Przeciek, wyciek i eksfiltracja
Przeciek, wyciek i eksfiltracja opisują różne zdarzenia, a traktowanie ich jak synonimów prowadzi do błędnej reakcji. Wyciek danych oznacza, że dane wrażliwe stają się dostępne poza kontrolą organizacji. Eksfiltracja danych to przypadek celowy, w którym ktoś wynosi dane, żeby osiągnąć właśnie ten efekt.
Przeciek jest najwcześniejszym i najczęstszym z tych zdarzeń, bo nie wymaga napastnika: powstaje w zwykłej pracy. Plik zostaje zapisany w złym folderze, kopia testowa powstaje z żywych rekordów albo załącznik trafia do szerszego grona odbiorców, niż zamierzono. Dane często zostają w organizacji, dlatego przeciek to przede wszystkim problem opanowania.
Jak dochodzi do przecieku
Przecieki wynikają z codziennej pracy. Typowe drogi:
- Niewłaściwe miejsce docelowe: dokument o klasyfikacji zastrzeżonej zapisany na ogólnym udziale zespołu, w folderze projektu lub na dysku osobistym o szerszym dostępie.
- Transfer między poziomami: dane z systemu o wyższej klasyfikacji wklejone lub wyeksportowane do niższego, także do środowisk testowych i deweloperskich zasilanych danymi produkcyjnymi.
- Platformy współpracy: plik dodany do kanału lub przestrzeni roboczej o szerszym składzie niż zamierzony krąg odbiorców albo udostępniony słabo ograniczonym linkiem.
- Poczta i komunikatory: załącznik wysłany na listę dystrybucyjną lub dodany do wątku, do którego później dołączają uczestnicy zewnętrzni.
- Agregacja: pojedynczo nieszkodliwe wyciągi połączone w raport, którego wrażliwość przewyższa wrażliwość środowiska, w którym się znajduje.
Dlaczego usuwanie skutków jest trudniejsze
Usunięcie przeciekłych danych rzadko oznacza skasowanie jednego pliku. Współczesne środowiska automatycznie powielają treść, a samo usunięcie nie zawsze ją wymazuje, co nazywa się remanencją. Kopie najczęściej zostają w takich miejscach:
| Gdzie zostają kopie | Dlaczego zostają |
|---|---|
| Klienci synchronizacji, wersje i pamięci lokalne | Trzymają kopie, których użytkownik nigdy nie utworzył |
| Kopie zapasowe i archiwa | Najbliższa kopia zapisze plik, a retencja może blokować usuwanie |
| Indeksy wyszukiwania i podglądy | Zachowują treść po usunięciu oryginału |
| Dalsza dystrybucja | Odbiorcy przekazują lub udostępniają plik przed wykryciem |
| Remanencja | Usunięcie zwalnia miejsce, ale nie wymazuje danych |
Opanowanie przecieku
Praktyczne opanowanie łączy zapobieganie z wykrywaniem. Zapobieganie oznacza nadzór nad ścieżkami danych: kontrolę transferów między poziomami klasyfikacji, ograniczanie synchronizacji z prywatnymi kontami chmurowymi, wąskie zakresy przestrzeni współpracy i zakaz zasilania środowisk testowych żywymi danymi produkcyjnymi. Całość opisuje kontrola przepływu danych.
Wykrywanie oznacza monitorowanie treści repozytoriów i kanałów, dzięki czemu przeciek zostaje znaleziony, zanim rozprzestrzeni się po wielu miejscach. Anexet porównuje treść z zestawami słów kluczowych, regułami wzorców i bankami skrótów, a reguła blokowania transferu może zatrzymać przesłanie, zanim się dokończy.
1 / 2
Usuwanie skutków przecieku
Formalna reakcja traktuje identyfikację i ustalenie zasięgu jako główny wysiłek:
- 1
Odnalezienie każdego wystąpienia
Zlokalizowanie każdej kopii przeciekłych danych, także w miejscach wymienionych wyżej.
- 2
Decyzja o oczyszczeniu lub zniszczeniu
Ustalenie, czy dane trzeba oczyścić albo zniszczyć.
- 3
Udokumentowanie wyniku
Zapisanie, co znaleziono i co zrobiono.
Wymiar regulacyjny
Przeciek może podlegać zgłoszeniu nawet bez zewnętrznej ekspozycji. Tam, gdzie przepisy wymagają odpowiednich środków technicznych i organizacyjnych, wrażliwe rekordy w środowisku bez takich środków to awaria kontroli.
W świetle RODO nieuprawniony dostęp wewnętrzny do danych osobowych to odrębna kategoria naruszenia, dlatego reakcja na przeciek obejmuje zwykle ocenę, czy obowiązki zgłoszeniowe mają zastosowanie.
Od czego zacząć
Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi naprawdę się przemieszczają. Polityka napisana od razu dla wszystkich plików blokuje zwykłą pracę, a ludzie szybko uczą się ją omijać.
Czytaj dalej: Techniczny wyciek informacji: czym jest i jak się chronić?.
Przeciek rzadko wygląda na atak. Wygląda na zwykły dzień pracy, w którym plik trafia do złego folderu.
Anexet TeamJak rozwiązuje to Anexet
Anexet obejmuje przeciek w punkcie, w którym dane trafiają w niewłaściwe miejsce, i zachowuje zapis potrzebny do późniejszego ustalenia zasięgu:
Polityki transferu oparte na treści
transfery są oceniane po tym, co zawierają dane: tezaurusy bezpieczeństwa (gotowych słowników), reguły wzorców dla ustrukturyzowanych identyfikatorów, banki skrótów do dokładnych dopasowań plików, biblioteki cyfrowych odcisków szablonów dokumentów i etykiety poufności, a nie wyłącznie miejsce docelowe.
Pokrycie kanałów
agenci na stacjach roboczych monitorują pocztę, przesyłanie plików w sieci, aplikacje chmurowe, komunikatory, nośniki wymienne, drukowanie i schowek, czyli drogi, którymi dane trafiają do nieuprawnionych środowisk.
Blokowanie i kwarantanna
transfer kierujący treść tam, gdzie nie powinna trafić, można zablokować albo skierować do kwarantanny i analizy, zamiast pozwolić mu cicho się zakończyć.
Ślad audytu do ustalenia zasięgu
każde zdarzenie zapisuje użytkownika, znacznik czasu, kanał, klasyfikację treści i podjęte działanie, dzięki czemu zespoły reagujące odtworzą, dokąd trafiła treść i jak daleko się rozeszła.
Architektura on-premise
polityki, przechwycona treść i dzienniki pozostają w infrastrukturze organizacji.
Anexet DLP
Dowiedz się więcej