Системы распределения прав (Rights Management Systems)

Уфимский государственный авиационный технический университет

Кафедра

Вычислительной техники и защиты информации

100

1

2

3

4

5

6

7

8

9

10

11

12

90

80

70

60

50

40

30

20

10

Системы защиты конфиденциальных даных 

на основе использования распределения

прав пользователей

ПОЯСНИТЕЛЬНАЯ ЗАПИСКА

к курсовому проекту по

Программно-аппаратной защите информации

5093.006 000.000 ПЗ

(обозначение документа)

Группа

ЗИ-418

Фамилия, и., о.

Подпись

Дата

Оценка

Студент

Гумеров Р.Р.

20.12.06

Консультант

Кладов В.Е.

Принял

Кладов В.Е.

Уфа 2006

Уфимский государственный авиационный технический университет

Кафедра

ВТ и ЗИ

факультет

ИРТ

Задание

на курсовое проектирование по

Программно-аппаратной защите информации

на тему

Системы защиты конфиденциальных даных  на основе использования распреде

ления прав пользователей

выдано

10.11.06

студенту

4

курса

группы

ЗИ - 418

Гумерову Р.Р.

 (ф., и., о.,)

Срок выполнения

20.12.06

Руководитель проекта

Кладов В.Е.

  1. Технические условия
  1. Содержание проекта

Системы защиты конфиденциальных даных  на основе использования распределения

прав пользователей

  1. Оформление проекта
  1. Литература

Зав. кафедрой

Васильев В.И.

Руководитель проекта

Реферат

Данная курсовая работа представлена для ознакомления с программными пакетами по защите конфиденциальных данных на основе использования технологии распределения прав пользователей. В ней отражены наиболее распространенные средства защиты, а основанные на технологии RMS нашли наиболее полное отражение.

Содержание

Введение                                                                                              5

1 Внутренние угрозы России                                                             6

2 Защита информации – комплексная задача                                   9

2.1 Цифровое управление правами                                                        9

2.2 Модель прав                                                                           10

2.3 Типичная DRM Системная Архитектура                              11

2.3.1 Контент сервер                                                               12

2.3.2 Сервер Лицензии                                                           13

2.3.3 DRM Клиент                                                                   14

2.3.4 Контент-предоставление                                                15

2.4 Стандарты выражения прав                                                   16

2.5 Как действует XrML                                                               16

3 Предприятия DRM-технологии                                                      18

4 Authentica                                                                                         19

4.1 Authentica ARM Platform                                                       19

4.2 Authentica SecureDocs                                                            21

4.3 Authentica SecurePDF                                                             22

4.4 Authentica SecureMail                                                             24

4.5 Authentica Page Recall                                                            24

4.6 Резюме                                                                                    27

5 Liquid Machines                                                                                           29

5.1 Liquid Machines Email Control 6.0                                         29

5.2 Liquid Machines Document Control 5.0                                             31

5.3 Резюме                                                                                    33

6 InfoWatch Enterprise Solution                                                          35

7 Vidius                                                                                                44

8 Verdasys Digital Guardian                                                                46

Заключение                                                                                          49

Введение

Озабоченность бизнеса проблемами внутренней IT-безопасности и защиты своих информационных активов постоянно подтверждается исследованиями ведущих организаций. Согласно опубликованному в январе 2006 года отчету 2005 FBI Computer Crime Survey, 44% американских компаний пострадали в течение года в результате серьезных инцидентов, происходивших во внутренней IT-безопасности, при этом инсайдеры крали конфиденциальные документы работодателя, пытались исказить информацию с целью финансового мошенничества, выносили из офиса оборудование и т. д.

Не менее остро проблема стоит в России.

1 Внутренние угрозы России

Результаты исследования «Внутренние IT-угрозы в России '2005», проведенного компанией Info Watch среди 315 представителей отечественного бизнеса, опубликованные в конце января 2006 года, показали: 64% респондентов считают кражу информации самой опасной угрозой IT-безопасности (см. диаграмму 1). Сравнивая этот показатель с прошлогодним, можно с уверенностью утверждать, что проблема защиты конфиденциальных данных не только сохранила актуальность, но и приобрела гораздо большее значение, нежели такие распространенные угрозы, как вирусные и хакерские атаки.

Следует обратить внимание, что утечка чувствительных сведений, как угроза IT-безопасности, не всегда является результатом злого умысла. История хранит немало примеров, когда конфиденциальные данные утекали по нелепой случайности или банальной человеческой ошибке. Так, в марте 2005 года информация о 4,5 тыс. больных СПИДом пациентов медицинского учреждения в Палм-Бич, штат Флорида, и еще о 2 тыс. людей, тест на наличие ВИЧ у которых оказался положительным, была разослана не по тем адресам электронной почты. Как оказалось, сотрудник, обрабатывающий статистику в министерстве здравоохранения округа, настолько «заработался», что отправил конфиденциальные файлы нескольким сотням получателей, не имевших права доступа к подобной информации. Таким образом, при оценке актуальности внутренних угроз следует учитывать не только формальную кражу чувствительных документов, но и халатность сотрудников, озабоченность которой высказали, согласно исследованию Info Watch, 44% респондентов.

Для дальнейшего обзора решений в сфере выявления и предотвращения утечек очень важен еще один результат, отмеченный в исследовании «Внутренние IT-угрозы в России 2005», а именно анализ путей утечки (см. диаграмму 2). В этой связи наиболее популярным способом кражи данных, по мнению российских компаний, являются мобильные носители (91%), электронная почта (86%), интернет-пейджеры (85%) и Всемирная паутина (веб-почта, чаты, форумы и т. д. - 80%). Сравнивая эти показатели с аналогичными за прошлый год, можно заметить, что мобильные накопители теперь опережают электронную почту. Судя по всему, популярность портативных устройств, предназначенных для хранения данных, возросла за прошедший год. В результате служащие осознали, что копирование информации на мобильный накопитель оставляет меньше следов, чем отправка писем через корпоративную почтовую систему (ведущую журнал событий), и не связано с аномальной активностью, которая часто привлекает внимание администратора при пересылке больших объемов данных по сети.

2 Защита информации – комплексная задача

Несмотря на несколько разнородный индекс популярности различных каналов утечки, только комплексная защита, покрывающая все виды коммуникации, способна эффективно обезопасить информационные активы. Ведь ничто не помешает инсайдеру переключиться на сетевые каналы передачи данных, если компания возьмет под контроль порты и приводы рабочей станции. Именно принцип комплексности взят за основу при рассмотрении решений для борьбы с утечками.

2.1 Цифровое управление правами

Цифровое управление правами - категория, которая предоставляет защиту различных форм цифровой информации, типа электронных книг, музыка, финансовые сообщения, программы и т.д. Когда собственники создают цифровое содержание, которое должно быть защищено, они должны определить набор прав на содержание и стать владельцем прав содержания. Когда другие пользователи намереваются использовать цифровое содержание, они должны получить соответствующие права на содержание через лицензии, выпущенные владельцем прав. Технологический процесс управления и руководства правами на цифровую интеллектуальную собственность называют Цифровым Управлением Правами (DRM). Основанный на механизме защиты файлов операционной системы, DRM, по существу отвечает за доступ и управление на прикладном уровне.

