Dlaczego druk jest kanałem wycieku
Większość zabezpieczeń danych została zbudowana wokół cyfrowych ścieżek transferu: bramek poczty, proxy webowych, brokerów dostępu do chmury i polityk dla nośników wymiennych. Zadanie wydruku nie przechodzi przez żadną z nich. Dokument trafia z aplikacji do lokalnego spoolera wydruku, a potem na papier. Od tego momentu istnieje poza każdym logiem, archiwum i silnikiem polityk. To niezindeksowana kopia, którą można nosić w torbie, sfotografować albo przekazać bez śladu w systemach monitorujących pocztę i ruch webowy.
Kanał nie ogranicza się do papieru. Drukarki wirtualne, na przykład funkcje drukowania do PDF lub do obrazu dostępne na każdej stacji, korzystają z tej samej ścieżki, by utworzyć nowy plik. Ten plik nie dziedziczy etykiet, ograniczeń ani śledzenia oryginału.
Typowe scenariusze wycieku przez druk
Ten schemat powtarza się w organizacjach każdej wielkości, a większość przypadków kończy się wyciekiem danych, którego później trudno dochodzić:
| Scenariusz | Co się dzieje | Co to zatrzymuje |
|---|---|---|
| Celowe wyprowadzenie danych | Osoba odchodząca z firmy drukuje dane klientów lub kod źródłowy i zabiera kopie | Przechwytywanie wydruku z regułą blokady |
| Obejście kontroli | Wydruk jest próbowany po zablokowaniu USB i wysyłek przez web | Kanał druku objęty tymi samymi regułami |
| Codzienna nieuwaga | Dokumenty zostają na wspólnej tacy albo są zabierane do domu | Bezpieczny druk z odbiorem przy urządzeniu i rejestr zadań |
| Nadmiernie odsłonięte wyjście | Raporty zawierają więcej danych, niż trzeba, i trafiają do zwykłego kosza | Kontrola treści i bezpieczne niszczenie papieru |
| Druk w domu i zdalnie | Wrażliwe materiały drukuje się na prywatnej drukarce w domu | Polityka druku, która podąża za użytkownikiem |
Co utrudnia kontrolę kanału druku
Drukowanie to uzasadniona, codzienna operacja biznesowa, więc nie można po prostu go wyłączyć. Polityka blokująca cały druk sparaliżowałaby organizację. Prawdziwy problem to odróżnienie zgodnej z prawem faktury od poufnego dokumentu projektowego. Wymaga to analizy treści zadania, a nie tylko odnotowania, że coś wydrukowano.
Wydruk fizyczny nie ma własnej kontroli dostępu. Gdy kartka opuści tackę, nie ma zapisu, kto ją czytał, ani sposobu, by cofnąć dostęp. Kopia nie jest przechowywana, chyba że zadanie zostało przechwycone przed wydrukiem. Urządzenia wielofunkcyjne dokładają własne ryzyka: wewnętrzną pamięć, która przechowuje kopie skanowanych i drukowanych zadań, usługi sieciowe pozostawione z ustawieniami fabrycznymi oraz, w wielu biurach, urządzenie, z którego może korzystać każdy.
Podejścia do kontroli drukowania
Dojrzała strategia kontroli druku składa się z kilku warstw, z których każda jest częścią szerszej kontroli urządzeń na stacji:
- 1
Rejestrować każde zadanie
Zapisywać każdy wydruk z użytkownikiem, drukarką i znacznikiem czasu, tak aby każdy wydruk miał właściciela.
- 2
Sprawdzać treść
Analizować tekst zadania i w zależności od wrażliwości blokować, rejestrować lub alarmować.
- 3
Zezwalać tylko na zatwierdzone drukarki
Trzymać zatwierdzone urządzenia na liście dozwolonych i wykluczać pozostałe.
- 4
Ograniczać wolumen
Limity rozmiaru dokumentu i liczby stron sprawiają, że masowy wydruk jest niepraktyczny.
- 5
Zabezpieczać papier
Bezpieczny druk z odbiorem, znaki wodne i bezpieczne niszczenie tego, co faktycznie trafia na papier.
Druk w szerszym obrazie DLP
Druk jest jednym z lokalnych kanałów stacji roboczej, obok schowka, zrzutów ekranu, nośników wymiennych i udziałów sieciowych. Żaden z nich nie przechodzi przez obwód sieci jako czytelna treść, więc narzędzia bramowe ich nie widzą. Potrzebują agenta na stacji, który obserwuje spooler wydruku, schowek i stos urządzeń.
