Если с системами класса DLP (Data Leak Prevention) все более‑менее понятно, а решения у всех на слуху, то DCAP (Data-Centric Audit and Protection) — это сравнительно новая и набирающая популярность технология. Она фокусируется на самих данных:обнаружении и классификации чувствительных данных, ведении аудита доступа и активности.
От связки в духе «find и grep» такая система отличается тем, что умеет работать с неструктурированными данными, поддерживает нетекстовые форматы, ищет дубликаты и умеет сама оповещать службу безопасности о подозрительных действиях пользователя. Так многие инциденты могут закончиться, еще не начавшись!
Обобщенно можно считать, что DCAP-система — это умный централизованный индекс данных на рабочих станциях, который позволяет искать и помечать чувствительную информацию. Дополнительно многие системы такого класса умеют устанавливать политики доступа и следить за их соблюдением.
Тестовый стенд
Чтобы ты тоже мог повторить эксперимент, расскажу кратко про настройку тестового стенда, затем перейдем к заявленным возможностям и протестируем их.
Для теста будут использоваться две виртуальные машины: одна для рабочего места аналитика ИБ‑службы, а вторая — для пользователя.
Машина аналитика получила 16 Гбайт оперативной памяти и 8 ядер i7-13700K. Пользовательская по характеристикам слабее примерно вдвое: 8 Гбайт и 4 ядра. Обе машины имеют по два сетевых адаптера: один с NAT для доступа в интернет и второй, подключенный к внутренней сети, соединяющей виртуалки, чтобы они могли «видеть» друг друга. Операционная система на обе машины установлена одинаковая — Windows Server 2019.
Машина аналитика получила больше ресурсов, потому что на ней работает не только панель аналитика (которой много не требуется), но и центральный сервер, где агрегируются данные со всех клиентских машин.
Установка ничего особо примечательного собой не представляет: это стандартное для Windows «далее, далее, далее, готово».
Единственный необычный момент — нужен дополнительный SQL-сервер, который может находиться где угодно: хоть на той же машине, хоть где‑то в сети. Поддерживается Microsoft SQL и PostgreSQL. Устанавливать придется по отдельности целых пять компонентов, не считая SQL-сервера: это DataCenter, SearchServer, AlertCenter, AnalyticConsole и EndpointController.
После установки от работы с DCAP нас отделяет один шаг: активировать лицензию. Нам ее предоставил разработчик, да и ты тоже можешь получить бесплатную пробную версию на 30 дней, оставив заявку на сайте.
Сам процесс активации тоже классический: программа требует указать файл с лицензией, после чего говорит, что все хорошо.
Первую настройку с заданием всех прав я тут описывать не буду — она подробно описана в официальной документации, которая нашлась в комплекте с самим FileAuditor. Скажу только, что там нужно создать учетные записи с правом входа по сети, которые будет использовать система, настроить синхронизацию с контроллером домена Active Directory и создать базы данных для сбора информации с агентов.
Для установки клиентской части нужно зарегистрировать целевую машину в EndpointController по имени хоста, либо просто подключить систему к твоему домену. Чтобы система могла установить агент, нужно указать данные учетной записи доменного или локального админа.
Когда агенты на пользовательские машины установлены, нужно их настроить. На той же панели, что и FileAuditor, который я буду тестировать, есть и другие модули, так что глаза поначалу разбегаются. Однако наша лицензия на эти компоненты не распространялась.
Правила
Основа всех систем контроля — правила. «СёрчИнформ FileAuditor» не стал исключением, и для поиска секретных данных нужно сначала задать правила, на основании которых и будет определяться, что защищать требуется, а что — нет. Для этого на левой панели компонента EndpointController есть раздел FileAuditor, а в нем — «Автоматическая классификация данных».
Я уже создал несколько правил, и сейчас покажу, как это делается. Допустим, нам нужно найти номера телефонов клиентов, которые нерадивый сотрудник мог бы попробовать продать на сторону. Для этого жмем «Добавить правило», задаем понятное название, выбираем сканирование на агенте (чтобы не гонять данные по сети лишний раз), выбираем файлы для сканирования (я выбрал «Все») и собираем критерий соответствия в панели «Условия поиска в объектах сканирования». Тут можно выбрать разные критерии поиска, я же ограничусь обычной регуляркой.
Под правилом есть поле для ввода текста, где можно сразу проверить, правильно ли работает регулярка! А еще есть дополнительная валидация, что позволяет, например, не только ловить все потенциальные ИНН, но и проверять, может ли эта последовательность цифр быть реальным ИНН. В системе «из коробки» есть валидаторы для почти 50 разных идентификаторов, в том числе под стандарты иностранных документов.
