- Введение
- Searchinform – лицензия, русская версия, цена – на
- Киб серчинформ
- Контроль информационных потоков и перехват данных
- Контроль эффективности работы сотрудников
- О центре – searchinform
- Предустановленные политики безопасности
- Расписание, цены и регистрация – searchinform
- Распознавание ухищрений инсайдеров
- Сёрчинформ киб – searchinform
- Система отчетов
- Системные требования
- Соответствие требованиям регуляторов
Введение
Утечка важной информации или ее непреднамеренный «слив» могут нанести бизнесу существенный вред. Как правило, источниками таких угроз являются недобросовестные или ущемленные в том или ином аспекте сотрудники компаний. Мотивы у сотрудников могут быть совершенно различные: подкуп со стороны конкурентов или заинтересованных лиц, шантаж, личная выгода и многое другое.
В условиях кризиса проблема утечки информации только возрастает. Компания SearchInform провела исследование и выяснила, что с 2021 по 2021 год число попыток «слива» информации сотрудниками российских компаний выросло на 17,3%. Согласно исследованию, 31,4% — это умышленная кража информации (в том числе сохранение информации на личном носителе «на всякий случай» или ввиду смены работы)
В связи с этим все больше компаний задумывается о надежной защите. Традиционно для защиты от утечек и контроля информационных потоков в организациях применяются системы класса DLP.
В данном обзоре мы подробно рассмотрим DLP-систему «Контур информационной безопасности SearchInform» (российское наименование продукта – «Контур информационной безопасности Серчинформ»), разработанную отечественной компанией ООО «СёрчИнформ». В материале будут рассмотрены архитектура решения, системные требования и основные функциональные возможности продукта.
Searchinform – лицензия, русская версия, цена – на
Команда разработчиков с 1995 года создавала технологии поиска по неструктурированным данным, а с 2004 сосредоточилась на решениях для защиты информации. Сегодня в активе команды – продукты для комплексной защиты от внутренних угроз на уровне IT-инфраструктуры, СУБД, файловой системы, рабочих станций пользователей и каналов передачи информации, рисков со стороны человеческого фактора.
Продукты «СёрчИнформ» подходят компаниям из разных отраслей – от банковского дела до машиностроения. Компания защищает данные пациентов медицинских учреждений, обеспечивает сохранность ноу-хау в производственных компаниях, следит за конфиденциальностью документооборота в органах государственного и муниципального управления.
«СёрчИнформ КИБ» и «СёрчИнформ SIEM» сертифицированы ФСТЭК, внесены в Единый реестр российских программ для электронных вычислительных машин и баз данных. Компетенция компании подтверждена бессрочной лицензией ЦЛСЗ ФСБ России на разработку и производство средств защиты конфиденциальной информации, лицензиями ФСТЭК России на деятельность по технической защите конфиденциальной информации и деятельность по разработке и производству средств защиты конфиденциальной информации.
Киб серчинформ
Установка DLP-системы займет всего 2-3 часа
«КИБ СёрчИнформ» можно инсталлировать за несколько часов силами штатных IT-специалистов. Это значит, что клиенту не обязательно предоставлять внутренние документы сотрудникам компании-разработчика.
Внедрение не нарушит рабочие процессы
Установка DLP-решения не потребует изменений в существующей структуре локальной сети. Так что внедрение продукта не грозит простоем в работе или изменением налаженных процессов.
Система защитит данные и за пределами офиса
«КИБ СёрчИнформ» работает не только на уровне локальной сети (выхода информации в Интернет), но и на уровне каждого отдельного компьютера. Система защищает информацию, даже если сотрудники находятся в разных городах, работают из дома или используют рабочие ноутбуки в командировках.
Гибкое лицензирование
DLP-система «СёрчИнформ» состоит из набора компонентов. Заказчику не обязательно оплачивать «полный пакет»: есть возможность «собрать» только необходимые модули.
Бесплатная пробная версия на 30 дней
Клиенты «СёрчИнформ» могут «попробовать» продукт и оценить его полезность для бизнеса. Возможности бесплатной версии не ограничены.