Кодирование и создание водяных знаков широко используются в этой области для шифрования содержимого файлов и подтверждения подлинности пользователей. Все DRM-методы главным образом имеют два типа приложений:

- Системы распределения содержимого между пользователями;

- Системы управления доступом к защищаемому документу в пределах предприятия.

Второе приложение часто называют Enterprise Digital Rights Management (E-DRM). E-DRM имеет чрезвычайно важную роль в борьбе с информационным воровством, особенно воровством внутренним злоумышленником. В этом разделе, мы введем модель прав и типичную DRM системную архитектуру, которые являются основными принципами любых DRM систем.

2.2 Модель прав

Модель прав - спецификация прав, отображающая возможности системы: типы прав и признаками прав (время, имя пользователя и т.д). Должным образом определенная модель прав - первый шаг, который строит DRM систему для предприятия: важно определить, какие права специфический пользователь может иметь на определенный защищенный документ, и как долго он может пользоваться данными правами.

Всего четыре типа прав: права на выполнение, права на операции перемещения, авторские права и сервисные права.

Права на выполнение – права на вывод на монитор содержимого данного файла, вывода на печать, на выполнение данного файла.

Транспортные права - права копировать или перемещать цифровое содержание из одного места в другое.

Авторские права - права управлять цифровым содержанием, изменять его. Иначе горовя- права на редактирование.

Сервисные права - права управлять цифровым содержанием для поддержания целостности данных. Включают: резервирование, кэширование,  контроль целостности данных.

Базируясь на модели прав, автор документа может определить точную спецификацию прав для одного и более защищаемых документов. Существует несколько стандартных языков прав, которые могут использоваться, чтобы выразить права для приложений предприятия. Эти стандартные языки обеспечивают способность к взаимодействию в выражении прав систем и платформ. Мы будем говорить о двух стандартах выражения прав: расширяемый Язык Повышения прав (XrML) и Открытый Цифровой Язык Прав (ODRL).

2.3 Типичная DRM Системная Архитектура

Большинство DRM систем можно счесть как разновидности типичной DRM системной архитектуры, как показано на Рисунке 1. Как правило, DRM-система состоит из трех главных компонентов: контент сервер, сервер лицензии и DRM клиент.

Рисунок 1. Типичная DRM архитектура

2.3.1 Контент сервер

Основные функциональные возможности контент сервера должны хранить защищенные файлы в контент архиве, который является по существу сервером файлов или системой базы данных. Содержание в архиве может быть уже в надлежащем формате для отправки по запросу, но в большинстве случаев требуется преобразование в надлежащий формат по требованию на запрос пользователей.

Другие функциональные возможности контент-сервера состоют в подготовке пакета соответствующего содержимого, когда пользователи обращаются к специфической части защищаемого содержания. Процесс подготовки включает шифровку и упаковку защищаемого содержания и связанныхпромежуточных данных, и создания спецификаций прав для содержимого. Автономный модуль DRM packager ответственен за завершение этих задач. Законченный контент-пакет будет содержать зашифрованное содержание промежуточных данных, которые могут быть уникальным числом идентификации для того, чтобы  прослеживать его использование. Также может содержать зашифрованное защищаемое содержание симметричными ключевыми алгоритмами, или иногда просто содержать ссылку к содержанию. Контент-ссылка (ссылка на содержимое) часто используется для закачки файлов мультимедиа

2.3.2 Сервер Лицензии

Лицензии содержат информацию о спецификациях прав, идентификаторов содержимого, к которому права применяются, и идентификатор пользователя или устройства, которое хочет реализовать права. Пользователь DRM системы должен получить лицензию прежде, чем обратиться к закрытой части содержания. Лицензии производятся генератором лицензии на сервере лицензий.

DRM packager создает спецификации прав и набор ключей кодирования, которые используются, чтобы подтвердить подлинность пользователей и расшифровать содержание. Спецификации прав и ключи сохранены в отдельных базах данных на серверу лицензии. Обе из этих двух баз данных содержат контент-идентификации, спецификации прав и ключи, которые могут быть связаны с определенными контент-элементами. Кроме того, сервер лицензии также хранит пользовательские тождества, т.е. информацией о пользователях, которые реализуют права на любое защищенное содержание. Пользовательская идентификация может быть основана на имени пользователя, биометрической информации пользователя или цифровым свидетельством. По получении запроса лицензии пользователей и прав на информацию, ключей и баз данных тождеств, генератор лицензии выпускает надлежащие лицензии на законных пользователей и посылает их DRM клиенту.

2.3.3 DRM Клиент

DRM клиент состоит из DRM контроллера, который получает запрос пользователя и затем связывается с сервером лицензии, и приложениями предоставления, которые расшифровывают и отдают содержание в поддерживаемом формате. DRM контроллер может быть автономной программой, или простым модулем, постоянно находящимся в пределах приложения предоставления. Главные задачи DRM контроллера:

- получение запроса пользователя на реализацию прав на контент-пакет;

- сбор информации об идентификаторах пользователя и запрос лицензии от сервера лицензий;

- получение ключей шифрования и расшифрование контент-пакетов.

Есть два типа предоставления приложений.

Первый тип - приложения, которые построены для специфической DRM системы и для набора определенных контент-форматов. Эти приложения обычно включают в себя DRM-контроллер и поддерживают только ограниченное число контент-форматов. Вообще они не могут быть выполнимы в среде предприятия, потому что большинство пользователей не желает менять существующие программы, т.к. они знакомы только с ними, и во многих случаях довольно трудно внедрить новые приложения, которые могут иметь те же самые функциональные возможности как существующие программы.

 Второй тип - приложения общего назначения, которые DRM система изменяет, чтобы ограничить их поведение. Модификации могут быть достигнуты, установкой и удалением дополнительных модулей, если это возможно, или прерыванием (заменой) программного интерфейса приложения.

2.3.4 Контент-предоставление

DRM клиент разработан таким способом, что DRM контроллер может всегда активизироваться в ответ на запрос пользователя.

Как только это произошло, DRM контроллер начинает собирать необходимую информацию, чтобы запросить лицензию, включая информацию об идентификаторах пользователя. Если пользователь не зарегистрировался в DRM системой прежде, DRM контроллер поможет создать информацию об идентификаторах и посылать ее в базу данных пользователей на сервере лицензий.

Собранную информацию посылают серверу лицензии. Генератор лицензий на сервере лицензий подтверждает подлинность пользователя на основе базы данных тождеств и использует контент-идентификатор, для поиска спецификации правна содержимое запрашиваемых пакетов. Для законного пользовательского запроса, генератор лицензии создает лицензию, содержащую спецификацию прав, информацию об идентификаторах клиента и ключах кодирования, и затем посылает лицензию назад DRM контроллеру. Ключ шифрования используется, чтобы расшифровать содержимое.

