Test: Voorkom gegevensverlies

Data-uitwisseling is in elke bedrijf vergelijkbaar met het centrale zenuwstelsel. De beschikbaarheid van data is van het hoogste belang. Het kan en zal impact hebben op het zakencijfer. Gegevensverlies is mogelijk een ramp. Met Data Loss Prevention (DLP)-producten kunnen we dataverlies voorkomen. In dit artikel bekijken we vier DLP-oplossingen van McAfee, RSA, Symantec en Trend Micro.

DLP of dataverliespreventie omvat het identificeren, bewaken en beschermen van data in je bedrijf. Dat gaat over het gebruik van data (eindpuntactiviteiten), de transmissie (netwerkactiviteiten) en de opslag (data storage) ervan. Data kan op verschillende manieren verloren gaan. Het kan opzettelijk of per ongeluk gewist worden. Het kan bij iemand terecht komen die daartoe niet geautoriseerd is. Bescherming tegen wissen doe je via goede back-up- en replicatieschema's. Daar houden de gebruikelijke DLP-oplossingen zich doorgaans niet mee bezig, al kan het natuurlijk wel. Dat data terecht komt bij een onbevoegd iemand, is tegenwoordig een veel belangrijker probleem. Dan ontstaat er een datalek. De gegevens gaan dan in feite niet verloren, maar worden al dan niet bewust naar onbevoegden gelekt. De meest voorkomende oorzaken van datalekken zijn verloren of gestolen opslagmedia of notebooks, of gestolen informatie via malware of phishing. Een bijna even belangrijke oorzaak van datalekken is menselijk falen: het doorsturen van vertrouwelijke informatie naar een onbevoegd iemand.

Regels en classificaties

DLP is niet alleen gewenst in een bedrijf, het kan zelfs een wettelijke of contractuele vereiste zijn. Bepaalde aspecten van DLP doen heel erg denken aan inhoudsfiltering. Bij inhoudsfiltering blokkeert je echter bepaalde data zodat die je bedrijf niet binnenkomt. DLP doet het omgekeerde en blokkeert indien nodig uitgaande data. Natuurlijk vereist DLP ook een diepgaande inhoudsscanning van data met analyse om te bepalen tot welke klasse de data behoort. Op basis van classificatie van data bepaalt je wat gevoelig is en wat niet, en wat het bedrijf mag verlaten en wat niet. Je zult de gevoelige data kunnen specificeren via zoektermen, reguliere expressies en patroonherkenning. Als het goed is, kan het DLP-product zelf ook al veel standaardpatronen herkennen, zoals kredietkaartnummers en dergelijke.

Wees er je van bewust dat DLP je niet beschermt tegen alle mogelijke vormen van dataverlies, zeker als er kwaad opzet in het spel is. Hoe goed de software ook is, een echt doelbewust individu vindt altijd wel een manier eromheen. Al was het maar door een gsm met ingebouwde camera voor een computerscherm met vertrouwelijke informatie te houden en dat te fotograferen. Zoiets kan een DLP-pakket onmogelijk detecteren en blokkeren. Bijgevolg kan een DLP-oplossing je op het vlak van datadiefstal ook geen garanties bieden. Je implementeert het dan ook meer om vergissingen en nalatigheden zoveel mogelijk te elimineren.

Eindpunt-DLP

Dit heet ook wel Host-DLP of hostgebaseerde dataverliespreventie. Het beveiligingssysteem houdt toezicht op de pc's en servers zelf. Het bepaalt aan de hand van regels wat er wel en niet mag. Dat gaat niet alleen om de toegang tot bepaalde data, maar ook wat een gebruiker ermee doet. Kopiëren op een usb-stick, of een ander opslagmedium. Afdrukken, eventueel via 'print screen'. E-mailen of via kopiëren en plakken via de chat naar buiten sturen. Noem maar op. Er zijn tientallen manieren om data te lekken. De geïnstalleerde DLP-beveiligingen controleren al die acties en de data die daarbij gebruikt wordt. Indien nodig blokkeert het systeem een actie of waarschuwt het een beheerder van de actie. Ook alle transacties in een journaal noteren is een optie.

