Co uznaje się za nośnik wymienny
Nośnik wymienny definiuje się przez możliwość odłączenia, a nie przez technologię. Liczy się każda pamięć, którą można odłączyć od jednego komputera i podłączyć do innego, bez narzędzi i uprawnień administratora. Pojęcie mieści się w szerszej kategorii urządzeń do transferu danych, ale jest węższe: nie obejmuje interfejsów, które przenoszą dane bez wymiennego elementu pamięci.
Telefony i aparaty również się liczą, gdy system montuje je jako pamięć masową. Najczęstsze typy zestawiono poniżej.
| Typ urządzenia | Skąd bierze się ryzyko | Typowe zastosowanie |
|---|---|---|
| Pendrive USB | Mieści się w kieszeni, jest tani i łatwo go ukryć | Szybkie kopiowanie między komputerami |
| Zewnętrzny dysk twardy lub SSD | Mieści duże archiwa i całe zbiory danych | Kopie zapasowe i masowe transfery |
| Płyta optyczna | Zapisywalna, poza zasięgiem kontroli sieciowej | Archiwizacja, choć coraz rzadziej |
| Karta pamięci | Łatwo ją przeoczyć w aparatach i laptopach | Zdjęcia, pliki i pamięć urządzeń |
| Telefon lub aparat | Montowany jako pamięć przez MTP lub PTP | Synchronizacja i przesyłanie plików |
Wycieki, złośliwe oprogramowanie i utrata
Na wyjściu nośnik wymienny jest celowym kanałem eksfiltracji. Dysk zapisany na firmowym komputerze nie generuje ruchu sieciowego, który mógłby sprawdzić serwer proxy czy bramka pocztowa, i kopiuje się z pełną prędkością interfejsu. Dlatego pendrive to klasyczny ostatni krok, gdy pracownik odchodzi z firmy.
Na wejściu ten sam port sprowadza ryzyko. Nośniki przyniesione z zewnątrz, na przykład prywatne dyski, płyty od partnerów czy urządzenia nieznanego pochodzenia, mogą wprowadzić złośliwe oprogramowanie na stację roboczą. Spreparowane urządzenia potrafią nawet udawać klawiaturę lub kartę sieciową. Port, który eksportuje dane, importuje też to, co znajduje się na nośniku.
Do utraty nie potrzeba złego zamiaru. Mały nośnik noszony na co dzień łatwo zostawić w pociągu albo zapomnieć na sali konferencyjnej. Jeśli zawiera niezaszyfrowane wrażliwe dane, jego utrata jest zdarzeniem ujawnienia, a wiele przepisów traktuje ją jako zgłaszalną. Usunięcie plików ani formatowanie nie gwarantuje ich zniszczenia, więc przy utylizacji potrzebna jest sanityzacja nośników lub fizyczne zniszczenie.
Jak wygląda wyciek przez nośnik
Zwykle sprawcą jest zagrożenie wewnętrzne, a nie atakujący z zewnątrz, a cały ciąg zdarzeń jest krótki:
- 1
Podłączenie
Niezatwierdzony nośnik zostaje podłączony do stacji roboczej.
- 2
Kopiowanie
Pliki zapisuje się na nośniku hurtowo, często w ciągu minut.
- 3
Wynoszenie
Nośnik opuszcza budynek poza zasięgiem jakiegokolwiek filtra sieciowego.
- 4
Wykorzystanie
Zawartość trafia do konkurencji, kupca albo do publicznego obiegu.
Porównanie sposobów kontroli
Żaden pojedynczy środek nie obejmuje wszystkich przypadków. Blokada portów, kontrola urządzeń z audytem i kontrola zapisu według treści odpowiadają na różne pytania, dlatego działają najlepiej razem:
| Podejście | Zatrzymuje niezatwierdzone urządzenia | Sprawdza treść plików | Rejestruje każdy zapis |
|---|---|---|---|
| Sama blokada portów | |||
| Lista dozwolonych urządzeń z audytem | |||
| Kontrola zapisu według treści |
Jak to wygląda w Anexet
W module kontroli pamięci USB i dysków zewnętrznych administrator ustawia reguły urządzeń dla każdego profilu agenta. Karta Devices and drives włącza audyt użycia, audyt operacji na plikach na nośnikach pamięci masowej oraz kontrolę zapisu według treści, więc każdy kanał można dostroić osobno.
1 / 2
Typowe błędy
Większość nieudanych wdrożeń zawodzi na kilka powtarzalnych sposobów.
Pełna blokada od pierwszego dnia to najszybszy sposób, żeby kontrolę urządzeń wyłączono.
- Blokada wszystkich portów pierwszego dnia, przez co zwykła praca staje i pracownicy szukają obejść
- Założenie, że nośnik jest niegroźny, bo nigdy nie dotyka sieci
- Traktowanie zgubionego dysku jako problemu sprzętowego zamiast wycieku danych, który może wymagać zgłoszenia
Od czego zacząć
Zaczyna się od danych, których wyciek zaszkodziłby najbardziej, a potem od kanałów, którymi faktycznie się wynoszą. Polityki pisane dla wszystkich plików naraz kończą się blokowaniem pracy i wyłączeniem.
Kontrola nośników wymiennych jest jedną warstwą endpoint DLP. Dane wypływają także przez e-mail, przesyłanie w przeglądarce, chmurę i komunikatory, więc jedna reguła klasyfikacji danych powinna obowiązywać we wszystkich kanałach.
Czytaj dalej: Systemy DLP — czym są i jak działają; Jak zapobiec nieuprawnionemu dostępowi do komputera.
Większość wycieków z nośników wygląda jak zwykły dzień pracy, jedna kopia za drugą.
Anexet TeamJak rozwiązuje to Anexet
W Anexet nośniki wymienne są regulowane przez kontrolę urządzeń w agencie punktu końcowego, połączoną z inspekcją treści, tak aby egzekwowanie mogło być precyzyjne, a nie blankietowe:
Ponieważ produkt jest wdrażany on-premise, przechwycone kopie przesyłanych plików i dzienniki operacji na urządzeniach pozostają wewnątrz własnej infrastruktury organizacji.
Co traktowane jest jako wymienne
pendrive'y, zewnętrzne dyski twarde, napędy optyczne i dyskietkowe oraz każde urządzenie, które system operacyjny rozpoznaje jako nośnik wymienny, w tym telefony i aparaty podłączone jako urządzenia multimedialne.
Blokowanie i listy dozwolonych
urządzenia na portach USB, COM i LPT są regulowane regułami białej lub czarnej listy opartymi na parametrach urządzenia: typie, atrybucie i wartości, z osobnymi politykami dla dostępu i dla zapisu.
Przechwytywanie operacji na plikach
każdy zapis na pamięć zewnętrzną jest audytowany wraz z nazwą pliku, rozmiarem i procesem, który go zainicjował, a kopie cieniowe przesyłanych plików są przechwytywane do przeglądu w konsoli.
Kontrola oparta na treści
zapisy na dyski zewnętrzne mogą być oceniane pod kątem treści: tezaurusów bezpieczeństwa, banków skrótów, bibliotek cyfrowych odcisków palca i etykiet wrażliwości. Dzięki temu uzasadnione transfery przebiegają dalej, a treści wrażliwe są blokowane.
Anexet DLP
Dowiedz się więcej