2.4 Стандарты выражения прав

Различные DRM системы нуждаются в стандартном способе интерпретации спецификаций прав для того, чтобы быть способными к взаимодействию. Таким образом, выявляется необходимость в стандартном языке, доступном для всех участников технологического процесса разделения прав.

Чтобы поддерживать широкое разнообразие деловых моделей, стандартный язык выражения прав должен быть:

           - всесторонним: обеспечивать структуру, чтобы выразить права в различных стадиях работы;

           - родовым: определить права для любого цифрового содержания или службы;

  - точным: используя грамматику и определенные правила гарантировать уникальную интерпретацию языкового выражения;

  - расширяемым: разрешать любому третьему лицу реализовывать определенные деловые потребности .

2.5 Как действует XrML

Стандарт XrML определяет язык описания прав, с помощью которых доверенные системы в доверенной среде могут формулировать политики в области электронной информации. Лицензии XrML могут применяться к доверенной информации в любом формате, например, к сообщениям электронной почты, документам, созданным с помощью офисных программ, содержимому баз данных, загружаемым файлам электронной коммерции, данным бизнес-приложений и систем работы с клиентами. Лицензии XrML могут быть внедрены в любую систему управления доверенными правами, использующую стандарт XrML.

Права, подлежащие управлению, описываются в лицензии выпуска XrML, вложенной в файл. Лицензия выпуска служит описанием того, какие типы применения, защиты и распространения информации предусматривает ее владелец. Лицензия выпуска и данные о пользователе поступают в систему управления правами, которая создает лицензию.

Такие лицензии допускают простую интерпретацию и управление с помощью различных совместимых систем управления правами, поскольку все они работают в стандарте XrML. Оперативное управление информацией с помощью лицензий обеспечивает простоту доступа из любого места. После загрузки лицензии управление правами действует как в интерактивном, так и в автономном режиме, поскольку описание прав сохраняется вместе с файлом, куда бы тот ни был передан.

Стандарт XrML поддерживает обширный перечень прав, а приложения могут определять дополнительные права в соответствии с конкретными потребностями. Это позволяет гарантировать, что предприятия смогут применять разнообразные модели бизнес-деятельности, использования информации и документооборота в соответствии со своими потребностями.

3 Предприятия DRM-технологии

В этом разделе, мы введем три коммерческих E-DRM системы от Microsoft, Liquid Machines и Authentica. Все три системы имеют специфические аспекты, которые отличаются от традиционной DRM архитектуры, и все из них получили относительно доминирующие позиции в рынке E-DRM против информационного воровства.

Вообще, любой E-DRM проект должен учитывать следующие принципы:

·   Безопасное содержание: распределяя зашифрованные файлы или metadata файлов;

·   Ревизия обращений к защищенному содержанию;

·   Минимальность вносимых изменений в документы;

·   Использование механизмов аутентификации пользователей;

·   Безопасное предоставление содержания клиенту, которому доверяют;

·   Автономность доступа и динамическое обновление прав;

·   Допуск внешних пользователей к правам доступа на защищенное содержание;

·   Использование стандартных языков выражения прав (XrML), чтобы допустить к взаимодействию различные DRM-системы;

·   Обеспечение безопасности и отказоустойчивости сервера лицензий.

Таким образом мы вплотную приблизились к ознакомлению с конкретными решениями компаний-разработчиков DRM-технологий.

4 Authentica

4.1 Authentica ARM Platform

Североамериканская компания Authentica поставляет комплексное решение для всестороннего контроля над оборотом классифицированных сведений в корпоративной сети.

Однако, в отличие от большинства своих конкурентов, фирма остановилась не на технологиях выявления и предотвращения утечек, а на управлении цифровыми правами в рамках предприятия (ERM - Enterprise Rights Management). Именно на примере основного продукта компании - Authentica Active Rights Management (ARM) Platform - будут рассмотрены достоинства и недостатки такого подхода. Полученные в результате анализа результаты применимы для всех остальных решений, призванных устранить проблему утечек посредством ERM-технологий. В частности, для продуктов компаний Adobe, Workshare, Liquid Machines, SealedMedia, DigitalContainers и Microsoft. Также необходимо отметить, что решение Authentica ARM Platform имеет очень много общего с Microsoft Rights Management Services (RMS).

В основе решения Authentica лежит запатентованная технология ARM (название которой входит в название самого продукта). С помощью ARM решение контролирует электронные документы, почтовые сообщения и вообще любые файлы. Дополнительные модули интегрируются с настольными приложениями (Microsoft Office и Outlook, Lotus Notes, Adobe Acrobat, Microsoft Explorer и Netscape) и внешними средствами аутентификации (LDAP, Windows Single Sign-on, X.509, RSA SecurID). Схема работы Authentica ARM Platform представлена на схеме 2.

Схема 2. Схема работы Authentica ARM-platform

Функциональность Active Rights Protection подразумевает аутентификацию пользователей и их авторизацию для просмотра информации, контроль над печатью документов и стандартными операциями (копирование, редактирование, чтение), а также возможность работы с документами в режиме offline. В дополнение к этому вся чувствительная информация постоянно находится в зашифрованном виде и расшифровывается только на момент работы с ней. Шифрованию также подлежит обмен информацией между сервером политик ARM и клиентскими компонентами. Таким образом, конфиденциальные данные всегда защищены от несанкционированного доступа - даже при передаче по коммуникационным каналам. Следует помнить, что и сама архитектура продукта тоже приспособлена именно для защиты от несанкционированного доступа, а не от утечки. Другими словами, инсайдер, обладающий правами доступа к конфиденциальному документу, может обмануть защиту. Для этого достаточно создать новый документ и переместить в него конфиденциальную информацию. Например, если инсайдером является сотрудник, в задачи которого входит подготовка отчета о прибыли, он будет создавать этот высокочувствительный документ «с нуля», а, следовательно, файл не будет зашифрован, так как для него еще не создана специальная политика. Соответственно, утечка становится вполне реальной. Если еще учесть, что весь почтовый трафик шифруется, то у инсайдера фактически есть готовый защищенный канал для пересылки конфиденциальных данных. При этом никакой фильтр не сможет проверить зашифрованный текст.

Тем не менее, решение Authentica ARM Platform представляется эффективным продуктом для защиты от несанкционированного доступа, поскольку ни один нелегальный пользователь действительно не сможет получить доступ к данным, пока не отыщет ключ шифрования.

Дополнительным недостатком продукта является отсутствие возможности хранить архивы корпоративной корреспонденции, что значительно усложняет процесс расследования инцидентов IT-безопасности и не позволяет вычислить инсайдера без лишнего шума.

4.2 Authentica SecureDocs

Authentica дает организациям мощный инструмент для того, чтобы безопасно использовать на  файлах Microsoft Office - документах, электронных таблицах и презентациях. Информация зашифрована и постоянно защищена: во время хранения, передачии даже в то время как она просматривается получателями. С Authentica SecureDocs Вы имеете свободу сотрудничать с коллегами и деловыми партнерами и гарантировать, что защищаемая информация будет защищена.

