White Paper: Data Loss Prevention

Transkript

1 Maschinelles Lernen setzt neuen Data Loss Prevention- Standard: Beschreiben, Signieren, Lernen

2

3 White Paper: Data Loss Prevention Maschinelles Lernen setzt neuen Data Loss Prevention- Standard: Beschreiben, Signieren, Lernen Inhalt Von der schwierigen Aufgabe, geistiges Eigentum aufzuspüren, das sich in einem Meer unstrukturierten Daten versteckt Aktuelle Data Loss Prevention-Erkennungstechnologien: Beschreiben und Signieren Ein neuer Ansatz für die Suche und den Schutz von Daten: Vector Machine Learning Funktionsweise von Vector Machine Learning Vector Machine Learning in der Praxis Automatisierter Zero-Day-Schutz für Daten Das neue Modell für die Data Loss Prevention-Erkennung: Beschreiben, Signieren, Lernen Wie Sie mehr über Vector Machine Learning (VML) erfahren

4 Von der schwierigen Aufgabe, geistiges Eigentum aufzuspüren, das sich in einem Meer unstrukturierten Daten versteckt Viele Unternehmen sind heute dabei, Data Loss Prevention (DLP)-Programme zu installieren. Sie setzen auf diese Lösungen, um vertrauliche Informationen zu identifizieren und Richtlinien zu erstellen, die überwachen, wo die Daten abgelegt werden müssen, wo sie nicht abgelegt werden dürfen und wie sie an ihr Ziel gelangen. Aber in einer Welt, in der fast täglich neue Cyberrisiken drohen, müssen DLP-Lösungen und -Programme neue Angriffe gezielt abwehren insbesondere solche von Kriminellen, die es auf wertvolles geistiges Eigentum (Intellectual Property, IP) abgesehen haben. Laut eines im Mai 2009 von US-Regierungsbehörden veröffentlichten Berichts verloren US-Unternehmen zwischen 2008 und 2009 als Folge von Cyberangriffen geistiges Eigentum im Wert von mehr als 1 Billion US-Dollar. 1 Heute ist es deshalb wichtiger denn je, geistiges Eigentum und vertrauliche Informationen in Ressourcen wie Microsoft Word -Dokumenten, Arbeitsblättern und Image-Dateien umfassend zu schützen. Doch das eindeutige Identifizieren dieser oft im ganzen Unternehmen verstreuten Informationen wird für Unternehmen immer schwieriger. Der Grund: Vertrauliche Informationen sind oft in einem Meer von unstrukturierten Daten verborgen. Sie sind auf verschiedenen Systemen und Geräten im gesamten Unternehmen verstreut. Dazu berichtete einer Fachzeitschrift vor kurzem: "Die Herausforderungen für die IT besteht in der rasanten Zunahme der unstrukturierten Daten laut IDC (International Data Corporation) beträgt die jährliche Zuwachsrate 61 Prozent und übersteigt damit die Wachstumsrate der strukturierten Daten um das Dreifache. Noch dazu sind die Daten im ganzen Unternehmen verteilt: in Ordnern auf Dateiservern, auf Laptops und in USB-Laufwerken." 2 Aktuelle Data Loss Prevention-Erkennungstechnologien: Beschreiben und Signieren Der Schutz vertraulicher Informationen durch detaillierte Inhaltsuntersuchung und -analyse auf DLP-Basis ist der erste Schritt, um dem Verlust und Missbrauch von Daten entgegenzuwirken. Aktuelle DLP-Erkennungstechnologien bedienen sich bei der Inhaltsanalyse mehrerer Methoden, darunter Identifizierung von Schlüsselwörtern, Wörterbücher, reguläre Ausdrücke, partieller Dokumentenabgleich und Signaturen. Diese Technologien lassen sich zwei Kategorien zuordnen: Beschreibende Technologie Schützt vertrauliche Daten durch die Suche nach Übereinstimmungen für Schlüsselwörter, Ausdrücke oder Muster, Dateityperkennung und andere signaturbasierte Erkennungstechniken. Signaturtechnologie Sucht nach exakten Übereinstimmungen mit ganzen Dateien oder Teilen einer Datei. Die zu schützenden Daten werden zunächst in unterschiedlichen Formaten gesammelt beispielsweise als Microsoft Word-, Excel - und PDF-Datei. Anschließend wird zur Erstellung eines Index, der als Teil einer DLP-Richtlinie implementiert werden kann, mit einem Hash-Algorithmus eine Signatur der Daten generiert. Signatur- und Beschreibungstechnologien schützen die vertraulichen Informationen eines Unternehmens zwar äußerst wirksam, sind jedoch limitiert, was die steigende Masse der unstrukturierten Daten und des intellektuellen Eigentums wie Produktformeln, Vertriebs- und Marketingberichte sowie Quellcode betrifft. 1-"The Financial Management of Cyber Risk", herausgegeben von Internet Security Alliance (ISA)/American National Standards Institute (ANSI), 2010, S. 10. Als Download unter oder verfügbar. 2-"A Strategy for Protecting Unstructured Data", Adam Ely, InformationWeek.com, 10. Sept

