O que é proteção consciente de conteúdo
Os primeiros controles de dados olhavam para o recipiente: a porta, a extensão do arquivo, o endereço de destino. A proteção consciente de conteúdo olha para dentro. A ferramenta lê o texto do documento, compara com o que a organização considera confidencial e só então decide se permite, registra, avisa ou bloqueia a ação.
Essa ideia está no centro da prevenção de perda de dados. Ela responde a uma pergunta que o contexto não responde: não «quem está copiando um arquivo para um pen drive», mas «este arquivo contém dados sensíveis». É isso que mantém o trabalho comum fluindo enquanto os poucos documentos importantes ficam protegidos.
Como funciona
Os mesmos quatro passos valem para e-mail, uploads pela web, mensageiros e mídias removíveis. Eles podem rodar na borda da rede ou na estação de trabalho; um agente no endpoint tem a vantagem de ver o conteúdo antes de ele ser envolvido em uma conexão criptografada.
- 1
Definir o que importa
A segurança e os donos dos dados descrevem o conteúdo protegido: conjuntos de palavras-chave, padrões como números de cartão, documentos de referência ou rótulos aplicados aos arquivos.
- 2
Interceptar a ação
Um agente ou gateway captura a operação no momento da transferência: envio de mensagem, upload de arquivo, cópia para um disco ou colagem da área de transferência.
- 3
Analisar o conteúdo
O texto é extraído do arquivo, inclusive de arquivos compactados e, quando há reconhecimento, de imagens, e comparado com as definições do primeiro passo.
- 4
Aplicar a política
O resultado decide a ação: permitir, registrar, avisar o usuário, colocar em quarentena ou bloquear, muitas vezes guardando uma cópia para a investigação.
Técnicas de análise de conteúdo
Nenhuma técnica isolada cobre todos os tipos de dados, por isso as ferramentas combinam várias. A escolha depende de o conteúdo seguir um padrão, pertencer a um documento conhecido ou trazer um rótulo. Documentos que precisam ser reconhecidos mesmo depois de editados pedem impressões digitais, enquanto dados que já têm um rótulo podem ser reconhecidos pelo próprio rótulo.
| Técnica | O que reconhece | Ponto forte e limite |
|---|---|---|
| Conjuntos de palavras-chave (tesauros) | Documentos de um assunto, como folha de pagamento ou contratos | Fácil de começar; palavras ambíguas geram falsos positivos |
| Padrões e somas de verificação | Identificadores de formato fixo: números de cartão, IBAN, documentos de identidade | Preciso para formatos fixos; cego para texto livre |
| Hashes | Cópias exatas de arquivos conhecidos | Sem falsos positivos; qualquer edição muda o hash |
| Impressões digitais | Documentos conhecidos, inclusive trechos e versões editadas | Pega reescritas; exige um banco de originais |
| Rótulos e metadados | Arquivos já classificados por pessoas ou ferramentas | Rápido e barato; vale tanto quanto a rotulagem |
| Reconhecimento de texto (OCR) | Texto dentro de imagens e digitalizações | Abre capturas de tela e digitalizações; mais lento e menos exato |
Como aparece no Anexet
No Anexet, uma regra de bloqueio por conteúdo usa um de quatro objetos de análise: tesauros de busca, somas hash, impressões digitais ou rótulos de sensibilidade. A primeira imagem mostra essas abas dentro de uma regra; a segunda, os conjuntos de palavras prontos que acompanham o console. As imagens são tratadas à parte pelo reconhecimento de texto.
1 / 2
Conteúdo versus contexto
Regras só de contexto decidem por canal, usuário, horário ou dispositivo: bloquear todo pen drive ou permitir e-mail apenas para domínios aprovados. São simples e previsíveis, mas tratam o cardápio do almoço e o banco de clientes da mesma forma. As regras de conteúdo acrescentam a pergunta que faltava, e na prática funcionam melhor juntas.
| Capacidade | Regras só de contexto | Regras de conteúdo |
|---|---|---|
| Sabe o que há dentro do arquivo | ||
| Deixa passar arquivos inofensivos por um canal restrito | ||
| Reconhece um arquivo confidencial depois de renomeado | ||
| Exige pouco ajuste | ||
| Funciona sem definições de dados sensíveis |
Onde o método falha
Ler conteúdo é probabilístico. Um número de dezesseis dígitos pode ser um cartão ou um código de pedido, e um conjunto de palavras feito de termos comuns dispara em documentos inocentes. Alarmes falsos demais ensinam as pessoas a clicar nos avisos sem ler, o que anula o controle.
Também restam pontos cegos. Conteúdo criptografado antes de a ferramenta vê-lo, fotografado da tela do celular ou reescrito com as palavras do próprio remetente pode passar. A maior parte dos dados não estruturados, como documentos, conversas e capturas de tela, não tem formato fixo, então as definições precisam de revisão periódica.
Comece uma nova regra de conteúdo no modo somente registro, revise as ocorrências e só depois passe para o bloqueio.
Implantação sem travar o trabalho
Um programa de proteção por conteúdo funciona quando nasce dos dados que mais importam, e não da maior lista possível de regras.
- Liste os poucos tipos de dados cuja perda mais doeria e escreva uma definição para cada um.
- Prefira impressões digitais ou hashes para documentos conhecidos; use padrões e palavras-chave para dados que seguem um formato ou um tema.
- Combine conteúdo e contexto, como canal, grupo de usuários e destino, para reduzir os falsos positivos.
- Rode as regras novas primeiro em modo de auditoria, revise o que elas pegam e ajuste os limites antes de bloquear.
- Explique aos funcionários o que é inspecionado e por quê; uma ação bloqueada com mensagem clara ensina mais do que uma silenciosa.
Por onde começar
Comece por um canal e uma classe de dados, em geral e-mail ou uploads pela web e registros de clientes ou financeiros. Quando as ocorrências parecerem corretas, estenda a mesma definição aos outros canais em vez de escrever novas.
Uma política que sabe o que o arquivo contém bloqueia menos e protege mais.
Anexet TeamComo a Anexet resolve isto
O Anexet aplica a análise de conteúdo dentro das regras de bloqueio. Uma regra observa um canal, como tráfego web, e-mail, mensageiros, área de transferência, discos externos ou compartilhamentos de rede, e só age quando o conteúdo corresponde à definição escolhida pelo administrador.
Dentro de uma regra, usa-se um tipo de objeto de análise por vez, então tesauros, impressões digitais e rótulos ficam em regras separadas. O Anexet é implantado localmente (on-premise), por isso os dados permanecem na infraestrutura do cliente.
Conjuntos de palavras
Tesauros prontos e personalizados reconhecem documentos por assunto, com um limite de quantos termos precisam coincidir.
Padrões
As condições de texto verificam números de cartão bancário (validados por soma de verificação), endereços de e-mail e expressões regulares, com padrões prontos em um gerenciador.
Hashes e impressões digitais
Bancos de hashes identificam arquivos exatos, enquanto as impressões digitais também identificam trechos e documentos parcialmente editados.
Rótulos de sensibilidade
As regras podem reagir a rótulos de sensibilidade da Microsoft já aplicados aos arquivos, por exemplo à simples presença de um rótulo.
Bloqueio por conteúdo
Saiba mais