Уникальная Активная платформа Управления Правами Authentica SecureDocs позволяет организациям динамически управлять разрешениями на доступ получателей к файлам даже после того, как файлы находятся в руках получателей. Вы определяете, кто может просмотреть, распечатать, редактиротвать или сохранить содержимое файлов. Вы можете изменить пользовательские права в любое время. Например, Вы можете закрыть доступ к документу, и все копии будут автоматически удалены, везде, где они расположены. Аналогов данной разработки нет.

Authentica SecureDocs позволяет владельцу информации или приравненному лицу (администратору) контролировать все перемещения документа внутри организации в течение всего его жизненного цикла. Вы можете видеть, какие файлы просматривались, кем, когда, где, как долго и были ли они изменены или распечатаны. Этот уровень степени детализации является критическим для согласия с корпоративной информационной политикой защиты вашей организации так же как регулирующими требованиями HIPAA, ITAR, Sarbanes-Oxley, Gramm-рапа Bliley, SB1386 и другие.

Authentica SecureDocs обеспечивает плотную интеграцию приложениями Microsoft Office, чтобы сохранить существующий технологический процесс ваших пользователей и минимизировать необходимость обучения. Авторы могут предписать информационную политику защиты и проследить за доступ к информации прямосо своих настольных станций.

4.3 Authentica SecurePDF

Сегодня организации находятся под увеличивающимся давлением, чтобы совместно использовать их интеллектуальную собственность и ценную информацию с помощью электроники с коллегами, партнерами и клиентами. Как правило, организации осуществляют многократные уровни защиты типа межсетевых защит, кодирования файла, и идентификации, чтобы обеспечить безопасность информации. Однако, эти подходы защиты не могут защитить документы с момента, как они вышли за корпоративные границы.

В отличие от традиционных изделий(программ) защиты, которые только защищают, содержание в течение поставки, Authentica SecurePDF всегда зашифровано, и разрешения использования предписаны,  где бы документ ни был расположен. Организации или индивидуальные авторы документа могут изменить разрешения на доступ к информации в любое время.

4.4 Authentica SecureMail

Authentica SecureMail  является мощным средствомконроля над почтовым трафиком в организации. В отличие от традиционных безопасных решений поставки, Authentica SecureMail  защищает содержание в течение и после отправки. Электронная почта и вложения сохраняются конфиденциальными независимо от того, куда они отправлены или сохранены.

Authentica SecureMail  позволяет почтовому автору изменять пользовательские разрешения в любое время: даже после того, как получатель откроет сообщение. С Authentica SecureMail, автор устанавливает политику, которая определяет, кто и когда может читать сообщение, возможность печати, копирования или отправки сообщения. Защищенные сообщения могут также иметь предопределенную дату истечения срока хранения, назначенную автором. Когда дата истечения срока хранения установлена, она появляется рядом с сообщением во входном почтовом ящике получателя.

4.5 Authentica Page Recall

Цифровое управление правами (сокращенно — DRM) на доступ к документу традиционно встраивалось в сам этот документ, что делало его очень мобильным, но одновременно затрудняло изменение таких прав. Упростить решение данной задачи решила фирма Authentica с помощью PageRecall 3.1. Этот пакет благодаря функциям управления правами на серверах и клиентах позволяет четко определять, кто может работать с документом, а при необходимости — изменять, когда нужно, подобные привилегии или отменять их.

Проведенное в eWeek Labs тестирование показало, что PageRecall обладает широкими возможностями цифрового управления правами и прост в развертывании. Он полностью сохраняет мобильность документов, позволяет защищать их и безопасно рассылать в любое время. Вместе с тем новинке присущ ряд ограничений, что может уменьшить ее привлекательность для компаний.

PageRecall, в частности, способен работать только с документами в формате PDF пакета Acrobat фирмы Adobe Systems. А авторский инструментарий DRM и подключаемый модуль доступа к клиенту PageRecall 3.1 пригодны лишь в среде Windows. Это очень серьезный недостаток, поскольку многие документы формата PDF разрабатываются на компьютерах Macintosh. Правда, имеются клиенты Mac OS для прежних версий пакета, но в случае использования любых новшеств версии 3.1 они просто не смогут открыть документ.

Управление политикой DRM и правами производится на сервере Authentica Policy Server, к которому пользователь должен подключаться для подтверждения своих прав на доступ к документу. Сам этот пакет может запускаться на серверах под управлением Windows корпорации Microsoft и Solaris фирмы Sun Microsystems, однако его графический инструментарий администрирования способен работать только в среде Windows.

Запустив сервер Policy Server, мы смогли быстро создать на нем пользователей и группы пользователей, а затем назначить для них права и привилегии. Нам не составило труда и задать различные шаблоны-политики, которые оказались особенно полезными с точки зрения цифрового управления правами на разные документы и для различных пользователей. Содержание документа Policy Server защищает посредством шифрования с криптоключами и сертификатов безопасности.         Проверяемый пакет позволил нам ограничивать всевозможные права пользователей — блокировать распечатку документа, запрещать вырезать и вставлять фрагменты, устанавливать срок действия подобных разрешений и определять время работы с документом.

Есть у PageRecall 3.1 и еще одна интересная особенность: при просмотре документов Acrobat он блокирует копирование экрана. Однако эту весьма полезную функцию можно обойти, воспользовавшись приложениями дистанционного управления. К тому же мы так и не смогли выключить ее при определении прав пользователей.

Чтобы обеспечить DRM-защиту отредактированных и создаваемых документов, мы установили на свою систему клиентский инструментарий PageRecall, после чего в авторской среде Acrobat появилось еще одно меню под названием PageRecall. Дальше все просто и понятно. Когда работа над документом завершена, достаточно открыть это меню и выбрать в нем пункт Protect Document (защитить документ). На экране появляется мастер подсказок, который проводит пользователя шаг за шагом по всему процессу управления цифровыми правами.

При работе с этим мастером можно применить любую предварительно заданную политику DRM либо “на лету” создать новые правила обращения с документом. Последнее особенно удобно в тех случаях, когда доступ к документу нужно открыть очень ограниченному кругу пользователей.

Когда все необходимые параметры заданы, создается новая защищенная версия документа, которую можно рассылать пользователям, клиентам и потребителям. Чтобы открыть ее, получатель должен иметь подключаемый модуль PageRecall для Acrobat — его несложно инсталлировать прямо с Web-сервера.

При попытке прочесть документ этот модуль связывается с Policy Server и пересылает на него установочные данные пользователя. Проверив их, сервер сообщает, какие действия разрешены, после чего документ открывается. Кроме стандартной регистрации в системе PageRecall допускает и применение учетных записей Windows, благодаря чему пользователю не приходится еще раз вводить свои данные в это приложение.

Предусмотрена в пакете и возможность работы с документом в автономном режиме. Эта функция позволяет не только предоставить документ пользователю “в аренду”, но и определить срок действия такого разрешения.

Без подключаемого модуля PageRecall или соответствующих прав получить доступ к содержанию документа невозможно, так как оно надежно зашифровано с применением криптоалгоритма RSA.