Постоянная поддержка отдела внедрения
Специалисты «СёрчИнформ» обучают клиентов работе с КИБ, помогают настроить политики безопасности, консультируют по вопросам анализа перехваченной информации и разъясняют возможности новых версий продукта.
Полная интеграция с доменной структурой Windows
«КИБ СёрчИнформ» однозначно определяет, под учетной записью какого пользователя и с какого компьютера отправляется информация по email, ICQ или Skype, независимо от используемого почтового ящика, номера ICQ или аккаунта.
Неограниченные возможности расследования инцидентов
DLP-система сохраняет в архив всю перехваченную информацию и, в случае необходимости, позволяет расследовать обнаруженный инцидент в соответствии с абсолютно новыми политиками безопасности.
Прозрачность связей внутри компании и за пределами
Продукт анализирует связи сотрудников между собой и с внешними адресатами. Подобная карта взаимодействий позволяет быстро и эффективно проводить внутренние расследования.
Контроль разговоров сотрудников
КИБ может записывать голоса с помощью любого обнаруженного микрофона (в гарнитурах, ноутбуке, веб-камере и т.д.) в офисе и за его пределами. Перехваченные записи сохраняются, к ним можно применять атрибутный поиск. Возможно и прослушивание разговоров в реальном времени с помощью функции «LiveSound».
Перехват содержимого экранов компьютеров
DLP-система «СёрчИнформ» показывает, кто и какую информацию просматривает на экране монитора в рабочее время. КИБ сохраняет видеозаписи происходящего на экранах или отдельные снимки, а также позволяет подключиться к компьютеру для наблюдения в реальном времени (функция «LiveView»).
Контроль действий системного администратора
Контроль событий журналов Active Directory позволяет выявлять подозрительные действия, которые могут совершаться сисадмином компании: создание/удаление пользователей, повышение/понижение привилегий и т.д.
Функция «поиск похожих»
КИБ позволяет быстро и гибко настроить систему оповещения, не привлекая для этого сторонних специалистов. Требует минимальных трудозатрат на анализ информационных потоков.
Контроль ноутбуков
DLP-система «СёрчИнформ» выявляет утечки информации через ноутбуки, используемые сотрудниками даже вне корпоративной сети (например, дома или в командировках).
Контроль содержимого компьютеров и общедоступных сетевых ресурсов
С «КИБ СёрчИнформ» офицеры безопасности могут отслеживать появление конфиденциальной информации в местах, для этого не предназначенных.
Отчеты по программному обеспечению и оборудованию
Система контролирует ПО рабочих станций, а также оборудование, и сообщает об изменениях. Отчеты упрощают процесс инвентаризации и облегчают мониторинг ПО, что оптимизирует работу IT-отдела и страхует компанию от лишних расходов.
Контроль информационных потоков и перехват данных
Одной из ключевых возможностей «Контура информационной безопасности SearchInform» как системы класса DLP является контроль информационных потоков и перехват данных.
«Контур информационной безопасности SearchInform» поддерживает перехват следующих данных:
Контроль эффективности работы сотрудников
Исследования показывают, что типичный офисный сотрудник использует от 30 до 70% рабочего времени в личных целях. Игры, чаты и социальные сети отнимают львиную долю оплаченного работодателем времени, снижают эффективность работы персонала и конкурентоспособность компании.
Контроль соблюдения сотрудниками трудового распорядка, их активности в течение рабочего дня, а также анализ их работы в запускаемых приложениях позволяют не только решить вопросы безопасности и дисциплины, но и стимулируют сотрудников эффективно использовать рабочее время в целях организации.
В ReportCenter предусмотрена возможность формирования разнообразных отчетов, позволяющих составить представление о рациональности использования рабочего времени тем или иным пользователем, а также о соблюдении им политик безопасности организации, например:
- ТОП по числу перехваченных файлов и сообщений;
- ТОП пользователей по числу инцидентов;
- визуализация связей сотрудников с их адресатами;
- средняя продолжительность рабочего дня и суммарное время работы сотрудников;
- среднесуточная и суммарная активность запускаемых пользователями процессов;
- среднесуточная и суммарная активность на посещаемых пользователями веб-сайтах;
- детальная информация по работе пользователей;
- журнал рабочего времени пользователей;
- отчет по нарушениям рабочего режима;
- отчет по установленному и измененному на компьютерах пользователей оборудованию и др.
