Гайд: как защитить данные от нарушений со стороны привилегированных пользователей?

Основа информационной безопасности — организация хранения данных и распределение прав доступа. Злоумышленник не сможет украсть или испортить охраняемый контент, если у него не будет доступа к файлу. Но судебная практика показывает, что эта логика не всегда работает, если инсайдер — штатный ИТ-специалист или системный администратор. Они могут использовать привилегии своей учетной записи или поменять ее параметры, чтобы получить доступ к файлам с защищаемыми сведениями.

Защитить данные от несанкционированных действий привилегированных пользователей поможет DCAP-система «СёрчИнформ FileAuditor». Разберемся по шагам, как это работает.

Шаг 1. Найти и взять под контроль

Первое, что нужно сделать, — найти все файлы, которые представляют особую ценность для компании. Например, это может быть финансовая, проектная документация, договоры с клиентами и т. д. Все конфиденциальные сведения нужно взять под контроль — отслеживать, кто и что с ними делает.

В этом лучше остальных средств защиты поможет DCAP-система. FileAuditor сканирует локальные и облачные файловые хранилища, вычитывает все документы и присваивает метку классификации тем, в которых находит защищаемый контент. Метка встраивается в файловый поток, то есть становится неотъемлемой частью документа, но пользователю по умолчанию не видна. Зато в интерфейсе DCAP метки на документах отображаются и показывают, что именно внутри: персональные данные, прайсы, пароли и т. д.

Для всех размеченных документов FileAuditor также вычитывает права доступа и фиксирует файловые операции. Можно просматривать эти данные для конкретных файлов и директорий, а можно сразу оценить картину целиком: например, в отчетах, которые показывают ошибки в наследовании прав, реальных владельцев документов и прочее.

Вместе результаты такого аудита дают ИБ-специалисту понимание «фронта работ»: сколько в компании таких данных, где они хранятся и что с ними происходит. С этими вводными проще навести порядок и грамотно распределить права доступа в файловой системе. А чтобы проконтролировать, как идет эта работа, FileAuditor интегрирован с контроллером домена. Например, из Active Directory (AD) система получает сведения о действиях системных администраторов: создании, изменении учетных записей, раздаче прав и т. д. Так ИБ-специалист сможет удостовериться, что все настроено «как надо».

Шаг 2. Избежать рисков

Главный риск ИБ, связанный с файлами, — это неправомерный доступ к ним. Поэтому кроме вычитки прав доступа DCAP-системы должны ими управлять: ограничивать пользовательские разрешения или отзывать их при подозрении на инцидент.

Обычно управление правами происходит в контроллере домена. В контексте суперпользователей это ненадежно. Сотрудник с учетной записью администратора может получить доступ к любому документу, несмотря на ограничения.

FileAuditor позволяет избежать риска при помощи блокировок на основе собственного механизма распределения прав. Он запрещает вычитывать документы из файловой системы при заданных условиях. Их можно настроить для документов с критичным содержимым по метке классификации — и применять для выбранных пользователей, ПК и их групп в разных сочетаниях.

Важно, что блокировки FileAuditor не связаны с привилегиями пользователей в AD и операционной системе. Они работают на уровне альтернативных файловых потоков файловой системы ПК и запрещают доступ в зависимости от процесса, с помощью которого пользователь пытается взаимодействовать с файлом, — например, отредактировать в Word или отправить в Telegram Desktop. Таким образом можно блокировать небезопасные сценарии доступа к файлу, сохраняя возможность штатной работы с ним.

В частности, можно запретить всем пользователям, кроме группы «Бухгалтеры», работать в офисных редакторах с файлами с меткой «Зарплатные ведомости». Тогда остальные сотрудники, даже с самыми привилегированными учетками, не смогут открыть файл с этим содержимым или отредактировать его.

При этом блокировки никак не повлияют на работу штатных ИТ-специалистов. Администраторы домена по-прежнему смогут изменять права инструментами ОС, устранять несоответствия с матрицей доступов и т. д.