W dochodzeniach zdarzenia drukowania są najcenniejsze w korelacji. Użytkownik, który pobiera zastrzeżone repozytorium, drukuje jego część i tego samego popołudnia podłącza pendrive, opowiada wyraźniejszą historię niż jakiekolwiek pojedyncze zdarzenie. Dlatego kontrola druku powinna być częścią szerszego programu zapobiegania utracie danych, a nie osobnych ustawień drukarek.
| Możliwość | Brama poczty | Proxy web | Agent na stacji |
|---|---|---|---|
| Widzi zadanie wydruku przed papierem | |||
| Rejestruje, kto co wydrukował | |||
| Blokuje zadanie wydruku |
Jak Anexet przechwytuje i blokuje zadania druku
Przechwytywanie jest włączane w profilu agenta, w ramach kontroli druku, z limitami rozmiaru dokumentu i liczby stron. Blokada działa tylko przy włączonym przechwytywaniu, dlatego ustawienie w profilu idzie pierwsze.
Reguła blokady druku łączy warunki za pomocą I lub LUB. Warunki mogą dotyczyć tekstu zadania, użytkownika, daty i godziny, dnia tygodnia, komputera lub domeny oraz drukarki. Edytor reguł pokazuje listę warunków:
Częste błędy
Najczęstszy błąd to zakaz całego druku. Zatrzymuje on uzasadnioną pracę, a użytkownicy przechodzą na prywatne urządzenia i inne ścieżki. Kontrola druku działa lepiej, gdy jest wąska: kilka klas dokumentów, krótka lista drukarek i reguły, które pracownicy rozumieją.
Większość nieudanych programów zaczyna od drukarek zamiast od listy dokumentów, które trzeba chronić. Punktem wyjścia jest klasyfikacja danych, a reguły wynikają z niej.
Sam dziennik wydruków bez kontroli treści tylko odnotowuje to, co już trafiło na papier.
Od czego zacząć
Zacznij od dokumentów, których wydruk zaszkodziłby najbardziej, a potem od drukarek, do których mogą trafić. Polityki obejmujące każdą stronę naraz kończą blokowaniem pracy i zostają wyłączone.
Zadanie wydruku to ostatni moment, w którym cyfrowy plik można jeszcze sprawdzić, zanim stanie się papierem.
Papier wychodzi z biura bez hałasu, dlatego kontrola musi zadziałać, zanim kartka trafi na tacę.
Anexet TeamJak rozwiązuje to Anexet
Anexet traktuje drukowanie jako w pełni kontrolowany kanał w ramach swojego modułu DLP. Agenci na punktach końcowych przechwytują dokumenty wysyłane do drukarek lokalnych, sieciowych i wirtualnych, analizują je względem reguł treści i mogą zablokować zadanie, zanim trafi na papier.
Kanał druku jest konfigurowany w profilach agentów: przechwytywanie włącza się per profil, a reguły blokowania korzystają z tego samego silnika reguł co pozostałe kanały, dzięki temu polityka druku podąża za użytkownikami, a nie tylko za urządzeniami. Architektura on-premise utrzymuje przechwycone zadania druku i logi wewnątrz infrastruktury organizacji.
Przechwytywanie druku
agent przechwytuje gotowy do druku dokument dla zadań na drukarkach lokalnych, sieciowych i wirtualnych, z konfigurowalnymi limitami rozmiaru dokumentu i liczby stron oraz przechwytywaniem w formacie surowym dla zadań wysyłanych przez port LPT.
Wykluczenia drukarek
konkretne urządzenia można włączyć do przechwytywania lub z niego wykluczyć po pełnej nazwie systemowej, stosując logikę białej lub czarnej listy, na przykład pozostawiając drukarki specjalistyczne poza zakresem.
Blokowanie na podstawie treści
reguła blokowania druku zatrzymuje zadania, których treść odpowiada polityce: warunki tekstowe (słowa i frazy, wyrażenia regularne, dopasowanie uwzględniające morfologię) oraz tezaurusy bezpieczeństwa z regulowanym progiem dopasowania.
Warunki specyficzne dla druku
reguły mogą opierać się na użytkowniku, dacie, godzinie, dniu tygodnia, komputerze lub domenie, nazwie drukarki i nazwie dokumentu, na przykład blokując drukowanie dokumentów zastrzeżonego projektu na dowolnej drukarce poza działem.
Ślad audytu
każde zdarzenie druku, przechwycone lub zablokowane, jest rejestrowane wraz z użytkownikiem, urządzeniem, znacznikiem czasu i regułą, która je dopasowała, dając dochodzeniom pełny, przypisywalny zapis kanału.
Anexet DLP
Dowiedz się więcej