Рисунок 14. Отчет об эффективности пользователей, формируемый в модуле ReportCenter
Кроме того, в «Контуре информационной безопасности SearchInform» существует возможность мониторинга активности пользователей в режиме реального времени.
О центре – searchinform
«СёрчИнформ» ведет образовательную деятельность в двух направлениях: это работа с вузами и с клиентами. Мы делаем это, потому что видим проблему: количество киберугроз растет, рынок ИБ предлагает инструменты защиты и одновременно испытывает нехватку специалистов по безопасности. Подготовка молодого поколения решает эту проблему в долгосрочной перспективе. А программы повышения квалификации позволяют совершенствовать уровень ИБ в компаниях наших клиентов сейчас.
Предустановленные политики безопасности
«Контур информационной безопасности SearchInform» включает более 150 готовых политик безопасности:
Универсальные политики безопасности (актуальны для любой организации):
- контроль откатов и взяточничества;
- выявление негативных настроений и сговоров в коллективе;
- определение групп риска (проблемы с алкоголем, наркотиками, крупные долги и т. д.);
- контроль персональных данных (паспорта, номера банковских карт и др.);
- выявление общения с конкурентами, с уволенными сотрудниками;
- посещение запрещенных сайтов;
- антитеррористические политики и др.
Отраслевые политики безопасности (учитывают сферу деятельности компании):
- банки и финансы;
- добывающая и химическая промышленность;
- транспорт и логистика;
- газо-, электро- и водоснабжение;
- строительство, связь.
Индивидуальные политики безопасности — политики, которые специалисты компании бесплатно разрабатывают под запросы клиента.
Рисунок 15. Предустановленные политики безопасности «Контура информационной безопасности SearchInform»
Расписание, цены и регистрация – searchinform
Рассказываем о тенденциях отрасли, утечках и способах борьбы с ними
Распознавание ухищрений инсайдеров
Зачастую недобросовестные сотрудники, пытаясь обмануть службу безопасности, изменяют расширение передаваемого документа либо запаковывают данные в запароленный архив.
Для распознавания ухищрений «КИБ SearchInform» позволяет:
- распознавать текст в графических файлах и осуществлять поиск по ним;
- обнаружить передачу защищенных паролем архивов по всем каналам возможной утечки информации;
- выявлять пересылку файлов с умышленно измененным типом документа.
Рисунок 13. Пример выявления пересылки файла с умышленно измененным типом документа
Сёрчинформ киб – searchinform
КИБ позволяет контролировать информацию на свободно распространяемых ОС семейства Linux (Ubuntu/Kubuntu/Lubuntu/Xubuntu, Debian, CentOS, Fedora/RHEL, ZorinOS, Mint, ElementaryOS), а также на системах, созданных российскими разработчиками на базе ядра Linux – RedOS, ROSA, AstraLinux, Runtu, GosLinux.
Система отчетов
Модуль SearchInform ReportCenter собирает статистику по активности пользователей и инцидентам, связанным с нарушениями политик информационной безопасности, и представляет ее в виде отчетов (графиков, диаграмм, таблиц и графов):
- Отчеты по связям пользователей наглядно отображают всю собранную информацию о внешних и внутренних контактах пользователей и каналах их связи.
Рисунок 9. Отчет по связям пользователей, формируемый в модуле ReportCenter
- Отчеты по продуктам системы позволяют вывести в структурированном виде статистические данные перехвата за некий промежуток времени, например, количество сообщений по пользователям и продуктам, количество сообщений по протоколам, датам и т. д.
Рисунок 10. Отчет о количестве сообщений по протоколам, формируемый в модуле ReportCenter
- Группа отчетов ProgramSniffer позволяет фиксировать опоздания, ранние уходы и отсутствие на рабочем месте сотрудника, оценивать эффективность сотрудников, промежутки неактивности, а также активность процессов и/или сайтов на компьютерах пользователей системы и многое другое.
Рисунок 11. Отчет о суммарном времени активности сайтов пользователей по группам, формируемый в модуле ReportCenter
- Группа отчетов AlertCenter позволяет формировать статистические отчеты по зафиксированным инцидентам.
