作者来自于Netskope,一家2012年成立于加州的安全公司。这家公司入选Gartner Security Service Edge。产品包括DLP等。
这个方案前提是包括使用USB,打印和使用手机拍照已经被治理。或者说,这三种不在他的考虑范围内。
作者从三个方面定义一个数据外发的异常信号。
数据量。哪个员工比平常更多的上传和下载
文件性质。哪些文件包含敏感数据
方向。哪些员工把数据存到了他们的个人云盘
数据量检测方面,使用异常检测。
主要是两类异常:
与员工平常的操作模式差别很大,例如平常只产生10个DLP的告警,但是今天产生了500个DLP告警
与公司其他员工差别很大,一天向Google Drive上传了2T的数据,明显高于其他员工
这里用的是DLP的能力。作者并未提到如何更好的做数据打标。不过这个地方,我建议参照笔者之前公众号里的微软的方案。
作者只是提到,以下几种情况DLP必须产出告警(不过我觉得是废话):
知识产权
保密信息
合规相关数据(包括GDPR PCI-DSS等)
这里的应用实例打标是作者认为,有很多应用,光看应用程序名是无法知道访问的是否为个人存储还是公司存储的。例如Google Drive可以是个人存储,也可以是公司存储。
所以,这里作者使用了一些启发式的方法来标记一个应用实例是公司的,个人的还是其他情况。这里的例子是通过该应用访问的域名来进一步判定。
最终一个告警看起来如下:
通过以上方案,让策略更精细化,具备更丰富的信息。
原先的策略是,在用户往google drive上传超过五个文件时产生告警。
现在的策略变成了,在用户往他们个人云存储上传敏感信息时产生告警。
检测效率提升43倍。
外发数据包括
使用异常检测来发现行为变化
使用DLP,重点关注(敏感)数据外传
将敏感数据外传和异常检测进行关联
不足之处:
只分析了有限的上传应用
只分析了离职员工场景
未知流量未考虑进来
老实讲,我个人觉得这家公司做的没微软考虑的深。
微软的方案可参见笔者之前写的两篇:
《微软数据安全防护中的几个小细节》https://mp.weixin.qq.com/s/VjOQU8Ngxa-kNmLaqGwPJA
《微软数据安全防护之Know Your Data》https://mp.weixin.qq.com/s/Hkro91XoY4SdjFZNGcFAvg
参考:
原文来自于 BH ASIA 2023 Dagmawi Mulugeta, Colin Estep