نشتی داده‌ها چیست و چگونه از وقوع آن جلوگیری کنیم؟

طبقه‌بندی داده‌ها

داده‌ها به دو شکل متفاوت ساخت‌یافته و غیرساخت‌یافته ذخیره می‌شوند. داده‌های ساخت یافته درون بانک‌های اطلاعات ذخیره و پردازش می‌شوند. در این مدل داده‌ها در قالب دودویی ذخیره می‌شوند و مکانیزم نمایه‌گذاری برای ارجاع‌دهی یا وابستگی‌های تکرارشونده استفاده می‌شود. ورودی‌ها و خروجی‌های بانک‌های اطلاعات قابل پیش‌بینی هستند و قابلیت تکرار وجود دارند. قابلیت پیش‌بینی به معنای آن است که شما می‌دانید چه نوع داده‌ای قرار است درون یک فیلد متنی یا عددی وارد شود و همچنین انتهایی برای آن وجود دارد. مکانیزم یک برنامه بازرسی DLP در ارتباط با داده‌های ساخت‌یافته مشخص و پایان‌پذیر است. نوع دوم داده‌های غیرساخت‌یافته یا فاقد ساختار هستند که داده‌های مرتبط با پردازش مستندات، ایمیل‌ها، اعلان‌های پیام کوتاه، ارتباطات ویدیویی یا عکس‌ها را شامل می‌شود. یک برنامه بازرسی DLP در زمان کار با چنین داده‌هایی با مشکلات مختلفی روبرو است، زیرا پایانی برای پردازش داده‌های تصادفی وجود ندارد و اطلاعات تکرارپذیر یا قابل پیش‌بینی نیستند. به‌طور مثال، برنامه‌هایی که اجازه می‌دهند کاربران اسناد مختلف را ویرایش و ذخیره کنند در گروه داده‌های فاقد ساختار طبقه‌بندی می‌شوند. در رابطه با اسناد به سختی می‌توان میزان حساسیت محتوا یا مطالب درون سند را برای یک برنامه DLP توصیف کرد. رویکردی که هیچ پایانی برای آن وجود ندارد.

تعریف و طبقه‌بندی داده‌ها

داده‌ها به دو دلیل مهم در برنامه DLP تعریف می‌شوند. اول آن‌که نوع داده‌ها تعریف می‌شود تا سازمان شناخت درستی از عملکرد داده‌ها به دست آورد و قادر به شناسایی مکان‌هایی باشد که داده‌ها در آن مکان‌ها ذخیره‌سازی می‌شوند و دوم آن‌که سازمان روش خاصی برای طبقه‌بندی نوع داده‌ها تعریف کند. تعریف نوع داده‌ها نشان می‌دهد که سازمان با داده‌های ساخت یافته، غیر ساخت یافته یا هر دو مورد در ارتباط است. در فرآیند طبقه‌بندی، سازمان ویژگی‌های داده‌ها را تعیین می‌کند تا اطمینان حاصل کند که سامانه‌ها و ابزارهای تشخیص می‌توانند بر مبنای خط‌مشی‌های مشخص داده‌ها را شناسایی و مدیریت کنند. طبقه‌بندی داده‌های حساس به برنامه DLP در تشخیص مواردی که نیازمند هشداردهی هستند و پیشگیری از فعالیت‌های غیرمجاز با داده‌ها که نشتی اطلاعات را به همراه دارند کمک می‌کند. بدون طبقه‌بندی داده‌ها شانس موفقیت یک برنامه DLP ضعیف است. دقت کنید در فرآیند طبقه‌بندی به دلیل ماهیت ناپایدار داده‌ها و موقعیت کاربران (افرادی که استخدام می‌شوند یا سازمان را ترک می‌کنند)، طبقه‌بندی به ارزیابی مستمر و تغییر احتمالی مکان‌هایی که باید بازرسی شوند نیاز دارد. در سلسله مراتب طبقه‌بندی بهتر است بیشتر از پنج سطح طبقه‌بندی لحاظ نشود.

