Обзор АПК "Гарда Предприятие" 2.1

1. Введение

2. Архитектура АПК "Гарда Предприятие"

3. Системные требования АПК "Гарда Предприятие"

4. Функциональные возможности АПК "Гарда Предприятие"

5. Развертывание АПК "Гарда Предприятие"

6. Работа с АПК "Гарда Предприятие"

7. Выводы

Введение

В сегодняшнем обзоре речь пойдет об АПК "Гарда Предприятие". Данное решение является DLP-системой, предназначенной для контроля утечек конфиденциальной информации, расследования связанных с ними инцидентов и решения других задач. Рассматриваемый продукт является универсальным. Это значит, что он является одновременно шлюзовым и хостовым. Это позволяет контролировать с его помощью как локальные, так и сетевые каналы утечки конфиденциальной информации. На сегодняшний день рассматриваемое решение может контролировать все основные каналы корпоративных коммуникаций - электронную почту, IM-системы, IP-телефонию, интернет-сервисы (социальные сети, форумы, блоги, чаты и пр.), сервисы передачи файлов (FTP, P2P и т.п.), съемные накопители, запускаемые на рабочем месте программы и приложения, а также внешние устройства, в частности, локальные и сетевые принтеры и факсы. 

Важной особенностью рассматриваемого продукта является его специализация. На сегодняшний день DLP-система «Гарда Предприятие» остается одним из наиболее мощных решений, поскольку разработана специально для использования в крупных и средних компаниях. Решение обеспечивает очень высокую производительность, вплоть до 10 Гбит/с и  выше. Кстати, в этом нет ничего удивительного. Дело в том, что разработчик АПК "Гарда Предприятие", "МФИ Софт", является известным на рынке производителем систем операторского уровня, в том числе, систем СОРМ и решений для защиты от DDoS-атак. И уж кому, как не специалистам этой компании, иметь большой опыт в области высокопроизводительных сетевых приложений.

Рассматриваемое решение работает с зеркалированным трафиком. То есть его установка "в разрыв" и работа в режиме фильтрации не рассматривается. С одной стороны, это снижает функциональные возможности системы. Однако нужно учитывать, что на практике в средних и крупных компаниях крайне редко используется именно фильтрация. В подавляющем большинстве случаев DLP-системы в них используются для "прослушивания" трафика, то есть для мониторинга утечек, расследования произошедших инцидентов, выявления нелояльных сотрудников и решения прочих типовых задач. Поэтому, отсутствие режима фильтрации в решении, строго говоря, нельзя считать серьезным недостатком.

Поставляется АПК "Гарда Предприятие" в виде готового аппаратно-программного комплекса, в состав которого входит сервер и установленное на него программное обеспечение. Такое решение удобно тем, что потребитель получает уже готовое к запуску решение, которое полностью удовлетворяет потребностям заказчика и позволяет провести его внедрение в кратчайшие сроки. Впрочем, если у потенциального клиента уже есть аппаратная платформа, продукт может быть продан и в виде программного обеспечения.

Архитектура АПК "Гарда Предприятие"

В состав АПК "Гарда Предприятие" входят следующие модули:

• "Анализатор" – аппаратно-программный комплекс, предназначенный для перехвата и анализа трафика;
• База данных – СУБД с базой данных, в которой хранится вся информация системы;
• "Сервер управления рабочими местами" – аппаратно-программный комплекс для управления агентами на рабочих станциях;
• "Монитор рабочего места" – программа-агент, устанавливающаяся на рабочие станции;
• "Центр управления "Гарда Предприятие" – программное обеспечение для администратора системы и администраторов безопасности.

В системе может работать несколько анализаторов, которые будут собирать информацию в единой базе данных. Это позволяет построить высокопроизводительную, и распределенную систему защиты от утечек конфиденциальной информации.

