慧聰安防網(wǎng) * 2007年，美國(guó)零售巨頭TJX公司的網(wǎng)絡(luò)被入侵。黑客進(jìn)入了TJX的中心數(shù)據(jù)庫(kù)并竊取了大量敏感的客戶數(shù)據(jù)，據(jù)統(tǒng)計(jì)至少有4570萬(wàn)張信用卡和借記卡的信息被盜。后來(lái)，TJX至少花費(fèi)了2.56億美元來(lái)處理該安全事件。
* 2008年，美國(guó)負(fù)責(zé)全國(guó)家庭貸款的機(jī)構(gòu)Countrywide的文檔被竊。一名員工在超過(guò)兩年的時(shí)間里一共竊取了大約200萬(wàn)份客戶記錄，并將它們出售給第三方。
* 2009年，IDC和EMC的安全子公司RSA聯(lián)手對(duì)大約400位企業(yè)主管級(jí)官員進(jìn)行了調(diào)查。調(diào)查結(jié)果顯示，這400人在過(guò)去的12個(gè)月中碰到了大約5.8萬(wàn)起內(nèi)部風(fēng)險(xiǎn)事件，平均每個(gè)企業(yè)每年將遇到近150起內(nèi)部風(fēng)險(xiǎn)事故。
以上事實(shí)表明，企業(yè)的關(guān)鍵數(shù)據(jù)并不像通常所想象的那么安全，采取常規(guī)的安全防御措施也很可能無(wú)法阻止數(shù)據(jù)的泄露。那么，我們?cè)撚檬裁捶椒ūＷo(hù)數(shù)據(jù)的安全呢?為了保護(hù)企業(yè)的關(guān)鍵數(shù)據(jù)不被有意或無(wú)意泄露，一種新的安全技術(shù)出現(xiàn)了，這就是數(shù)據(jù)泄露防護(hù)(Data Leakage Prevention，DLP)。
為保護(hù)數(shù)據(jù)而生
DLP也被稱(chēng)為數(shù)據(jù)泄露預(yù)防。它是版權(quán)管理的一種變體，且常被企業(yè)用來(lái)進(jìn)行更大范圍的數(shù)據(jù)防護(hù)。版權(quán)管理傾向于將一些文檔和文件類(lèi)型進(jìn)行打包，以便對(duì)其進(jìn)行保護(hù);而DLP更注重對(duì)企業(yè)的網(wǎng)關(guān)進(jìn)行保護(hù)和監(jiān)控。
DLP技術(shù)是通過(guò)一定的技術(shù)或管理手段，防止企業(yè)的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式流出企業(yè)。DLP關(guān)注的焦點(diǎn)在于，防止敏感信息經(jīng)電子郵件、文件傳輸、即時(shí)消息、網(wǎng)頁(yè)發(fā)布、便攜式存儲(chǔ)設(shè)備或介質(zhì)等途徑泄露出去。
McAfee公司高級(jí)系統(tǒng)工程師王昊說(shuō)：“最早的數(shù)據(jù)泄露防護(hù)概念在2004年出現(xiàn)，這個(gè)概念的出現(xiàn)和整個(gè)信息安全技術(shù)的發(fā)展趨勢(shì)有關(guān)，業(yè)界普遍的觀點(diǎn)認(rèn)為，信息安全(IT Security)已經(jīng)從邊界安全向內(nèi)容安全進(jìn)行延伸，傳統(tǒng)的邊界安全設(shè)備如防火墻，VPN等根本無(wú)法對(duì)進(jìn)出互聯(lián)網(wǎng)的內(nèi)容(數(shù)據(jù))進(jìn)行識(shí)別，同時(shí)伴隨出現(xiàn)的各種法律法規(guī)如塞班斯法案、GLBA、HIPPA等對(duì)數(shù)據(jù)資產(chǎn)(公司專(zhuān)利、財(cái)務(wù)報(bào)告、員工信息、信用卡持卡人信息等)的安全性提出了明確的安全要求，這一系列的因素促使數(shù)據(jù)泄露防護(hù)產(chǎn)品的誕生?！?/font>