5 Ein Grund hierfür ist, dass sich das Sammeln des gesamten zu beschützenden und signierenden Datenbestands für Unternehmen mit begrenzten Ressourcen oder weit verstreuten Daten oft als schwierig erweist. Die Signaturerstellung eignet sich daher am besten für hochspezifische und zentrale Datenquellen. Bei unstrukturierten Textdaten unterstützen normalerweise Schlüsselwortlisten die Suche nach vertraulichen Informationen. Dies ist jedoch unter Umständen ein zeitintensiver Ansatz, da Schlüsselwortlisten kontinuierlich generiert und optimiert werden müssen, um die Genauigkeit der Listen hoch zu halten. Ein neuer Ansatz für die Suche und den Schutz von Daten: Vector Machine Learning Seit kurzem rückt eine neue Kategorie von DLP-Erkennungstechnologien in den Vordergrund. Sie ermöglicht "lernfähige" Lösungen. Gemeint sind damit Lösungen, die trainiert werden können, schützenswerte, vertrauliche Daten zu erkennen. Durch das Trainieren verbessert dieser Ansatz kontinuierlich die Genauigkeit und Zuverlässigkeit beim Erkennen vertraulicher Informationen. Durch die Anwendung des Prinzips des maschinellen Lernens auf DLP kann die VML- Technologie (Vector Machine Learning, VML), geistiges Eigentum und vertrauliche Informationen in der wachsenden Menge unstrukturierter Daten schneller und gezielter schützen. Obwohl das Konzept des maschinellen Lernens schon seit mehreren Jahrzehnten bekannt ist und bereits vielfach umgesetzt wurde beispielsweise in Antispam-Modulen oder Google -Algorithmen für die Textübersetzung findet es erst heute in der DLP-Inhaltsanalyse Anwendung. Als eine DLP-Erkennungstechnologie lernt Vector Machine Learning, welche vertraulichen Daten geschützt werden müssen. Grundlage für diesen Lernvorgang ist ein Algorithmus, der auf eine gegebene Auswahl von Dokumenten angewendet wird. Funktionsweise von Vector Machine Learning Abbildung 1 zeigt die VML-Komponenten und die in der "Trainingsphase" bereitgestellten positiven und negativen Beispiele vertraulicher Daten. Während des Trainings werden Funktionen extrahiert, die die Grundlage für ein statistisches Profil bilden. Dieses Profil wird dann zur Klassifizierung von zu schützenden unstrukturierten Textdaten verwendet. 2

