Content Aware Protection

Dawne mechanizmy kontroli patrzyły na opakowanie: port, rozszerzenie pliku, adres docelowy. Ochrona świadoma treści zagląda do środka. Narzędzie odczytuje tekst dokumentu, porównuje go z tym, co organizacja uznaje za poufne, i dopiero wtedy decyduje, czy działanie dopuścić, zapisać, ostrzec użytkownika czy zablokować.

Ta idea leży u podstaw zapobiegania utracie danych. Odpowiada na pytanie, na które sam kontekst nie odpowie: nie „kto kopiuje plik na pendrive”, lecz „czy ten plik w ogóle zawiera dane wrażliwe”. Dzięki temu zwykła praca toczy się bez przeszkód, a nieliczne ważne dokumenty pozostają chronione.

Te same cztery kroki dotyczą poczty, przesyłania plików przez przeglądarkę, komunikatorów i nośników wymiennych. Kontrola może działać na brzegu sieci albo na stacji roboczej; agent na stacji końcowej ma tę przewagę, że widzi treść, zanim zostanie opakowana w szyfrowane połączenie.

1. 1

   Określ, co jest ważne

   Specjaliści ds. bezpieczeństwa i właściciele danych opisują chronione treści: zestawy słów kluczowych, wzorce, takie jak numery kart, dokumenty wzorcowe lub etykiety nadane plikom.

2. 2

   Przechwyć działanie

   Agent lub bramka zatrzymuje operację w chwili przesyłania: wysłania wiadomości, wgrania pliku, skopiowania na nośnik albo wklejenia ze schowka.

3. 3

   Przeanalizuj treść

   Z pliku wyodrębniany jest tekst, także z archiwów oraz, jeśli dostępne jest rozpoznawanie, z obrazów, i porównywany z definicjami z pierwszego kroku.

4. 4

   Zastosuj politykę

   Wynik decyduje o działaniu: zezwolić, zapisać w dzienniku, ostrzec użytkownika, skierować do kwarantanny lub zablokować, często z zachowaną kopią na potrzeby dochodzenia.

Żadna pojedyncza technika nie obejmuje wszystkich rodzajów danych, dlatego narzędzia łączą kilka. Wybór zależy od tego, czy treść ma wzorzec, należy do znanego dokumentu, czy niesie etykietę. Dokumenty, które trzeba rozpoznać także po edycji, wymagają cyfrowych odcisków, a dane już opatrzone etykietą można rozpoznać po samej etykiecie.

W Anexet reguła blokowania według treści korzysta z jednego z czterech obiektów analizy: tezaurusów wyszukiwania, sum kontrolnych, cyfrowych odcisków albo etykiet wrażliwości. Pierwszy kadr pokazuje te zakładki wewnątrz reguły, drugi gotowe zestawy słów dostarczane z konsolą. Obrazy obsługuje osobno rozpoznawanie tekstu.

1 / 2

• 
• 

Reguły oparte tylko na kontekście decydują według kanału, użytkownika, godziny lub urządzenia: zablokuj każdy pendrive albo zezwól na pocztę wyłącznie do zatwierdzonych domen. Są proste i przewidywalne, ale traktują jadłospis stołówki i bazę klientów tak samo. Reguły oparte na treści dodają brakujące pytanie, a w praktyce najlepiej działają razem.

Odczyt treści jest probabilistyczny. Szesnastocyfrowa liczba może być numerem karty albo identyfikatorem zamówienia, a zestaw słów zbudowany z częstych wyrazów wyzwala alarm na niewinnych dokumentach. Zbyt wiele fałszywych alarmów uczy ludzi klikać ostrzeżenia bez czytania, co niweczy kontrolę.

Zostają też ślepe punkty. Treść zaszyfrowana, zanim narzędzie ją zobaczy, sfotografowana z ekranu telefonu lub przepisana własnymi słowami może przejść. Większość danych nieustrukturyzowanych, takich jak dokumenty, czaty i zrzuty ekranu, nie ma stałego formatu, więc definicje trzeba regularnie przeglądać.

Program oparty na treści działa wtedy, gdy wyrasta z danych, które liczą się najbardziej, a nie z najdłuższej możliwej listy reguł.

• Wypisz kilka rodzajów danych, których utrata zabolałaby najbardziej, i napisz po jednej definicji dla każdego.
• Dla nazwanych dokumentów wybieraj odciski lub skróty; wzorce i słowa kluczowe stosuj do danych o stałym formacie lub temacie.
• Łącz treść z kontekstem, czyli kanałem, grupą użytkowników i miejscem docelowym, aby ograniczyć fałszywe trafienia.
• Nowe reguły uruchamiaj najpierw w trybie audytu, przejrzyj, co wyłapują, i dostrój progi przed blokowaniem.
• Powiedz pracownikom, co jest sprawdzane i dlaczego; zablokowane działanie z jasnym komunikatem uczy więcej niż ciche.

Zacznij od jednego kanału i jednej klasy danych, zwykle poczty lub przesyłania przez przeglądarkę oraz rekordów klientów albo danych finansowych. Gdy trafienia wyglądają poprawnie, rozszerz tę samą definicję na kolejne kanały zamiast pisać nowe.