DLP是從數(shù)據(jù)丟失防護(hù)(Data Loss Prevention)概念演變而來(lái)。從2005年開(kāi)始，Gartner針對(duì)內(nèi)容監(jiān)控、過(guò)濾和數(shù)據(jù)丟失防護(hù)的主題進(jìn)行產(chǎn)品調(diào)查。在2007，Gartner將主題更名為數(shù)據(jù)泄露防護(hù)并對(duì)產(chǎn)品與技術(shù)進(jìn)行區(qū)隔來(lái)調(diào)查與評(píng)比，評(píng)比重點(diǎn)放在網(wǎng)絡(luò)網(wǎng)關(guān)防護(hù)與主機(jī)端點(diǎn)防護(hù)二項(xiàng)。
Gartner認(rèn)為，作為一種重要的信息安全控制解決方案，DLP的發(fā)展正處于迅猛上升階段。DLP幫助企業(yè)進(jìn)行異常業(yè)務(wù)流程的識(shí)別和和矯正，監(jiān)控并阻止突發(fā)性敏感數(shù)據(jù)泄露，同時(shí)還提供支持、遵從協(xié)議和審計(jì)等。
大多數(shù)信息泄露防護(hù)解決方案都提供了一些缺省模板，以便識(shí)別常見(jiàn)的敏感信息。企業(yè)可以對(duì)模板進(jìn)行定制，以滿足其特定的需求。
安全你的關(guān)鍵數(shù)據(jù)
DLP能做很多事情，概括起來(lái)就是防止數(shù)據(jù)資產(chǎn)通過(guò)所有可能的方式泄漏。具體來(lái)說(shuō)，首先是從公司海量的文件中迅速定位到需要受到保護(hù)的數(shù)據(jù)資產(chǎn)，這種自動(dòng)發(fā)現(xiàn)數(shù)據(jù)資產(chǎn)的方式包括文件存放路徑、包含的關(guān)鍵字、生成文件的應(yīng)用程序、正則表達(dá)式或者文件“指紋”等，被發(fā)現(xiàn)的數(shù)據(jù)資產(chǎn)通過(guò)各種行為如USB存儲(chǔ)設(shè)備、剪貼板、郵件、Web發(fā)布、截屏、打印、網(wǎng)絡(luò)共享、即時(shí)消息等多種方式傳播到公司外部環(huán)境(如員工私人電腦、外部郵箱、私人USB存儲(chǔ)設(shè)備等)時(shí)DLP產(chǎn)品能夠?qū)嵤┳柚?、監(jiān)視、存儲(chǔ)證據(jù)、通知用戶、強(qiáng)制加密等多種可選的反應(yīng)規(guī)則，達(dá)到防止數(shù)據(jù)泄漏的目的。
趨勢(shì)科技技術(shù)顧問(wèn)林義軒向記者介紹，DLP的功能主要包括：感知數(shù)據(jù)并有效防護(hù)數(shù)據(jù)的泄露，對(duì)于數(shù)據(jù)外泄的可能發(fā)生要能有相對(duì)的智慧，能主動(dòng)告知使用者與管理者此事件的分級(jí)與行為;能在不干擾使用者正常行為的操作下進(jìn)行傳出與寫(xiě)出數(shù)據(jù)的偵測(cè)，對(duì)于敏感數(shù)據(jù)或數(shù)據(jù)的描述與比對(duì)要精確與精準(zhǔn);對(duì)事件的追查與日常的管理要便于使用。
Websense中國(guó)區(qū)技術(shù)經(jīng)理陳綱說(shuō)：“Websense強(qiáng)調(diào)針對(duì)內(nèi)容的數(shù)據(jù)泄露防護(hù)。因此DLP至少應(yīng)能從內(nèi)容上對(duì)敏感數(shù)據(jù)進(jìn)行判斷，并能從終端和網(wǎng)絡(luò)兩個(gè)層面對(duì)敏感數(shù)據(jù)進(jìn)行檢測(cè)與分析。能對(duì)各類(lèi)主流的文檔格式進(jìn)行判斷與識(shí)別，并正確地還原這些文檔中的數(shù)據(jù)，對(duì)數(shù)據(jù)泄露進(jìn)行監(jiān)測(cè)與防護(hù)?！?/font>
要想在一個(gè)復(fù)雜的企業(yè)網(wǎng)絡(luò)環(huán)境中成功部署好DLP解決方案，并不是一件很容易的事情。這是因?yàn)樵诓渴餌LP方案的同時(shí)必須考慮它與網(wǎng)絡(luò)中已經(jīng)部署好了的安全解決方案的共存及相互協(xié)作的問(wèn)題，確保實(shí)施的DLP解決方案不能與現(xiàn)有的安全措施相互沖突。還要解決如何將它無(wú)縫地集成到現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)當(dāng)中去，又不影響企業(yè)正常的網(wǎng)絡(luò)業(yè)務(wù)的問(wèn)題。目前已經(jīng)存在一些成功部署DLP解決方案的最佳做法。