Кроме поиска по регулярным выражениям, искать можно по обычному тексту (вхождение подстроки), по словарю (не менее N слов из заданного списка), по атрибутам файла и даже по похожему тексту! Последнее поможет выловить даже неграмотного нарушителя.
Добавлять можно несколько критериев, применяя к ним разные логические операторы. Система очень гибко позволяет найти именно то, что нужно, избегая ложных срабатываний, если, конечно, настроить правила. Понимая, что конфиденциальные данные в любой организации будут выглядеть схоже, разработчики добавили внушительный список типовых секретов, где есть готовые правила поиска и исходного кода, и паспортов, и налоговых документов.
После настройки правил остается раскатать их по агентам. Для этого нужно просто сохранить изменения, и они автоматически синхронизируются на все пользовательские машины. Вообще, сканирование компьютеров выполняется автоматически раз в несколько часов, что позволяет находить даже те данные, с которыми пользователь не пытается взаимодействовать, но нам для тестов нужно сканировать сразу же. Как? По нажатию на кнопку «Сканирование FileAuditor» открывается специальное окно, где по клику ПКМ на имени компьютера можно перезапустить сканирование немедленно.
Для теста я подготовил несколько файлов, которые должны обнаруживаться написанными выше правилами, а еще добавил правило блокировки доступа к файлам, где содержатся номера паспортов. Делается это на вкладке «Блокировки и перехват» в левой панели, пункт «Файлы по классификации».
Теперь, когда правила готовы, можно тестировать их соблюдение.
Тестируем штатную работу
Вернемся к файловому аудитору. Рассмотрим сценарий, когда компания хочет в первую очередь защитить свои секреты при помощи FileAuditor. Тестовые файлы я положил прямо на рабочий стол пользователя в папку tests. Проверим мы следующие сценарии:
- просто текстовый файл с конфиденциальной информацией;
- документ Word актуальной (.docx) и старой (.doc) версий;
- презентация PowerPoint (.pptx);
- файл с небезопасным именем;
- файл, в котором действительно нет конфиденциальных данных;
- файл, запакованный в контейнер bzip2 с помощью 7-zip;
- файл с неправильным расширением.
Если система справится со всеми этими сценариями, это будет значить, что арсенал потенциального злоумышленника значительно ограничен. Никаких сверхъестественных способов скрыться мы тут применять не будем: в конце концов, FileAuditor — это не DLP, а система, предназначенная для защиты от случайного гуляния конфиденциальных данных по организации, заодно защищающая от не шибко квалифицированных желающих вынести секреты.
После записи файлов перезапустим сканирование, чтобы не ждать, пока оно случится по расписанию. Кроме контроллера узлов, это можно сделать еще и через панель управления поисковыми индексами (SearchServer). Для этого используется пункт «Начать индексацию немедленно».
Для индексации потребуется время, но не слишком большое: на практически чистой системе с небольшим количеством тестовых данных она заняла около минуты.
Как работает теневое копирование
При индексации, если какой‑то файл соответствует созданному правилу, обязательно создается запись о нем в базе данных на сервере, а опционально выполняется теневое копирование. Эта копия делается средствами не операционной системы, а самого агента — он просто копирует найденный файл как есть на сервер. При этом если в файле найдется малварь — ее может обнаружить антивирус на хосте, куда складываются теневые копии. Это может приводить к тому, что SOC будет разгребать инциденты с проникновением малвари туда, куда она на самом деле не проникала, а еще антивирус может повредить важные для расследования данные. Если в твоей организации используется централизованное антивирусное решение — не забудь добавить папку с теневыми копиями в исключения или размести ее в «песочнице»!
После индексации самое время расчехлить основной инструмент этой всей системы, который и будет использоваться большую часть времени. Встречай консоль аналитика!
Уже с первого же взгляда становится очевидно, что возможностей для мониторинга у отдела SOC более чем достаточно. Обилие вкладок с инструментами в верхней части окна как бы намекает, что незамеченным не пройдет ни одно действие. Впрочем, поскольку сегодня нас интересует только работа с файлами, перейдем на вкладку файлового аудитора.
Тут нас встречает, наверное, лучший конструктор поисковых запросов, какой я когда‑либо видел. Доступно множество критериев, которые можно применять в любых комбинациях, а поиск ведется по любому количеству компьютеров в сети одновременно. В правой части экрана отображается не только панель с результатами поиска, но и полная история объекта, а в нижнем правом углу виден извлеченный из документа и выложенный на блюдечко текст, на который сработал анализатор.
Запустим интереса ради поиск без параметров: это должно показать весь индекс, то есть максимальный объем данных, доступный аналитику. Если наши тестовые данные были обнаружены — мы увидим их тут.
