Impressão Digital

Na segurança de dados, a palavra impressão digital cobre três coisas diferentes, e confundi-las leva a políticas erradas. A ideia é sempre a mesma: a partir de algo maior, deriva-se um valor curto para que aquilo possa ser reconhecido depois. O que muda é o que recebe a impressão e como o valor é calculado.

Os dois primeiros significados são os mais importantes para a prevenção de perda de dados, porque reconhecem documentos protegidos. O terceiro descreve sistemas, e não documentos, e serve para identificação e inventário.

A impressão de conteúdo não guarda o documento em si. O método foi feito para material que foi editado ou reaproveitado em parte, justamente onde as verificações simples de arquivo falham. No Anexet, esse método é configurado como impressão digital e passa por quatro etapas.

O benefício é prático: um trecho colado em um e-mail continua correspondendo ao seu original, e um modelo feito a partir de um formulário em branco corresponde a cada cópia preenchida dele.

1. 1

   Normalizar o texto

   Remova a formatação e reduza o documento a um texto comparável, para que mudanças de layout não afetem o resultado.

2. 2

   Gerar hashes de trechos sobrepostos

   Calcule hashes sobre partes sobrepostas do texto. Só esse conjunto de valores é armazenado.

3. 3

   Comparar o conteúdo novo

   E-mails enviados, uploads e mensagens passam pelo mesmo processo e são comparados com o conjunto armazenado.

4. 4

   Agir sobre a sobreposição

   Uma sobreposição relevante indica que há material protegido, e a regra bloqueia, registra ou emite alerta.

Um hash criptográfico é calculado sobre o arquivo inteiro, e o valor resultante é armazenado em um banco de hashes. Ele responde a uma pergunta com certeza: este é o mesmo arquivo, byte a byte? Hashes são baratos para calcular e comparar, e não geram falsos positivos.

Essa mesma precisão é o limite. Salvar o documento em outro formato ou alterar um caractere produz um valor totalmente diferente, e a correspondência não acontece. Hashes funcionam bem como primeiro filtro e na verificação de integridade de arquivos, mas não acompanham conteúdo reescrito.

As impressões registradas ficam em bancos de dados. O Gerenciador de impressões lista cada banco com seu tamanho, número de documentos e data da última atualização, para que o administrador veja o que está protegido e quão atual é o conjunto de referência. Um banco que nunca é atualizado protege um conjunto de documentos cada vez mais histórico.

Este significado compartilha a metáfora com os outros, mas não o mecanismo. A impressão de um dispositivo ou navegador é um perfil montado a partir de características observáveis, como identificadores de hardware, componentes instalados, configurações de tela e idioma e atributos de rede. Nada é derivado de conteúdo protegido, e o objeto é um sistema, não um documento.

Defensores usam isso para identificação de dispositivos e inventário de estações, por exemplo no inventário de hardware. Atacantes usam perfis semelhantes para rastrear usuários sem cookies, por isso o termo precisa de uma definição clara em qualquer programa de segurança.

Os métodos se complementam. Hashes são o primeiro filtro mais barato, impressões de conteúdo pegam o que a edição esconderia, e uma lista de palavras proibidas cobre material sensível que ninguém registrou antecipadamente.

Todos os métodos de impressão são unidirecionais. O original não pode, na prática, ser reconstruído a partir do valor derivado, então o sistema de detecção reconhece conteúdo regulado sem manter uma segunda cópia dele. Isso é uma vantagem de privacidade, e também a razão pela qual o conjunto de referência precisa ser mantido.

As impressões funcionam apenas sobre dados que conseguem ler. Conteúdo convertido em imagem precisa de reconhecimento de texto antes, e conteúdo fortemente criptografado ou parafraseado fica fora da correspondência. Elas também não descrevem toda tentativa de exfiltração de dados, por isso funcionam melhor junto com outros controles.

Comece registrando os documentos cujo vazamento causaria mais danos, como contratos, código-fonte e dados de clientes. Um banco montado com esses arquivos reconhece cópias que foram editadas ou reaproveitadas.

Depois, revise o banco com regularidade, porque o conjunto de referência é tão atual quanto o último registro.

Leitura adicional: Criptografia, codificação e hashing – qual é a diferença?.