Введение
Работодатели всегда стремились так или иначе контролировать своих сотрудников. Работники получают оплату за выполнение служебных обязанностей, но при этом зачастую в рабочее время занимаются личными делами и теряют продуктивность. Для усиления контроля было придумано много разных мер — видеонаблюдение, нормировка, оценка качества, физический контроль и т. д.
Существует и еще один серьезный риск, связанный с офисными работниками — утечка информации. Нелояльных сотрудников, способных украсть клиентские базы, конфиденциальные данные, производственные секреты и ноу-хау, практически невозможно отследить на этапе приема на работу или с помощью служб безопасности.
Итак, работодателя беспокоят два основных вопроса, связанных с офисным персоналом — контроль эффективности их работы и защита от утечек информации и инсайдеров. Решить эти проблемы можно только с помощью специализированного программного обеспечения.
Контроль эффективности и учет рабочего времени — это комплексная задача, в которую входит отслеживание опозданий, траты рабочего времени на личные задачи или развлечения, а также контроль использования корпоративных ресурсов и оборудования для не связанных с работой дел.
Для защиты от утечек информации необходим полный контроль на всех уровнях — отслеживание сетевой активности, контроль съемных устройств и печати файлов, возможность блокировки доступа к ресурсам, не используемым в рабочих целях, и другие меры защиты информации.
StaffCop Enterprise 2.4 — это решение, относящееся к классу DLP в широком понимании этого термина и предназначенное для защиты от утечек информации и контроля за использованием рабочего времени сотрудниками организаций.
StaffCop Enterprise — сравнительно новый продукт на рынке программного обеспечения. Первая версия вышла всего год назад с упором на расследование инцидентов информационной безопасности и быстро нашла свою аудиторию. Технологическая платформа оказалось достаточно удачной, и, собрав пожелания и замечания клиентов, осенью разработчики выпустили новую мажорную версию, дополненную доработанным модулем учета рабочего времени и эффективности сотрудников.
Граф взаимосвязей сотрудников
Впечатляющий анимированный отчет, отображающий движение информации между сотрудниками и их взаимосвязи. Учитывается и отображается не только переписка и электронная почта, но и отправка файлов. Можно настроить отчет таким образом, чтобы, выбрав интересующий документ, увидеть всю цепочку его движения и распространения.
Рисунок 13. Граф взаимосвязей в StaffCop Enterprise
В целом, большая часть отчетов удобна для использования, содержит только важные данные и легко подвергается корреляции и фильтрации. Единственная проблема может возникнуть с отслеживанием файловой активности.
Разработчики StaffCop Enterprise даже сделали отдельное предупреждение в документации о том, что данный модуль необходимо настраивать внимательно. При неправильной настройке значительно повышается нагрузка на контролируемые компьютеры и сервер, а работа с отчетами будет невозможна из-за очень большого объема данных.
В связи с тем, что потенциально агент отслеживает абсолютно всю файловую активность, а универсальных ограничивающих правил по контролю над файловой активностью сделать теоретически невозможно (в силу разных конфигураций на разных АРМ), иногда требуется более точная доводка правил файлового мониторинга.
Кроме того, события по доступу к файлам не разделяют действия по чтению содержимого и чтению атрибутов, что приводит к генерации большого числа ложных событий при просмотре содержимого директорий. «Проводник» читает информацию об атрибутах и метаданных всех файлов в папке, и эта информация попадает в журнал StaffCop Enterprise.
Для управления отчетами предназначены вкладки «Конструктор» и «Свойства». В «Конструкторе» регулируется фильтрация данных по агентам, пользователям, времени, типу событий и отдельным параметрам событий. В «Свойствах» настраиваются параметры отчетов, права доступа пользователей StaffCop Enterprise к отчету и политика отправки уведомлений по электронной почте для выбранного отчета.
Для чего необходим staffcop enterprise и кто его создал?