6 Ziel der Trainingsphase ist es, anhand von Beispieldokumenten die zu schützenden Datenkategorien zu definieren. Hierzu gehören nicht nur positive Beispiele für zu schützende Daten (intellektuelles Eigentum oder M & A-Dokumente), sondern auch negative Beispiele für zu ignorierende Daten. Positive Beispiele sind u. a. Dokumente, die unternehmenseigenen Quellcode enthalten. Ein negatives Beispiel kann beispielsweise ein aus dem Internet heruntergeladenes Open Source- Projekt sein. Beide Trainingssätze sind erforderlich, um die Hauptfunktionen für das VML-Profil zu extrahieren, das während der Erkennung die Genauigkeit optimiert. Das Verfahren zur Implementierung einer Vector Machine Learning-Richtlinie ist relativ einfach. Der Benutzer erstellt ein VML-Profil, indem er positive und negative Beispieldokumente hochlädt. Die VML-Engine trainiert die VML-Komponente mithilfe der Beispieldokumente und erstellt ein statistisches Profil. Dieses Profil wird installiert, nachdem der Benutzer das Training abgeschlossen und akzeptiert hat. Das VML-Profil wird bei der Erkennung als Teil einer Richtlinie eingesetzt, um unbekannte Dokumente oder Nachrichten zu klassifizieren. Wenn die Daten den positiven Beispieldokumenten ähneln, wird ein "Vorfall" generiert. Während der Erkennung ordnet das VML-Profil dem unbekannten Dokument/der unbekannten Nachricht als Teil der Klassifizierung einen "Übereinstimmungswert" zu. Ein Übereinstimmungswert von 10 bedeutet, dass die untersuchten Daten exakt mit den in der Trainingsphase bereitgestellten Beispieldokumenten übereinstimmen. Ein Wert von 0 bedeutet, dass die untersuchten Daten keine Übereinstimmung mit den Beispieldaten aus der Trainingsphase aufweisen. Jedes Mal, wenn Fehlerkennungen (False Positives) generiert werden, können diese als Feedback wieder dem Trainingssatz zugeführt werden. Auf diese Weise wird das Profil optimiert und dessen Genauigkeit mit der Zeit verbessert. Ein großes Computerhardware-Unternehmen, das mit VML arbeitete, stellte in einem Fall beispielsweise fest, dass durch eine 3

7 einzelne Lerniteration (durch Rückführung von Fehlerkennungen in den negativen Trainingssatz) die Fehlerkennungsrate auf unter vier Prozent reduziert wurde das entspricht einer mit Signaturtechnologien vergleichbaren Genauigkeitsrate. Vector Machine Learning in der Praxis Mehrere Anwendungsbeispiele in Abbildung 2 verdeutlichen die Vorteile der VML-Technologie für die Erkennung vertraulicher Informationen in unstrukturierten Daten. Das größte Potenzial der VML-Technologie liegt im Schutz von Daten, bei denen sich ein gezielter Zugriff mithilfe von Signaturtechnologien normalerweise als schwierig erweist, oder von Informationen, die sich nicht ohne weiteres mit Schlüsselwörtern oder Begriffen identifizieren lassen. VML eignet sich beispielsweise sehr gut für den Schutz von proprietärem Produkt-Quellcode, Handelsmodellen für Finanzdienstleister oder Aktuar-Algorithmen für Versicherungsunternehmen. Was Quellcode betrifft bietet VML die Möglichkeit, selbst komplett neuen Quellcode zu schützen, der auf einem Endgerät, z. B. einem Laptop, entwickelt wurde und deshalb noch nicht bekannt ist. So können Unternehmen sicherstellen, dass DLP-Richtlinien auch für den neuen Code durchgesetzt werden. VML ist zudem eine praktische Lösung für die Erkennung vertraulicher Informationen wie beispielsweise Verkaufsberichte, die sich häufig ändern und in unterschiedlichen Formaten vorliegen, z. B. als Excel-, Word- oder -Dokumente. Das Sammeln solcher Berichte als Trainingsmaterial ermöglicht es VML, ein Profil zu erstellen, das Sicherheitsrichtlinien für die wöchentliche Verteilung neuer Verkaufsberichte erstellt unabhängig von deren Format. Automatisierter Zero-Day-Schutz für Daten Vector Machine Learning bietet spezifische Vorteile, die die bestehenden Beschreibungs- und Signaturtechnologien ergänzen und damit die Fähigkeiten von Unternehmen, vertrauliche Informationen zu schützen, verbessern. Dies gilt insbesondere für unstrukturierte Daten, die im gesamten Unternehmen und in aller Welt verstreut sind. Automatisierte Prozesse vereinfachen die Einrichtung und Verwaltung Durch Automatisieren der Richtliniendefinition und des Optimierungsprozesses reduziert VML den Zeitaufwand der Mitarbeiter für die Einrichtung 4

