O que o DLP em nuvem cobre
O DLP em nuvem aplica os princípios centrais da prevenção contra perda de dados, isto é, a descoberta de conteúdo, o monitoramento e a aplicação de políticas, aos dados que estão em serviços de nuvem ou que passam por eles. Isso inclui plataformas de armazenamento e sincronização de arquivos, suítes de colaboração e serviços de compartilhamento de arquivos.
O risco vai em duas direções. Dados sensíveis podem ser enviados a serviços de nuvem, sobretudo a partir de contas pessoais ou não autorizadas. Dados já armazenados na nuvem também podem ser compartilhados em excesso ou expostos, por exemplo por um link público.
Três pontos de integração
O tráfego para a nuvem é coberto em três pontos de integração, e cada um enxerga os dados em um estado diferente. Mais perto do usuário, o DLP de endpoint atua diretamente no dispositivo.
| Ponto de integração | O que inspeciona | Exemplo |
|---|---|---|
| Baseado em API | Arquivos armazenados em plataformas de nuvem (dados em repouso) | Números de cartão em uma planilha |
| Inspeção em linha | Tráfego para a nuvem por um gateway (dados em trânsito) | Envios verificados antes de sair da organização |
| Agentes de endpoint | Transferências no dispositivo, na origem | Transferência de um notebook na rede Wi-Fi de casa |
Como um envio bloqueado é tratado
Nos três casos, a detecção depende da análise de conteúdo: dicionários de palavras-chave e tesauros, padrões de identificadores, correspondência exata de arquivos por hash, impressões digitais de documentos e rótulos de classificação. Cada regra disparada segue o mesmo caminho:
- 1
Detecção
A análise de conteúdo associa o arquivo a uma regra antes de a transferência terminar.
- 2
Decisão
A política escolhe bloquear, colocar em quarentena, registrar ou alertar.
- 3
Aviso
O usuário vê uma mensagem explicando por que a transferência não foi concluída.
- 4
Registro
O evento é salvo com o usuário, o serviço, a classificação do conteúdo e a ação tomada.
Por que o uso da nuvem exige controles específicos
O uso da nuvem cria quatro tipos de exposição, e cada um precisa de um controle próprio. O shadow IT costuma ser o mais subestimado, porque contas pessoais ficam fora de todos os sistemas da empresa.
| Risco | O que significa |
|---|---|
| Shadow IT | Pessoas movem dados de trabalho por contas pessoais que o monitoramento de rede não enxerga |
| Responsabilidade compartilhada | O provedor protege a infraestrutura. O conteúdo dos arquivos continua sob responsabilidade do cliente. |
| Dispersão | Cópias em unidades, espaços compartilhados e backups ampliam a exposição |
| Aplicativos de terceiros | Apps conectados por OAuth podem ler dados corporativos da nuvem sem nenhuma transferência de arquivo |
Cenários típicos
Três situações mostram como os controles funcionam na prática:
- Um engenheiro envia um banco de dados de clientes para uma conta pessoal de armazenamento. A inspeção de conteúdo bloqueia o envio antes de ele terminar.
- Um contrato confidencial fica em uma unidade corporativa com a configuração pública “qualquer pessoa com o link”. Uma varredura dos dados em repouso o encontra.
- Um funcionário que está saindo sincroniza em massa pastas de projeto para uma unidade externa na nuvem. A transferência é marcada como exfiltração de dados.
Como isso aparece no Anexet
Acesso, auditoria e cópia sombra são definidos separadamente para cada serviço de nuvem no perfil do agente. A lista de versões web interceptadas também é configurada à parte.
1 / 2
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e depois pelos serviços de nuvem que a equipe realmente usa. Regras escritas para todos os serviços ao mesmo tempo acabam bloqueando o trabalho comum e são desligadas. Vale começar o controle de envios para a nuvem em poucos canais, e não em todos de uma vez.
Se a política precisa cobrir dados sensíveis, uma implantação local mantém as regras, o conteúdo capturado e os logs na infraestrutura da empresa.
Leitura adicional: Sistemas DLP — o que são e como funcionam; Como comprar um sistema DLP?.
Dados da nuvem raramente saem de uma vez. Saem em uma série de envios comuns, e cada um parece inofensivo.
Anexet TeamComo a Anexet resolve isto
O Anexet cobre os canais de nuvem por meio dos agentes de endpoint e da integração ICAP, estendendo as mesmas políticas baseadas em conteúdo que regem e-mail, web e mídias removíveis ao armazenamento em nuvem e aos serviços de compartilhamento de arquivos.
Como o Anexet é implantado localmente, as regras de detecção, o conteúdo capturado e os logs de auditoria são processados e armazenados na infraestrutura da própria organização. Dados sensíveis não são enviados a um fornecedor externo de DLP para análise.
Cobertura de armazenamento em nuvem
monitoramento e controle de transferências de e para serviços como Box, Dropbox, Google Drive, OneDrive, SharePoint, MEGA, ownCloud, Nextcloud, WeTransfer e Amazon S3.
Agentes de endpoint como principal ponto de controle
os agentes nas estações monitoradas inspecionam os envios para a nuvem na origem, inclusive os que passam ao largo da rede corporativa.
Detecção baseada em conteúdo
o mesmo mecanismo de classificação, tesauros de segurança, bancos de hashes, impressões digitais e rótulos de sensibilidade. A decisão depende do que o arquivo contém, não apenas do serviço de destino.
Aplicação de políticas e trilha de auditoria
as políticas podem bloquear a transferência, colocá-la em quarentena, registrá-la ou gerar um alerta. Cada evento registra usuário, serviço, classificação do conteúdo e ação tomada.
Anexet DLP
Saiba mais