4.6 Резюме

           Ознакомившись с решениями Authentica, хочется подытожить фактом: Authentica продала за время своего существования более 200 тысяч готовых решений в области управления правами. А это больше, чем результат трудов всех конкурентов включая Microsoft. Решения Authentica выбирают представители крупного и среднего бизнеса по трем основным причинам:

- масшабируемость: Наша Активная платформа Управления Прав является очень масштабируемой и способной к поддержке сотен тысяч пользователей и многих форматов документа.

- простота интеграции в пределах существующей инфраструктуры защиты: Наши решения легко объединяют в существующие приложения и процессы технологического процесса через наш обширный программный интерфейс приложения.

- простота развертывания и администрирования: конечные пользователи могут автоматически зарегистрироваться отовсюду и подтвердить подлинность немедленно.

Сравнительная таблица решений Authentica и Microsoft:

Authentica ARM

Microsoft RMS

Контроль после доставки

- позволяет динамическое управление информационной политикой

- владельцы могут изменить политику в любое время

- владелец может изменить политику пользователей включая даты истечения срока хранения

- удовлетворяет динамический корпоративный технологический процесс, где люди и отношения изменяются постоянно

- статическое управление политикой

- Политика "установлена", когда содержание отправлено и не может быть изменено

- необходимость переиздавать и перераспределять содержание, чтобы изменить пользователей и разрешения

Пользовательское управление политикой

- владельцы имеют способность управлять получателями и их разрешениями

- владельцы могут легко изъять все копии защищенного содержания или отменить доступ для отдельного пользователя

- пользователи не имеют способности заменить средства просмотра или разрешения

- невозможность отмены владельцем доступа к информации

Почтовая Деятельность

- Владельцы могут проследить каждый случай: просмотр, печать, изменение,

- Для всех пользователей

- котроль только на стадии запроса пользователем лицензии

- никакая дальнейшая деятельность не может быть отслежена

Среда внедрения

·         Microsoft Office 2000, XP, 2003

·           Microsoft Outlook 2000, XP, 2003

·           IBM Lotus Notes

·           Adobe Acrobat PDF (Acrobat 5, 6 & 7)

·           RIM BlackBerry

·         Microsoft Office 2003

Microsoft Outlook 2003

В заключение необходимо отметить широкий комплекс сопроводительных услуг, которые Authentica оказывает заказчику: аудит и анализ IT-инфраструктуры с учетом бизнес-профиля компании, техническая поддержка и сопровождение, внедрение и развертывание решений «с нуля», корпоративные тренинги для персонала, разработка политики IT-безопасности.

5 Liquid Machines

Liquid Machines - Microsoft сертифицированные партнеры. Предлагает два решения, построенные на RMS платформе Microsoft. Управление документооборота Liquid Machines и решения управления электронной почтой позволяют содержанию совместно использоваться, в пределах любой прикладной программы, по всему жизненному циклу документа. Liquid Machines и Microsoft RMS позволяют предприятиям защищать интеллектуальную собственность и гарантировать согласованную работу любых приложений без усложнения работы.

5.1 Liquid Machines Email Control 6.0

Liquid Machines Email Control 6.0 встраивается в Microsoft RMS, чтобы обеспечить следующее:

1. Автоматизация политики прикладных программ : Outlook 2003 пользователи способны определять политику для индивидуальных сообщений и вложенных документов. Liquid Machines расширяют эти возможности, автоматизируя приложение политики в Exchange server, основываясь  на установленных предприятием правилах. Когда общая политика использования электронной почты определена, защита  будет применяться ко всем важным сообщениям электронной почты и будет функционировать весь жизненный цикл документа . Как пример успешной политики мы могли бы использовать политику "Finance Restricted" где шаблон безопасности срабатывает всякий раз, когда в электронной почте содержится ключевое слово " распознавание дохода ". Это обеспечивает согласованность всех  систем предприятия, которые автоматизирует защиту электронной почты и документов и гарантируют, что содержание достаточно защищено без взаимодействия пользователя.

2. Программное решение для почтового сервера с высокой скорость развертывания: решение основанное на серверах  позволяет работать с расширенной политикой и возможностью внезапно срабатывать и с любым почтовым клиентом , даже Outlook Web Access (OWA). Автоматический выбор политики не требует никакого согласования с конечным пользователем, и при этом не требует ни каких действий с их стороны, однажды уполномоченные пользователи могут свободно использовать информацию с помощью стандартных прикладных программ для работы с электронной почты.

3. Согласование электронной почты: системы интеграции с электронной почтой , типа KVS, гарантируют, что принудительная политика включает блокировку электронной почты и наблюдения за ней. Автоматическая политика использования приложений гарантирует, что при правильной настройке системы управления , сокращается риск ошибки пользователя.

5.2 Liquid Machines Document Control 5.0

Liquid Machines Document Control расширяет Microsoft RMS, и обладает следующими достоинствами: широкий диапазон поддержки прикладных решений: благодаря этой технологии можно устанавливать приложения обладающие автоинтеграцией, Liquid Machines поддерживает такие офисные приложения как Adobe Acrobat, Microsoft Visio и Microsoft Project. Также, заказчики могут выбирать оптимальное решение из всех Microsoft приложений таких как: Microsoft Office 2000 и Office XP, чтобы просматривать и изменять RMS-защищенные документы, созданные в Ofiice 2003. Поддержка  других прикладных программ, типа CAD программ и специальных прикладных программ ожидается в скором будущем. Liquid Machines поддерживает большое количество расширений какые используются TXT, HTML, XML, GIF, JPEG, RTF, и CSV. Управление информацией на протяжении всего жизненного цикла: Liquid Machines обеспечивает пользователей улучшенной защитой, информации на протяжении всего жизненного цикла  - с момента создания через распределение, редактирование, хранение, и последующее разрушение. Действия Пользователя, такие как перевод защищенного документа из Word  в Adobe Acrobat, с сохранением защиты документа.

Детальный аудит действий пользователя над файлом: Все действия пользователя над защищенным файлом, например копирование в буфера обмена или печать, отслеживаются и подлежат аудиту.

Объединение Liquid Machines и Microsoft RMS позволяет создать решения, которые позволяют компаниям управлять и защищать свою интеллектуальную собственность. Liquid Machines расширяют возможности Microsoft RMS платформа, что позволяет  обеспечить централизованную политику безопасности для различных подразделений предприятия. Наиболее важно, интеграция Liquid Machines с RMS как универсальная платформа позволит заказчикам взаимодействовать со своими партнерами у которых внедрены  системы RMS других производителей.

В таблице представлены плюсы объединенного решения :

Функция

Плюсы

Решение LM

Решение RMS

Объединенное решение

XrML неофициальный язык описания прав ERM

Дает ERM решениям различных производителей взаимодействовать между собой

+

+

Отказоустойчивая модульная система

Надежность критически важных процессов

+

+

Интегрированность в Office 2003

Позволяет пользователям работать в уже знакомой рабочей среде, и гарантирует, что усовершенствования ОС не приведут к потере работоспособности RMS

+

+

Применение устойчивых ко взлому программных кодов

Применение криптостойких алгоритмов (128-битный AES, RSA 512, 1024, 2048)  и устойчивых ко взлому программ  повышает  сохранность пользовательской информации. 