Системные требования АПК "Гарда Предприятие"

АПК "Гарда Предприятие" поставляется как готовый аппаратно-программный комплекс, конфигурация которого рассчитана исходя из потребностей конкретного клиента. Поэтому приводить какие-то системные требования для серверных компонентов системы не имеет смысла.

Системные требования "Центра управления "Гарда Предприятие" приведены ниже:

• операционная система: Windows XP/Vista/7;
• дополнительное программное обеспечение: Microsoft Internet Explorer 6.0 SP3 и выше, Microsoft Word XP/2003/2007/2010, кодеки для воспроизведения медиа-файлов;
• аппаратное обеспечение: минимально необходимое для работы операционной системы.

Функциональные возможности АПК "Гарда Предприятие"

В АПК "Гарда Предприятие" реализованы следующие функциональные возможности.

Контроль сетевых каналов утечки информации

Работая в качестве шлюзового решения, АПК "Гарда Предприятие" может контролировать следующие каналы утечки конфиденциальной информации:

• веб-ресурсы – все обращения к различным веб-ресурсам, включая посещение и просмотр сайтов, использование веб-почты, загрузка и передача файлов по протоколам HTTP и HTTPS, просмотр WAP-страниц и пр.;
• почта – вся входящая и исходящая по протоколам POP3, SMTP и IMAP4;
• IM – текстовые и голосовые сообщения ICQ, Windows Live Messenger, Microsoft MSN Messenger, Miranda, Jabber, Yahoo! Messenger, Skype и другие IM-системы ;
• VoIP – телефонные звонки, совершенные посредством IP-телефонии с помощью как программного обеспечения, так и аппаратных устройств (SIP, SDP, H.323, H.245, H.225, T.38, MGCP, SKINNY и др.);
• передача файлов – скачивание и загрузка файлов по протоколу FTP, передача файлов через IM-клиенты, использование P2P;
• социальные сети – работа пользователей в поддерживаемых социальных сетях (Facebook, "ВКонтакте", "Одноклассники");
• протоколы – произвольные потоки сетевого трафика, передаваемые по любым UDP- и TCP-портам.

Контентная фильтрация на основе категорий

В АПК "Гарда Предприятие" реализован механизм категоризации перехватываемых документов и текстов. Благодаря ему система самостоятельно распознает тип перехваченного документа и относит анализируемый фрагмент к той или иной тематической категории. При этом в правилах может использоваться такой критерий, как уровень допуска сотрудников к различным категориям информации. Такой механизм обеспечивает системе защиты высокую гибкость, позволяя указывать, для кого отправка тех или иных документов является легитимной, а для кого - нет. Категории могут создаваться как вручную, так и автоматически путем анализа указанных текстов. Более подробно эта возможность рассматривается далее, в разделе «Работа с системой».

Контроль передачи зашифрованной информации

В рассматриваемом решении есть возможность включить в правилах контроль передачи зашифрованной информации. В этом случае, в отдельном сеансе будут перехватываться все защищенные данные: шифрованные потоки/туннели, архивы с паролем.

Персонифицированный отбор информации

В АПК "Гарда Предприятие" присутствует такой критерий анализа, как "Сотрудник". Благодаря ему администратор безопасности может ставить на контроль любые записи о конкретных сотрудниках и подразделениях и собирать относящуюся к ним информацию. Признаки «Сотрудника» определяются большим количеством параметров, например, учетной записью в Active Directory, IP- и MAC-адресом, одним или несколькими адресами электронной почты, UIN'ами, номерам VoIP и пр. И любая информация, удовлетворяющая перечисленным в свойствах сотрудника значениям, будет считаться относящейся непосредственно к нему. Это позволяет создавать правила, собирающие все данные о коммуникациях конкретных персон вне зависимости от того, за какими компьютерами они сидят и какими сервисами передачи информации пользуются.

Морфологические технологии

В рассматриваемой системе можно создавать правила отбора информации по ключевым словам и фразам с учетом словоформ, а также порядка слов и расстояния между словами.

