Главная мысль
Сравните три типа DLP по охвату каналов и ресурсов, найдите пересечения и пробелы в защите, затем подтвердите результат испытанием правил.
DLP и состояния данных
DLP — это набор правил и средств для обнаружения и предотвращения несанкционированной потери, утечки и использования данных. При использовании данные открыты в приложении; при передаче идут между сетью и сервисами; при хранении находятся на диске, сервере или в облаке. Один файл может за день пройти через все три состояния, поэтому одного средства может быть недостаточно. Перечень состояний данных не означает, что каждый продукт поддерживает все возможности.
Сетевая DLP
Сетевая DLP анализирует содержимое почты, передачи файлов и веб-трафика. Правило может выявить отправку конфиденциальных данных неразрешённому получателю и записать время, отправителя и назначение. Зашифрованный трафик и сервисы вне сети ограничивают обзор; отразите это в карте охвата. Обзор зависит от маршрута трафика, расшифрования и разрешённого объёма проверки. Удалённый трафик тоже может проходить через управляемый шлюз; испытайте его фактический маршрут.
Endpoint DLP
Endpoint DLP может отслеживать действия с файлами на поддерживаемых управляемых платформах и каналах. Проверьте печать, копирование на USB и загрузку в приложение по ОС, браузерам, приложениям и типам файлов; поддержка телефонов и серверов зависит от продукта. Испытайте агент вне офиса, сохранённые автономные правила и доставку событий после восстановления связи.
Облачная DLP
Облачная DLP проверяет файлы, права общего доступа и активность пользователей в SaaS и облачном хранилище. Система может классифицировать чувствительное содержимое, находить неразрешённый обмен и отправлять оповещения по журналам приложения или API. Уточните задержку проверки новых файлов, подключённые сервисы и охват сервисных аккаунтов. Проверка через API может выполняться после загрузки объекта; контроль во время передачи требует отдельной возможности inline-проверки. DLP не означает автоматическое сканирование на вредоносное ПО.
Объедините зоны контроля
Конфиденциальный файл может одновременно храниться на устройстве, передаваться по сети и загружаться в облако. Сравните события, видимые каждому средству, задержку, владельца и возможность реагирования; отметьте повторные оповещения и каналы без полного обзора. Свяжите DLP с EDR, идентификацией, резервным копированием и реагированием.
| Расположение | Что видно | Какую границу проверить |
|---|---|---|
| Сеть | Передачи через точку контроля | Зашифрованный трафик и маршруты в обход контроля |
| Конечное устройство | Поддерживаемые локальные действия с файлами | Автономные правила и доставка событий |
| Облако | Объекты и обмен в подключённых сервисах | Задержка API и неподключённые приложения |
Оценивайте результат и реагируйте
Проверьте разрешённую и запрещённую передачу на синтетических образцах чувствительных данных. Оцените обнаружение, блокировку, согласование и эскалацию, ложные срабатывания и доставку оповещения владельцу. Задайте измеримые критерии приёмки для сценариев удалённой работы, атак программ-вымогателей и вывода данных. При проверке сценария атаки программы-вымогателя оцените совместную работу средств предотвращения атак, реагирования и восстановления; одна DLP не гарантирует предотвращения атаки.