Por que o DLP de endpoints existe
A abordagem tradicional do DLP colocava a inspeção na borda da rede, em um equipamento que observava o tráfego de entrada e saída. Funcionava quando os dados circulavam por poucos canais bem definidos, como o e-mail corporativo e alguns protocolos web. Em um ambiente moderno, deixa de funcionar por três motivos.
A criptografia é onipresente. Quando um usuário envia um arquivo para um serviço de armazenamento em nuvem por HTTPS, o equipamento de rede vê apenas um fluxo criptografado. O conteúdo do arquivo, que o DLP precisa inspecionar, fica invisível. O DLP de endpoints vê o arquivo antes de ele ser criptografado para o trânsito, porque o agente lê o conteúdo no momento do envio, no próprio dispositivo.
Os canais são locais. Copiar um arquivo para um pen drive, imprimir um documento ou colar texto em um aplicativo nunca passa pela rede. Um equipamento de rede não enxerga essas ações. Um agente no endpoint enxerga.
A nuvem e o SaaS contornam o perímetro. Quando os funcionários usam aplicações em nuvem diretamente do navegador ou de clientes de desktop, a borda da rede deixa de ser um ponto único de passagem. O DLP de endpoints acompanha os dados onde eles são tratados.
Como funciona o DLP de endpoints
Um agente de DLP de endpoint executa quatro funções, e a primeira depende das regras de classificação de dados definidas pelo administrador:
- 1
Inspeção de conteúdo
Quando um arquivo vai ser enviado, anexado a um e-mail, copiado ou impresso, o agente avalia o conteúdo segundo regras de classificação. Entre elas estão dicionários de palavras-chave, expressões regulares (números de cartão e de documentos de identidade), correspondências exatas de dados, impressões digitais de documentos conhecidos e rótulos de sensibilidade.
- 2
Monitoramento de canais
O agente observa os canais pelos quais os dados podem sair do dispositivo: tráfego de rede (HTTP/HTTPS, FTP, SMTP), clientes de e-mail, webmail, aplicações de armazenamento em nuvem, mensageiros, mídias removíveis, impressoras, área de transferência e captura de tela.
- 3
Aplicação de políticas
Diante de uma correspondência, o agente pode bloquear a transferência, colocar o arquivo em quarentena, permiti-la com registro de evento, avisar o usuário ou alertar um analista de segurança. A ação depende da gravidade da regra.
- 4
Registro de eventos
Os eventos capturados seguem para um servidor central, onde são armazenados, pesquisados e auditados. Cada evento traz metadados: usuário, carimbo de tempo, canal, classificação do conteúdo e ação tomada.
O DLP de endpoints entre as outras variantes
O DLP de endpoints é uma de várias variantes, e cada uma observa um lugar diferente.
Muitas organizações adotam uma combinação, por exemplo o DLP de endpoint junto com o DLP em nuvem. O DLP de endpoint é a única variante que oferece visibilidade completa, porque o endpoint é o ponto único por onde passa toda a atividade do usuário com dados.
DLP de endpoints, de rede e em nuvem lado a lado
A tabela mostra onde cada variante observa, no que é forte e onde para.
| Variante | Onde observa | Ponto forte | Limitação |
|---|---|---|---|
| DLP de endpoints | Em cada estação de trabalho | Vê transferências criptografadas e locais; cobre todos os canais | Exige gestão de agentes |
| DLP de rede | No perímetro da rede | Forte no tráfego de protocolo e no e-mail | Cego ao conteúdo criptografado; ignora canais locais |
| DLP em nuvem | Dentro dos serviços em nuvem | Analisa dados em repouso no armazenamento em nuvem | Modelo distinto; não cobre endpoint nem tráfego de rede |
Aspectos de implantação
Na implantação do DLP de endpoints, quatro pontos práticos pesam.
- Peso do agente. O agente roda continuamente em cada estação, então o consumo de processador e disco precisa ser baixo para não atrapalhar o trabalho. Os agentes modernos são leves e, em algumas implantações, ocultos do usuário.
- Cobertura de plataformas. Os ambientes corporativos costumam misturar Windows, Linux e macOS, incluindo ARM64. O agente precisa suportar todas as plataformas em uso, senão surgem lacunas de cobertura.
- Operação offline. Quando a estação está desconectada da rede, o agente deve continuar aplicando as políticas localmente e enfileirar os eventos para envio posterior ao servidor central.
- Privacidade e proporcionalidade. O DLP de endpoints enxerga grande parte da atividade do usuário. A implantação precisa de política clara, comunicação aos funcionários e controle de acesso aos dados coletados, de acordo com a legislação trabalhista e de proteção de dados aplicável.
O que o agente informa sobre a estação de trabalho
O cartão de cada estação de trabalho no console mostra o hardware detectado pelo agente, com tipo de dispositivo e fabricante. Essa lista mostra o que está conectado à máquina e é o ponto de partida para um inventário de hardware.
Por onde começar
Comece pelos canais que mais carregam risco nas próprias estações de trabalho: armazenamento USB, impressão, área de transferência e envios para serviços da web. Regras escritas para todos os arquivos de uma vez bloqueiam o trabalho comum e acabam desativadas, então comece com poucas regras restritas e amplie-as quando os eventos mostrarem como é o trabalho normal.
Revise os eventos capturados todo mês. As regras que disparam sem motivo são as primeiras a ajustar, e os eventos mostram de quais canais o trabalho depende de fato.
Leitura adicional: Sistemas DLP — o que são e como funcionam; Como comprar um sistema DLP?.
O DLP de endpoint enxerga o momento em que os dados deixam a mesa, e não apenas o momento em que saem do prédio.
Anexet TeamComo a Anexet resolve isto
A Anexet é, por arquitetura, um DLP baseado em endpoints. Todo o fluxo de DLP, da classificação de conteúdo ao monitoramento de canais e ao bloqueio, é executado por agentes instalados nas estações de trabalho (Windows, Linux e macOS, incluindo ARM64). Esses agentes reportam a um servidor central on-premise.
Esse é o núcleo do posicionamento do produto. A lógica de DLP fica no endpoint, onde o arquivo é lido e gravado em texto claro. Isso dá ao agente visibilidade sobre transferências criptografadas e locais, que ferramentas apenas de rede não têm. O agente cobre todos os canais de saída de dados: rede (HTTP/HTTPS, FTP, SMTP), e-mail (incluindo Microsoft 365 e Exchange), aplicações de armazenamento em nuvem, mensageria, dispositivos removíveis, impressão, área de transferência e captura de tela. As políticas de bloqueio se apoiam em objetos de classificação.
O modelo on-premise reforça essa arquitetura. O servidor central, a base de classificação, o conteúdo capturado e os casos de investigação permanecem na infraestrutura da organização. O fornecedor não tem acesso aos dados monitorados. Isso pesa em setores nos quais os próprios dados de monitoramento são regulados.
Anexet DLP
Saiba mais