這些部署DLP解決方案的最佳做法由5個(gè)步驟構(gòu)成，它們是：部署DLP解決方案的總體策略、指定部署人員、DLP產(chǎn)品選型、部署處理流程和DLP部署檢驗(yàn)。這5個(gè)步驟之間首尾相連構(gòu)成一個(gè)不斷往復(fù)的部署過(guò)程。
第一步：制定部署DLP解決方案的總體策略?？傮w策略應(yīng)當(dāng)包括預(yù)期要達(dá)到的目標(biāo)和具體的部署計(jì)劃，以及如何監(jiān)督它的實(shí)施。在決定部署DLP解決方案之前，企業(yè)必須先來(lái)了解企業(yè)中的哪些數(shù)據(jù)屬于機(jī)密數(shù)據(jù)。企業(yè)還必須制定一個(gè)評(píng)估DLP實(shí)施效果的績(jī)效指標(biāo)，用來(lái)確定使用DLP后到底取得了什么樣的效果。這個(gè)績(jī)效指標(biāo)可以是實(shí)施DLP解決方案后機(jī)密數(shù)據(jù)泄漏事件的月下降率，以及員工違反安全操作的發(fā)生率等來(lái)評(píng)定。
同時(shí)，企業(yè)還應(yīng)當(dāng)考慮部署DLP解決方案時(shí)可能對(duì)現(xiàn)有網(wǎng)絡(luò)業(yè)務(wù)和工作方式，以及員工的操作習(xí)慣帶來(lái)的影響，并以此來(lái)決定要不要對(duì)員工進(jìn)行培訓(xùn)，以便他們能遵從DLP解決方案的要求。而且，企業(yè)還應(yīng)當(dāng)考慮部署DLP解決方案是否會(huì)牽扯到員工個(gè)人隱私的法律問(wèn)題。
企業(yè)還應(yīng)當(dāng)明確每種機(jī)密數(shù)據(jù)的屬主。這樣做是很重要的，企業(yè)應(yīng)當(dāng)將每個(gè)員工可以接觸到什么樣的機(jī)密數(shù)據(jù)做一個(gè)具體的了解，并以此建立一個(gè)員工與所屬機(jī)密數(shù)據(jù)的對(duì)應(yīng)表。這樣做有利于明確員工對(duì)機(jī)密數(shù)據(jù)的權(quán)限范圍，以及出現(xiàn)數(shù)據(jù)丟失事件后明確責(zé)任承擔(dān)人。
第三步：DLP產(chǎn)品選擇。DLP產(chǎn)品按適用范圍來(lái)分有兩種主要類(lèi)型：基于主機(jī)的DLP和基于網(wǎng)絡(luò)的DLP。最好的DLP部署方式就是綜合使用基于主機(jī)型DLP軟件和基于網(wǎng)絡(luò)的DLP產(chǎn)品，這樣才能夠?qū)ζ髽I(yè)網(wǎng)絡(luò)中的所有需要的位置都能進(jìn)行防范。
第四步：DLP解決方案的具體部署處理流程。在部署DLP解決方案之前，企業(yè)應(yīng)當(dāng)已經(jīng)建立一個(gè)可以用來(lái)正確部署DLP解決方案的業(yè)務(wù)處理流程。這個(gè)流程中規(guī)范了部署時(shí)應(yīng)該按什么步驟、方式來(lái)進(jìn)行，什么人負(fù)責(zé)什么位置，以及事件的管理、調(diào)試、報(bào)告機(jī)制和系統(tǒng)操作等各個(gè)方面。還應(yīng)當(dāng)規(guī)范人員、物質(zhì)和設(shè)備的管理、保管和使用及調(diào)配，以及相互之間如何協(xié)作和上下交流等各個(gè)方面。但有一條，DLP解決方案的具體部署處理流程應(yīng)當(dāng)盡量精簡(jiǎn)和規(guī)范化。
企業(yè)往往需要模塊化部署DLP數(shù)據(jù)保護(hù)解決方案。這種部署方式能夠?qū)⑵髽I(yè)所有的DLP部署面分割成幾個(gè)模塊來(lái)一步步地實(shí)現(xiàn)，能夠?qū)⒉渴餌LP時(shí)對(duì)業(yè)務(wù)的影響降到最低，也讓DLP部署更加清晰明了，能夠讓人掌握部署的進(jìn)度，發(fā)現(xiàn)問(wèn)題并及時(shí)解決。
