Co obejmuje kontrola urządzeń
Zakres jest szerszy niż pamięci USB. Każdy typ urządzenia stawia inne pytanie:
| Typ urządzenia | Na jakie pytanie odpowiada |
|---|---|
| Nośniki wymienne | Czy dane można zapisać na pendrive'ach, zewnętrznych dyskach lub kartach pamięci? |
| Napędy optyczne | Czy można nagrywać dane na płyty CD, DVD lub Blu-ray? |
| Urządzenia mobilne | Przez MTP lub PTP: kabel do ładowania czy wolumen pamięci? |
| Drukarki | Czy zadanie druku wyprowadza na papier treści objęte regulacjami? |
| Interfejsy bezprzewodowe | Czy Bluetooth lub Wi-Fi otwierają drogę poza sieć firmową? |
| Urządzenia wejściowe i rejestrujące | Kamery, mikrofony i emulatory klawiatury budzą obawy o prywatność i wstrzykiwanie poleceń. |
Dlaczego kanał fizyczny nadal ma znaczenie
Nawet w środowiskach chmurowych kanał fizyczny nie zostawia śladu w sieci, działa bez łączności i szybko przenosi bardzo duże ilości danych.
Jest też rutynowo ostatnim krokiem eksfiltracji danych przy odchodzeniu pracowników. Dlatego reguły dla urządzeń i procedury offboardingu projektuje się zwykle razem.
Modele polityk
Reguły zwykle zależą od użytkownika, grupy i kontekstu. Rola obsługująca dane regulowane może podlegać ściślejszym zasadom niż inna. Laptop poza siecią firmową może mieć surowszą politykę niż ten sam laptop w biurze. Kontrola treści to dodatkowa warstwa, opisana w blokowaniu z uwzględnieniem treści.
Blokada wszystkiego z wyjątkami jest najmocniejszym modelem, ale działa tylko wtedy, gdy wyjątki są szybkie. Dozwolenie wszystkiego z monitoringiem wykrywa, zamiast zapobiegać.
| Model | Może zapobiec transferowi | Rejestruje każde połączenie | Sprawdza treść pliku |
|---|---|---|---|
| Blokada wszystkiego z wyjątkami | |||
| Dozwolenie wszystkiego z monitoringiem | |||
| Reguły według klas urządzeń | |||
| Lista dozwolonych według tożsamości | |||
| Reguły uwzględniające treść |
Poziomy egzekwowania
Między dozwoleniem a blokadą są opcje, dzięki którym kontrolę urządzeń da się wdrożyć. Dostęp tylko do odczytu pozwala czytać urządzenie, ale nie zapisywać na nim. Ostrzeżenie dla użytkownika pozwala przeprowadzić transfer po zarejestrowanym potwierdzeniu. Kwarantanna kieruje plik do przeglądu.
Egzekwowanie szyfrowania pozwala zapisywać tylko na nośnikach, które zostaną zaszyfrowane. Tryb samego logowania służy na etapie wdrożenia, by zobaczyć, co firma faktycznie robi, zanim włączy reguły. Ustawienia dla każdej rodziny urządzeń opisano w kontroli pamięci USB i zewnętrznych dysków.
Egzekwowanie z uwzględnieniem treści w produkcie
Ustawienia urządzeń i pamięci zawierają przełączniki audytu oraz kontrolę zapisu według treści. Zapis na nośnik można sprawdzić pod kątem treści pliku, a każde sprawdzenie trafia do śladu audytu.
1 / 2
Ograniczenia i tryby awarii
Kontrola urządzeń jest mocną granicą, ale nie kompletną. Dane mogą nadal wyjść kanałami sieciowymi, takimi jak poczta webowa, chmura i komunikatory, które potrzebują własnej kontroli przepływu danych.
Egzekwowanie zależy od obecności i poprawnego działania agenta. Dlatego integralność agenta i raportowanie pokrycia są częścią kontroli.
Nadmierne ograniczenia rodzą obejścia. Gdy zatwierdzona ścieżka jest zbyt wolna, użytkownicy przenoszą dane przez prywatne konta w chmurze, typowy wzorzec shadow IT, który zamienia kanał monitorowany na niemonitorowany.
Od czego zacząć
Zacznij od danych, których wyciek bolałby najbardziej, potem od urządzeń i kanałów, których ludzie faktycznie używają. Reguły napisane dla wszystkiego od pierwszego dnia zwykle są wyłączane, dlatego wdrożenie w trybie samego logowania pokazuje, czego firma naprawdę potrzebuje.
Reguły dla urządzeń działają najlepiej razem z kontrolą pozostałych kanałów, takich jak ta w Anexet DLP.
Czytaj dalej: Systemy DLP — czym są i jak działają; Jak zapobiec nieuprawnionemu dostępowi do komputera.
Większość danych wycieka w zwykłym dniu pracy, jeden transfer za drugim, rzadko w jednym spektakularnym ataku.
Anexet TeamJak rozwiązuje to Anexet
Kontrola urządzeń jest natywną częścią egzekwowania na punktach końcowych w Anexet, połączonego z inspekcją treści, dzięki czemu reguły mogą być precyzyjne, a nie ogólne:
Pokrycie według typu urządzenia
wymienne nośniki USB, napędy CD i DVD, telefony podłączone przez MTP, transfer Bluetooth oraz drukowanie podlegają dedykowanym politykom.
Stopniowane działania
zezwalaj, tylko odczyt, rejestracja, alert, kwarantanna do przeglądu lub blokada, w zakresie według użytkownika, grupy i tożsamości urządzenia.
Egzekwowanie świadome treści
każdy zapis jest oceniany pod względem treści: tezaurusy bezpieczeństwa (170 gotowych słowników), reguły wzorców dla identyfikatorów ustrukturyzowanych, banki skrótów dla dokładnych dopasowań plików, biblioteki cyfrowych odcisków dla szablonów dokumentów oraz etykiety poufności.
Pełny, przypisywalny ślad audytu
podłączenia urządzeń i operacje na plikach są rejestrowane z użytkownikiem, znacznikiem czasu, tożsamością urządzenia, plikiem, klasyfikacją i podjętym działaniem.
Architektura on-premise
polityki urządzeń, przechwycona treść i dzienniki pozostają w infrastrukturze organizacji.
Anexet DLP
Dowiedz się więcej