TTY / Tietoturvallisuuden jatkokurssi / Harjoitustyö 2012

Petteri Vistiaho

Data loss prevention, DLP

Johdanto

Data loss prevention eli DLP tarkoittaa tiedon menetyksiltä suojautumista. Käytännössä DLP on paketti tietoturvatyökaluja, jonka tarkoitus on estää tahattomat tietovuodot yrityksen verkosta ulkomaailmaan. Tahattomat tietovuodot ovat yrityksille iso ongelma. Monet tietovuodot johtuvat inhimillisistä virheistä, esimerkiksi väärän liitteen lisäämisestä sähköpostiin. Data loss prevention -ohjelmistot yrittävät ratkaista nämä ongelmat estämällä luottamukselliseksi merkattujen tiedostojen lähettämisen yrityksen verkon ulkopuolelle. Tässä tekstissä käydään läpi data loss preventionin perustoimintaperiaatteet ja kerrotaan myös jotain suurimpien tietoturvayritysten DLP-ohjelmistoista. [1][2]

Miksi DLP?

Data loss prevention -ohjelmistoja käyttävät eniten yritykset. Yritykset käyttävät DLP tuotteita kahden syyn takia: vallitsevat lait ja yrityksen oman luottamuksellisen tiedon suojaaminen. Muun muassa luottokorttitietojen, henkilötunnusten ja tilinumeroiden tallentamista, siirtoa ja tulostamista säätelevät lakipykälät. Niinpä yrityksen käyttävät data loss prevention -ohjelmistoja välttääkseen näiden tietojen vääränlaisen käsittelyn, ja näin yritys välttää myös lain rikkomisen. Yritykset haluavat myös pitää omat luottamukselliset tietonsa salassa muilta, ja tähänkin DLP-ohjelmisto tarjoaa apua. Tietysti tietoja voi suojata myös muilla tavoin, kuin ohjelmistoja käyttämällä, ja jotkut yritykset käyttävätkin lähinnä sääntöjä ja määräyksiä ohjelmistojen sijasta. [1]

Yrityksellä voi olla myös monia muita syitä käyttää DLP:tä. Joillakin yrityksillä voi olla tarve lisätä tiedon suojaamistasoa, koska luottamuksellinen tieto kulkee työntekijöiden mukana kannettavissa tietokoneissa tai älypuhelimissa. Yritys voi myös haluta monitoroida työntekijöidensä toimia ja tallettaa logeja näiden toimista todistusaineistona mahdollisia oikeudenkäyntejä varten. Tämä on erityisen yleistä Yhdysvalloissa, jossa suurin osa DLP-ohjelmistoista toimii vain monitorointimoodissa. Tällöin DLP:n tarkoitus ei ole tietovuotojen estäminen, vaan tavoite on selvittää jälkikäteen niiden aiheuttajat. Tietysti yksi syy käyttää DLP:tä on myös hyvän maineen saaminen. DLP nähdään yleisesti hyvänä tapana suojata yrityksen salaista tietoa ja asiakkaiden luottamuksellista tietoa, jolloin DLP:n käyttö ja käytön mainostaminen nostavat yrityksen imagoa. [1][3]

DLP:tä ei varmastikaan kannata ottaa heti käyttöön kokonaisvaltaisena ratkaisuna. Ratkaisu on järkevää aluksi keskittää niihin kohteisiin, joissa on suurin tietovuodon riski. Näitä kohteita voivat olla esimerkiksi sähköposti, web-palvelut ja kannettavat työkoneet. DLP:n käyttöaluetta voi myöhemmin laajentaa koskemaan suurempaa osaa yrityksen tietoverkkoa. DLP:n kokonaisvaltainen käyttöönotto suoraan voi olla erittäin vaikeaa ja työlästä, joten käyttöönotto kannattaa suorittaa osissa. Tällöin vähennetään myös virheiden riskiä käyttöönotossa. [1]

DLP-ohjelmiston käyttöönotto

Data loss prevention -ohjelmiston käyttöönotto aloitetaan määrittämällä tiedot, jotka halutaan suojata vuotamiselta ja päättämällä, miten tämä suojaaminen tulisi toteuttaa. DLP-ohjelmistolle opetetaan yrityksen tietojärjestelmässä käytetyt tietoluokitukset (esim. erittäin salainen, salainen, luottamuksellinen, käyttö rajoitettu...) ja eri käyttäjäryhmien oikeudet. Tässä vaiheessa voidaan myös alkaa hahmottelemaan käytäntöjä, joiden mukaan poikkeamiin tullaan reagoimaan. [1]

