صنعت امنیت اطلاعات، اهمیت تهدید نشت اطلاعات را با توسعه راهکارهای اختصاصی برای مبارزه با آن پذیرفته است. راهکارهای پیشگیری از نشت اطلاعاتDtata Leakage Prevention(Protection) محصولاتی تجاری هستند که از مجموعه ای از مولفه ها تشکیل می شوند که برای جلوگیری از نشت اطلاعات در زیرساخت سازمانها، پیاده سازی می شوند.راهکارهای DLP نه تنها برای جلوگیری از نشت اطلاعات ناشی از خودی های خرابکار، بلکه برای جلوگیری از نشت های تصادفی که ممکن است به دلیل اشتباه افراد داخل سازمان به وجود آید، نیز مورد استفاده قرار می گیرد. در حال حاضر سامانه های جامعی وجود دارند که از نشت داده به روشهای مختلف جلوگیری می کنند و همچنان نیز تلاش می کنند به انکانات خود افزوده و راه های دیگر نشت داده را نیز پوشش دهند.
انواع سامانه های پیشگیری از نشت اطلاعات:
سیستم های جلوگیری از نشت داده، داده های در حال استفاده، داده های در حال حرکت(داده های ارسالی در شبکه) و داده های ذخیره شده در دستگاه های ذخیره سازی داده را پایش و بررسی نموده و در صورتی که خط مشی های امنیتی تعریف شده را نقض کنند، دسترسی به آنها را مسدود می نمایند. براساس نوع داده ها و به عبارتی کانالهایی که سیستم های DLP کار بررسی، تحلیل و مراقبت آنها را انجام می دهند، می توان راه حل های DLP را به سه دسته زیر تقسیم نمود:
-
DLP مبتنی بر میزبان(نقطه پایانی) Endpoint DLP: سیستمهای DLP مبتنی بر میزبان، بر روی کامپیوترهای کاربران پایانی و یا سرورهای درون سازمان اجرا می شوند. این سیستمها، ارتباطات درونی و بیرونی را پوشش می دهند و بنابراین می توانند برای کنترل جریان اطلاعات بین گروهها و یا انواع کاربران مورد استفاده قرار گیرند. به علاوه، DLP های مبتنی بر میزبان، می توانند دستگاه های فیزیکی مانند دستگاه های همراه که قابلیت ذخیره سازی داده را دارند را نیز بررسی نمایند. این سیستمها می بایست بر روی کامپیوترهای همه کاربران شبکه نصب شوند که این امر یکی از معایب آنها به شمار می رود. با استفاده از این سیستمها، میتوان بر کارمندانی که اطلاعات حساس را در ipod، لپ تاپ، USB، CD ویا هروسیله همراه خود ذخیره می کنند تا در مکان دیگر بر روی آنها کار کنند، کنترل کاملی اعمال نمود.می توان گفت که هدف اصلی فناوری DLPهای مبتنی بر میزبان حفاظت از دارایی های معنوی و داده های ارزشمند سازمان ها را از سرقت های درون سازمانی و نشت های اتفاقی داده می باشد.
-
DLP مبتنی بر شبکه Network DLP: سیستمهای DLP مبتنی بر شبکه که با نام DLP های مبتنی بر دروازه Gateway-based DLP نیز شناخته می شوند، در محل اتصال سازمان به اینترنت نصب می شوند و ترافیک شبکه را برای یافتن ارسال اطلاعات غیزمجاز از طریق کانالهای ارتباطی مانند رایانه، پیام رسانها، HTTP،FTP وHTTPS تحلیل می کنند(سادگی نصب این سیستمها از مزایای آنها به شمار می رود).