Staffcop Enterprise позволяет исполнять требования следующих руководящих документов по защите информации:
- Приказ ФСТЭК России от 25 декабря 2021 г. N 239;
- Приказ ФСТЭК России от 18 февраля 2021 г. N 21;
- Положение от 9 июня 2021 года N 382-П;
- Приказ ФСТЭК России от 11 февраля 2021 N 17;
- Федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры» (КИИ);
- ГОСТ Р 57580.1 – 2021.
О чем свидетельствует сертификат ФСТЭК России ФСТЭК России № 4234 от 15 апреля 2020 года, а также то, что программный комплекс Staffcop Enterprise успешно прошел тематические исследования на соответствие требованиям ТИ-69 8 Центра ФСБ России по следующим пунктам:
- Соответствие декларированных и реальных возможностей программного обеспечения;
- Отсутствие не декларированных возможностей программного обеспечения;
- Совместимость с средствами защиты информации;
- Возможность работы в безопасной среде.
Разработчиком же программного комплекса является компания «Атом Безопасность» тоже обладающая внушительным послужным списком:
- Резидент Инновационного центра «Сколково»;
- Резидент Технопарка Новосибирского Академгородка;
- Действительный член ассоциации разработчиков программных продуктов «Отечественный софт»,
- Действительный член АСРИТ «Сибакадемсофт»,
- Действительный член ассоциации независимых разработчиков программного обеспечения ISDEF.
- Обладатель лицензий ФСТЭК России на деятельность по разработке и производству средств защиты, а также на деятельность по технической защите конфиденциальной информации за номерами №1989 и №3862 соответственно.
Компания уже давно находится на рынке имеет множество клиентов в нашей стране и за рубежом: клиентов разной величины и известности – от мала до велика.
Почему вы должны выбрать Stafccop Enterprise для защиты своей информационной структуры и контроля сотрудников? Если кратко резюмировать, то:
- Комплексность— StaffCop позволяет решать задачи информационной безопасности, контроля бизнес-процессов и ключевых показателей, а также обладает инструментарием для удалённого администрирования рабочих станций;
- StaffCop Enterprise полностью интегрированное решение, не требующее приобретения дополнительного серверного программного обеспечения и баз данных – отсюда низкая стоимость внедрения и владения продуктом, быстрая окупаемость вложенных средств.
- Архитектура построена на современных технологиях что обеспечивает масштабируемость и позволяет снизить требования к серверному оборудованию и оборудованию рабочих станций.
- Высокая скорость обработки данных и построения отчета, благодаря использованию гибридного режима использования СУБД ClickHouse и PostgreSQL.
И, что, пожалуй, не менее важно в нынешнее время – является на 100% отечественным решением, а значит подходит под политику импортозамещения.
Контроль потоков информации в информационной структуре предприятия
Одним из важнейших наборов функций Staffcop Enterprise является файловый контроль. Ведь самое важное – это информация и если вы не контролируете, что с этой информацией происходит, то рано или поздно, ваши данные утекут к людям с сомнительной репутацией или напрямую к конкурентам.
Поэтому в Staffcop Enterprise имеется обширный набор функциональных возможностей для контроля файлов. И первый из них – это цифровые метки. Каждому файлу присваивается уникальный идентификатор, который позволяет отследить весь жизненный путь файла, то есть, какие именно операции с ним совершались. Причем не важно, что происходило – изменяли файл, удаляли, перемещали – вы увидите кто и что именно делал.
Но с файлами можно не только работать непосредственно на АРМ, но и передавать их третьим лицам – с помощью электронной почты, мессенджеров и т.д. Staffcop осуществит теневое копирование передаваемого файла и обязательно направит уведомление администратору безопасности о произошедшем событии – если это необходимо. Кроме того, вы можете определять, какими способами можно отправлять файлы, а какими нельзя.
Также, каналами утечки могут являться внешние носители – через запись конфиденциальной информации на USB-флешки или CD-диски – система осуществит теневое копирование файла, который пытаются вынести. При этом, вы можете настроить доверенные внешние носители, на которые будет разрешено записывать информацию – совместно с учетом имеющихся носителей это позволит моментально выявлять виновных в утечке.