Netwerk-DLP

Bij netwerk-DLP plaatst men DLP-gateways tussen het bedrijfsnetwerk en de internetaansluitingen. Deze DLP-gateways analyseren dan alle uitgaande verkeer op zoek naar datalekken. Het voordeel van netwerk-DLP is dat het goedkoop is en gemakkelijk te installeren. Meestal betreft het een appliance. Het nadeel is dat het decoderen en analyseren van netwerkverkeer zeer complex is, zeker als het geen of nauwelijks impact mag hebben op de netwerksnelheid. Daarom werken netwerk-DLP's vaak samen met systemen die het netwerk doorzoeken naar opslagen data in de vorm van bestanden of databaserecords. Deze zoeksystemen classificeren deze data en identificeren ze met behulp van signaturen. Dan hoeft een netwerk-DLP alleen maar op deze signaturen te controleren. Zo stijgt de scansnelheid terwijl toch met grote nauwkeurigheid gewerkt wordt.

Opslag-DLP

Het opslaan van data op een mobiel opslagmedium biedt, als het toegestaan is, een bijzonder probleem. Mobiele opslagmedia kunnen immers gestolen of verloren raken. Zo komen ze ook terecht bij onbevoegden en vertegenwoordigen dus per definitie een datalek. Ook daar moet je dus rekening mee houden. Het eenvoudigst is, een algemene regel in te stellen die eist dat alle data steeds versleuteld bewaard moet worden. Tegenwoordig is er een tendens naar deperimetrisatie (het afbouwen van veiligheidsperimeters rondom je bedrijfsnetwerk), met de bedoeling dat elke netwerkverbinding – zij het LAN of WAN – per definitie veilig is. Dat kan alleen met een zeer granulaire beveiliging. Die bepaalt op dataniveau wie er toegang toe heeft en wat met die data wel of niet mag gebeuren. Zo'n doorgedreven gedeperimetriseerde granulaire beveiliging vereist continue encryptie van alle data en een geünificeerd bedrijfsbreed identiteits- en reglementbeheer. Dat valt echter buiten het bestek van de hier besproken DLP-oplossingen.

McAfee Host Data Loss Prevention

McAfee nam onlangs Reconnex over, dat zelf ook DLP-producten maakt. De bedoeling is om de technologie van Reconnex snel te integreren in McAfee DLP. Die integratie is echter nog niet af en dus stellen we je McAfee DLP voor zoals het nu is.

McAfee ziet DLP als een beveiligingsproces dat actief moet zijn op alle desktops en servers waar data verwerkt wordt. DLP is bij McAfee bijgevolg geïntegreerd in hun allesomvattend beveiligingsbeheer: de eerder door ons geteste ePolicy Orchestrator of kortweg ePO. Het DLP-productaanbod verwacht dat je ePO versie 4 hebt draaien en dat je DLP als een module daaraan toevoegt. Op elke client draait een agent die alles beheert. McAfee heeft dat helaas niet kunnen oplossen met één agent die alles doet. ePO heeft zijn eigen agent en daarnaast komt op elk werkstation dan ook nog eens een DLP-agent erbij.

De DLP server is in essentie een datavergaarbak. Alles draait rondom een SQL Server database met rapportagediensten. Die bevat alle DLP-relevante gebeurtenissen in het netwerk. Een DLP Event Collector vergaart die informatie met behulp van de DLP Agent op de clients. De DLP server heeft een DLP Webinterface die communiceert met de database en met de DLP Monitor in de ePO server. De DLP-reglementen die je aanmaakt, komen via het DLP regelbeheer in de McAfee Agent terecht voor uitvoering. Daarmee ken je meteen de reden voor twee agenten in plaats van een. McAfee Agent legt de in ePO gedefinieerde reglementen op, inclusief die voor DLP. De DLP Agent dient voor informatievergaring en voedt de DLP-database.

