DLP-системы как инструмент проведения расследований

1. solarsecurity.ru +7 (499) 755-07-70 1
DLP-системы
как инструмент проведения
расследований
Прозоров Андрей, CISM
Руководитель экспертного направления

2. solarsecurity.ru +7 (499) 755-07-70
Solar Dozor соответствует требованиям и
рекомендациям ФСТЭК России
2
ОЦЛ.5 КОНТРОЛЬ СОДЕРЖАНИЯ ИНФОРМАЦИИ, ПЕРЕДАВАЕМОЙ ИЗ ИНФОРМАЦИОННОЙ СИСТЕМЫ
(КОНТЕЙНЕРНЫЙ, ОСНОВАННЫЙ НА СВОЙСТВАХ ОБЪЕКТА ДОСТУПА, И КОНТЕНТНЫЙ, ОСНОВАННЫЙ НА ПОИСКЕ
ЗАПРЕЩЕННОЙ К ПЕРЕДАЧЕ ИНФОРМАЦИИ С ИСПОЛЬЗОВАНИЕМ СИГНАТУР, МАСОК И ИНЫХ МЕТОДОВ), И
ИСКЛЮЧЕНИЕ НЕПРАВОМЕРНОЙ ПЕРЕДАЧИ ИНФОРМАЦИИ ИЗ ИНФОРМАЦИОННОЙ СИСТЕМЫ
Контроль содержания информации, передаваемой из информационной системы, должен предусматривать:
 выявление фактов неправомерной передачи защищаемой информации из информационной системы через
различные типы сетевых соединений, включая сети связи общего пользования, и реагирование на них;
 выявление фактов неправомерной записи защищаемой информации на неучтенные съемные машинные
носители информации и реагирование на них;
 выявление фактов неправомерного вывода на печать документов, содержащих защищаемую информацию, и
реагирование на них;
 выявление фактов неправомерного копирования защищаемой информации в прикладное программное
обеспечение из буфера обмена и реагирование на них;
 контроль хранения защищаемой информации на серверах и автоматизированных рабочих местах;
 выявление фактов хранения информации на общих сетевых ресурсах (общие папки, системы
документооборота, базы данных, почтовые архивы и иные ресурсы).
Требования к усилению
 в информационной системе должно осуществляться хранение всей передаваемой из информационной системы
информации и (или) информации с недопустимым к передаче из информационной системы содержанием, в
течение времени, определяемого оператором;
 в информационной системе должна осуществляться блокировка передачи из информационной системы
информации с недопустимым содержанием
Методический документ. Меры защиты информации в государственных ИС

3. solarsecurity.ru +7 (499) 755-07-70 3
Формального наличия
функционала DLP конечным
Заказчикам уже не достаточно…

4. solarsecurity.ru +7 (499) 755-07-70
Заказчикам интересно
4
 Как правильно использовать DLP?
 Что делать в случае выявления
инцидента ИБ (ЭБ)?
 Как правильно проводить
расследование инцидентов и собирать
доказательную базу для суда?

5. solarsecurity.ru +7 (499) 755-07-70 5
48 слайдов презентации
http://www.slideshare.net/AndreyProzorov/dozor-v13-51487311

6. solarsecurity.ru +7 (499) 755-07-70
Процедура управления инцидентами (DLP)
6
1.Обнаружение и регистрация событий системой DLP
2.Выявление инцидентов
4.Расследование инцидента
5.Реагирование на инцидент
6.Анализ причин инцидента и «полученных уроков»
3.Оперативное
реагирование на инцидент
Основной
функционалDLPDLPпомогает

7. solarsecurity.ru +7 (499) 755-07-70
Ограничение по времени реагирования
по ТК РФ
7
1.Обнаружение и регистрация событий системой DLP
2.Выявление инцидентов
4.Расследование инцидента
5.Реагирование на инцидент
6.Анализ причин инцидента и «полученных уроков»
3.Оперативное
реагирование на инцидент
6 мес.
1 мес.

8. solarsecurity.ru +7 (499) 755-07-70
Что уже было, что появилось…
8
Solar Dozor 5.0.4 Solar Dozor 6.0
1. Сильные технологии контентного
анализа
2. Автоматизированная процедура
управления событиями и инцидентами
3. Удобный рабочий стол офицера ИБ
4. «Уровень доверия» («Карма»)
5. «Досье» (на субъекта)
6. Интерактивный «Граф связей»
7. Снимки экрана
8. Отчеты
9. Поиск (сложные поисковые запросы,
«поиск похожих», умный поиск, поиск
по тегам и пр.)
10. Crawler (DLP Discovery, инспектор
файловых ресурсов)
11. Возможность блокировки
1. Интерфейс нового
поколения (интерактивный
ситуационный центр по
внутренним угрозам)
2. «Досье» на
информационные объекты
3. Действительно быстрый
поиск
4. Новые возможности
выявления аномалий
поведения (например,
нетиповые контакты,
шаблоны запросов и пр.)
5. Расширенный функционал
«Досье» (теперь и на группу)
и другое…

9. solarsecurity.ru +7 (499) 755-07-70 9
Подробнее…

10. solarsecurity.ru +7 (499) 755-07-70
4 типовых рабочих стола
10
 Аналитик
 Аналитик Политики
 Руководитель
 Системный администратор
#1

11. solarsecurity.ru +7 (499) 755-07-70
Типовые сценарии работы с DLP
11
1. Регулярный мониторинг событий
2. Расследование инцидентов
#1

12. solarsecurity.ru +7 (499) 755-07-70
Фокус внимания на самое важное
12
События и
инциденты
Люди
Информация
#1

13. solarsecurity.ru +7 (499) 755-07-70
Оптимизирован и для мобильных устройств
13#1

14. solarsecurity.ru +7 (499) 755-07-70 14
Информационный объект –
группа документов и
информационных сообщений
определенной тематики
Например: протоколы совещаний,
резюме, стратегии и планы…
#2

15. solarsecurity.ru +7 (499) 755-07-70
Про информационные объекты
15
 Можно использовать типовые или
создавать самостоятельно
 В информационном объекте
отображаются ВСЕ файлы
 «Досье» на объект:
 События
 Коммуникации
 Места хранения
#2

16. solarsecurity.ru +7 (499) 755-07-70 16
Действительно быстрый поиск!
Меньше 1 секунды для архива
в 17 млн. сообщений
#3

17. solarsecurity.ru +7 (499) 755-07-70
Еще про поиск
17
 Поиск: Сообщения, Файлы, Персоны,
События и инциденты
 3 типа поиска: Быстрый (в стиле поисковых
систем), По шаблону, Расширенный поиск
 Запросы поиска можно сохранять в виде
Шаблонов или сразу строить Отчеты
 Сохраняется история поиска
#3

18. solarsecurity.ru +7 (499) 755-07-70 18
Но давайте перейдем
к демонстрации…