Вполне справедливо к внешним носителям можно отнести распечатку документов на принтере – это может быть, например, список клиентов вашей компании или исходный код вашего продукта – Staffcop осуществляет контроль за доступом к печати, а также перехватывает все документы, которые были отправлены на печать – помимо самого факта печати, вы получаете: копию файла, который пытались распечатать; скриншот с рабочего стола; данные, под какой учетной записью, и на каком компьютере и, соответственно, принтере пытались распечатать документ; а также получаете возможность самому распечатать перехваченный файл.
Рис. 2 Отображение инцидентов связанных с файлами.
Конечно, на компьютере сотрудника могут оказаться не только те файлы, с которыми он работает, но и те, которых там не должно быть. Файлы, которых не должно быть на АРМ сотрудника можно разделить на 2 вида – это сторонние файлы, к работе отношения не имеющие и файлы с информацией, к которой у сотрудника нет доступа или с которой он не работает.
В Staffcop Enterprise имеется модуль индексации файлов на персональных рабочих станциях и на серверах. Этот модуль позволяет провести аудит документов, которые находятся на компьютере, выявить конкретные документы и файлы, которые содержат в себе определённый, интересующий вас текст.
Рис. 3 Интерфейс поиска по ключевому слову в фильтре
Рис. 4 Интерфейс модуля индексации файлов.
Рис. 5 Отображение результатов работы модуля
Рис. 6 Результаты поиска по содержимому файла.
Важными элементами системы обеспечения информационной безопасности являются детектор аномалий и карта взаимодействий (граф связей сотрудника). Детектор аномалий позволяет выявить отклонения от привычного поведения сотрудника – самый простой пример, это многократное увеличение какого-то действия.
Мы создаём в программе фильтр на превышение количества определенных операций или событий. Например, копирование файлов или их распечатка – если сотрудник в день распечатывает в среднем 5 страниц, а теперь вдруг распечатывает сотню, то это повод проверить, чем именно он занят и какая есть необходимость это делать.
Рис. 7 Результат оповещения детектором аномального поведения
Карта взаимодействия позволяет увидеть, как сотрудники взаимодействуют друг с другом, как выглядит путь документа в организации – это помогает увидеть схемы бизнес-процессов в организации. Помимо выявления того, в каком месте могла произойти утечка информации вы получаете схему работы своего предприятия, что позволяет вам реорганизовать определённые процессы, чтобы сделать их эффективней.
Рис. 8 Пример карты взаимодействий сотрудников на основе обмена файлов.
И ещё одной немаловажной функцией является блокировка файлов по содержимому. Вы задаёте правило, с примером нужного текста, и когда система обнаружит файл, соответствующий этому правилу – его передача будет заблокирована. Эта функция работает с файлами MS Office, Open Office, .pdf и текстовыми документами.
Рис. 9 Скриншот заблокированной передачи файла.
Настройка мониторинга агентов¶
После установки агента на рабочую станцию, он автоматически регистрируется на сервере Stafffcop Enteprise, если есть свободные лицензии. Проверить факт регистрации агента на сервере можно в веб-консоли в меню Панель управления – Компьютеры.
Список агентов может выглядеть примерно так:
После регистрации агента на сервере, ему присваивается конфигурация – Конфигурация по умолчанию. Именно с этой конфигурации он считывает настройки, по правилам которого происходит мониторинг событий на рабочей станции пользователя.
Конфигурация по умолчанию создана только для того чтобы собирать активность работы в приложениях и сайтах, а так же создает скриншоты и перехватывает нажатия клавиш.
по активности работы в приложениях и сайтах (учёт рабочего времени)
фиксировать нажатия клавиш (кейлоггер)
собирать информацию по авторизации пользователей
снимок экрана каждые 5 минут
Чтобы осуществить полноценный мониторинг по всем действиям пользователей можете назначить агентам другую конфигурацию – Полный контроль.
