Odcisk (fingerprint)

W bezpieczeństwie danych słowo odcisk oznacza trzy różne rzeczy, a ich pomieszanie prowadzi do błędnych polityk. Idea jest za każdym razem ta sama: z czegoś większego wyprowadza się krótką wartość, dzięki której można to później rozpoznać. Różni się to, co jest odciskiem i jak wartość jest wyliczana.

Dwa pierwsze znaczenia są najważniejsze dla zapobiegania utracie danych, bo rozpoznają chronione dokumenty. Trzecie opisuje systemy, a nie dokumenty, i służy do identyfikacji oraz inwentaryzacji.

Odcisk treści nie przechowuje samego dokumentu. Metoda jest pomyślana dla materiałów, które zostały edytowane lub częściowo użyte ponownie, czyli dokładnie tam, gdzie zawodzą proste kontrole plików. W Anexet ta metoda jest konfigurowana jako cyfrowe odciskanie i przebiega w czterech etapach.

Korzyść jest praktyczna: fragment wklejony do e-maila nadal pasuje do źródła, a szablon z pustego formularza pasuje do każdej wypełnionej jego kopii.

1. 1

   Normalizacja tekstu

   Usuń formatowanie i sprowadź dokument do porównywalnego tekstu, aby zmiany układu nie wpływały na wynik.

2. 2

   Skróty nakładających się fragmentów

   Oblicz skróty dla nakładających się części tekstu. Zapisywany jest tylko ten zbiór wartości.

3. 3

   Porównanie nowej treści

   Wychodzące e-maile, przesyłane pliki i wiadomości przechodzą ten sam proces i są porównywane z zapisanym zbiorem.

4. 4

   Reakcja na nakładanie się

   Znaczne nakładanie się oznacza obecność chronionego materiału, a reguła blokuje, zapisuje w dzienniku lub alarmuje.

Skrót kryptograficzny liczy się dla całego pliku, a wynik zapisuje się w banku skrótów. Odpowiada na jedno pytanie z pewnością: czy to ten sam plik, bajt po bajcie? Skróty są tanie w obliczaniu i porównywaniu, a fałszywych alarmów nie generują.

Ta sama precyzja jest jednocześnie ograniczeniem. Zapisanie dokumentu w innym formacie albo zmiana jednego znaku daje zupełnie inną wartość i dopasowanie nie zachodzi. Skróty dobrze sprawdzają się jako pierwszy filtr i w kontroli integralności plików, ale nie nadążają za treścią przeredagowaną.

Zarejestrowane odciski przechowywane są w bankach danych. Menedżer odcisków wylicza każdy bank wraz z rozmiarem, liczbą dokumentów i datą ostatniej aktualizacji, dzięki czemu administrator widzi, co jest chronione i jak aktualny jest zbiór wzorców. Bank, który nigdy nie jest aktualizowany, chroni coraz bardziej historyczny zbiór dokumentów.

To znaczenie dzieli metaforę z pozostałymi, ale nie mechanizm. Odcisk urządzenia lub przeglądarki to profil zbudowany z cech widocznych w systemie: identyfikatorów sprzętu, zainstalowanych komponentów, ustawień ekranu i języka oraz atrybutów sieci. Nic nie jest wyliczane z chronionej treści, a przedmiotem jest system, a nie dokument.

Obrońcy używają go do identyfikacji urządzeń i inwentaryzacji stacji roboczych, na przykład w inwentaryzacji sprzętu. Atakujący korzystają z podobnego profilu, aby śledzić użytkowników bez plików cookie, dlatego pojęcie wymaga precyzyjnej definicji w każdym programie bezpieczeństwa.

Metody się uzupełniają. Skróty są najtańszym pierwszym filtrem, odciski treści wychwytują to, co edycja by ukryła, a lista zakazanych słów obejmuje wrażliwe materiały, których nikt nie zarejestrował wcześniej.

Wszystkie metody odcisków są jednokierunkowe. Oryginału nie da się w praktyce odtworzyć z wyliczonej wartości, więc system wykrywania może rozpoznawać treści regulowane bez przechowywania drugiej kopii. To zaleta w zakresie prywatności, ale też powód, dla którego zbiór wzorców trzeba utrzymywać.

Odciski działają tylko na danych, które potrafią odczytać. Treść przekonwertowana na obraz wymaga najpierw rozpoznania tekstu, a silnie zaszyfrowana lub sparafrazowana treść wypada poza dopasowanie. Nie opisują też każdej próby eksfiltracji danych, więc najlepiej działają razem z innymi mechanizmami kontroli.

Zacznij od rejestracji dokumentów, których wyciek wyrządziłby największe szkody, takich jak umowy, kod źródłowy i dane klientów. Bank zbudowany z tych plików rozpoznaje kopie, które zostały edytowane lub ponownie użyte.

Następnie regularnie przeglądaj bank, bo zbiór wzorców jest tak aktualny, jak ostatnia rejestracja.

Czytaj dalej: Szyfrowanie, kodowanie i haszowanie – jaka jest różnica?.