另外，在部署DLP解決方案之前，為了能夠讓方案實(shí)施人員了解企業(yè)當(dāng)前的網(wǎng)絡(luò)結(jié)構(gòu)及DLP產(chǎn)品應(yīng)用的具體位置和對(duì)象，我們有必要為此先繪制一個(gè)企業(yè)部署DLP解決方案的網(wǎng)絡(luò)拓?fù)鋱D。
還有，在部署DLP解決方案之時(shí)，企業(yè)還要確保實(shí)施的DLP解決方案完全遵從當(dāng)?shù)氐臄?shù)據(jù)保護(hù)法規(guī)和員工的隱私保護(hù)條例。任何違反這些法規(guī)的操作都必需嚴(yán)格禁止，以防止以后出現(xiàn)不必要的麻煩。
同時(shí)，在部署DLP解決方案時(shí)，應(yīng)當(dāng)根據(jù)進(jìn)度，對(duì)已經(jīng)實(shí)施了DLP解決方案的區(qū)域進(jìn)行相應(yīng)的檢驗(yàn)，以確定部署部署DLP解決方案后能達(dá)到什么樣的效果，以及還有什么需要調(diào)整和改進(jìn)的。但這樣的分步檢驗(yàn)不能影響總的項(xiàng)目完成進(jìn)度。
第五步：檢驗(yàn)DLP解決方案的部署效果。當(dāng)完成DLP解決方案的具體部署工作后，雖然在部署的過(guò)程中可能對(duì)某個(gè)段的部署結(jié)果進(jìn)行的檢測(cè)，但是，這樣的檢測(cè)并不能了解到整體的部署效果。因此，在完成DLP解決方案的部署后，還應(yīng)當(dāng)檢測(cè)整個(gè)DLP 解決方案的部署效果。
可以通過(guò)向企業(yè)外部發(fā)送非受權(quán)的機(jī)密數(shù)據(jù)的方式來(lái)檢驗(yàn)網(wǎng)絡(luò)型DLP產(chǎn)品的監(jiān)控和控制效果，以及通過(guò)在主機(jī)上應(yīng)用非授權(quán)U盤(pán)地設(shè)備復(fù)制數(shù)據(jù)來(lái)檢測(cè)主機(jī)型DLP軟件對(duì)可移動(dòng)設(shè)備在主機(jī)上的控制能力等等。至于具體的檢測(cè)方式和檢測(cè)的細(xì)粒度，可以由企業(yè)自己來(lái)自行決定。當(dāng)然是越細(xì)越好，越嚴(yán)格越好。
在這里，需要明確的一點(diǎn)是：DLP解決方案的部署是一個(gè)長(zhǎng)期的過(guò)程，它應(yīng)當(dāng)與數(shù)據(jù)的整個(gè)生命周期相對(duì)應(yīng)，并不是一次部署以后就不需要去管理和維護(hù)了。因此，企業(yè)在部署完DLP解決方案后，還應(yīng)當(dāng)不斷地檢驗(yàn)它的執(zhí)行效果，然后根據(jù)檢測(cè)結(jié)果來(lái)調(diào)整DLP策略，以便它在數(shù)據(jù)整個(gè)生命周期中的各個(gè)階段都有能到企業(yè)的要求。
術(shù)業(yè)有專(zhuān)攻
一些安全產(chǎn)品，例如：端點(diǎn)安全產(chǎn)品、上網(wǎng)行為管理產(chǎn)品也能實(shí)現(xiàn)一些防數(shù)據(jù)泄露的功能，澄清它們和DLP方案的區(qū)別將有助于用戶選擇適合自己的產(chǎn)品。
陳綱認(rèn)為，端點(diǎn)(終端)安全產(chǎn)品的數(shù)據(jù)泄露防護(hù)功能往往采用設(shè)備管控等手段，而做不到對(duì)內(nèi)容的控制。以U盤(pán)的使用為例，端點(diǎn)安全產(chǎn)品通過(guò)限制使用U盤(pán)來(lái)進(jìn)行，而DLP產(chǎn)品能做到如果往U盤(pán)拷貝敏感數(shù)據(jù)則被禁止，拷貝其他非敏感數(shù)據(jù)則允許。這就像是有拍照功能的手機(jī)，雖然能起到一定的拍照作用，但與真正的相機(jī)相比還是有差距的。XX補(bǔ)充了一些看法。他說(shuō)：“端點(diǎn)安全管理產(chǎn)品主要針對(duì)客戶端的應(yīng)用程序及外圍管控進(jìn)行管理與限制停用，但較缺乏彈性，而DLP不但擁有端點(diǎn)安全產(chǎn)品所有的功能，更可對(duì)外傳的信息進(jìn)行管理并限制，相較于傳統(tǒng)的端點(diǎn)安全管理產(chǎn)品更可在不影響使用者行為與操作的情況下，對(duì)所傳出的數(shù)據(jù)進(jìn)行搜集與記錄/阻攔?！?/font>