Разные действия с собранной информацией

Администраторы безопасности могут выполнять разные действия с собранной информацией: осуществлять поиск в ней, устанавливать пометки, переносить в дополнительные папки для хранения и общего доступа, выгружать на диск и пр.

Контроль локальных каналов утечки информации

Для контроля действий сотрудников, производимых непосредственно на рабочих местах, на компьютеры пользователей устанавливается дополнительный модуль - "Монитор рабочего места". При использовании "Сервера управления рабочими станциями" АПК "Гарда Предприятие" может контролировать следующие каналы утечки конфиденциальной информации:

• съемные накопители – сохранение файлов на "флешки", съемные жесткие диски, карты памяти, CD/DVD и флоппи-диски, виртуальные устройства;
• обращения к внешним устройствам – обращения к локальным и сетевым принтерам и другим подключенным к рабочим станциям устройствам.

Под контролем понимается блокировка передачи информации, теневое копирование данных (как полностью, так и с учетом контентной фильтрации по ключевым словам, фразам, категориям) или просто ведение статистики.

"Черный" и "белый" списки устройств

В АПК "Гарда Предприятие" можно использовать "белый" список устройств, а также запретить подключение отдельных классов устройств (телефоны, фотокамеры, плееры и.т.п.).

Контроль запуска процессов на рабочих станциях

Рассматриваемое решение собирает статистику о процессах, запускаемых и завершаемых пользователями на рабочих станциях. Это позволяет выяснить, какие именно приложения и сколько времени использовались на компьютерах компании. Кроме этого, в системе реализована возможность блокировки запуска процессов по «черному списку».

Высокая производительность и масштабирование

АПК "Гарда Предприятие" может состоять из целого ряда анализаторов, имеющих общую базу данных. Это, в сумме с используемыми технологиями, позволяет рассматриваемому решению достичь очень высоких показателей производительности и контролировать сетевые каналы с общей пропускной способностью в 10 Гбит/с и даже выше. Также АПК "Гарда Предприятие" легко масштабируется путем добавления в систему новых анализаторов.

Выборочное сохранение информации

В отличие от многих DLP-решений, рассматриваемая система может сохранять как  абсолютно весь трафик, так и  только удовлетворяющий определенным требованиям трафик. Настройка фильтров может осуществляться в широких пределах по большому количеству параметров. Это обеспечивает высокую гибкость системы, позволяя администратору самому выбирать необходимые данные для хранения.

Интеграция с LDAP

Информация о подразделения и сотрудниках может быть автоматически синхронизирована непосредственно с каталогом LDAP, например, с Active Directory. Это позволяет загрузить в АПК «Гарда Предприятие» готовые данные и избежать работы по созданию записей о сотрудниках вручную. При этом осуществляется импорт данных как о сотрудниках, так и подразделениях предприятия.

Развертывание АПК "Гарда Предприятие"

Как мы уже говорили, АПК "Гарда Предприятие" поставляется в виде готового аппаратно-программного комплекса. Поэтому непосредственно установка серверной части не нужна. Достаточно разместить готовый сервер или сервера в стойке и обеспечить поступление зеркалированного трафика (например, со SPAN-порта маршрутизатора) на сетевой интерфейс анализатора.

Установка "Центра управления" также не представляет собой никакой сложности. Он инсталлируется самым обычным образом, как и любое другое программное обеспечение. Устанавливается "Центр управления" на компьютеры всех администраторов, доступ к системе осуществляется удаленно. Для его настройки достаточно ввести в параметры IP-адрес или хост центрального сервера и номер порта.

Рисунок 1. Параметры подключения "Центра управления" АПК "Гарда Предприятие"

После установки и первого подключения необходимо подключить к центральному серверу установленные анализаторы. Сделать это можно непосредственно в "Центре управления" на вкладке "Анализаторы". Для каждого анализатора необходимо указать его название, IP-адрес, используемые сетевые порты и дополнительные параметры. При необходимости анализаторы могут быть собраны в группы (для удобства управления) или кластеры (для увеличения производительности при мониторинге крупных сетей или их сегментов).

