Сравнение систем защиты от утечек (DLP) 2014 - часть 1

Представляем вашему вниманию очередной детальное сравнение систем защиты от утечек конфиденциальных данных (DLP), подготовленное специалистами Anti-Malware.ru В нём мы проанализировали и сравнили продукты как российских, так и зарубежных компаний. Результаты сравнения помогут понять, чем принципиально отличаются между собой существующие на рынке DLP-системы и на что стоит ориентироваться при их выборе.

1. Введение

2. Методология сравнения

3. Сравнение DLP-систем

3.1 Общая информация

3.2 Системные требования

3.3 Режимы работы

3.4 Режимы перехвата информации

3.5 Возможности интеграции

3.6 Производительность и отказоустойчивость

3.7 Контролируемые каналы

- Электронная почта

- Cистемы мгновенного обмена сообщений

- Протокол HTTP и его модификации

- Протоколы FTP и P2P

- Туннелирующие протоколы

- Внешние устройства

- Мобильные устройства

- Прочие протоколы

Введение

Желание бизнеса контролировать перемещение и обработку конфиденциальных данных вполне оправдано. За два десятилетия постсоветского периода компании из самых разных областей экономики стали обладателями объектов интеллектуальной собственности и большими объемами конфиденциальных данных, включая персональные данные клиентов и работников. Все эти данные требуют защиты. В такой ситуации на помощь бизнесу приходят производители программных и аппаратных средств защиты, которые достаточно давно предлагают на рынке решения для защиты от утечек конфиденциальных данных.

Аббревиатуру DLP можно расшифровывать по-разному (Data Leak Prevention, Data Leakage Prevention или Data Loss Protection), но в мы придерживаемся канонического значения ­– «предотвращение утечки данных» (Data Leak Prevention). Действительно – главной задачей DLP-систем является анализ передаваемой информации по всем возможным каналам, обнаружении случаев несанкционированной передачи конфиденциальных данных, их блокирование и незамедлительное оповещение отдела информационной безопасности.

Однако термин DLP уже не вмещает в себя все задачи, которые способны решать современные решения, выросшие из DLP-рынка. Современные DLP-системы помимо основных вмещают в себя также функции обнаружения информации (eDiscovery), шифрования (Encryption), а также контроля действий персонала и повышения его производительности (Employee Management Software и Productivity Control).

Этот факт, наряду с изначальной сложностью DLP-систем и сильной закрытостью документации, значительно усложняют процесс их осознанного выбора для заказчика. Зачастую в открытом доступе можно найти лишь маркетинговую информацию, связь которой с реальным положением дел, порой, невелика. Мы убедились в этом на собственном опыте. Часть производителей и вовсе не заинтересованы в том, чтобы доступно и понятно рассказывать о технических тонкостях работы своих продуктов, очевидно, опасаясь излишней осведомленности клиентов, партнеров и прямых конкурентов.

В процессе выбора между тем или иным решением, неизбежно возникают вопросы. Чем принципиально отличаются между собой различные решения? На что ориентироваться при выборе DLP-системы? Как выбрать наиболее подходящее решение для вашей компании?

Ответ на эти вопросы кроется в задачах, которые планируется решать с помощью DLP-системы. К сожалению, универсального решения, подходящего любой компании, сегодня нет. Именно поэтому важно понимать, чем один продукт отличается от другого.

Данное сравнение следует рассматривать как базисное. Во всех тонкостях работы DLP-систем зачастую трудно разобраться даже профессионалам этой отрасли, не говоря уже о потенциальных клиентах. Ещё сложнее сравнить их возможности между собой. Различные производители по-разному распределяют задачи между продуктами. К примеру, у одних функция eDiscovery (поиск информации на компьютерах пользователей и в локальных сетевых хранилищах) может входить в «базовую комплектацию», а у других быть отдельно лицензируемым продуктом.

Стоит понимать, что в рамках данного материала мы не сравниваем эффективность того или иного решения. Для этого необходимо проводить масштабные тесты в условиях приближенных к «боевым», что требует несоизмеримо больших затрат, как на разработку методик сравнения, так и на их воплощение в жизнь. В то же время, сравнение лишь возможностей DLP-систем (на уровне «Да\Нет»), без пояснения принципов их работы – было бы заведомо необъективным.

Тем не менее, мы ни в коем случае не будем останавливаться на достигнутом в своем стремлении сделать DLP-рынок более открытым. В дальнейшем мы планируем проводить более глубокие сравнения DLP-систем по их реальной технологической эффективности.

