DLP Data Loss Prevention

Transkript

1 DLP Data Loss Prevention Viele Wege führen hinaus (Digitale Verkehrskontrolle) Sven Gerlach Business Development 1

2 Klassischer Datenschutz Was ist DLP? Die Techniken in DLP DLP Datentypen und Einsatzszenarien Die Grenzen von DLP Fazit 2

3 Bisher: Fokus auf den eingehenden Daten Die Gefahr kommt von außen Malware wird aus dem Internet heruntergeladen Hacker greifen Systeme an Spammer fluten die Mailserver Wie kann verhindert werden, daß vertrauliche Daten das Unternehmen verlassen? 3

4 Klassischer Datenschutz ACLs - Nur berechtige Benutzer erhalten Datenzugriff - Datenmissbrauch durch den berechtigten Benutzer Schnittstellenkontrolle - Schnittstellensperrung verhindert Datenabfluss - Sperrung aller Schnittstellen ist nicht praktikabel Verschlüsselung / DRM - Diebstahl- und Abhörschutz - Missbrauch durch Anwender mit Zugriff auf die entschlüsselten Daten Webproxies und -Gateways - Zentralisierte Inhaltsprüfung - Beschränkt auf spezielle Protokolle, kein Offline Schutz 4

5 Klassischer Datenschutz Anwendungskontrolle - Kontrolle unerwünschter Kommunikationskanäle und Datenformate - Datenabfluß über erlaubte Anwendungen Formatkontrolle - Nur metadatenarme Datenformate werden zum Datenaustausch zugelassen - Datenabfluß im Dokument selbst Auditing / Monitoring - Beweissammlung - Keine Unterscheidung zwischen wichtigen und unwichtigen Daten 5

6 Klassischer Datenschutz - Fazit Was wird erreicht? Nur der berechtigte Anwender erhält Datenzugriff Diebstahl- und Abhörschutz Sperrung unerwünschter Kommunikationskanäle Was wird nicht erreicht? Der berechtigte Anwender kann die Daten missbräuchlich nutzen Keine Unterscheidung vertraulicher und nicht vertraulicher Daten 6

7 Klassischer Datenschutz Was ist DLP? Die Techniken in DLP DLP Datentypen und Einsatzszenarien Die Grenzen von DLP Fazit 7

8 Was ist DLP? DLP ist ILP ILD&P CMF Extrusion Prevention Outbound Content Compliance DLP = Data Loss Prevention 8

9 DLP Eine Definition DLP erkennt vertrauliche Daten und schützt diese vor der mißbräuchlichen Nutzung durch zugangsberechtigte Anwender. 9

10 Kritische Aktionen mit vertraulichen Daten Der Anwender selbst ist kritisch: Der Anwender kann Kriminell sein leichtgläubig (Phishing, Spoofing) fahrlässig Der Anwender verfügt über unkontrollierbare Speichermedien Gutes Gedächtnis Kamera 10

11 DLP Lösungen sollten also Zugriff auf USB-Sticks / Wechselmedien kontrollieren Transportwege kontrollieren Aktionen auf dem Client PC kontrollieren Verschlüsselung unterstützen Datenformate und Metadaten kontrollieren Monitoring- und Auditing-Funktionen bieten DLP wendet diese Kontrollen nur auf vertrauliche Daten an! 11

12 Klassischer Datenschutz Was ist DLP? Die Techniken in DLP DLP Datentypen und Einsatzszenarien Die Grenzen von DLP Fazit 12

13 Wie werden vertrauliche Daten erkannt? Inhaltsanalyse: Schlüsselworte Schlüsselwort Gewichtung Maximum Asparaginsäure Phenylalanin Dipeptid Methylester Aspartam C 14 H 18 N 2 O Schwellwert:

14 Wie werden vertrauliche Daten erkannt? Inhaltsanalyse: Reguläre Ausdrücke \b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b Erkennt IP-Adressen - z.b aber auch \b((25[0-5] 2[0-4][0-9] [01]?[0-9][0-9]?)\.){3}(25[0-5] 2[0-4][0-9] [01]?[0-9][0-9]?)\b Erkennt nur gültige IP-Adressen Ungenaue Musterdefinition => False Positives Exakte Musterdefinition => Aufwendige Administration 14

15 Wie werden vertrauliche Daten erkannt? Inhaltsanalyse: Fingerprints Fingerprint = Hashwert Erkennung unmodifizierter Daten (alle Daten) Erkennung von Teildokumenten (textbasierende Daten) Normalisierung des Inhalts - Stückelung in überlappende Segmente - Fingerprinting und Gewichtung der Segmente - Balance Kleine Segmente => gute Erkennungsrate Zu kleine Segmente => Falscherkennungen ( Mit freundlichen Grüssen ) 15

16 Inhaltsanalyse - Fazit Primär geeignet zur Erkennung textbasierter Inhalte Balance zwischen administrativem Aufwand und Erkennungsrate DLP Lösung muß die wesentlichen Dateiformate analysieren können Verschlüsselung verhindert Inhaltsanalyse 16

17 Wie werden vertrauliche Daten erkannt? Contextanalyse Wo sind die Daten? - Speicherort definiert die Sicherheitsstufe - Datenschutz durch Kontrolle der Datenbewegung Andere Context-Parameter - des CFOs an die Hausbank - Ungewöhnliche Mailgrößen - HTTP Uploads zu verdächtigen Websites - Aktionen außerhalb der normalen Geschäftszeiten 17