Бинго! Все секретные файлы FileAuditor нашел. Не повелся и на название, говорящее, что ничего ценного в файле нет. Если в файле присутствуют данные нескольких типов, FileAuditor корректно ставит несколько меток. Выглядят на практике метки как альтернативные потоки NTFS, а для каждого помеченного файла создается поток filename:sifastream:$DATA. Содержимое метки зашифровано, так что подменить ее не получится.
Но вернемся к консоли аналитика. Кроме простого отображения всего подряд, система умеет гибко искать по почти любым параметрам. Давай, например, найдем все файлы, в которых может быть номер паспорта.
Некоторые файлы, по всей видимости, являются полными дубликатами. Поищем копии файла my passport.txt:
Действительно, на компьютере есть целых три экземпляра, один из которых замаскирован под исполняемый файл. Но это все равно не помешало FileAuditor выявить секретную информацию. И это при том, что файл замаскирован под антивирусный движок ESET и потенциально мог бы быть в белом списке.
Осталось проверить только блокировку доступа по меткам. В начале статьи я создал правило блокировки доступа к файлам с номерами паспортов широкому перечню программ, включая браузеры. Сработало ли оно?
Аналогичным образом работают и ручные метки, которые сохраняются внутри самого файла, а не в альтернативном потоке в файловой системе.
Про ручные метки
Некоторые приложения (в частности, пакет Microsoft Office) поддерживают внедрение кастомных атрибутов прямо в тело документа. Для удобства агент FileAuditor добавляет в панель инструментов Office специальный раздел с ручными метками.
FileAuditor поддерживает не только автоматически установленные метки в файловой системе, но и такие встроенные. Их преимущество в том, что они не сбрасываются даже при переносе на экзотические файловые системы или копировании файла на другую машину.
В целом, заданные правила детекта работают, данные можно найти и проследить их путь по всем компьютерам в организации от первого обнаружения и до настоящего момента. Заявленная функциональность именно DCAP-системы, работает в полной мере.
Вместе с тем, блокировки в отрыве от аудита имеют мало смысла. Понимая это, разработчики добавили в FileAuditor подробный лог всех операций с защищаемыми файлами. Поиск по нему доступен с общей вкладки Поиск, где вверху слева нужно выбрать иконку компонента, по которому ищем, а в левой панели по желанию задать параметры поиска. Таблица с логами невероятно подробная — отследить можно любое действие за все время жизни агента.
При должном желании на базе этой системы можно создать еще и журнал запуска процессов, который поможет в расследовании более сложных инцидентов, хотя обычно для этого используют другие продукты.
Кстати, аудит охватывает не только файловые операции, но и происходящее в домене Active Directory. Как настраивать домен и как интегрировать в него пакет для аудита операций — темы для отдельных статей, так что давай просто посмотрим, как выглядит уже настроенное рабочее место аналитика.
Как видно, даже с ограниченной лицензией можно собрать довольно неплохую систему защиты, где даже опытный взломщик нет‑нет да и оставит какой‑нибудь след. Если изначально я думал, что FileAuditor умеет только помечать файлы, то в реальности оказалось, что это не просто файловый полицейский, а полноценный помощник отдела SOC.
Насколько это надежно
Мне стало любопытно: следов установки чего‑либо в пользовательской системе нет, автозапуск тоже девственно чист. Между тем, как мы только что убедились, агент установлен и работает.
Ответ на этот вопрос нашелся в конфиге, который можно выгрузить с агента на машину админа. Из конфига (не привожу его здесь, чтоб не превращать статью в инструкцию для черных шляп) видно, что в клиентскую систему устанавливается 14 драйверов режима ядра, которые тщательно скрывают собственное присутствие в системе и умеют наблюдать за самим пользователем и всем, что он делает за компьютером. Не имея конфига на руках, пользователь вряд ли сумеет найти агент и обойти его защиту. К тому же разработчик утверждает, что если это все же произойдет — например, юзер попробует заглушить процесс каким‑нибудь софтом — агент автоматически перезапустится, а при надобности переустановится с сервера FileAuditor. Справедливости ради, протестировать этот сценарий в рамках подготовки текста мы не успели.
Зато убедились: эта система действительно способна находить и помечать чувствительные данные, ведь изнутри ядра такой контроль обеспечить проще всего.
Итоги
FileAuditor уверенно выполняет заявленные функции: поиск, теневое копирование, полный аудит действий. Причем работает все на уровне ядра, так что даже обнаружить агента в системе просто так сходу не получается.
В комплекте с другими программами «СёрчИнформ» можно еще сильнее повысить безопасность и добиться серьезной защиты данных от утечек, однако и о приватности сотрудников забывать не стоит. Ты сам выбираешь, где будет проходить черта, и это хорошо.
Реклама. ООО «СерчИнформ». ИНН 7704306397