-
DLP کشف داده های در حال استراحت Embedded DLP: سیستمهای DLP کشف داده های در حال استراحت(داده ذخیره شده) را برای شناسایی نواحی مخاطرات، یعنی جاهایی که داده های محرمانه در مکانهای نامناسب و ناامن ذخیره شده اند، بررسی می نمایند. این سیستمها در بسیاری موارد به صورت جداگانه و مستقل نبوده بلکه به عنوان قسمتی از DLP های شبکه موجود می باشند. ارزش راه حل های شبکه و کشف داده با توجه به دیدی که از نحوه جریان اطلاعات به دست می دهند، بیشتر کمک به مدیران برای شناسایی داده و اصلاح نمودن فرایندهای کسب و کار نادرست، شناسایی و جلوگیری از افشای داده های حساس و فراهم نمودن روشی برای پشتیبانی از فعالیت های بازرسی می باشد.
امکانات یک سامانه جلوگیری از نشت اطلاعات:
یک راه حل جامع DLP با مدیریت و کنترل خط مشی های تعریف شده برای سازمان، از نشت اطلاعات با استفاده از کانالهای مختلف ارتباطی جلوگیری می نماید که به صورت فهرستوار در ادامه بیان می شود:
-
تعریف خط مشی: یک راه حل DLP خوب باید بتواند امکان تعریف و مدیریت خط مشی ها را به راحتی فراهم آورد.
-
شناسایی داده: سیستمهای DLP از روشهای مختلفی برای شناسایی داده های (در حال حرکت، در حال استراحت یا در حال استفاده) حساس و محرمانه استفاده می کنند. این سیستمها، روشهای مختلفی برای تحلیل دقیق محتوا بر اساس کلمات کلیدی، لغت نامه، عبارات منظم یا انطباق سند به کار می برند. قدرت موتور تحلیل و شناسایی داده DLP ها، دقیقن متناظر با میزان صحت آن در شناسایی داده هاست که با نتیجه ی اشتباهی مثبت یا نتیجه ی استباهی منفی آنها ارتباطی مستقیم دارد.
-
پاسخ به حوادث: سازمان باید بتواند سریعن به حادثه ای که اتفاق میفتد، پاسخ دهد.
-
پایش شبکه: قابلیت پایش شبکه در راه حل های DLP، امکان بازرسی ترافیک شبکه را فراهم می آورند و در نتیجه، دید مناسبی از انواع داده های موجود در ترافیک شبکه در اختیار ما قرار می دهند. وجود این نگاه، برای تحلیل و گزارش و نیز ایجاد خط مشی های مناسب، حیاتی است.
-
امنیت وب: حملات وب برای دزدیدن اطلاعات حساس و محرمانه، ارتباط تنگاتنگی بین امنیت وب و ابزارهای جلوگیری از نشت داده ایجاد می کنند.
-
امنیت رایانامه: رایانامه، یکی از ساده ترین روشهای ارسال اطلاعات محرمانه و حساس است. اطلاعات محرمانه در بدنه و یا به صورت ضمیمه آن قرار می گیرند.
-
کشف داده: کشف مکان داده های حساس در سرورها، پایگاه داده ها، نقاط پایانی و دیگر مکان ها که آیا داده مطابق با خط مشی سازمان در مکان امنی ذخیره شده است یا خیر، یکی از قابلیت های سیستم های DLP میباشد. کشف داده به طور پیوسته، ذخیره سازی داده های حساس را پایش می نماید و در صورت لزوم آنها را حذف و یا رمزنگاری می کند. همچنین پویش مکانهای دوردست با پهنای باند کم ممکن می باشد.
-
امنیت نقاط پایانی: نقاط پایانی یا لپ تاپ ها در سیستم های DLP نیاز به توجه خاصی دارند زیرا این وسائل دارای چندین روش برای انتقال داده هستند. کاربران در نقاط پایانی می توانند داده ها را در رسانه داخلی آن ذخیره کنند یا بوسیله رسانه های قابل حمل مانند حافظه USB،CD، چاپ مستقیم یا شبکه ای منجر به نشت اطلاعات گردند.