Методология сравнения DLP-систем

Краеугольным камнем любого сравнения является набор критериев, по которому оно производится. Их количество зависит от ряда факторов: степени глубины исследования, а также степенью различий между системами, которую мы хотим подчеркнуть. В то же время важно не только количество выбранных в рамках сравнения критериев, но и развёрнутые ответы по каждому из них, так как сравниваемые системы могут серьезно различаться даже на этом уровне.

Например, сравнение по критерию «Перехват Skype» требует развёрнутого ответа с указанием конкретных видов перехватываемой информации (переданные файлы, текст, SMS, звонки). В противном случае, ответ бы вводил читателя в заблуждение. 

Следуя этому принципу, мы отобрали более 200 критериев, сравнение по которым призвано упростить для заказчика сравнение и выбор DLP-системы. К некоторым из критериев были добавлены пояснения. Для удобства все сравнительные критерии были разделены на следующие категории:

1. Общая информация
2. Общие сведения:
   1. системные требования;
   2. режимы работы;
   3. режимы перехвата информации;
   4. возможности интеграции;
   5. мониторинг и защита агентов;
   6. производительность и отказоустойчивость.
3. Контролируемые каналы:
   1. электронная почта (протоколы SMTP, POP3, IMAP, MAPI, NNTP, S/MIME);
   2. системы мгновенного обмена сообщений (протоколы OSCAR, MMP, MSN, XMPP, YMSG, HTTPIM, Microsoft Lync, Skype);
   3. протокол HTTP и его модификации;
   4. протоколы FTP и P2P;
   5. туннелирующие протоколы (IP-in-IP, L2TP, PPTP, PPoE и другие);
   6. внешние устройства (USB, DVD/CD-ROM, COM, LPT, USB, IrDA, FireWire, модемы, Bluetooth, принтеры, сетевые принтеры, камеры, сканеры и т.д.);
   7. мобильные устройства;
   8. прочие протоколы;
4. Контроль действий корпоративных пользователей;
5. Поиск конфиденциальной информации в сети предприятия;
6. Возможные реакции на инцидент;
7. Аналитические возможности;
8. Хранение, ретроспективный анализ, отчётность;
9. Лицензирование.

На основена результатов проведенного ранее анализа российского DLP-рынка для участия в сравнении было отобрано восемь наиболее известных и популярных в России комплексных DLP-систем:

Российские:

1. Гарда Предприятие 2.1.4
2. Дозор Джет 5.0.1
3. InfoWatch Traffic Monitor Enterprise 5.1
4. Falcongaze SecureTower 5.1
5. SearchInform (Контур информационной безопасности)
6. Zecurion Zgate 4.0, Zlock 5.0, Zdiscovery 2.0

Зарубежные:

1. GTB DLP Suite 14.8.4
2. Symantec Data Loss Prevention (DLP) 12.0.1

Все производители перечисленных выше DLP-систем активно участвовали в выработке списка критериев сравнения и помогали со сбором необходимой информации. 

McAfee и Websense из сравнения были исключены по причине нежелания этих компаний участвовать в каких-либо сравнениях и публиковать информацию о характеристиках своих систем.

В силу широкого спектра решаемых DLP-системами задач, мы не делали их итогового ранживания сравниваемых DLP-систем. Мы надеемся, что ознакомившись с представлеными нами результатами сравнения, каждый читатель сможет самостоятельно решить, какая из DLP-систем наиболее подходит для его целей. Ведь в каждом конкретном случае потенциальный заказчик сам определяет требования к технологиям или функциональным возможностям решения, а значит, сможет сделать из сравнения правильный именно для него вывод.

В первой части нашего сравнения будут приведены общие сведения, касаемо производителей DLP-систем и их продуктов, а также возможности их контроля различных информационных каналов.

Внимание! Результаты сравнение по категориям 4-9 опубликованы во второй части сравнения.

Сравнение DLP-систем

Общая информация

Системные требования

* Системные требования могут сильно отличаться при различных вредрениях и рассчитываются в зависимости от специфики конкретной локальной сети.

Режимы работы

Режимы перехвата информации

Возможности интеграции

Производительность и отказоустойчивость

Контролируемые каналы

** При интеграции со сторонним решением, количество поддерживаемых типов устройств может быть расширено.

Внимание! Результаты сравнение по других категориям опубликованы во второй части сравнения.