8 und Verwaltung von DLP-Technologien beträchtlich. Da das Training nur Beispiele für zu schützende Daten erfordert, nimmt die Einrichtung nur wenig Zeit in Anspruch und ist zudem denkbar einfach. Zahlreiche manuelle Aufgaben entfallen, wie etwa das Verwalten von Schlüsselwortlisten oder das Sammeln der für die Signatur erforderlichen Daten. Zudem treten nur wenig Fehlerkennungen (False Positives) auf und der Aufwand für die Optimierung ist sehr gering, da die Technologie lernt, zu schützende Informationen zu erkennen. Die Genauigkeit wird so mit der Zeit verbessert. Dynamisches Lernen verbessert die Genauigkeit und Aktualität des Schutzes Ähnlich wie Zero-Day-Schutz mit Antivirus-Software bietet Vector Machine Learning Zero-Day-Schutz für vertrauliche Daten mit der Genauigkeit eines Signatursystems. Die dynamische Lernfähigkeit von VML ermöglicht es, neuere oder noch nicht bekannte Informationen leichter und genauer zu erkennen und damit vertrauliche Daten zu schützen, die noch im Entstehen sind. Angesichts der steigenden Masse von unstrukturierten Daten empfiehlt sich der Einsatz von VML als Ergänzung zur Inhaltsanalyse sowohl von Signatursystemen als auch beschreibenden Inhaltstechnologien und zur Durchsetzung von DLP-Richtlinien. Das neue Modell für die Data Loss Prevention-Erkennung: Beschreiben, Signieren, Lernen Mit Vector Machine Learning wird eine neue Kategorie der detaillierten Inhaltsanalyse eingeführt, die bestehende DLP- Technologien zum Schutz proprietärer oder vertraulicher Informationen ergänzt und verbessert. Wie Abbildung 3 verdeutlicht bietet Vector Machine Learning kombiniert mit aktuellen Beschreibungs- und Signaturtechnologien eine neue Lösung zur Verbesserung der Effizienz und Leistung von DLP-Produkten und -Programmen. Unternehmen mit stark verstreuten, wachsenden Beständen von unstrukturierten proprietären und vertraulichen Daten sollten sich daher eingehender mit VML befassen und den Einsatz dieser Technologie in Erwägung ziehen. 5

9 Wie Sie mehr über Vector Machine Learning (VML) erfahren Wenn Sie mehr darüber erfahren möchten, wie Ihr Unternehmen das Potenzial des Vector Machine Learning zur Optimierung bestehender oder geplanter DLP-Programme und Investitionen in Technologie nutzen kann, besuchen Sie die Symantec-Website unter Oder wenden Sie sich an einen Symantec-Mitarbeiter vor Ort. Um mit einem Produktspezialisten in Deutschland zu sprechen, rufen Sie folgende Rufnummer an: +49 (0) Um mit einem Produktspezialisten außerhalb Deutschlands zu sprechen: Die Adressen und Telefonnummern der Niederlassungen in den einzelnen Ländern finden Sie auf unserer Website 6

10

11 Über Symantec Symantec ist ein weltweit führender Anbieter für Sicherheits-, Speicher- und Systemverwaltungslösungen, die Privatkunden, Unternehmen und Institutionen bei der Sicherung und Verwaltung ihrer datengesteuerten Welt unterstützen. Unsere Software und Services bieten umfassenden und effizienten Schutz vor mehr Risiken an mehr Punkten als je zuvor und vermitteln so Vertrauen, unabhängig davon, wo Daten verwendet werden oder gespeichert sind. Das Unternehmen hat seinen Hauptsitz in Mountain View, Kalifornien, und vertreibt seine Produkte in 40 Ländern. Weitere Informationen finden Sie unter Die Adressen und Telefonnummern der Niederlassungen in den einzelnen Ländern finden Sie auf unserer Website. Symantec Limited Ballycoolin Business Park, Blanchardstown, Dublin 15 Irland Tel: +353 (0) Fax: +353 (0) Symantec unterstützt Unternehmen beim Schutz und der Verwaltung ihrer Daten mit Lösungen für IT Compliance, Verwaltung von E-Discovery und Datenaufbewahrung, Data Loss Prevention und Messaging-Sicherheit. Copyright 2010 Symantec Corporation. Alle Rechte vorbehalten. Symantec und das Symantec-Logo sind Marken oder eingetragene Marken der Symantec Corporation oder ihrer verbundenen Unternehmen in den USA und anderen Ländern. Google ist eine eingetragen Marke von Google und deren verbundene Unternehmen in den USA und anderen Ländern. Microsoft Word und Microsoft Excel sind eingetragene Marken von Microsoft und deren verbundene Unternehmen in den USA und/oder anderen Ländern. Andere Bezeichnungen können Marken anderer Rechteinhaber sein. 12/