DLP廠商通常可以提供主機(jī)(端點(diǎn))DLP產(chǎn)品和網(wǎng)關(guān)DLP產(chǎn)品兩種解決方案，兩者是互補(bǔ)的關(guān)系，網(wǎng)關(guān)DLP產(chǎn)品對(duì)于通過(guò)Web、郵件或者即時(shí)消息方式的數(shù)據(jù)泄露能夠?qū)崟r(shí)反應(yīng)，但對(duì)于通過(guò)USB存儲(chǔ)設(shè)備、抓屏、打印等方式的實(shí)時(shí)數(shù)據(jù)泄露防護(hù)，必須要通過(guò)主機(jī)DLP方式實(shí)現(xiàn)。據(jù)王昊介紹，網(wǎng)關(guān)DLP的優(yōu)勢(shì)在于處理圖形文件的防護(hù)，通過(guò)網(wǎng)關(guān)的人工智能分析能夠有效地防止更改過(guò)的任何圖形文件泄露;主機(jī)DLP的優(yōu)勢(shì)在于對(duì)加密的數(shù)據(jù)文件也能夠有效防護(hù)。
和上網(wǎng)行為管理產(chǎn)品相對(duì)比，DLP方案的功能明顯強(qiáng)大許多。
上網(wǎng)行為管理產(chǎn)品可以阻止簡(jiǎn)單的基于關(guān)鍵字的數(shù)據(jù)外泄，但它如何實(shí)現(xiàn)對(duì)上傳的某個(gè)Word文檔中是否包含某些敏感內(nèi)容來(lái)進(jìn)行判斷和阻斷呢?這明顯是上網(wǎng)行為管理產(chǎn)品做不到的。
上網(wǎng)行為管理產(chǎn)品可以防止一些簡(jiǎn)單的數(shù)據(jù)外泄，比如阻斷Web或者即時(shí)消息傳送的文件，但是這種防護(hù)的手段是非常粗放的，只能針對(duì)文件的后綴名、文件名等，會(huì)造成大量的誤報(bào)，如果更改文件名或者后綴即可繞過(guò)上網(wǎng)行為管理產(chǎn)品的控制，因此對(duì)于數(shù)據(jù)泄露防護(hù)還是需要專(zhuān)業(yè)的產(chǎn)品。專(zhuān)業(yè)的DLP產(chǎn)品從設(shè)計(jì)之初就已經(jīng)考慮了各種數(shù)據(jù)泄露的途徑，包括Web、打印機(jī)、USB存儲(chǔ)設(shè)備、郵件和即時(shí)消息等，實(shí)現(xiàn)了真正的數(shù)據(jù)外泄防護(hù)。
DLP方案在審計(jì)方面也與傳統(tǒng)安全審計(jì)產(chǎn)品有很大區(qū)別。林義軒說(shuō)：“傳統(tǒng)安全審計(jì)產(chǎn)品主要是依據(jù)使用者的操作方式來(lái)進(jìn)行審計(jì)的動(dòng)作，而對(duì)DLP來(lái)說(shuō)數(shù)據(jù)才是所要保護(hù)的重點(diǎn)。不論數(shù)據(jù)是以檔案方式存在還是一小段數(shù)據(jù)的片段，都存在可能造成泄密的風(fēng)險(xiǎn)，因此主要審計(jì)的動(dòng)作是對(duì)數(shù)據(jù)的內(nèi)容本身進(jìn)行檢查后放行與審計(jì)。”
王昊說(shuō)：“DLP也包括一些審計(jì)功能，不過(guò)DLP的審計(jì)與安全審計(jì)產(chǎn)品有所區(qū)別?！迸c其他安全審計(jì)產(chǎn)品一樣，DLP產(chǎn)品必須保證審計(jì)的完整性，比如被審計(jì)的安全事件的發(fā)生時(shí)間、地點(diǎn)、身份識(shí)別、證據(jù)的完整性等，但DLP的安全審計(jì)只會(huì)關(guān)注與數(shù)據(jù)資產(chǎn)安全事件相關(guān)的證據(jù)，通過(guò)設(shè)置相應(yīng)的策略，任何數(shù)據(jù)泄露的事件都會(huì)觸發(fā)DLP產(chǎn)品的安全審計(jì)功能，把數(shù)據(jù)泄露事件發(fā)生的時(shí)間、地點(diǎn)、用戶身份、證據(jù)、觸發(fā)規(guī)則等全部集中存放，為事后審計(jì)提供完整的證據(jù)鏈。
聯(lián)系客服
