Pojęcie zbiorcze, a nie jedna technika
Obfuskacja danych to nie jedna metoda, lecz ogólny cel: uczynienie danych nieczytelnymi lub nierozpoznawalnymi dla każdego, kto nie powinien widzieć ich pierwotnej postaci, przy zachowaniu ich użyteczności tam, gdzie są potrzebne.
Techniki zwykle zaliczane do tego pojęcia wymieniono poniżej. Maskowanie danych bywa używane luźno jako synonim, ale ściśle rzecz biorąc jest jedną z technik w szerszej rodzinie obfuskacji.
| Technika | Co robi |
|---|---|
| Maskowanie danych | Zastępuje prawdziwe wartości wiarygodnymi, ale fikcyjnymi. |
| Tokenizacja | Zamienia wrażliwe wartości na tokeny; mapowanie przechowywane w chronionym magazynie. |
| Pseudonimizacja | Zastępuje identyfikatory pseudonimami; ponowne powiązanie wymaga dodatkowych informacji. |
| Szyfrowanie | Czyni dane nieczytelnymi bez klucza; w pełni odwracalne dla posiadaczy klucza. |
| Haszowanie i redakcja | Przekształcenie jednokierunkowe albo całkowite usunięcie wrażliwych fragmentów. |
Dlaczego organizacje obfuskują dane
Organizacje obfuskują dane, aby ograniczyć ekspozycję i zachować użyteczność. Zasada jest zawsze ta sama: proces, który potrzebuje kształtu danych, rzadko potrzebuje ich rzeczywistych wrażliwych wartości.
Najczęstszym źródłem są dane produkcyjne. Są maskowane, zanim trafią do środowisk testowych i deweloperskich, a identyfikatory są tokenizowane w obsłudze płatności, dzięki czemu systemy działają bez dotykania oryginalnych wartości.
Do czego pasuje każda technika
Każda technika pasuje do innego ryzyka. Tabela pokazuje typowe zastosowanie i to, co po przekształceniu nadal da się zrobić z danymi.
| Zastosowanie | Typowa technika | Co pozostaje użyteczne |
|---|---|---|
| Kopie testowe i deweloperskie | Maskowanie danych | Struktura tabel i formaty danych |
| Analityka i zbiory dla partnerów | Pseudonimizacja | Wzorce, liczności i powiązania między rekordami |
| Obsługa płatności | Tokenizacja | Zastępcza wartość, którą systemy mogą przechowywać i porównywać |
| Pliki i kopie zapasowe | Szyfrowanie | Nic, dopóki nie zostanie zastosowany klucz |
Obfuskacja jako technika omijania zabezpieczeń
Ten sam mechanizm działa w odwrotnym kierunku. Pracownik wewnętrzny albo napastnik przygotowujący wyciek danych może celowo zaciemnić treść, aby kontrole bezpieczeństwa jej nie rozpoznały. Najczęstsze metody to:
- zmiana nazw plików i rozszerzeń, przez co nie pasują reguły oparte na nazwie i typie
- archiwizacja i kompresja, często z hasłem, przez co kontrola treści nie widzi wnętrza
- szyfrowanie lub ponowne kodowanie treści, przez co reguły słów kluczowych widzą tylko szyfrogram
- nietypowe kontenery lub formaty, których nie rozpoznają kontrole oparte na formacie
Jak reagują systemy DLP
Kontrole świadome treści, takie jak Data Loss Prevention (DLP), próbują to kompensować. Sprawdzają, co plik zawiera, a nie jak się nazywa, i porównują treść z odciskami cyfrowymi chronionych plików.
- 1
Kontrola zawartości
Obejmuje wnętrze archiwów i kontenerów, a nie tylko zewnętrzną nazwę lub typ pliku.
- 2
Dopasowanie odcisku
Treść porównuje się z odciskami chronionych plików, tak aby zmieniona nazwa kopii nadal była rozpoznana.
- 3
Obserwacja zachowania
Nietypowa aktywność jest oznaczana, na przykład gdy pracownik tuż przed odejściem z firmy nagle archiwizuje wiele dokumentów.
Jak to wygląda w Anexet
W module odcisków cyfrowych administrator wskazuje foldery z chronionymi plikami jako źródło bazy odcisków. Źródła i serwer indeksujący są widoczne w jednym miejscu, więc zakres ochrony łatwo sprawdzić.
Obfuskacja działa w obie strony
Obfuskacja ma podwójne zastosowanie: te same przekształcenia, które chronią prywatność w środowiskach testowych, mogą ukryć wyciek w czasie transferu.
To, czy działa jako zabezpieczenie, czy jako zagrożenie, zależy od tego, kto ją stosuje, i od tego, czy wdrożone kontrole potrafią się przez nią przebić.
Plik, który przechodzi regułę opartą na nazwie, nie jest bezpieczny. Trzeba sprawdzać treść, a nie tylko nazwę.
Od czego zacząć
Najpierw warto zająć się danymi, których wyciek wyrządziłby największą szkodę, a potem przejrzeć kanały, którymi naprawdę przepływają. Reguły sprawdzające treść wychwytują zamaskowane pliki, które przeoczają reguły oparte na nazwie.
Czytaj dalej: Szyfrowanie, kodowanie i haszowanie – jaka jest różnica?.
Ukryty plik jest niewidoczny tylko dla reguł, które go nigdy nie otwierają.
Anexet Team