Рисунок 2. Параметры анализатора в "Центре управления" АПК "Гарда Предприятие"

Также в ходе развертывания нужно настроить права доступа к АПК "Гарда Предприятие". Для этого на вкладке "Пользователи" необходимо добавить нужных лиц, и с помощью соответствующих настроек указать их полномочия. Права разделены на следующие категории: права на доступ к функциям системы (управление анализаторами, пользователями, сеансами, и.т.п.), на доступ к данным в сеансах (удаление, просмотр, экспорт, редактирование списка критериев анализа и.т.д) и на работу с анализаторами (просмотр, настройка). С помощью  комбинации различных прав возможно создание набора пользовательских ролей. Состав и характеристики каждой роли зависят от круга задач, решаемых различными группами пользователей.

Рисунок 3. Настройка прав доступа пользователя в "Центре управления" АПК "Гарда Предприятие"

Работа с АПК "Гарда Предприятие"

Работа с АПК "Гарда Предприятие" начинается с подготовки базы контентной фильтрации, а также создания базы сотрудников компании из LDAP или вручную. Решение первой задачи необходимо для того, чтобы система могла самостоятельно, анализируя перехватываемую информацию, относить ее к той или иной категории. Такой подход более удобен, нежели простой поиск по словарю, и обладает большими функциональными возможностями.

Для  запуска контентной фильтрации администратор безопасности определяет, какие именно категории информации существуют в компании, и формирует список категорий  защищаемых  документов. Для каждой из них задаются общие параметры (наименование и описание) и характерные признаки, объединяющие этот тип документов - критерии отбора. Интересно, что критериями могут служить не только отдельные слова и целые фразы, но и адреса электронной почты, логины пользователей, IP- и MAC-адреса и пр. Это позволяет настраивать критерии очень гибко и в весьма широких пределах.

Не обязательно настраивать категории вручную. Значительно облегчить процесс заполнения базы контентной фильтрации может обучение системы. Процесс автокатегоризации информации – уникальная разработка «МФИ Софт», являющаяся альтернативой сервису контентной фильтрации по цифровым отпечаткам. Чтобы система смогла самостоятельно создавать новые категории, объединяющие те или иные документы, в нее загружают образцы типичных документов, соответствующих разным категориям (любые документы, обращающиеся в компании и явно относящиеся к той или иной категории). После этого запускается процедура машинного обучения, которая формирует набор новых категорий. В каждой категории задано всего одно условие – соответствие документов какой-либо общей тематике. Тематика определяется автоматически с помощью специального алгоритма. Впоследствии к этим критериям можно добавить дополнительные, сформировав тем самым готовую базу контентной фильтрации.

Рисунок 4. Автоматическое формирование базы контентной фильтрации в АПК "Гарда Предприятие"

Важной особенностью АПК "Гарда Предприятие" является возможность не просто решить, к какой категории относится анализируемая информации, но и автоматически выставить ей рейтинг секретности от 1 (минимальный) до 5 (максимальный). Делается это на основе баллов, указанных критериями отбора. Например, если перехваченные данные соответствуют критерию с рейтингом 4, то им присваивается этот же уровень. Если же информация соответствует сразу нескольким критериям, то ей присваивается максимальный уровень из них. Эти рейтинги используются в настройках сеансов (о них мы поговорим дальше).

Рисунок 5. Пример категории базы контентной фильтрации в АПК "Гарда Предприятие"

После формирования базы контентной фильтрации можно перейти к заполнению базы сотрудников. В систему необходимо внести информацию о структуре организации и сотрудниках - сделать это можно как вручную, так и путем синхронизации с LDAP-сервером.  Дополнительно для сотрудников можно задать так называемые признаки. Это может быть адрес электронной почты, логин в домене, IP-адрес, VoIP-телефон или даже ключевое слово и фраза.