Seuraavaksi ohjelmisto skannaa kaikki suojattavat kohteet läpi ja etsii suojattavat tiedostot. Tässä vaiheessa paljastuu yleensä erittäin paljon virheitä luottamuksellisen datan käsittelyssä, jolloin yritys joutuu muuttamaan käytäntöjään ja kiristämään sääntöjään. Skannauksen päätyttyä tiedostot siivotaan pois paikoista, joihin ne eivät kuulu. [1]

Sitten tulee monitorointivaihe, jossa ohjelmisto on jo kokonaan käytössä, mutta toimintaa seurataan tarkkaavaisesti. Kaikista poikkeamista tulee hälytykset ja ylläpitäjät päättävät, miten näihin poikkeamiin reagoidaan. Ohjelmisto oppii tästä oikeat toimintatavat virhetilanteita varten. Tämä vaihe on periaatteessa käyttöönottotesti. [1]

Lopulta yritys saa DLP-ohjelmistonsa normaaliin käyttöön. Tässä vaiheessa käytössä on aiemmissa vaiheissa luodut säännöt poikkeamiin reagoimiseksi. Näitä sääntöjä hiotaan jatkuvasti yrityksen toimintaympäristön ja prosessien muuttuessa. [1]

DLP-ohjelmiston toiminnot

DLP-ohjelmistoissa on kolme eri toiminnallista komponenttia. Ne monitoroivat ja kontrolloivat datan käyttöä, filtteröivät verkossa liikkuvaa dataa ja suojaavat talletettua dataa. On olemassa myös ohjelmistoja, jotka tekevät vain yhden tai kaksi näistä toimista, mutta nämä "täydet" ohjelmistot ovat selvästi suositumpia. [2][4]

Datan käytön monitorointi ja kontroillointi tapahtuu luonnollisesti jokaisella työasemalla erikseen. Niinpä DLP-ohjelmistot sisältävät ohjelman, joka pitää asentaa jokaiselle yrityksen koneelle erikseen. Tätä DLP-ohjelmiston komponenttia käytetään muun muassa tiedostojen avaamisen estämiseen tai sallimiseen. Kyseessä on siis eräänlainen pääsynvalvonnan mekanismi. Ohjelmisto voi myös estää jonkin tiedoston tulostamisen, tai joidenkin tietojen kopioinnin ja liittämisen tiedostosta toiseen. Tämän lisäksi nämä ohjelmat valvovat myös tiedon kulkua yrityksen sisällä, erityisesti eri käyttäjäryhmien välillä. Kaikki tämä valvonta suoritetaan eri käyttäjäryhmien oikeuksia tarkastelemalla. Nämä työasemille asennettavat ohjelmistot voivat myös antaa palautetta suoraan käyttäjälle, kun havaitaan jokin virhe toiminnassa. [1][4]

Liikkuvan datan filtteröinti suoritetaan tiedostojen turvaluokituksia apuna käyttäen. DLP-ohjelmistolle voi asettaa erilaisia toimintoja eri turvaluokituksille, jolloin esimerkiksi salaisten tai luottamuksellisten tietojen ei anneta poistua yrityksen verkosta, ainakaan ilman lisävahvistusta. Tarkoituksena on estää esimerkiksi salaisten tietojen lähettäminen yrityksen verkon ulkopuolelle sähköpostin liitetiedostona. Tämä komponentti on asennettu yleensä yrityksen verkon uloskäyntiin eli esimerkiksi reitittimeen. [4][5]

Talletetun datan suojaaminen hoidetaan mekanismilla, joka estää asiattoman pääsyn kovalevylle tai muulle talletuslaitteelle talletettuun tietoon. Ohjelmiston tehtävänä on estää myös datan luvaton kopioiminen esimerkiksi USB-tikulle. Tämä hoidetaan eri käyttäjäryhmien oikeuksien tutkimisen avulla. Tässä talletettu data tarkoittaa kaikkea yrityksen dataa, arkistoitua dataa ja myös esimerkiksi varmuuskopioita. [4][5]

