Przeszukiwanie pozostałości danych (scavenging)

Scavenging to przeszukiwanie pozostałości danych w poszukiwaniu informacji wrażliwych, które nigdy nie zostały prawidłowo usunięte. Celem nie jest atakowany system, lecz ślad po dawnej pracy: wyrzucone nośniki, pliki tymczasowe, stare kopie zapasowe i kopie zostawione we wspólnych folderach. Nic nie zostaje włamane, więc działanie wygląda jak zwykłe przeglądanie.

Te pozostałości nazywa się remanencją danych. Usunięcie pliku zwykle kasuje tylko odwołanie do niego, a treść może przetrwać na nośniku, dopóki miejsce nie zostanie nadpisane. Ta luka umożliwia scavenging.

Wrażliwe informacje rzadko istnieją tylko w jednym miejscu. Długo po tym, jak dokument uznano za usunięty, fragmenty i kopie przetrwają tam, gdzie nikt ich nie nadzoruje, na przykład jako nieaktualne dane w starych folderach:

Klasyczny obraz to ktoś grzebiący w śmietniku za biurowcem, stąd określenie dumpster diving. Wydruki, wyrzucony sprzęt i karteczki z hasłami od dekad powodują prawdziwe incydenty, a technika nie wymaga żadnych umiejętności technicznych.

Wersja cyfrowa działa tak samo, tylko na większą skalę. Ciekawski pracownik przegląda otwarty zasób sieciowy, podłącza używany dysk albo sprawdza używany laptop pod kątem plików konfiguracyjnych i wyeksportowanych baz. Nic nie zostaje zhakowane, więc żaden alarm się nie uruchamia, a działanie może pozostać niezauważone przez lata.

Anexet obejmuje cyfrowe pozostałości wewnątrz organizacji. W module Anexet DLP audyt zasobów sieciowych rejestruje operacje na plikach i może zachować kopię cieniową tego, co zapisano na zasobie. File Systems Monitoring stosuje dopasowanie skrótów, aby znaleźć kopie chronionych dokumentów na stacjach roboczych.

1 / 2

• 
• 

Dla zewnętrznego atakującego scavenging to tanie rozpoznanie: wyrzucony schemat organizacji, stary plik konfiguracyjny czy karteczka z danymi logowania oszczędzają dni sondowania. Dla złośliwego zagrożenia wewnętrznego, na przykład pracownika odchodzącego z firmy, to sposób zbierania danych, którego łatwo się wyprzeć, bo nic nie przechodzi kanałami objętymi monitoringiem.

Badacze i dziennikarze wielokrotnie demonstrowali tę technikę, kupując używane dyski i relacjonując, co dało się z nich odzyskać.

Ograniczanie pozostałości nadających się do przeszukania to dyscyplina obejmująca cały cykl życia danych, a nie pojedyncza kontrola. Wycofane dyski wymagają sanityzacji nośników przed opuszczeniem firmy, a papier trzeba niszczyć i oddawać do zamykanych pojemników.

1. 1

   Inwentaryzacja i klasyfikacja danych

   Wiedza, które dane są wrażliwe i gdzie leżą ich kopie, warunkuje wszystkie pozostałe działania.

2. 2

   Wymazywanie nośników przed utylizacją

   Nośniki są kasowane lub fizycznie niszczone przed wycofaniem, a wynik sprawdzany, a nie zakładany.

3. 3

   Ograniczenie dostępu do wspólnego magazynu

   Minimalne uprawnienia do zasobów sieciowych i folderów w chmurze, regularne przeglądy uprawnień i porządki w nieaktualnych danych.

4. 4

   Szyfrowanie danych

   Pozostałości, których nie da się odczytać bez kluczy, tracą większość wartości, zarówno na działających systemach, jak i na wycofanych nośnikach.

5. 5

   Monitorowanie zapisu plików

   Widoczność tego, co i gdzie jest zapisywane, oraz kopii chronionych plików pojawiających się tam, gdzie nie powinny.

Oprogramowanie nie powstrzyma nikogo przed przeszukiwaniem śmietnika ani używanego dysku. Obejmuje natomiast kopie powstające wewnątrz organizacji, a tam zaczyna się większość pozostałości. Sposób monitorowania transferów opisuje strona kontrola transferu plików i zasobów sieciowych.

Zacznij od danych, których ponowne ujawnienie wyrządziłoby najwięcej szkód, a potem znajdź miejsca, w których faktycznie gromadzą się ich kopie. Reguła obejmująca wszystkie pliki naraz blokuje zwykłą pracę i po kilku tygodniach zostaje wyłączona, a reguła dla kilku cennych folderów się utrzymuje.