Для этого нужно выполнить следующие шаги:
Откройте меню Панель управления – Конфигурация компьютеров, в списке откройте конфигурацию Полный контроль.
В данной конфигурации откройте секцию «Назначение агентов».
Кнопками навигации переноса можете назначить агентам конфигурации. Например, нажмите кнопку «Выбрать все» колонки «Доступные агенты», тогда они будут в колонке «Выбранные агенты»:
Внизу формы конфигурации нажмите кнопку Сохранить.
Подробней об этом описано в этой статье.
В течении двух минут применяться новые настройки мониторинга.
В случаее проблем с производительностью, недоступностью сетевых ресурсов на ПК с установленным агентом, переключите его на Конфигурацию по умолчанию, и изучите подробные инструкции по настройке, либо обратитесь в техническую поддержку.
Более подробно о настройке конфигурации можно узнать Здесь.
Также обратите внимание на настройку исключений для антивирусов. При использовании конфигурации Полный контроль необходимо отключать проверку защиенных соединений в антивирусах из-за модуля мониторинга сети.
Если агенты и сервер настроены корректно, но данные отображаются в прошлом или в будущем времени, то это означает, что часовые пояса агентов и сервера настроены некорректно. Для корректной настройки таймзоны на сервере воспользуйтесь инструкцией по смене Часового пояса.
Первые шаги в работе с данными¶
Перед началом работы с веб-интерфейсом желательно ознакомится с основными элементами веб-интерфейса, где сносками помечены основные элементы веб-интерфейса.
Для работы по собранным данным с агентов используются две вкладки: Конструктор и Фильтры.
Принцип работы заключается в задании фильтрации «флажком» по элементам в Конструкторе.
Конструктор содержит в себе основные измерения по категориям. Задав набор параметров фильтраций его можно сохранить средствами навигационной панели фильтров.
Подробнее про сохранение фильтров описано в инструкции Навигационная панель фильтров.
Фильтры – это объекты созданные в Конструкторе по параметрам фильтраций и представляют из себя измерения, созданные самим пользователем веб-консоли Staffcop Enterprise.
Рассмотрим небольшой пример по работе с данными на практике:
Откройте вкладку Конструктор и выберите измерение Тип события.
В Конструкторе выберите тип Ввод с клавиатуры.
Затем перейдите в измерение Агент и выберите интересующий вас ПК в Конструкторе.
В меню Конструктора откройте События и выберите вкладку Таблица.
На черной панели нажмите кнопку Сохранить и задайте имя фильтру в модульном окне, сохранив фильтр.
Перейдите во вкладку Фильтры и выберите созданный только что фильтр, кликнув на него.
Можете выбрать из панели Период диапазон событий – 7 дней.
В итоге получим, что при выборе фильтра в нижней панели отображаются параметры фильтраций (Aгент и Тип события – Ввод с клавиатуры). А в таблице событий будут отображаться данные только по выбранному агенту и типу событий Ввод с клавиатуры.
Функции, подвергшиеся оптимизации
Staffcop Enterprise собирает большое количество информации, и чтобы офицер безопасности не тратил много времени на поиск нужных сведений, программный комплекс наглядно отображает все собранные данные с помощью разных виджетов. В новой версии добавлена возможность сократить интервал времени, события за который будут показаны, точно настроив его до часов и даже минут.
Более точная настройка времени теперь доступна в том числе и для формируемых отчётов, а также для оповещений об отсутствии данных от агента. Если раньше имелись только варианты «ежедневно», «еженедельно» и «ежемесячно», то теперь можно указать конкретное число и время.
Рисунок 4. Распределение времени сотрудника в течение рабочего дня
Также нет необходимости каждый раз заново настраивать представление полей в линзе событий: можно сохранить настройку и использовать её в дальнейшем, а само отображение информации в линзе оптимизировано ради более быстрого и плавного пролистывания. Использование словарей тоже стало более удобным и наглядным: текст, на который отреагировали разные словари, теперь можно выделить разными цветами.
Рисунок 5. Пример выделения цветом найденных по словарям слов
Организованность процесса обеспечения информационной безопасности также является важным фактором. Чем меньше рутинных действий совершает офицер безопасности, тем эффективнее он справляется со своей основной задачей. Поэтому, в первую очередь, производится улучшение интерфейса — например, теперь можно создать несколько однотипных политик, а при сохранении и печати отчёта его название совпадает с названием его шапки.
Менеджмент агентов стал удобнее: в новой версии можно настроить время активности агента, чтобы он собирал информацию только в рабочее время. Кроме этого, с неактивных ПК можно автоматически снять лицензию через указанное количество дней. Удалённые агенты теперь получают статус «Агент удалён», что позволяет проще концентрировать внимание на рабочих местах, на которых ведётся логирование информации.
Рисунок 6. Функция сбора информации только в рабочее время
Правильно организованная работа и наглядное отображение её результатов — это критерии эффективности выполняемой деятельности. Важно стремиться к получению максимального результата за минимум времени.
Функциональные возможности staffcop enterprise
StaffCop Enterprise 2.4 обладает множеством функциональных возможностей и решает следующие задачи работодателей:
- учет рабочего времени;
- контроль эффективности персонала;
- защита от утечек информации и инсайдеров;
- расследование инцидентов информационной безопасности.
Эти задачи решаются с помощью следующих функций:
- Мониторинг сетевого трафика, в том числе контроль шифрованного трафика, разбор e-mail-сообщений с вложениями, контроль мессенджеров и доступа к веб-сайтам.
- Контроль доступа к файловым ресурсам — работа с файлами и директориями, в том числе сетевыми, доступ к буферу обмена, отслеживание копирования файлов на съемные носители.
- Контроль рабочего времени — запись времени начала и окончания работы с компьютером, отслеживание перерывов в работе и использования рабочего времени в личных целях. Контроль производится автоматически при наличии действий в системе (движение мыши, набор текста и т. д.). Дополнительно может быть активирован контроль с интерактивным запросом подтверждения присутствия работника за компьютером, если активность какое-то время отсутствует.
- Мониторинг ввода — отслеживание нажатий клавиатуры (кейлоггер).
- Запись звука с микрофонов.
- Запись снимков экрана и фотоснимков с веб-камер.
Для удобства работы с данными присутствуют следующие дополнительные функциональные возможности:
- Система уведомлений (Алертов) — в случае регистрации инцидента система сразу оповестит об этом в веб-интерфейсе и отправит на электронную почту письмо, в котором будет описание сработавшего инцидента и прямая ссылка на событие в веб-интерфейсе.
- Категоризация работы сотрудников по продуктивности — можно задавать различные политики продуктивности для разных групп пользователей, вплоть до персональных политик для отдельных пользователей. Это позволяет наблюдать на наглядных графиках активность пользователей в приложениях и на сайтах в виде полосок, раскрашенных в соответствующие цвета.
- Блокировка доступа к нежелательным сайтам, блокировка доступа к USB-накопителям, блокировка запуска приложений (по черному и белому спискам).
- Многочисленные графические отчеты —в наглядном и понятном виде отображают различные срезы информации в соответствии с практическими задачами.
По архитектуре StaffCop является клиент-серверным приложением. Серверная часть функционирует под управлением операционной системы GNU/Linux и предназначена для сбора, хранения и просмотра информации об активности пользователей. Метаданные сохраняются в свободно распространяемой базе данных PostgreSQL, перехваченные файлы и скриншоты сохраняются в отдельном разделе, что позволяет при больших объемах данных оптимально настраивать дисковую подсистему для максимальной производительности.
Агентская часть устанавливается на рабочие места сотрудников с операционной системой Windows и отслеживает действия пользователя, а также реализует различные блокировки и запреты доступа. Агент может выполнять свои функции в скрытом режиме, не выдавая пользователю своего присутствия в системе.