Для каждого подразделения в целом и пользователя отдельно можно задать права доступа к контролируемой информации. Речь идет об указании допустимых, с точки зрения безопасности, уровней передачи данных по той или иной тематике. Например, для сотрудников HR-отдела вполне естественно регулярное посещение сайтов по поиску работы и получение и отправка файлов с резюме. Но те же действия для бухгалтеров являются поводом серьезно задуматься. Наличие же уровней у критериев позволяет точнее настроить права. К примеру, всем бухгалтерам можно разрешить передачу договоров (и настроить соответствующий критерий на уровень 3). Но отправить налоговый отчет имеет право только главный бухгалтер (уровень 5).

У АПК "Гарда Предприятие" есть одно важное отличие от многих других DLP-решений. Дело в том, что администратор системы может отказаться от тотальной записи всего трафика, и сохранять в архиве не все, а только удовлетворяющие определенным условиям данные. Условия эти задаются в так называемых сеансах наблюдения. У такого подхода есть серьезное преимущество - минимизация ресурсов, необходимых для хранения больших объемов базы данных и быстрое уведомление об инцидентах по заранее построенным критериям наблюдения.

Рисунок 6. Пример параметров сотрудника в АПК "Гарда Предприятие"

Таким образом, непосредственная работа с АПК "Гарда Предприятие" начинается с настройки сеансов – своего рода  контейнеров, в которые помещается информация,  обнаруженная на основе заданных критериев анализа. При необходимости, можно настроить сеансы таким образом, что будет перехватываться вся информация или только определенные инциденты, что может заметно уменьшить размер базы сохраняемых данных. Какой вариант выбрать? Это администратор безопасности решает самостоятельно, исходя из конкретных условий и поставленной задачи. Для выбора того или иного варианта достаточно просто поставить или снять «галочку» в настройках, поэтому при необходимости режим контроля можно быстро поменять.

Работа с сеансами осуществляется на одноименной вкладке "Центра управления". Для удобства их можно группировать - например, собирать вместе по анализируемым каналам передачи информации, подразделениям, сотрудникам и пр. Сами сеансы создаются достаточно просто. Вначале вносится основная информация – наименование и описание. Пренебрегать этими полями не стоит, поскольку со временем количество сеансов может оказаться очень большим.

Также при необходимости можно заполнить поле emails. Если внести в него один или несколько адресов электронной почты, то система будет автоматические отправлять на них уведомления о появлении информации, перехваченной в рамках данного сеанса. Это весьма актуально в тех случаях, когда сеанс настраивается именно на инциденты, то есть на факты явного нарушения корпоративных политик.

После ввода основной информации задаются параметры сбора информации. В первую очередь перечисляются типы перехватываемых данных. Это могут быть объекты и/или потоки. Под объектами понимают контроль протокола HTTP (отдельно GET, POST и других методов), почты, IM, передачи файлов, звонков по VoIP, использования социальных сетей и пр. Под потоками – декодируемые, зашифрованные и неизвестные потоки трафика. Для каждого контролируемого объекта или потока можно устанавливать способ мониторинга – полный или статистический. В первом случае в архиве сохраняется непосредственно информация, удовлетворяющая условиям, а во втором – только сам факт ее передачи.

Рисунок 7. Основные свойства и перечень типов данных сеанса наблюдения  в АПК "Гарда Предприятие"

Следующий шаг – ввод критериев анализа. Под критериями понимаются условия, при выполнении которых данные из общего потока сохраняются в архив. В системе предусмотрено 12 типов условий, начиная с простейших (IP- и MAC-адрес, адрес электронной почты и пр.) и заканчивая такими, как соответствие сотруднику, ключевой фразе (с учетом морфологии), категории документов. При этом администратору доступны такие логические операции, как проверка равенства, отрицание, логические "И" и "ИЛИ". Пример можно увидеть на иллюстрации. В данном сеансе собираются все, что касается поиска работы для всех сотрудников, кроме работников отдела кадров.