- Группа отчетов по программам позволяет формировать статистические отчеты о выполненных действиях с программным обеспечением и наличии его на компьютерах.
Рисунок 12. Отчет об установленных программах на компьютере, формируемый в модуле ReportCenter
- Группа отчетов по подключаемым устройствам позволяет формировать статистические отчеты о подключаемых устройствах, установленном оборудовании и об их изменении.
- Группа системных отчетов позволяет анализировать операции с агентами, протоколами, например, выводят список компьютеров без агентов, список компьютеров, выполнивших вход в домен, но не имеющих установленного агента и др.
«Контур информационной безопасности SearchInform» также предоставляет возможность создавать пользовательские шаблоны отчетов.
Системные требования
Системные требования «Контура информационной безопасности SearchInform» напрямую зависят от размера инфраструктуры компании. Ниже приведены минимальные системные требования для сервера DLP-системы в зависимости от количества контролируемых рабочих станций в инфраструктуре.
Таблица 1. Минимальные системные требования для сервера «Контура информационной безопасности SearchInform»
| Характеристики | Минимальная конфигурация сервера «Контур информационной безопасности SearchInform» | |||
| для контроля 50 рабочих станций | для контроля от 50 до 100 рабочих станций | для контроля от 100 до 300 рабочих станций | для контроля от 300 до 1000 рабочих станций | |
Процессор CPU | 2,4 GHz 4 Core | 2,4 GHz 6 Core | от 2 х 2,4 GHz 4 Core (2 четырех-ядерных CPU) | от 2 х 2,4 GHz 4 Core (2 четырех-ядерных CPU) |
Объем оперативной памяти RAM | 8 Gb | 8 Gb | 16 Gb | 24 Gb |
Объем устройства хранения данных HDD | 500 Gb (желательно RAID 10) | Tb (RAID 10) | 2 Tb (RAID 10) | 4 Tb (RAID 10) |
LAN | 1 Gbps | 1 Gbps | 1 Gbps | 1 Gbps |
Операционная система | MS Windows Server 2008 R2 | MS Windows Server 2008 R2 | MS Windows Server 2008 R2 | MS Windows Server 2008 R2 |
СУБД | MS SQL Server 2008 R2 Express | MS SQL Server 2008 R2 Express | MS SQL Server 2008 R2 Express | MS SQL Server 2008 R2 Express |
Агенты «Контура информационной безопасности SearchInform», которые устанавливаются на конечные точки сети, поддерживают операционные системы семейства Windows, а также отечественную операционную систему Astra Linux. Особых требований к аппаратной части рабочих станций агенты «Контура информационной безопасности SearchInform» не предъявляют.
«КИБ SearchInform» имеет гибкую политику лицензирования. Модульная архитектура продукта позволяет клиентам внедрять только те модули, в которых есть потребность. Лицензии приобретаются по количеству пользователей и количеству каналов контроля.
Также стоит отметить, что «Контур информационной безопасности SearchInform» имеет возможность интеграции со следующими системами:
- интеграция с доменной структурой Active Directory;
- интеграция с SearchInform Event Manager (SIEM);
- интеграция c почтовыми серверами Microsoft Exchange, Lotus Domino и др.;
- интеграция c Microsoft ISA / Forefront TMG и прочими прокси-серверами, работающими по протоколу ICAP.
Соответствие требованиям регуляторов
«Контур информационной безопасности SearchInform» сертифицирован по требованиям безопасности ФСТЭК России (сертификат ФСТЭК России № 3598 на соответствие ТУ и 4 уровню РД НДВ, действителен до 14.07.2021 г). Сертификация по требованиям безопасности ФСТЭК России дает возможность использовать «Контур информационной безопасности SearchInform» в составе системы защиты информационных систем, где применение сертифицированных продуктов обязательно, например, в информационных системах персональных данных, государственных информационных системах (ГИС), автоматизированных системах управления технологическим процессом (АСУ ТП).
Во второй части обзора мы покажем работу основных модулей «Контура информационной безопасности SearchInform» и сделаем общие выводы о системе.