Je bedient ePO en DLP allebei via een webinterface. Meer details hierover vind je in onze eerdere test van ePO. Als je DLP toevoegt, komen er extra rubrieken onder de hoofdrubrieken bij. Dat omvat DLP-reglementen onder Systemen en extra voorgedefinieerde DLP-specifieke rapporten.

Functionaliteit

De DLP-regels die je in ePO opneemt, kunnen zowel dienen om datatransacties te bewaken of te blokkeren. Transacties bewaken is een goede manier om in het begin vertrouwd te raken met het soort data dat verwerkt wordt. Zo kun je de bedrijfsdata classificeren. De volgende stap is op basis van die classificaties nieuwe regels uit te werken. Die regels kun je dan gaan testen op steeds groter wordende groepen vooraleer ze los te laten op het hele bedrijf. Op elke pc, notebook of server waarop een McAfee- en DLP-agent draait, heb je zo een methode om te bepalen wat er wel of niet met bepaalde klasses van data mag gebeuren. Het systeem werkt met twee soorten deelregels: identificatieregels ('tagging rules') en reactieregels. De eerste leggen vast wat gevoelige data is, de tweede voorkomen onbevoegde distributie van data. McAfee Host DLP biedt echter geen oplossing om data te beveiligen die wel met toestemming op externe media geschreven mag worden. McAfee biedt daarvoor wel een ander product: McAfee Encrypted USB.

Een aantal bestandsformaten die ons inziens wel degelijk nuttig zijn, ondersteunt McAfee DLP eigenaardig genoeg niet: Microsoft Access, Outlook postbestanden (*.pst), RAR-archieven, XML en PDF. En zonder XML uiteraard ook geen bestandsformaten van Open- of StarOffice (ODF) en Microsoft Office 2007 (OOXML).

Deelconclusie

De McAfee DLP is hostgebaseerd en er is geen encryptie in voorzien. Je kunt datatransacties bij een gebruiker blokkeren (of bewaken), maar eenmaal dat een actie toegestaan is, verlies je elke controle. Er ontbreekt ook ondersteuning voor enkele toch populaire bestandsformaten die nochtans vertrouwelijke informatie zouden kunnen bevatten. We zijn benieuwd of de integratie van de technologie van Reconnex hier een antwoord op biedt. Qua gebruiksvriendelijkheid kan het beheer wat beter. Met name bij ePO zouden wij meer wizards willen zien en een duidelijker terminologie.

RSA Data Loss Prevention

EMC-dochter RSA Security kennen we vooral van hun identiteitsbeheer met de door ons eerder geteste SecurID appliances en oplossingen. Hun DLP-aanpak dekt de drie grote categorieën: opslag, netwerk en eindpunten. Je kunt je beperken tot een onderdeel, maar voor de beste bescherming zou je ze alle drie moeten hebben. RSA heeft zelf geen Endpoint Security product en biedt ook geen integratie met een bestaande oplossing van derden.

De RSA DLP Suite bestaat uit drie deelmodules en een gezamenlijke beheercentrale. De laatste heet de RSA DLP Enterprise Manager. De drie deelmodules zijn RSA DLP Datacenter, RSA DLP Network en RSA DLP Endpoint. De module Datacenter helpt je vertrouwelijke informatie terug te vinden ongeacht waar zich die bevindt: in bestandssystemen, databases, e-mailsystemen en grote SAN- of NAS-omgevingen. Deze DLP-opslagmodule bemoeit zich dus met data in rust. De tweede module, Network, bewaakt en blokkeert desgewenst data die het netwerk verlaat. Het gaat dus om data in transmissie. Ten slotte is er de RSA DLP Endpoint: die ontdekt, bewaakt en controleert allerlei gevoelige data op eindpunten zoals desktop-pc's en notebooks. Overigens kun je zo'n eindpuntagent ook op servers installeren die niet gedekt worden door de opslag- of netwerkmodules.