Kuva 1. Yhteydet, joita DLP valvoo. [9]

Kuva 1. Yhteydet, joita DLP valvoo. [9]

Erilaisia DLP-ohjelmistoja

Monet eri yritykset ovat tuoneet viimeisen 10 vuoden aikana markkinoille omia data loss prevention ohjemistojaan. Joukosta löytyy toistensa kanssa erittäinkin erilaisia ratkaisuja. Osa ohjelmistoista on niin sanottuja "täysiä" DLP-ohjelmistoja, kun taas joissain on mukana vain joitain DLP:n piirteitä. Seuraavassa muutamia perustietoja suurten tietoturva-alan yrityksen DLP-ohjelmistoista. [1]

Symantecin Data Loss Prevention 11.6 on täysiverinen DLP-ohjelmisto. Ohjelmisto sisältää kaikki kolme DLP:n peruskomponenttia. Symantecin ohjelmisto luo listan yrityksen luottamuksellista datasta. Symantec lupaa ohjelmiston muun muassa monitoroivan tämän datan käyttöä, suojaavan tätä dataa ja reportoivan mahdollisista datan väärinkäytöistä. Ohjelmisto sisältää myös DLP-ohjelman älypuhelimille ja tablet -laitteille. Tämä kannettavien laitteiden DLP-ohjelma kontrolloi datan lähettämistä laitteesta muun muassa sähköpostiin ja Dropboxiin ja myös valvoo yhteyksiä esimerkiksi Facebookiin ja Twitteriin. [6]

McAfeen DLP Endpoint on myös "täysi" DLP-ohjelmisto. McAfee lupaa ohjelmistonsa kontrolloivan datan liikkumista verkossa, datan käyttöä ohjelmissa ja datan kopioimista ulkoisille talletuslaitteille. Ohjelmisto pystyy suojaamaan dataa kaikissa formaateissa. DLP Endpointia voidaan käyttää yhdessä McAfee Endpoint Encryptionin kanssa, jolloin saadaan aikaan sisältötietoinen salausprosessi, joka on erittäin tehokas. [7]

Suomalainen F-Secure ei ole tuonut markkinoille täysiveristä DLP-ohjelmistoa, mutta sen sähköpostin suojaus palvelusta löytyy joitain DLP:n piirteitä. Ohjelmisto voi huomata sähköpostissa luottamuksellisia tietoja, kuten esimerkiksi luottokorttinumeroita ja henkilötunnuksia. Ohjelman voi myös säätää tunnistamaan yrityksen luottamukselliset tiedostot sähköpostin liitetiedostoista. Virheitä sähköpostin sisällössä huomattaessaan ohjelmisto voi joko estää viestin lähettämisen tai salata viestin sisällön. [8]

Päätelmät / yhteenveto

DLP-ohjelmiston käyttö on yritykselle hyvä tapa suojata salaiset ja arkaluontoiset tietonsa. DLP:n käyttöönotto voi olla yritykselle erittäin työläs ja mahdollisesti kallis prosessi, mutta yleensä se kannattaa. DLP-ohjelmiston käyttö ei kuitenkaan sovi jokaiselle yritykselle. DLP-ohjelmistoja on myös kymmeniä erilaisia ja yrityksen onkin tärkeää pystyä valitsemaan juuri itselleen sopiva ratkaisu. Joku yritys ei välttämättä tarvitse kaikkia "täyden" DLP-ohjelmiston tarjoamia toimintoja, kun taas toinen tarvitsee kaiken mahdollisen. Jokainen DLP:n käyttöönsä haluava yritys löytää varmasti juuri itselleen sopivan ratkaisun.

Lähteet

SivuTiedotLaajennettu edit

Vaativuus Jatko
Valmius Valmis
Tyyppi Esitys
Luokitus Toimet
Mitä Luottamuksellisuus
Miltä Tahaton ihmisuhka
Missä Järjestelmä
Kuka Tite-maallikko
Milloin Hädän hetkellä
Miksi Laki
Print version |  PDF  | History: r10 < r9 < r8 < r7 | 
Topic revision: r10 - 06 Dec 2012 - 23:43:37 - PetteriVistiaho
 

TUTWiki

Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback