«КИБ Searchinform – больше, чем DLP» Тезисы: • Преимущества отечественного разработчика перед зарубежным. • Развитие DLP-систем. • Система сбора и анализа событий. Способны ли российские разработки составить конкуренцию западным? • Совместное использование SIEM и DLP. • Примеры из практики. Сорокин Николай ООО «Серчинформ»

1. Профилактика утечек информации
Из опыта работы SearchInform
или как выявлять инсайдеров на ранней стадии.
Практические примеры работы с коллективом.

2. SearchInform сегодня
«Контур информационной безопасности SearchInform» используется
более, чем в 1500 организациях России, Украины, Беларуси, Казахстана,
Польши. Офисы компании успешно работают в Москве, Хабаровске,
Новосибирске, Екатеринбурге, Казани, Санкт-Петербурге, Варшаве, Киеве,
Минске, Алматы.

3. Учебный центр
С мая 2013 года в компании
действует собственный
учебный центр
За это время мы подготовили
более 1000 специалистов
Мы готовим как аналитиков,
так и инженеров

4. Отдел внедрения
Наша сила в наших
знаниях. Ведь работа с
более 1500 клиентами –
это огромный опыт
Приобретая DLP-систему,
нужно использовать её возможности на 100%
Мы не просто решаем
задачи, но и объясняем,
почему предложенное
решение самое лучшее

5. Основные понятия
ИБ должна способствовать
бизнесу, а не препятствовать
ему
Все каналы должны быть
открыты и под контролем
Информации слишком много
Контроль «по-старинке» не
эффективен
Большой штат безопасников -
утопия
Нужны новые продвинутые
инструменты поиска и
аналитики

6. Компьютеры
«Зеркало» Агенты
Парсеры протоколов
SQL
SearchServer
Индексы
AlertCenter ReportCenter Общий клиент
Движение
Информации
В DLP-системе

7. Задачи Контура
Предотвращение
инцидента еще на
стадии
формирования
Контроль
перемещения
конфиденциальных
документов
Контроль персонала
(выявление нелояльных,
инсайдеров, групп риска)
Оптимизация
работы компании
30% всех
политик
10% всех
политик
60% всех
политик

8. Контур информационной безопасности SearchInform

9. Виды поиска для создания политик

10. Новое понимание концепции DLP
СБ должна работать на упреждение и находить нелояльных
сотрудников еще до того, как они что-то начнут пересылать
Если нам удалось остановить отсылку документа, это, конечно,
хорошо, но нам это минус, потому что человек: во-первых, уже
получил информацию, а во-вторых, уже решил ее кому-то
передать

11. Инсайдерами не рождаются
Практика показывает, решение «слить» не
появляется мгновенно, а формируется
постепенно.
Подтолкнуть к инсайдерству может:
• Негативное отношение к руководству;
• Негативное отношение к компании;
• Негативное отношение к коллективу;
• Финансовые проблемы;
• Алчность;
• Зависть;
• Шантаж и др.
Давайте разберем практические примеры и посмотрим,
на что стоит обращать внимание

12. Любое действие имеет начало
Почти все инциденты можно «предвидеть».
Статистические запросы позволяют автоматически выявлять инциденты на
основании количественных показателей:
• количество скопированных файлов на
внешний носитель;
• количество уникальных адресатов в
отправленных письмах;
• количество исходящих сообщений в
Skype, Lync, Viber, IM;
• количество напечатанных страниц;
• количество напечатанных документов;
• количество залогиненных учетных
записей на один компьютер;
• количество неудачных попыток логина.

13. С помощью «всплесков» и аномалий
можно выявить лишь малую часть
инцидентов. Настоящим Граалем
информации является общение
сотрудников между собой и с внешним
миром. Поэтому при предотвращении
утечек информации, работа с
коллективом выходит на первое место.

14. Группа риска
1. Долги и кредиты
2. Алкогольная зависимость
3. Наркотики
4. Отношения между коллегами
5. Общение с журналистами
6. Посещение сайтов по трудоустройству
7. Общение с конкурентами
8. Общение с уволенными сотрудниками
9. Негативное мнение о руководстве
10. Обсуждение зарплат
11. Обсуждение сотрудников ИБ и мер противодействия им
12. И т.д.

15. Составные части Контура информационной
безопасности
Только совместное использование всех трех инструментов позволяет
вам получить целостную картину происходящего в компании

16. SearchInform Event Manager
SIEM
SysLog
Exchange Active Directory
FireWall
Antivirus
Data Loss Prevention

17. SearchInform WorkTime Monitor

18. Одна компания начала проигрывать тендеры слишком часто. Заметили
тенденцию: проигрываются конкурсы, в которых участвует определенный
начальник. Анализ его деятельности показал, что письма начальника есть
на чужом компьютере. Оказалось, что один из сотрудников, раздобыл
пароль, настроил себе дополнительный корпоративный ящик (начальника)
и использовал полученную информацию в своих целях.
Примеры из жизни

19. Системный администратор, отвечающий, в том числе, и за работу
почтового сервера компании, настроил себе копию со всех корпоративных
почтовых ящиков. Таким образом, сотрудник имел доступ ко всей
переписке сотрудников компании, в том числе и высшего руководства.
Примеры из жизни
Виновного выявили с помощью
ReportCenter. В отчетах было
видно аномально большое
количество писем, что не
соотносилось с действительно-
стью. Детализация показала, что
больше всего писем почему-то
приходит сисадмину.

20. Главный бухгалтер компании всерьез задумался о смене работы. Уже был
назначен преемник, которому надлежало передать дела. Но все выпало на
отчетный период. Юридически отчитаться должен был «старый» главный
бухгалтер. Если человек собирается уходить, его ставят под полный
контроль, в том числе и с помощью видеозаписи.
Примеры из жизни
Анализируя видеозаписи было
выявлено, что главный бухгалтер
перед отправкой отчетности внесла
изменения в некоторые документы.
Если бы компания не выявила
нарушение, в следующий раз у них
арестовали бы счета, пришла бы
проверка и на месяц-другой
финансовая деятельность организации
прекратилась. А за 1-2 месяца
компания может и обанкротиться.

21. Оценка эффективности
Оценкой эффективности работы
СБ с DLP-системой, по нашему
опыту, может служить количество
уволенных сотрудников
В среднем их количество
составляет 0,2-1% от общего
числа в течение 3-4 месяцев
после внедрения DLP-системы

22. Общие практики
Контроль общения
с уволившимися
сотрудниками
Отслеживание
неформальных
лидеров и
всплесков
активности
Мониторинг
активности 1-2%
персонала
организации за
прошедший месяц

23. Преимущества
• Простота и скорость внедрения
• Контроль всех популярных каналов передачи информации
• Функция «Поиск похожих»
• Полная интеграция с доменной структурой Windows
• Расширенные поисковые возможности позволяют эффективно
защищать конфиденциальные данные при минимальных трудозатратах
на анализ информационных потоков

24. Сохранность
конфиденциальных
данных вашей компании
зависит от вас!