenti legittimi proseguono e quelli sensibili vengono bloccati.
Anexet DLP
Scopri di più