пр Про DLP Dozor v6

solarsecurity.ru +7 (499) 755-07-70 1

DLP-системыкак инструмент проведения

расследований

Прозоров Андрей, CISM

Руководитель экспертного направления

solarsecurity.ru +7 (499) 755-07-70

Solar Dozor соответствует требованиям и

рекомендациям ФСТЭК России

2

ОЦЛ.5 КОНТРОЛЬ СОДЕРЖАНИЯ ИНФОРМАЦИИ, ПЕРЕДАВАЕМОЙ ИЗ ИНФОРМАЦИОННОЙ СИСТЕМЫ

(КОНТЕЙНЕРНЫЙ, ОСНОВАННЫЙ НА СВОЙСТВАХ ОБЪЕКТА ДОСТУПА, И КОНТЕНТНЫЙ, ОСНОВАННЫЙ НА ПОИСКЕ

ЗАПРЕЩЕННОЙ К ПЕРЕДАЧЕ ИНФОРМАЦИИ С ИСПОЛЬЗОВАНИЕМ СИГНАТУР, МАСОК И ИНЫХ МЕТОДОВ), И

ИСКЛЮЧЕНИЕ НЕПРАВОМЕРНОЙ ПЕРЕДАЧИ ИНФОРМАЦИИ ИЗ ИНФОРМАЦИОННОЙ СИСТЕМЫ

Контроль содержания информации, передаваемой из информационной системы, должен предусматривать:

выявление фактов неправомерной передачи защищаемой информации из информационной системы через

различные типы сетевых соединений, включая сети связи общего пользования, и реагирование на них;

выявление фактов неправомерной записи защищаемой информации на неучтенные съемные машинные

носители информации и реагирование на них;

выявление фактов неправомерного вывода на печать документов, содержащих защищаемую информацию, и

реагирование на них;

выявление фактов неправомерного копирования защищаемой информации в прикладное программное

обеспечение из буфера обмена и реагирование на них;

контроль хранения защищаемой информации на серверах и автоматизированных рабочих местах;

выявление фактов хранения информации на общих сетевых ресурсах (общие папки, системы

документооборота, базы данных, почтовые архивы и иные ресурсы).

Требования к усилению

в информационной системе должно осуществляться хранение всей передаваемой из информационной системы

информации и (или) информации с недопустимым к передаче из информационной системы содержанием, в

течение времени, определяемого оператором;

в информационной системе должна осуществляться блокировка передачи из информационной системы

информации с недопустимым содержанием

Методический документ. Меры защиты информации в государственных ИС


Формального наличия

функционала DLP конечным

Заказчикам уже не достаточно…


Заказчикам интересно

4

Как правильно использовать DLP?

Что делать в случае выявления

инцидента ИБ (ЭБ)?

Как правильно проводить

расследование инцидентов и собирать

доказательную базу для суда?


48 слайдов презентации

http://www.slideshare.net/AndreyProzorov/dozor-v13-51487311

http://www.slideshare.net/AndreyProzorov/dozor-v13-51487311


Процедура управления инцидентами (DLP)

6

1.Обнаружение и регистрация событий системой DLP

2.Выявление инцидентов

4.Расследование инцидента

5.Реагирование на инцидент

6.Анализ причин инцидента и «полученных уроков»

3.Оперативное

реагирование на инцидент

Осн

овно

й

фун

кци

онал D

LP

DLP

по

мо

гает


Ограничение по времени реагирования

по ТК РФ

7

1.Обнаружение и регистрация событий системой DLP

2.Выявление инцидентов

4.Расследование инцидента

5.Реагирование на инцидент

6.Анализ причин инцидента и «полученных уроков»

3.Оперативное

реагирование на инцидент

6 мес.

1 мес.


Что уже было, что появилось…

8

Solar Dozor 5.0.4 Solar Dozor 6.0

1. Сильные технологии контентного

анализа

2. Автоматизированная процедура

управления событиями и инцидентами

3. Удобный рабочий стол офицера ИБ

4. «Уровень доверия» («Карма»)

5. «Досье» (на субъекта)

6. Интерактивный «Граф связей»

7. Снимки экрана

8. Отчеты

9. Поиск (сложные поисковые запросы,

«поиск похожих», умный поиск, поиск

по тегам и пр.)

10. Crawler (DLP Discovery, инспектор

файловых ресурсов)

11. Возможность блокировки

1. Интерфейс нового

поколения (интерактивный

ситуационный центр по

внутренним угрозам)

2. «Досье» на

информационные объекты

3. Действительно быстрый

поиск

4. Новые возможности

выявления аномалий

поведения (например,

нетиповые контакты,

шаблоны запросов и пр.)

5. Расширенный функционал

«Досье» (теперь и на группу)

и другое…


Подробнее…


4 типовых рабочих стола

10

Аналитик

Аналитик Политики

Руководитель

Системный администратор

#1


Типовые сценарии работы с DLP

11

1. Регулярный мониторинг событий

2. Расследование инцидентов

#1


Фокус внимания на самое важное

12

События и

инциденты

Люди

Информация

#1


Оптимизирован и для мобильных устройств

13#1


Информационный объект –

группа документов и

информационных сообщений

определенной тематики

Например: протоколы совещаний,

резюме, стратегии и планы…

#2


Про информационные объекты

15

Можно использовать типовые или

создавать самостоятельно

В информационном объекте

отображаются ВСЕ файлы

«Досье» на объект:

События

Коммуникации

Места хранения

#2


Действительно быстрый поиск! Меньше 1 секунды для архива

в 17 млн. сообщений

#3


Еще про поиск

17

Поиск: Сообщения, Файлы, Персоны,

События и инциденты

3 типа поиска: Быстрый (в стиле поисковых

систем), По шаблону, Расширенный поиск

Запросы поиска можно сохранять в виде

Шаблонов или сразу строить Отчеты

Сохраняется история поиска

#3


Но давайте перейдем

к демонстрации…

Technology

пр Про DLP Dozor v6