Рисунок 8. Критерии отбора информации сеанса наблюдения в АПК "Гарда Предприятие"

В завершении можно задать права доступа к создаваемому сеансу. Пользователям можно разрешать и запрещать просматривать, экспортировать и удалять информацию, редактировать свойства сеанса, ставить пометки и пр.

Рисунок 9. Права доступа к сеансу наблюдения в АПК "Гарда Предприятие"

При проведении служебного расследования просмотр данных, собранных в рамках сеансов наблюдения, осуществляется непосредственно в них. Для этого в свойствах сеанса есть целый ряд вкладок, которые позволяют просматривать сами данные отдельно по разным типам объектов (в том числе, можно прослушивать записи разговоров). При этом администратору безопасности доступны такие инструменты, как сортировка и фильтрация по всем полям, поиск по содержимому, установка пометок, перенос в папки (средство для хранения и общей работы с собранной информацией) и экспорт. Помимо этого, можно  осуществлять поиск по базе, а также строить и просматривать статистические отчеты.

Рисунок 10. Просмотр информации, собранной в рамках сеанса наблюдения в АПК "Гарда Предприятие"

Контроль рабочих станций осуществляется в "Центре управления" на вкладке "Предприятие". Для этого на ней есть ветка "Рабочие места". В ней можно просмотреть свойства рабочих станций, на которых установлены программы-агенты – их наименование, IP-адрес и используемая политика. Здесь же можно изменить текущую политику на другую.

Рисунок 11. Просмотр свойств рабочей станции в АПК "Гарда Предприятие"

Также в данном разделе можно просмотреть журнал процессов.

Рисунок 12. Просмотр журнала процессов рабочей станции в АПК "Гарда Предприятие"

Используемые для мониторинга рабочих станций политики можно создавать самостоятельно. В политике можно разрешить или запретить передачу файлов через Skype, включить или отключить контроль процессов, выбрать одно из действий для каждого типа контролируемых устройств (USB, CD-ROM и т.п.): блокировать передачу, вести статистику, осуществлять теневое копирование, а также ограничить подключение к компьютеру любого выбранного класса устройств (веб-камеры, мобильные телефоны, фотоаппараты и.т.п.)

Рисунок 13. Создание политики контроля рабочих станций в АПК "Гарда Предприятие"

Таким образом осуществляется регулярная работа с АПК "Гарда Предприятие".

Выводы

АПК "Гарда Предприятие" – комплекс, рассчитанный на использование в средних и крупных организациях. Он обладает высокой производительностью, отличной масштабируемостью и достаточно простым и удобным интерфейсом управления. С его помощью можно контролировать практически все сетевые каналы утечки конфиденциальной информации, включая такие, как Skype, IP-телефония и пр. Кроме того, в рассматриваемом комплексе есть модуль для контроля рабочих станций и локальных каналов утечки.

При этом у рассмотренного продукта есть и недостатки. Самый главный из них – отсутствие некоторых инструментов для администраторов безопасности. В первую очередь речь идет о шаблонах (в каком бы то ни было виде). Стоит, впрочем, отметить, что разработчики обещают добавить этот функционал уже в следующей версии, которая, по их словам, ожидается уже в ноябре 2013 года.

Достоинства:

• высокая производительность (до 10 Гбит/с и выше) и простое масштабирование;
• гибкие настройки правил детектирования, возможность осуществлять тотальную запись трафика и выборочный контроль параллельно;
• удобный интерфейс настройки и изменения политик перехвата информации;
• сортировка информации по категориям, в том числе, с использованием уровней;
• контроль большого числа сетевых и локальных каналов утечки информации;
• простота развертывания и использования.

Недостатки:

• отсутствие некоторые инструментов контентного анализа (поиск по шаблонам, учета транслитерации, неточного поиска).
• отсутствие возможности блокировки трафика.