+

+

Поддержка централизованного управления политикой безопасности

Позволяет централизованно настраивать права на доступ к информации, для всех пользователей, сразу 

+

+

+

Поддержка внешних пользователей

Позволяет пользователям находящимся вне предприятия пользоваться защищенной информацией

+

+

Политика задаваемая пользователем

Позволяет пользователю определять политику безопасности для информации

+

+

Автоматическое применение политики безопасности для электронной почты согласно предустановленным правилам

Гарантирует высокую защиту данных, без дополнительного обучения персонала

+

+

Поддержка архивирования Эл. почты

Позволяет интегрировать систему защиты с системами архивирования Эл. Почты, такими как KVS

+

+

Автоматическая интеграция с приложениями

Позволяет пользователю работать с любыми приложениями и использовать RMS

+

+

Управление политикой при помощи Droplet(тм)

Позволяет пользователю работать с одним интерфейсом для всех приложений

+

+

Сохранение защиты файла даже при его конвертации

Защита сохраняется при перенесении информации в другое приложение.

+

+

5.3 Резюме

Решения Liquid Machines, построенные на Microsoft RMS платформе обеспечивают:

- Безопасные, масштабируемые решения, построенные на промышленных стандартах

- Автоматическая  защита, гарантирует надежную и постоянную защиту

- Поддержка  прикладных программ таких как Microsoft Visio и Adobe Acrobat

Компания Liquid Machines по­ставляет решения в сфере управле­ния цифровыми правами в корпо­ративной среде (ERP). В продукто­вой линейке отсутствуют какие-ли­бо комплексные решения, однако есть два отдельных продукта, Docu­ment Control и Email Control, позво­ляющие защитить чувствительные данные.

Функциональность Document Control и Email Control является рас­ширением возможностей Microsoft Rights Management Services (RMS). Главное отличие между продукта­ми Liquid Machines  и сервисом Microsoft в том, что первые предос­тавляют возможность расширен­ного аудита осуществляемых поль­зователем действий (журналы со­бытий и т. д.).

Document Control и Email Control позволяют хранить конфиденци­альную информацию только в за­шифрованном виде, при этом толь­ко авторизованный пользователь может читать, модифицировать, ко­пировать и печатать эти данные. Уровень привилегий пользователя задается соответствующими поли­тиками ИТ-безопасности. Данный продукт требует выделенного сер­вера для своей работы. Именно он позволяет осуществлять функции централизованного ведения жур­налов событий и аудита.

Компания предоставляет своим клиентам круглосуточную техничес­кую поддержку по телефону и элек­тронной почте, а также базу знаний в Интернете, в которой собраны ре­шения наиболее часто встречаю­щихся проблем. При этом спектр со­путствующих услуг, оказываемых Liquid Machines, чрезвычайно скуп. Заказчику придется своими силами внедрять и настраивать решение, го­товить необходимые документы и обучать персонал.

Можно заметить, что продукты Liquid Machines являются расшире­нием Microsoft RMS, а, следователь­но, накладывают строгие требова­ния на ИТ-инфраструктуру компа­нии, значительно сужая ее гетеро­генные свойства. Вдобавок, они обладают всеми слабостями решения Microsoft RMS, в частности не позво­ляют избежать утечки в тех случаях, когда злонамеренным инсайдером является сам автор документа.

6 InfoWatch Enterprise Solution

Решение InfoWatch Enterprise Solution (IES) поставляется российской компанией InfoWatch, разработчиком систем защиты от инсайдеров. Оно позволяет обеспечить контроль над почтовым каналом и веб-трафиком, а также коммуникационными ресурсами рабочих станций. На сегодняшний день IES уже используется правительственными (Минэкономразвития, Таможенная служба), телекоммуникационными («ВымпелКом»), финансовыми (Внешторгбанк) и топливно-энергетическими компаниями (ГидроОГК, Транснефть).

Архитектуру IES можно разделить на две части: мониторы, контролирующие сетевой трафик, и мониторы, контролирующие операции пользователя на уровне рабочих станций. Первые устанавливаются в корпоративной сети в качестве шлюзов и фильтруют электронные сообщения и веб-трафик, а вторые развертываются на персональных компьютерах и ноутбуках и отслеживают операции на уровне операционной системы. Принцип работы IES представлен на схеме 2.

Сетевые мониторы IWM и IMM также могут быть реализованы в виде аппаратного устройства - InfoWatch Security Appliance. Таким образом, заказчику предлагается на выбор либо программное, либо аппаратное исполнение фильтров почты и веб-трафика. О преимуществах данного подхода более подробно написано в предыдущей статье, посвященной борьбе с утечками только «железными» средствами. На схеме 3 представлено комплексное решение IES, в состав которого входят аппаратные модули IWSA, в IT-инфраструктуре крупной компании, имеющей филиалы.

Схема 3

К мониторам уровня рабочей станции относятся InfoWatch Net Monitor (INM) и InfoWatch Device Monitor (IDM). Модуль INM отслеживает операции с файлами (чтение, изменение, копирование, печать и др.), контролирует работу пользователя в Microsoft Office и Adobe

Acrobat (открытие, редактирование, сохранение под другим именем, операции с буфером обмена, печать и т. д.), а также тщательно протоколирует все действия с конфиденциальными документами. Вся эта функциональность логично дополнена возможностями модуля IDM, который контролирует обращение к сменным накопителям, приводам, портам (COM, LPT, USB, FireWire), беспроводным сетям (Wi-Fi, Bluetooth, IrDA) и т. д. Вдобавок компоненты INM и IDM в состоянии работать на ноутбуках, а администратор безопасности может задать специальные политики, действующие на период автономной работы сотрудника. Во время следующего подключения к корпоративной сети мониторы сразу же уведомят специалиста отдела безопасности, если пользователь попытался нарушить установленные правила во время удаленной работы.

Все мониторы, входящие в состав IES, способны блокировать утечку в режиме реального времени и сразу же оповещать об инциденте сотрудника отдела безопасности. Управление решением осуществляется через центральную консоль, позволяющую настраивать корпоративные политики. Предусмотрено также автоматизированное рабочее место сотрудника безопасности, с помощью которого специальный служащий может быстро и адекватно реагировать на инциденты.

Важной особенность комплексного решения IES является возможность архивировать и хранить корпоративную корреспонденцию. Для этого предусмотрен отдельный программный модуль Info Watch Mail Storage (IMS), который перехватывает все сообщения и складывает их в хранилище с возможностью проводить ретроспективный анализ. Другими словами, компании могут покончить с порочной практикой ареста рабочих станций служащих и ручного перебора папки «Входящие» в почтовом клиенте. Такие действия подрывают рабочий климат в коллективе, унижают самого сотрудника и часто не позволяют найти никаких доказательств вины служащего. Напротив, автоматизированная выборка сообщений из корпоративного архива приносит намного больше пользы, так как позволяет отследить динамику изменения активности пользователя.