Functionaliteit

Een van de nieuwere toevoegingen na versie 6 (we zitten nu aan versie 6.5 en in maart komt versie 7 uit) aan RSA DLP is de integratie van Datacenter en Endpoint ontdekkingsroutines met Microsoft Active Directory Rights Management Services (RMS). Daardoor kun je nu RMS-policy's laten toepassen op gevoelige bestanden in rust. Je kunt als een van de antwoorden op een DLP-inbreuk dus de toepassing van een RMS-policy kiezen. Als je geen RMS hebt draaien, kun je nog steeds gebruik maken van de andere incidentreacties: in het logboek noteren, een melding tonen, een waarschuwing aan de gebruiker en zijn overste sturen, een verantwoording aan de gebruiker vragen en zo meer. Encryptie afdwingen voor uitgaande mails bijvoorbeeld is ook mogelijk, maar dat moet dan wel via een externe encryptiegateway. RSA identificeert gevoelige data op verschillende manieren, waaronder ook fingerprinting en reguliere expressies. Daarbij herkent hij op eindpunten meer dan 300 bestandsformaten, waaronder ook ODF en de bekendste archieftypes in meerdere niveau's. Nieuwere en steeds populairdere archieftypes zoals 7Zip zullen er in de volgende versie nog aan toegevoegd worden. Dat geldt ook voor OCR-functionaliteit die vertrouwelijke informatie in afbeeldingen kan herkennen. De data-extractie-engine is KeyView van Autonomy, die ook door verschillende andere leveranciers gebruikt wordt. Een verzameling identificatieregels heet bij RSA een 'content blade' en omvat alles wat nodig is om een specifiek soort data met een zekere graad van betrouwbaarheid te kunnen identificeren.

Beheer

Je beheert alles via een webinterface. Die is georganiseerd in een tabbladlay-out met vijf hoofdrubrieken: Dashboards, Incidents, Reports, Policies en Admin. Nadat je je reglementen gedefinieerd en ingesteld hebt, is Incidenten een van de belangrijkste hoofdrubrieken. Je ziet een overzicht van alle vastgestelde incidenten, de meest recente eerst. Er is een kolom 'Severity' (ernst) die met een duidelijke kleur de ernstgraad van het incident aangeeft. Gedetecteerde vertrouwelijke informatie kan onzichtbaar gemaakt worden voor incidentbeheerders.

Onder Policies definieer je reglementen en 'content blades'. Een reglement gebruikt content blades om er regels mee te maken. Je kunt werken met een 'content blade manager' die je een overzicht geeft van beschikbare content blades en of die actief zijn of niet. Je kunt nieuwe content blades aanmaken van drie verschillende types: exact omschreven data, fingerprinted data en via reguliere expressies gevonden data. RSA heeft al een aantal veelvoorkomende content blades en policy's voorgedefinieerd.

Deelconclusie

RSA heeft kennelijk aan zowat alles gedacht. Hun DLP-oplossing omvat de drie niveau's, heeft een sterk uitgebouwd en functioneel zeer rijk beheer. Ook qua functionaliteit van de dataverliespreventie zelf zijn we zeer onder de indruk.

Symantec Vontu Data Loss Prevention

Symantec's DLP-product kwam tot stand met de overname van Vontu. Vermits dat de nummer een op de DLP-markt was en de naam dus erg bekend is, heeft Symantec besloten die merknaam te behouden in de uiteindelijke productnaam. Symantec Vontu gebruikt een DLP-agent op de eindpunten. Het centraal beheersysteem met databaseserver heet het Vontu Enforce Platform. In feite omvat de DLP-oplossing van Symantec opslag, netwerk en eindpunten.

Het is de bedoeling dat je begint met de DLP-beveiliging van opslagsystemen. Daarmee bepaal je dan wat gevoelige informatie is en waar die opgeslagen is. Het fingerprinten voor snelle identificatie hoort hier ook bij. De volgende stap is netwerk-DLP, zodat inbreuken inzake transmissies en transacties van informatie gedetecteerd en geblokkeerd kunnen worden. De laatste stap is de eindpuntenbeveiliging. Hierbij raadt Symantec aan Symantec Endpoint Security te combineren met de eindpunt-DLP.