چه عواملی برنامه DLP را با مشکل روبرو می‌کنند؟

برنامه پیشگیری از نشت داده‌ها با هدف هشداردهی به سازمان‌ها در ارتباط با رفتارهای مشکوکی که ناخواسته باعث نشت داده‌ها از سوی کارمندان می‌شود و شناسایی فعالیت‌هایی که روند انجام کارها را مختل می‌کنند پیاده‌سازی می‌شود. این برنامه با هدف شناسایی تهدیدات درون سازمانی غیرمخرب نیز اجرا می‌شود. در اغلب موارد کارمندان ناخواسته و نه از روی عمد کاری انجام می‌دهند که خط‌مشی‌های حاکمیتی سازمان نقض می‌شود و نشتی اطلاعات به وجود می‌آید. به‌طور مثال، کارمندی تصمیم می‌گیرد بخشی از کارهای خود را در منزل انجام دهد و به همین دلیل داده‌های طبقه‌بندی شده را روی یک حافظه فلش ضبط می‌کند یا آن‌ها را روی سامانه‌هایی که متعلق به سازمان نیستند کپی می‌کند. یک برنامه DLP برای شناسایی تهدیدات داخلی و خارجی استفاده می‌شود. تهدیدات داخلی کارمندانی هستند که سعی می‌کنند خط‌مشی‌های حاکمیتی سازمان در ارتباط با داده‌ها را نقض کنند. کارمندان به دلایل مختلفی همچون اخراج شدن، اطلاع از تنزل مقام یا دریافت پول برای سرقت داده‌ها دست به چنین کاری می‌زنند. عامل خارجی تعامل مستقیمی با سازمان ندارد. رقبای تجاری یا هکرهایی که به دنبال سرقت داده‌ها و فروش آن‌ها به سازمان دیگری هستند در گروه عوامل تهدیدآفرین خارجی قرار می‌گیرند. در بیشتر موارد تهدیدهای خارجی سعی می‌کنند فعالیت‌های تجاری یک سازمان را مختل کنند یا روی تصمیم‌گیری‌های آتی شرکت تاثیر منفی بگذارند، در چنین شرایطی یک برنامه DLP مانع به ثمر رسیدن تهدیدات می‌شود.

استقرار فناوری پیگشیری از نشت داده‌ها

پیاده‌سازی فناوری جلوگیری از نشت داده‌ها بر پایه سه عنصر کلیدی قابلیت مشاهده، قابلیت‌ بازرسی و قابلیت‌ واکنش در زمان شناسایی یک تهدید آماده  می شود.