Делая ставку на всесторонность своего решения, компания Info Watch предлагает клиентам целый ряд сопроводительных и консалтинговых услуг. Среди них можно выделить: предпроектное обследование, помощь в формализации целей и средств IT-безопасности, создание ее эффективной политики, адаптацию решения под нужды клиента, сопровождение и техническую поддержку, включающую персонального менеджера каждому заказчику.

Компания InfoWatch поставля­ет комплексное решение InfoWatch Enterprise Solution (IES) (рис. 3), из­начально спроектированное с уче­том требований к продуктам в сфе­ре ILD&P или Anti-Leakage Soft­ware.

Вдобавок к функциональнос­ти по выявлению и блокированию

утечек, решение позволяет управ­лять жизненным циклом корпора­тивной корреспонденции (в част­ности, хранить архивы электрон­ных писем и делать аналитические выборки из них), а также обеспе­чить совместимость с целым рядом нормативных актов. Среди них мож­но отметить Акт Сарбаниса-Оксли (Sarbanes-Oxley Act - SOX), Второе базельское соглашение (Basel Capital Accord - Basel II), Директивы Евросо­юза о защите приватных данных, за­кон Грэма-Лича-Блайли (Gramm-Leach-Bliley Act - GLBA) и некоторые другие.

Компания InfoWatch обеспечи­вает широкий комплекс сопрово­дительных иконсалтинговых услуг в рамках решения IES. В целом же продукты и услуги InfoWatch до­ступны в России, странах СНГ, За­падной и Восточной Европе.

Комплексное решение IES со­стоит из нескольких модулей: Mail Monitor, Web Monitor, Net Monitor, Device Monitor и Mail Storage. Схе­ма работы мониторов Mail, Web и Net была подробно рассмотрена в упоминавшейся выше статье, по­этому здесь мы остановимся лишь на общей характеристике этих мо­дулей, но уделим некоторое внима­ние компонентам Device Monitor и Mail Storage. Заметим, что все эти модули доступны не только в со­ставе комплексного решения IES, но и как отдельные продукты. • InfoWatch Web Monitor (IWM) яв­ляется программным продуктом для предотвращения утечки кон­фиденциальной информации че­рез Интернет, в том числе веб-по­чту, форумы и чаты. IWM в мас­штабе реального времени скани­рует исходящий интернет-трафик (перехватывает   POST-запросы), выделяет подозрительную и за­прещенную активность пользова­телей, блокирует пересылку паке­тов, которые содержат или могут содержать конфиденциальные дан­ные. Система ведет подробный от­чет о произведенных операциях и сообщает ответственным лицам о нарушении политики внутрен­ней безопасности.

• InfoWatch Mail Monitor (IMM) яв­ляется программным продуктом для предотвращения утечки кон­фиденциальной информации че­рез корпоративную почтовую сис­тему. IMM в режиме реального времени сканирует почтовый тра­фик (текст электронных сообще­ний и вложенные файлы) и блоки­рует пересылку корреспонденции, которая содержит или может со­держать конфиденциальные дан­ные. Система ведет подробный учет пересылаемых сообщений и оповещает ответственных лиц о нарушении политики внутрен­ней безопасности.

• InfoWatch Net Monitor (INM) яв­ляется программным продуктом для контроля над обращением конфиденциальной информации на рабочих станциях и файловых серверах. INM в масштабе реаль­ного времени отслеживает опера­ции с файлами (чтение, измене­ние, копирование, печать и др.) и сообщает офицеру по безопас­ности о тех из них, которые не со­ответствуют принятой политике информационной безопасности. Продукт ведет подробное прото­колирование всех действий с фай­лами и сообщает ответственным лицам о случаях нарушения.

• InfoWatch Mail Storage (IMS) яв­ляется программным продуктом для создания архива электронной корреспонденции в рамках корпо­ративной почтовой системы с воз­можностью дальнейшего анализа. IMS в режиме реального времени получает копии электронных пи­сем, укладывает их в хранилище и позволяет делать аналитические выборки из него.

• InfoWatch Device Monitor (IDM) является программным продук­том для контроля доступа поль­зователей к коммуникационным портам рабочей станции  (CD-ROM, floppy, имеющиеся и до­полнительные   жесткие   диски, съемные накопители, COM-,

LPT-, USB-, IrDA-порты, Blue­tooth, Fire Wire, Wi-Fi). Система в ре­жиме реального времени отслежи­вает доступ к коммуникационным портам и блокирует те операции, которые не соответствуют приня­той политике внутренней ИТ-без-опасности.

Функциональность INM, позво­ляющая контролировать операции на уровне рабочих станций, реали­зована достаточно гибко: поддер­живаются высокоуровневые опера­ции в Microsoft Office и Adobe Acro­bat, обмен информацией через бу­фер обмена и т. д. Таким образом, удается точно настроить профиль каждого пользователя или каждой группы пользователей и макси­мально удовлетворить требования политики ИТ-безопасности.

Следует обратить внимание на модуль IDM, покрывающий каналы утечки, которые часто остаются от­крытыми в других продуктах: пор­ты, внутренние устройства и бес­проводные возможности.

Наконец модуль IMS, позволя­ющий создавать архивы электрон­ной корреспонденции и делать из них аналитические выборки, мо­жет пригодиться в самых разных сценариях. Прежде всего, наличия такого модуля требуют многие за­конодательные акты, например, Акт Сарбаниса-Оксли, рекоменда­ции ЦБ РФ и т. д. В некоторых слу­чаях аутентичные сообщения мо­гут использоваться в качестве до­казательств в суде, что помогает высшим должностным лицам до­казать свою невиновность в случае мошенничества, в ином же вари­анте им грозила бы уголовная от­ветственность. Далее, IMS в состо­янии упростить работу почти лю­бой компании, так как предостав­ляет статистику сообщений по са­мым разным критериям. Таким способом можно измерить, напри­мер, реакцию клиентов на введе­ние новой услуги.

Если говорить об ИТ-безопасно­сти, то IMS позволяет по-новому взглянуть на процесс расследования инцидентов. Чаще всего после реги­страции инцидента сотрудники ин­формационной службы или выде­ленного отдела ИТ-безопасности просто арестовывают рабочие стан­ции подозреваемых, просят служа­щих удалиться, а сами сидят и про­веряют каждое сообщение в почто- вом клиенте. Это, естественно, дале­ко не самый благоразумный способ, так как ущемляя права и самолюбие персонала, он к тому же низкоэф­фективен. Модуль IMS позволяет проанализировать почту без пря­мого взаимодействия с пользовате­лем, что даже не нарушает ритм ра­боты предприятия.

