DLP na punktach końcowych (endpoint DLP)

Tradycyjne podejście do DLP umieszczało analizę na brzegu sieci. Urządzenie obserwowało ruch wchodzący i wychodzący. Sprawdzało się, gdy dane płynęły kilkoma dobrze określonymi kanałami, na przykład pocztą firmową i kilkoma protokołami WWW. We współczesnym środowisku przestaje działać z trzech powodów.

Szyfrowanie jest wszechobecne. Gdy użytkownik przesyła plik do usługi chmurowej przez HTTPS, urządzenie sieciowe widzi tylko zaszyfrowany strumień. Treść pliku, którą DLP musi ocenić, pozostaje niewidoczna. Endpoint DLP widzi plik przed zaszyfrowaniem do transmisji, ponieważ agent odczytuje zawartość w chwili wysyłania, na samym urządzeniu.

Kanały są lokalne. Skopiowanie pliku na pendrive, wydruk dokumentu czy wklejenie tekstu do aplikacji nie dotyka sieci. Urządzenie sieciowe nie widzi tych działań. Agent na stacji roboczej widzi.

Chmura i SaaS omijają brzeg sieci. Gdy pracownicy korzystają z aplikacji chmurowych bezpośrednio z przeglądarki lub klienta desktopowego, brzeg sieci nie jest już jednym punktem kontrolnym. Endpoint DLP podąża za danymi tam, gdzie są przetwarzane.

Agent endpoint DLP wykonuje cztery funkcje, a pierwsza opiera się na regułach klasyfikacji danych ustawianych przez administratora:

1. 1

   Analiza treści

   Gdy plik ma zostać przesłany, wysłany pocztą, skopiowany lub wydrukowany, agent sprawdza jego treść według reguł klasyfikacji. Mogą to być słowniki terminów, wyrażenia regularne (numery kart, numery identyfikacyjne), dokładne dopasowania danych, cyfrowe odciski znanych dokumentów lub etykiety poufności.

2. 2

   Monitorowanie kanałów

   Agent obserwuje kanały, którymi dane mogą opuścić urządzenie: ruch sieciowy (HTTP/HTTPS, FTP, SMTP), klientów poczty, pocztę w przeglądarce, aplikacje magazynów chmurowych, komunikatory, nośniki wymienne, drukarki, schowek i przechwytywanie ekranu.

3. 3

   Egzekwowanie polityk

   Po dopasowaniu do reguły agent może zablokować transfer, przenieść plik do kwarantanny, dopuścić go z zapisem zdarzenia, ostrzec użytkownika lub powiadomić analityka bezpieczeństwa. Wybór zależy od wagi reguły.

4. 4

   Raportowanie zdarzeń

   Przechwycone zdarzenia trafiają na serwer centralny do przechowywania, przeszukiwania i audytu. Każde zawiera metadane: użytkownika, znacznik czasu, kanał, klasyfikację treści i podjęte działanie.

Endpoint DLP to jedna z kilku odmian DLP, a każda obserwuje inne miejsce.

Wiele organizacji wdraża kombinację, na przykład endpoint DLP razem z chmurowym DLP. Endpoint DLP jest jedynym wariantem dającym pełną widoczność, ponieważ stacja robocza jest jedynym punktem, przez który przechodzi cała aktywność użytkowników związana z danymi.

Tabela pokazuje, gdzie każda odmiana obserwuje dane, w czym jest mocna i gdzie się kończy.

Przy wdrożeniu endpoint DLP liczą się cztery praktyczne kwestie.

• Obciążenie agentem. Agent działa nieprzerwanie na każdej stacji roboczej, więc zużycie procesora i dysku musi być niskie, żeby nie przeszkadzać w pracy. Nowoczesne agenty są lekkie, a w części wdrożeń ukryte przed użytkownikiem.
• Pokrycie platform. Firmowe środowiska zwykle łączą Windows, Linux i macOS, w tym ARM64. Agent musi obsługiwać wszystkie używane platformy, inaczej powstają luki w pokryciu.
• Praca offline. Gdy stacja jest odłączona od sieci, agent ma nadal egzekwować polityki lokalnie i kolejkować zdarzenia do późniejszego wysłania na serwer centralny.
• Prywatność i proporcjonalność. Endpoint DLP widzi dużą część aktywności użytkownika. Wdrożenie wymaga jasnej polityki, poinformowania pracowników i kontroli dostępu do zebranych danych, zgodnie z prawem pracy i ochrony danych obowiązującym w danej jurysdykcji.

Karta każdej stacji roboczej w konsoli pokazuje sprzęt wykryty przez agenta, z typem urządzenia i producentem. Lista pokazuje, co jest podłączone do komputera, i jest punktem wyjścia do inwentaryzacji sprzętu.

Zacznij od kanałów, które niosą najwięcej ryzyka na samych stacjach roboczych: pamięci USB, drukowania, schowka i wysyłania plików do usług internetowych. Reguły napisane dla wszystkich plików naraz blokują zwykłą pracę i kończą wyłączone, więc zacznij od kilku wąskich reguł i poszerzaj je, gdy zdarzenia pokażą, jak wygląda normalna praca.

Przeglądaj zarejestrowane zdarzenia co miesiąc. Reguły, które uruchamiają się bez powodu, należy poprawić w pierwszej kolejności, a zdarzenia pokażą, z jakich kanałów praca naprawdę korzysta.

Czytaj dalej: Systemy DLP — czym są i jak działają; Jak kupić system DLP?.