Het Vontu Enforce Platform draait naar wens onder Windows of Linux. Symantec kan je dit op een appliance aanleveren, of je kunt het op eigen hardware draaien of ook virtueel onder een hypervisor. Dan levert Symantec je meteen de benodigde virtuele machine. De geïntegreerde database is van Oracle. Die wordt gebruikt om fingerprintsignaturen in te bewaren. Symantec koos voor Oracle om ook zeer grote omgevingen aan te kunnen, met ettelijke tienduizenden clients. Je betaalt overigens alleen voor het aantal eindgebruikers dat je beveiligt. De functionaliteit van het Vontu Enforce Platform mag je zonder bijbetalen over zoveel servers splitsen als je maar wil.

Functionaliteit

De DLP-beveiliging vertrekt van inhoudsfilters die 'vingerafdrukken' nemen van informatieblokken en niet van hele bestanden tegelijk. Zo kun je ook bij de datadefinities onderscheid maken tussen uittreksels uit teksten of rekenbladen en omvangrijke kopieën. De software kan de DLP-fingerprint herkennen in eender welk bestand, er zijn dus vrijwel geen beperkingen inzake ondersteunde bestandsformaten. Alleen als informatie versleuteld of gecomprimeerd is, kan de fingerprint mogelijk niet meer herkend worden. Je kunt natuurlijk met Endpoint Security regels opstellen voor softwaregebruik. Dan kun je een witte lijst maken van alle toegestane software en alles blokkeren wat daar niet op staat.

De DLP-policy's die je aanmaakt, kunnen voor alle vormen van DLP-bescherming gelden: dus zowel opslag, als netwerk, als eindpunten. De policy's definiëren regels waarin je vastlegt wat er moet gebeuren als het gebruik, de transactie of de opslag van welbepaalde data met fingerprint vastgesteld wordt door een agent. Je kiest of de reactie automatisch toegepast wordt en met welk niveau van interactie naar de gebruiker toe.

Symantec Vontu biedt verschillende gebruikersrollen. Daarbij is gedacht aan extra beveiligingsmaatregelen, zoals voorkomen dat vertrouwelijke informatie herhaald wordt in incidentwaarschuwingen of -rapporten.

Beheer

Je beheert Vontu volledig via een webinterface. Die toont uiterst links drie openklapbare hoofdrubrieken: Reports (rapporten), Policy (reglement) en Administration (beheer). De rapportagerubriek staat bovenaan omdat je die normaal het vaakst zult gebruiken. Onder Policy staan alle gedefinieerde DLP-reglementen. Er zijn er al een hele hoop voorgedefinieerd, maar je kunt eigen reglementen bijdefiniëren. In deze hoofdrubriek tref je verder de responseregels aan. Daarmee definieer je wat er moet gebeuren bij een vastgesteld incident. Ook hier is er erg veel flexibiliteit in wat je kunt specificeren. Er is onder Policy nog een sectie 'Protected content' (beschermde inhoud) en die omvat exacte gespecificeerde data en geïndexeerde documenten. De laatste hoofdrubriek 'Administration' omvat alle systeem-, server-, agent- en gebruikersinstellingen.

Deelconclusie

De Vontu DLP-oplossing van Symantec is een van de meest uitgebreide met een indrukwekkende functionaliteit. Om een zo goed mogelijke beveiliging te krijgen, zou deze DLP gecombineerd moeten worden met Symantec Endpoint Security.

Trend Micro Leak Proof

Trend Micro noemde zijn DLP-product 'Leak Proof' (lekbestendig). Het gaat om een hostgebaseerde oplossing die bescherming biedt via bewaking en preventieve acties. Onder een preventieve actie mag je een verbod bestaan. Het product dekt e-mail, webmail, IM, usb-opslag en bewaren op cd of dvd. Leak Proof gebruikt reglementen om te bepalen wat mag en wat niet. Om gevoelige inhoud te bepalen, maakt Leak Proof gebruikt van 'fingerprinting' (signatuurbepaling) om de inhoudsanalyse van bestanden en mails vlugger te doen verlopen.