Шаг 3. Обнаружить инцидент

Столкнувшись с запретами, некоторые сотрудники пытаются их обойти. Поэтому в FileAuditor есть политики безопасности — с ними DCAP автоматически обнаруживает и реагирует на такие действия.

Это заранее созданные правила поиска инцидентов, которые фиксируют заданные ИБ-специалистом события и оповещают о них. Например, о том, что администратор домена внес критичное изменение в AD: создал новую учетную запись и дал ей права администрирования в папке с конфиденциальными документами.

Для наглядности смоделируем ситуацию. Администратор пытается получить доступ к файлу с коммерческой тайной, но обнаруживает, что не может его открыть или отправить. Он логично предполагает, что ограничения связаны с его учетной записью и для конспирации создает временную учетку с нужными правами. Совершает желаемое действие, а после удаляет учетку. И все это в нерабочее время — пока служба ИБ «не видит». (Кстати, поэтому блокировки бывает полезно настраивать по принципу «белых списков», когда доступ по умолчанию запрещен всем, кроме конкретных пользователей/групп.)

Читайте также

ERP для производства. Почему «универсальность» мешает эффективности

Только 10% проектов внедрения систем ERP оказываются успешными, если оценивать их на основе внедренного функционала, сроков и стоимости.

Но FileAuditor зафиксирует каждое из этих событий, вплоть до времени совершения конкретных файловых операций. Благодаря этому ИБ-специалисту видно, где нормальные рабочие процессы, а где подозрительная активность. Кроме того, система регистрирует каждый раз, когда срабатывает блокировка доступа — по этим событиям тоже можно настроить политики с уведомлениями.

Шаг 4. Расследовать инцидент

Для того чтобы инциденты не повторялись, нужно разобраться в причинах и найти причастных. Для этого FileAuditor предоставляет разные инструменты расследования, например:

• Гибкий поиск. Более 10 поисковых алгоритмов, которые можно комбинировать, помогают найти в документообороте любые файлы. Например, показать только документы с коммерческой тайной в общедоступных директориях. Или файлы, которые создал системный администратор, с особыми разрешениями.
• История редакций. Для любого документа система ведет журнал событий: какие права доступа к нему имели пользователи и когда, как изменялось расширение, расположение файла и т. д. Что удобно — сохраняется копия содержимого файла, и, если оно менялось, по копиям можно отследить, как именно. Это даст понимание того, что происходило с файлом в ретроспективе. 
• Вычитка журнала событий контроллера домена. Покажет, какие изменения произошли в AD и позволит распределить их по дате и времени, связанным учетным записям и другим атрибутам. Благодаря этому ИБ-специалист может узнать, что предшествовало инциденту и кто является потенциальным нарушителем.

Таким образом, система позволяет провести аналитику, собрать данные и после — понять, как стоит оптимизировать действующие правила ИБ. Например, объединить политики FileAuditor с правилами в DLP, чтобы усилить защиту не только при хранении, но и при передаче файлов. Так, «СёрчИнформ КИБ» может использовать метки классификации FileAuditor для блокировки отправки документов по каналам связи, не тратя время на вычитку содержимого. Это ускоряет работу систем и экономит ресурсы ИБ-службы.

Заключение

DCAP-система хорошо подходит для контроля привилегий в ОС. Она отслеживает права доступа к файлам, все действия пользователей с ними, а также вычитывает события контроллера домена. Это позволяет автоматически обнаруживать потенциально опасные действия привилегированных пользователей и их ошибки. А блокировки FileAuditor помогают нивелировать риски, связанные с суперпользователями, — они защищают файлы вне зависимости от полномочий учетки, которая с ними взаимодействует.
Система в полном функционале доступна для бесплатного тестирования на 30 дней. Оставьте заявку по ссылке.

Реклама ООО «СёрчИнформ» erid: 2W5zFJVUKDi