Комплекс защиты от утечек информации «Дозор-Джет» представляет собой DLP-систему, ядром которой является «Система архивирования и анализа «Дозор-Джет», вот уже более 10 лет развиваемая компанией «Инфосистемы Джет». Комплекс предназначен для решения задачи обеспечения безопасности бизнес-процессов в части коммуникаций и позволяет легко реализовать корпоративную политику использования информационных ресурсов.
С помощью комплекса защиты от утечек информации «Дозор-Джет» служба безопасности получает возможность осуществлять мониторинг сетевого трафика, передаваемого по различным каналам коммуникации, проверку сообщений, файлов и других данных на соответствие положениям политики использования Интернет-ресурсов, внутренних информационных ресурсов компании. Комплекс предоставляет возможность гибкой настройки реакций на нарушения этой политики согласно заданным сценариям и обеспечивает ведение архива сообщений для последующего расследования инцидентов.
Комплекс включает в себя несколько самостоятельных систем. Системы можно комбинировать и масштабировать в соответствии с политикой использования Интернет-ресурсов, внутренних информационных ресурсов и размеров организации конкретного заказчика. Таким образом, комплекс может применяться как в крупном холдинге с обширной сетью филиалов, так и в компании среднего бизнеса.
Архитектура комплекса защиты от утечек информации «Дозор-Джет» приведена на рисунке 1.
Рис. 1. Архитектура комплекса защиты от утечек информации «Дозор-Джет»
Ядром комплекса является «Система архивирования и анализа». В задачи «Системы архивирования и анализа» входят:
- прием сообщений;
- анализ содержимого сообщений и файлов;
- реагирование в соответствии с заданной политикой;
- архивирование сообщений и файлов;
- поиск по архиву, включая поиск по всем параметрам сообщения, содержимому файлов, расставленным при обработке меткам.
«Система архивирования и анализа» позволяет решать большинство задач, возникающих при защите информации от утечек, анализе информационных потоков и расследовании инцидентов.
В состав «Системы архивирования и анализа» входят следующие подсистемы:
- подсистема приема;
- подсистема фильтрации;
- подсистема доставки;
- подсистема управления;
- подсистема архивирования с модулями расширения функциональности.
К модулям расширения функциональности относятся:
- модуль контекстного анализа;
- модуль цифровых отпечатков DiFi;
- модуль идентификаторов IDID;
- модуль сегментирования;
- модуль реконструкции сообщений;
- модуль статистики и отчетов;
- модуль взаимодействия с системами управления;
- модуль подключения ЭЦП (S/MIME);
- модуль интеграции с антивирусами.
Три следующие системы представляют собой источники данных для «Системы архивирования и анализа», контролируя при этом все основные каналы возможных утечек информации: рабочие станции и сетевые хранилища, сообщения корпоративной почты, а также сообщения, передаваемые по протоколу HTTP.
«Система перехвата сообщений» выделяет из сетевого потока сообщения, отправленные через различные Интернет-сервисы. Система используется не только для контроля каналов утечки в составе комплекса каналов «Дозор-Джет», но и для расширения возможностей зарубежных DLP-систем, а также в процессе проведения аудитов и предпроектных исследований.
Данная система предоставляет возможность удобного контроля за основными каналами коммуникации:
- корпоративная почта (SMTP, POP3);
- веб-почта (Google mail, Yahoo mail, Mail.ru и аналогичные);
- социальные сети («Одноклассники», «В контакте», Facebook, различные форумы);
- службы поиска работы и публикации резюме (HH.ru, Job.ru, Zarplata.ru и аналогичные);
- системы передачи мгновенных сообщений (ICQ, Mail.ru-Агент, MSN, Jabber и другие);
- протокол FTP.
«Система перехвата сообщений» обрабатывает копию сетевого трафика («ответвленный» поток, например, со SPAN-порта маршрутизатора) и на основании базы алгоритмов и сигнатур восстанавливает передаваемые сообщения. В сообщении присутствует вся доступная метаинформация: получатель, отправитель, тема, другие заголовки. Также система перехватывает файлы, передаваемые на ресурсы веб (fileuploads).
Она может быть дополнена системами раскрытия HTTPS-трафика для перехвата сообщений, передаваемых через зашифрованные соединения. Для этого может быть использована как «Система контроля веб-трафика», так и разработки других производителей. Возможна интеграция через ICAP-протокол – в решение встроен высокопроизводительный ICAP-сервер.
В состав «Системы перехвата сообщений» входят следующие модули:
- модуль перехвата веб-почты;
- модуль перехвата сообщений социальных сетей (расширение модуля перехвата веб-почты);
- модуль перехвата резюме;
- модуль перехвата IM;
- модуль перехвата SMTP;
- модуль перехвата FTP;
- модуль интеграции с внешними системами.
«Система активного контроля» реализует активный контроль корпоративной электронной почты по протоколу SMTP и коммуникаций через веб по протоколам HTTP и HTTPS. Система обеспечивает контентную фильтрацию и разграничение доступа к внешним ресурсам c целью обеспечить выполнение политики информационной безопасности компании. Система может различными способами реагировать на обнаруженные нарушения, включая блокирование подозрительной коммуникации, архивирование, разрешение с подтверждением у офицера безопасности и у пользователя.
Система автоматически реагирует на нарушения политики использования средств коммуникации по заранее заданному администратором безопасности сценарию. При соблюдении (или не соблюдении) определенного условия система выполняет последовательность действий, установленную соответствующим правилом политики. Основными действиями являются:
- разрешение или запрет прохождения почтового сообщения;
- разрешение или запрет доступа к Интернет-ресурсу;
- удаление сообщения;
- запись сообщения в архив;
- регистрация сообщения;
- добавление меток к сообщению;
- отправка уведомления администратору безопасности или другому заранее заданному адресату;
- модификация содержимого сообщения перед доставкой или пересылкой, включая удаление запрещенных вложений и добавление определенного текста.
«Система активного контроля «Дозор-Джет» состоит из двух основных модулей:
- модуль фильтрации SMTP;
- модуль контроля веб-трафика.
«Система инспектирования файловых ресурсов» предназначена для контроля за информацией, размещенной на файловых ресурсах корпоративной сети и рабочих станциях. Возможно расширение системы для контроля сменных носителей (USB).
«Система инспекции файловых ресурсов» позволяет:
- контролировать содержимое сетевых ресурсов и компьютеров пользователей;
- контролировать распространение информации в рамках компании;
- обеспечивать политику компании в части хранения и обработки различных данных, в том числе рассортированным по категориям;
- обеспечивать поиск и классификацию корпоративных данных;
- предотвращать возможные утечки информации через сетевые ресурсы или рабочие станции пользователей.
Для осуществления контроля за сменными носителями на рабочих станциях возможности «Системы инспектирования файловых ресурсов» могут быть расширены с помощью продукта Device Control компании Lumension. Система позволяет интегрироваться с базой теневых копий (shadow copy) и реализовывать политику безопасности для контроля содержимого файлов в теневом хранилище, включая полнотекстовый поиск, анализ документов, прав доступа и другой доступной информации.
Таким образом, комплекс защиты от утечек информации «Дозор-Джет» представляет собой промышленный DLP-комплекс, вобравший в себя, как опыт собственных разработок компании, так и опыт многочисленных внедрений у заказчиков на предприятиях разных масштабов и разных сфер деятельности.