Op de hosts draait een agent, de Leak Proof Client. Die communiceert met een Leak Proof Server. Trend Micro levert die naar wens als een appliance of als een virtuele appliance voor VMWare-omgevingen. De Leak Proof Server draait onder CentOS Linux (een Red Hat derivaat). Trend Micro koos voor Linux om een zeer hoge betrouwbaarheid en uitstekende prestaties te verzekeren. De agent is jammer genoeg alleen beschikbaar voor Windows 2000, XP, Vista en de Windows Servers 2000 en 2003.

Functionaliteit

De basis van elke bescherming tegen datalekken is natuurlijk de inhoudsanalyse van documenten en e-mails. De inhoudsfilter van Leak Proof gebruikt signaturen, metadatavergelijking, sleutelwoordzoeken en reguliere expressies om gevoelige informatie op te sporen. Trend Micro zet vrijwel alles op het genereren en vergelijken van signaturen om gevoelige informatie op te sporen. Dat betekent meteen ook, dat de bescherming maar zo goed is als het signatuuralgoritme. Op de eindpunten kan het reglement afgedwongen worden door acties te blokkeren, maar er zijn nog andere acties mogelijk. Zo kan de gebruiker zich moeten verantwoorden. Je kunt bepaalde gebruikers ook verbieden encryptie toe te passen: anders zou een slimmerik gestolen data simpel kunnen versleutelen en die dan ongemerkt het bedrijf uit krijgen.

Aan de serverkant kun je laten zoeken naar gevoelige bedrijfsinformatie en dat opnemen in datalekreglementen. Daarbij hoort naast deze ontdekking ook de classificatie van gegevens. Het systeem biedt mogelijkheden tot bewaken van het gebruik, het scannen van eindpunten en het onderwijzen van gebruikers. Dat laatste slaat op het presenteren van informatiedialogen en de gebruiker inlichten over juiste werkprocessen en hun volgorde. Leak Proof kan gevoelige informatie opsporen op alle systemen waarop een agent geïnstalleerd is: notebooks, pc's en servers.

Beheer

Ofschoon de Leak Proof Server onder Linux draait, merk je daar helemaal niks van. Het hele beheer loopt via een webinterface. Die biedt beheerworkflows (zeg maar wizards) waarmee je data kunt laten opsporen, classificeren, policy's definiëren en rapporten genereren. Dit uit zich al meteen in de beheerinterface zelf. Die bestaat uit een hoofdmenu van rubrieken bovenaan. Een rubriek aanklikken verandert het hele dialoogvenster onder dat menu. Het gedraagt zich dus als een tabinterface, al gebruikt Trend Micro visueel geen tabs maar aanklikbare rubrieken. De hoofdpagina biedt een dashboard waarbij je met een oogopslag ziet hoe veilig je gegevens zijn. Vervolgens zijn de hoofdrubrieken Gevoelige informatie, Beveiligingsreglement, Veiligheidsonderzoek (scan), Veiligheidsschendingen, Rapportage, Administratie en Beheer. Deze lijken ons zelfverklarend. Je begint met het opsporen, definiëren en classificeren van gevoelige informatie. Dan maak je een reglement op waarin je opgeeft wat mag en wat niet. Vervolgens kun je scans in je netwerk laten uitvoeren die zullen bepalen of er inbreuken zijn op de reglementen.

Deelconclusie

Trend Micro heeft met Leak Proof een hostbeveiliging die vrij volledig lijkt te zijn maar alleen eindpunten dekt. Positief is de ondersteuning voor encryptie en de erg goed uitgewerkte zoekfuncties. Helaas beperkt men zich tot Windows, zodat het niet bruikbaar is voor afdelingen of bedrijven die met Macs of Linux werken.