Помимо базовой функциональ­ности программных продуктов Info-Watch стоит упомянуть сопроводи­тельные услуги, которые компания оказывает своим пользователям. Прежде всего, это помощь при вне­дрении решения в корпоративную ИТ-инфраструктуру, аудит ИТ-без­опасности. Вдобавок специалисты InfoWatch разрабатывают соответ­ствующие нормативные документы и политику внутренней ИТ-безопас­ности, создают базу контентной фильтрации, специфичную для каж­дой конкретной компании и учиты­вающую ее бизнес-профиль. Также по просьбе заказчика InfoWatch мо­жет адаптировать любые компонен­ты решения под определенные тре­бования: от добавления какой-либо экстренной функциональности до изменения элементов графического интерфейса. Наконец, необходимо отметить ресурсы технической под­держки, которые позволяют не толь­ко связаться с компанией 24 часа в сутки 7 дней в неделю по электрон­ной почте и по телефону, но еще и включают персонального менедже­ра, который заранее ознакомлен со всеми тонкостями ИТ-инфраструктуры заказчика.

Таким образом, комплексное решение IES сочетает все аспекты защиты конфиденциальной информации от инсайдеров.

7 Vidius

Компания Vidius поставляет спе­циализированные решения для за­щиты от утечки конфиденциаль­ной информации. Ее флагманским продуктом является комплексное решение Vidius PortAuthority, ко­торое позволяет осуществлять мо­ниторинг передаваемой информа­цией в режиме реального времени и является типичным представите­лем класса ILD&P или Anti-Leakage Software.

С точки зрения технологии, Vid­ius использует алгоритмы, основан­ные на цифровых отпечатках паль­цев, что позволяет предотвратить утечку не только всего документа целиком, но и его отдельных частей.

Vidius PortAuthority покрывает следующие каналы передачи дан­ных: web, исходящую и входящую почту, принтеры и факсы. Более то­го, его архитектура не требует уста­новки на рабочие станции агентов или клиентской части решения. Дру­гими словами, проверка трафика и анализ информации вынесены на уровень промежуточного сервера.

Продукт позволяет архивиро­вать и шифровать корпоративную корреспонденцию, проверять сооб­щения на предмет соответствия по­литикам ИТ-безопасности, но не фильтровать спам. Следует отме­тить, что решение пресекает нецеле­вое использование почтовых ресур­сов. Контроль над web-трафиком позволяет избежать кражи конфи­денциальных сведений, но не пре­сечь посещение web-страницы неде­ловой направленности.

Схема работы комплексного ре­шения с применением технологии анализа цифровых отпечатков паль­цев представлена на рис. 5.

Компания оказывает круглосу­точную поддержку своим пользо­вателям   по   электронной   почте

и по телефону, однако не предос­тавляет никаких сопутствующих услуг: внедрять и настраивать ре­шение, создавать нормативную ба­зу и составлять политику внутрен­ней ИТ-безопасности придется са­мостоятельно.

Следует отметить, что хотя ре­шение Vidius покрывает довольной широкий спектр путей утечки кон­фиденциальных данных, ресурсы рабочих станций остаются, тем не менее, совершенно открытыми. Так, служащий может переписать чув­ствительную информацию на мо­бильный накопитель или просто преобразовать данные из одного формата в другой, а потом попы­таться переслать их по электронной почте или Интернету. Практика по­казывает, что это один из самых по­пулярных способов кражи корпора­тивных секретов.

8 Verdasys Digital Guardian

Американская компания Verdasys поставляет комплексное решение Digital Guardian, предназначенное для выявления и предотвращения утечек прямо на уровне рабочих станций. Кстати, продукт невозможно упрекнуть в отсутствии комплексности, поскольку Digital Guardian покрывает все каналы утечки, делая это в тех местах, где информация используется.

Реализацией такого подхода являются программные агенты, устанавливаемые на персональные компьютеры и ноутбуки в организации. Агенты поддерживают работу в операционной системе Windows, а также в среде Citrix Metaframe и Microsoft Terminal Server. Агенты отвечают за ведение подробных журналов; за контроль над приложениями, коммуникациями и данными; выявление нарушений политики; за фильтрацию событий, записанных в журнал, перед отправкой на сервер Digital Guardian.

Точно так же, как в случае PC Acme, агент Digital Guardian невидим для пользователя, поэтому может быть внедрен удаленно и централизованно. Однако в отличие от PC Acme в составе Digital Guardian появляется сервер, куда агенты отсылают протоколы событий. Третьим компонентом продукта является консоль управления, к которой можно получить доступ по сети. Консоль позволяет составлять отчеты, собирать и анализировать информацию, контролировать инсталляцию агентов, управлять политиками и т. д. Архитектура решения проиллюстрирована на схеме 4.

Продукты Verdasys отличаются широким спектром сопроводительных услуг. Так, поставщик оказывает консалтинговые услуги еще до внедрения проекта, разрабатывает и внедряет предварительные проекты (например, создается экспериментальная группа рабочих станций, осуществляется мониторинг действий пользователей этих станций и анализируются результаты), активно участвует во внедрении продукта и тренингах персонала.

Тем не менее, Digital Guardian обладает двумя недостатками. Во-первых, он не развешает архивировать электронную корреспонденцию, что затрудняет расследование инцидентов IT-безопасности, усложняет процесс поиска инсайдера и не позволяет обеспечить соответствие с различными законам и нормативными актами. Во-вторых, Digital Guardian не производит контентную фильтрацию отправляемого по сети трафика, поскольку фильтрация, вынесенная на уровне рабочей станции, требует огромного количества аппаратных ресурсов. К такому вполне логичному выводу пришли эксперты IDC (см. «Information Leakage Detection and Prevention: Turning Security Inside-Out»): фильтрацию, с использованием лингвистического анализа, другие поставщики осуществляют на выделенных серверах. Следовательно, агенты Digital Guardian в состоянии отличить чувствительные документы от не конфиденциальных только с помощью заранее заданного списка защищаемых объектов (или помеченных цифровыми водяными знаками, что не суть важно). Отсюда, если пользователь создаст новый документ и наполнит его чувствительными сведениями, например, в рамках подготовки отчета (ведь работу с буфером обмена контролируется агентами), такой документ останется уязвимым до тех пор, пока не будет внесен в список защищаемых объектов. Именно для того чтобы исключить подобную брешь, разработчики решений в сфере выявления и предотвращения утечек применяют контентную фильтрацию.

Заключение

Далее    приводится    таблица,    обобщающая    основные    характеристики  некоторых  рассмотренных продуктов. В качестве основных параметров взяты наиболее критические характеристики решений, однако для разумного выбора рекомендуется обязательно ознакомиться с описанием продукта в тексте.

Как уже отмечалось в начале статьи, при выборе решения необходимо учитывать параметр комплексности - покрывает ли продукт все возможные каналы утечки. В противном случае данные утекут через оставленную открытой дверь. Следующим немаловажным моментом является возможность создавать и хранить архивы корпоративной корреспонденции. Такая функциональность позволяет провести служебное расследование, не беспокоя сотрудников и не привлекая внимания. Вдобавок к тому, что хранить электронные сообщения в течение нескольких лет требуют многие нормативные акты и законы, создание централизованного почтового архива избавляет от порочной практики ареста рабочих станций служащих. Наконец, последним важным параметром является возможность выбора между программной и аппаратной реализацией модулей, отвечающих за фильтрацию сетевого трафика. Преимущества такого подхода подробно рассматривались в статье об аппаратных решениях для борьбы с утечками.