18 Fazit Contextanalyse Strukturierte Datenablage ist notwendig Aber: Vertrauliche Daten sind meist im Unternehmen verstreut Lokale Kopien Mailboxen Gewachsene Umgebungen Context kann gefälscht sein (z.b. adressen) 18

19 Wie werden vertrauliche Daten erkannt? Synthese aus Inhalts- und Contextanalyse 2) Datenanalys se 19

20 Klassischer Datenschutz Was ist DLP? Die Techniken in DLP DLP Datentypen und Einsatzszenarien Die Grenzen von DLP Fazit 20

21 Datenübertragung im Netz - Data in Motion Datenüberwachung durch Sniffing Analyse aller Protokolle In der Regel nur Monitoring Datenüberwachung mit Proxies HTTP Proxies IM, P2P -Relays Blocking 21

22 Gespeicherte Daten - Data at Rest Beschreibung vertraulicher Daten in der inhaltsbasierende Policy - Schlüsselworte - Reguläre Ausdrücke - Fingerprints Auffinden vertraulicher Daten - Scans (Fileshares, Sharepoint) - Client Scans Quarantäne, Löschen Reporting 22

23 Daten auf dem Client - Data in Use Agent auf dem Anwender PC notwendig Weitreichende Kontrollmöglichkeiten - Anwendungen - Schnittstellen - Wechselmedien - Verschlüsselung - Screenshots - Copy + Paste 23

24 Client- und netzwerkbasierender Ansatz Client Netzwerk Data in Motion Data at Rest Data in Use Schnittstellenkontrolle Anwendungskontrolle Schutz des gesamten Netzes Offline Kontrolle Verschlüsselung 24

25 Klassischer Datenschutz Was ist DLP? Die Techniken in DLP DLP Datentypen und Einsatzszenarien Die Grenzen von DLP Fazit 25

26 Technische Grenzen - Evaluierungserfahrungen Inhaltsanalyse - Nicht resistent gegen einfache Modifikationen (a -> x) - Übersetzungen Netzwerkbasierende Lösungen - Protokolle - Mail: SMTP, aber nicht MAPI Clientbasierende Lösungen Applikations Plug-Ins - Internet Explorer, aber nicht Firefox - Outlook, aber nicht Outlook Express Verschlüsselung - Keine Kontrolle von CD-Brennprogrammen, die Low-Level Funktionen des Betriebssystems nutzen 26

27 Technische Schwächen Beispiel Yahoo Classic Mail POST /ym/compose?yy=51516&y5beta=yes&y5beta=yes HTTP/ Content-Type: application/x-www-form-urlencoded SEND=... &FromAddr=&To=+%3Csven.gerlach%40integralis.de%3E &Cc=&Bcc=&Subj=DLP+Testmail+um+17%3A26 &Body=In+dieser+Mail+wird+eine+IP+Adresse+ uebertragen%3a %3cbr%3e &Format=html 27

28 Technische Schwächen Beispiel Yahoo Mail New POST /ws/mail/v1/soap?m=sendmessage&appid=yahoomailrc&wssid=dgaubrgvwud HTTP/ Content-Type: application/xml <?xml version="1.0" encoding="utf-8"?><soap-env:...><soap-env:body> <m:sendmessage xmlns:m="urn:yahoo:ymws"><message> <from><name>sven <replyto><name>sven <mailer>yahoomailrc/902.35</mailer> <simplebody><text>in dieser Mail wird eine Ip-Adresse uebertragen: </text> <html><html><head><style type="text/css"><!-- DIV {margin:0px;} -- ></style></head><body><div style="font-family:times new roman, new york, times, serif;font-size:12pt"><div>in dieser Mail wird eine Ip-Adresse übertragen: <br><br></div></div></body></html></html> </simplebody> <subject>dlp Testmail um 17:19</subject> </message></m:sendmessage> </SOAP-ENV:Body></SOAP-ENV:Envelope> 28

29 Technische Schwächen Beispiel Metadaten Wer reitet so spät durch Nacht und Wind? Es ist der Vater mit seinem Kind. Er hat den Knaben wohl in dem Arm, Er faßt ihn sicher, er hält ihn warm. Mein Sohn, was birgst du so bang dein Gesicht? - Siehst Vater, du den Erlkönig nicht! Den Erlenkönig mit Kron' und Schweif? - Mein Sohn, es ist ein Nebelstreif. - "Du liebes Kind, komm geh' mit mir! Gar schöne Spiele, spiel ich mit dir, Manch bunte Blumen sind an dem Strand, Meine Mutter hat manch gülden Gewand." 29

30 Technische Schwächen Beispiel Metadaten Tatsächlicher Folieninhalt 30

31 Fazit Verschiedene Ansätze unterschiedlicher Leistungsfähigkeit (Host / Network) Ansätze ergänzen einander - Clientbasiert Inhaltsanalyse mit IE Plug-In Anwendungskontrolle verhindert die Ausführung des Firefox - Netzwerkbasierende Produkte sind unabhängig von der Applikation Was kann mit DLP erreicht werden? - Verhindert Datenverlust durch Fahrlässigkeit der Leichtsinn - Anwendersensibilisierung - Technisch versierter Anwender kann DLP meist umgehen, hinterläßt aber Spuren 31