Обзор на Staffcop Enterprise 4.9

На программный комплекс staffcop enterprise получен сертификат фстэк россии № 4234 от 15 апреля 2020 года, который подтверждает, что данный программный комплекс соответствует «требованиям к средствам контроля съемных машинных носителей информации, фстэк россии», утверждённых приказом фстэк россии от 28 июля 2021 г. n 87 – по 4 классу защиты и «профиль защиты средств контроля подключения съемных машинных носителей информации четвертого класса защиты (ит.скн.п4.пз)» (фстэк россии, 2021), заданию по безопасности алмю.501410.скэ4-01.зб и оценочному уровню доверия оуд3 (усиленный) в соответствии гост р исо/мэк 15408.

Системные требования и поддерживаемые технологии

Серверная часть StaffCop Enterprise может быть установлена на Ubuntu Server 14.04 LTS или Ubuntu Server 16.04 LTS на физической, виртуальной машине или выделенном сервере. Серверная часть предназначена для сбора, хранения и просмотра информации об активности пользователей.

Метаданные сохраняются в свободно распространяемой базе данных PostgreSQL, перехваченные файлы и скриншоты сохраняются в отдельном разделе, что позволяет при больших объемах данных оптимально настраивать дисковую подсистему для максимальной производительности.

StaffCop Enterprise поддерживает работу в виртуальных средах VMware, Hyper-V, Virtual Box и др. В таблице ниже приведены системные требования для серверной части StaffCop Enterprise.

Таблица 1. Системные требования для серверной части StaffCop Enterprise

В документации вендор приводит формулу, по которой можно рассчитать необходимый объем дискового пространства в зависимости от задействованных функций мониторинга.

Агентская часть устанавливается на рабочие места сотрудников с операционной системой Windows и отслеживает действия пользователя, а также реализует различные блокировки и запреты доступа. Поддерживается установка агентской части локально на рабочем месте или удаленно — с помощью встроенных средств развертывания или через групповые доменные политики (GPO). Системные требования для агентов StaffCop Enterprise 3.1 приведены в таблице ниже.

Таблица 2. Системные требования для агентов StaffCop Enterprise

Стоит отметить, что агенты также могут работать на компьютерах под управлением Windows XP, но с ограничением функциональности.

Для управления StaffCop Enterprise вендор рекомендует использовать браузеры Mozilla Firefox или Google Chrome.

Функциональные возможности dlp

Одним из важнейших наборов функций Staffcop Enterprise является файловый контроль. Ведь самое важное – это информация и если вы не контролируете, что с этой информацией происходит, то рано или поздно, ваши данные утекут к людям с сомнительной репутацией или напрямую к конкурентам. Стоит ли говорить, что в этом случае произойдёт с вашим бизнесом?

Поэтому в Staffcop Enterprise имеется обширный набор функциональных возможностей для контроля файлов. И первый из них – это цифровые метки. Каждому файлу присваивается уникальный идентификатор, который позволяет отследить весь жизненный путь файла, то есть, какие именно операции с ним совершались. Причем не важно, что происходило – изменяли файл, удаляли, перемещали – вы увидите кто и что именно делал.

Также, вы можете увидеть, с помощью графов связей, как происходит передача файлов между сотрудниками вашей компании и отследить, как именно происходит тот или иной бизнес-процесс, что позволяет оптимизировать происходящие взаимодействия, а значит – повышать их эффективность.

Рис. 2 Карта взаимодействий сотрудников

ИКонечно, на компьютере сотрудника могут оказаться не только те файлы, с которыми он работает, но и те, которых там не должно быть. Файлы, которых не должно быть на АРМ сотрудника можно разделить на 2 вида – это сторонние файлы, к работе отношения не имеющие и файлы с информацией, к которой у сотрудника нет доступа или с которой он не работает.

В этом случае очень важной функциональной возможностью является модуль удалённого сканирования файлов – краулер. Краулер позволяет провести всех аудит документов офисного формата, которые находятся на компьютере, выявить конкретные документы и файлы, которые содержат в себе определённый, интересующий вас текст – а также удалить эти данные.

Рис. 3 Интерфейс модуля сканирования

Рис. 4 Результаты поиска

Рис. 5 Результаты поиска по содержимому файла

Без сомнения, набор функциональных возможностей достаточно широк, но мы понимаем, что без улучшений не обойтись и мы добавили блокировку файлов по содержимому. Вы задаёте правило, с примером нужного текста, и когда система обнаружит файл, соответствующий этому правилу – его передача будет заблокирована.

Рис. 6 Скриншот заблокированной передачи файла

        Файлы могут «утекать» с помощью иных путей – условно разделим их на две категории: локальная утечка и сетевая утечка. Давайте рассмотрим оба варианта утечки и как это можно проконтролировать.

Начнем с локальной утечки – сюда входят ситуации копирования файлов на USB-накопители, печать документов, получение доступа к информации с помощью RuToken на чужом рабочем месте, чтение информации с экрана сотрудником, не имеющим доступа к этой информации.

При подключении незарегистрированного (не внесённого в белый список) USB-накопителя, администратору безопасности будет выслано уведомление о попытке подключения и создана теневая копия файла, а сам накопитель будет заблокирован. Благодаря используемым цифровым меткам, присваиваемым устройствам, вы всегда можете отследить где и как используются зарегистрированные устройства, а также заблокировать применение несанкционированных устройств.

Рис. 7 Скриншот незаконного копирования на USB-накопитель

К копированию на внешний носитель можно отнести распечатку документов на принтере – это может быть что угодно: список клиентов вашей компании, исходный код вашего продукта, список поставщиков, коммерческие предложения и т.д. Staffcop Enterprise, помимо самого факта печати, позволяет получить:

• Rопию файла, который пытались распечатать;
• Cкриншот с рабочего стола;
• Данные, под какой учетной записью и на каком компьютере и, соответственно, принтере пытались распечатать документ;
• Dозможность самому распечатать перехваченный файл.

Рис. 8 Отображение инцидентов связанных с распечаткой файлов.

Сотрудники могут попробовать получить доступ к информации, с которой не имеют права работать или просто попытаться замаскировать копирование конфиденциальной информации с помощью использования не своего, а чужого рабочего места. Для того, чтобы контролировать подобные вещи, в Staffcop Enterprise есть модуль распознавания лиц – при проведении расследования, вы сможете определить, что операции под учетной записью проводило лицо, которое ей, на самом деле, не владеет.

Рис 9. Скриншот результатов распознавания лиц

Также для получения доступа может использоваться электронный ключ RuToken, например, на незаблокированном компьютере – конечно, это нарушение протоколов безопасности, но мы ведь должны иметь ввиду худший вариант, не так ли? Теперь вы можете отслеживать использование RuTokena на любых компьютерах и отследить весь путь перемещений и, поскольку в Staffcop Enterprise используется технология OLAP-кубов, позволяющая обеспечивать взаимосвязанность собранных данных, вы можете проследить и все сопутствующие действия, которые хозяин ключа совершал на компьютере.

Рис. 10 Результаты поиска RuToken`а

Кроме всего прочего, передача конфиденциальных данных может происходить не только с помощью текстовых документов. Например, злоумышленник может передавать фотографии паспортов или сканы договоров. В этом случае вам поможет механизм распознавания текста (OCR) основанный на нейронных сетях LSTM (Long Short Term Memory) – который быстро определит, что происходит и подаст вам сигнал.

Рис. 11 Результат работы нейросети

Ну и вишенкой на торте DLP-модуля является детектор аномалий поведения пользователей. Детектор предназначен для выявления действий пользователей, нетипичных для их обычного режима работы. Что это значит: вы задаёте правило, по которому будет срабатывать сигнализация и когда правило нарушается – вы получаете уведомление.

Самый частый и понятный пример, когда сотрудник неожиданно начинает копировать документы на съемный носитель в большом объёме. И если это, к примеру, сотрудник, который написал заявление об увольнении или был подвергнут дисциплинарному взысканию, или замечен в конфликте с коллегами/руководством – это однозначно требующая разбирательства ситуация.

Рис. 12 Результат оповещения детектором аномального поведения

Второй тип утечки – сетевой. Сотрудник может отправить файл по почте или через мессенджер, сообщить данный в общении через мессенджер и электронную почту или своими действиями, умышленными или нет, допустить заражение компьютера вредоносным программным обеспечением/предоставить доступ злоумышленникам. Конечно, это серьёзные угрозы, но и с ними Staffcop Enterprise позволяет успешно бороться.

Во-первых, когда речь идёт о переписке – сотрудник может разглашать внутренние сведения компании, как через электронную почту, так и при общении через Skype или, например, популярный нынче Telegram. Staffcop Enterprise осуществляет анализ переписки с помощью настраиваемых словарей, в которые вы можете включить свои ключевые слова, словосочетания и фразы – причем, при обнаружении словарного слова, оно подсвечивается конкретным цветом, соответствующим конкретному словарю и вы быстро узнаёте о обсуждении сотрудником запретных тем.

Рис. 13 Пример выделения цветом найденных по словарям слов.

Во-вторых, это посещение развлекательных ресурсов – кроме того, что это трата рабочего времени на свои личные дела, это увеличивает угрозу заражения вредоносным программным обеспечением или передачей личных данных злоумышленникам. Вы можете как создать «белый» список сайтов, которыми разрешено пользоваться сотрудникам, так и контролировать сколько и куда времени в интернете они тратят, а также отслеживать, какие формы на каких сайтах сотрудники заполняют. Таким образом, помимо обеспечения информационной безопасности, вы будете контролировать продуктивность своих сотрудников.

Рис 14. Представление отчета по использованию непродуктивных ресурсов.

К сетевой утечке можно отнести также выгрузку баз из различного программного обеспечения. Наиболее ярким примером, пожалуй, тут может стать выгрузка данных из всея бухгалтерских программ «1С:Бухгалтерия». Особенностью этой программы является то, что названия создаваемых ей файлов написаны кириллицей, но для Staffcop Enterprise это не проблема.

Рис. 15 Перехват файла с кириллическим названием

Рис. 16 Перехват спецсимволов и клавиш управления

Доработке подвергся и кейлоггер – теперь сотрудники отдела безопасности сразу видят спецсимволы, без дополнительной настройки. Это значительно ускоряет работу отдела безопасности по расследованию инцидентов. Кроме того, мы не можем не похвастаться, что наш кейлоггер работает и в Astra Linux.

Как можно заметить, функционал DLP-модуля очень широк и содержит все необходимые функции для того, чтобы полностью контролировать потоки информации в вашей компании, вовремя определять угрозы утечки конфиденциальной информации и, более того, предотвращать подобные происшествия.

В свете того, что недавно вышел Федеральный закон от 8 декабря 2020 г. N 407-ФЗ “О внесении изменений в Трудовой кодекс Российской Федерации в части регулирования дистанционной (удаленной) работы и временного перевода работника на дистанционную (удаленную) работу по инициативе работодателя в исключительных случаях”, закрепляющий понятие удалённой работы, а значит, что этот формат с нами надолго, у многих работодателей возник вопрос – как при таком размытии периметра безопасности обеспечивать информационную безопасность и уберечь предприятие от огромных финансовых и репутационных потерь?

А если бюджет ограничен? Ответ прост – Staffcop Enterprise. Как вы убедились из вышесказанного – Staffcop Enterprise обеспечит вашу компанию всем необходимым, а, при этом, ещё и обладает очень привлекательной ценой. Всё ещё не можете себе позволить? А вы помните, что Staffcop Enterprise – это комплексное решение, позволяющее решать задачи различных отделов?