قابلیت مشاهده

تشخیص زمانی انجام می‌شود که قابلیت مشاهده، درک و شناسایی محتوا تعیین شده باشد. قابلیت مشاهده به وضعیتی اشاره دارد که دسترسی کامل به مکان‌هایی که قرار است داده‌های درون این مکان‌ها بازرسی شوند، وجود دارد. مهندس DLP مشخص می‌کند داده‌های حساس در چه بخش‌هایی قرار دارند و چه تمهیدات و قابلیت‌هایی برای بازرسی مشخص شده‌اند. از رایج‌ترین روش‌های بازرسی می‌توان به پویش داده‌هایی که استفاده نمی‌شوند، پویش داده‌هایی که در شبکه استفاده می‌شوند و پویش داده‌های نقاط پایانی اشاره کرد. برای پویش داده‌های بدون استفاده بخشی از زیرساخت DLP در کنار داده‌های حساس قرار می‌گیرد و جست‌وجوی محتوای حساس را آغاز می‌کند. زیرساخت‌های پویش در اغلب موارد روی مکان‌های به‌اشتراک‌گذاری داده‌ها در شبکه، نسخه‌های پشتیبان بانک‌های اطلاعاتی، مکان‌هایی که نسخه‌های آرشیو یا داده‌ها به شکل طولانی مدت در آن مکان‌ها ذخیره شده‌اند، تمرکز دارند. پویش داده‌های در حال استفاده در شبکه از قابلیت‌های بازرسی DLP برای پیشگیری از نشت داده‌ها است. در پویش فوق بخشی از زیرساخت DLP پروتکل‌های شبکه که برای انتقال داده‌ها در حالت بارداده استفاده می‌شوند را بررسی می‌کند. برای آن‌که سرعت شبکه افت محسوسی نداشته باشد، برخی از مولفه‌ها به شکلی طراحی می‌شوند تا روی پروتکل‌های محدود و خاصی تمرکز کنند. به‌طور مثال، DLP برای نظارت بر ایمیل پروتکل‌های SMTP، POP3 و IMAP را بررسی می‌کند. سایر مولفه‌های شبکه‌محور DLP روی بازرسی پروتکل‌های خطرآفرین در زمینه انتقال داده‌ها شبیه به FTP و IM (پیام‌رسان فوری) متمرکز می‌شوند. مهندس DLP می‌تواند مولفه‌های مختلف DLP شبکه را به شکل درون خطی طراحی کند تا بین جریان داده‌ها قرار گیرند (درست مشابه با حالتی که سامانه‌هاش تشخیص و پیشگیری از نفوذ در نقش پلی در شبکه ظاهر می‌شوند و داده‌ها از میان آن‌ها منتقل می‌شوند.) یا مولفه‌ها را به شکلی طراحی کند تا داده‌ها خارج از پهنای باند بازرسی شوند. مهندس DLP در زمان طراحی معماری DLP مبتنی بر شبکه باید به چند اصل مهم دقت کند. زیرساخت‌های بازرسی DLP می‌توانند به شکل درون خطی یا tap مستقر شوند. در هر دو حالت، بازرسی به یک شکل انجام می‌شود، اما ویژگی‌های واکنشی این حالت‌ها متفاوت است. حالت درون خطی از دو رابط کاربری برای هر طرف ارتباط استفاده می‌کند تا داده‌هایی که میان دو سامانه از میان مولفه‌های DLP عبور می‌کنند را بررسی کند. در زمان عبور داده‌ها از میان مولفه‌های فوق، داده‌ها برای بررسی نشت‌های احتمالی با خط‌مشی‌ها بررسی می‌شوند تا داده‌های غیرمجاز انتقال پیدا نکنند. اگر محتوای غیرمجازی شناسایی شود، DLP قادر است از رویکردهای واکنشی برای پیشگیری از انتقال داده‌ها استفاده کند. در حالت Tap یک رابط کاربری تکی استفاده می‌شود. در این روش یک کپی از داده‌ها برای بازرسی به مولفه‌های مذکور ارسال می‌شود. از آن‌جایی که مکانیزم پیشگیری از نشست داده‌ها در حالت Tap وجود ندارد، امکان به‌کارگیری مکانیزمی‌هایی شبیه به قطع ارتباط تجهیزات وجود ندارد. یک برنامه DLP در واکنش به شناسایی نشت داده‌ها دو راهکار در اختیار دارد. برای ارتباطات مبتنی بر پروتکل TCP از تکنیک ریست برای قطع ارتباط استفاده می‌کند یا یک فلگ به دستگاه خاطی ارسال می‌کند که یک نشت داده رخ داده است. در این وضعیت اگر پیکربندی خاصی روی دستگاه اعمال شده باشد، سامانه در واکنش به فلگی که دریافت کرده کار خاصی انجام می‌دهد. در شبکه‌هایی که ترافیک آن‌ها رمزنگاری شده، زیرساخت DLP باید کار بیشتر انجام دهد و بارداده این ارتباطات را رمزگشایی کند. این‌کار با دو چالش مهم مصرف پهنای باند و نقض حریم خصوصی روبرو است. رمزگشایی و بازرسی بلادرنگ به نرم‌افزارهای خاصی نیاز دارد که فرآیند رمزگشایی و رمزنگاری را انجام دهند که افت محسوس عملکرد شبکه را به همراه دارند. نقض حریم خصوصی مشکل دیگری است. کارمندان شبکه علاقه‌ای ندارند در زمان خریدهای اینترنتی و انجام معاملات بانکی یا مشاهده سوابق پزشکی اطلاعات آن‌ها توسط فناوری‌های سازمانی شنود و بررسی شود. به همین دلیل در اروپا و کانادا برای انجام چنین کاری سازمان‌ها مجبور هستند از نهادهای قانونی مجوز لازم را دریافت کنند و پس از دریافت مجوز مربوطه معماری زیرساخت DLP مبتنی بر رمزگشایی اطلاعات را درون شبکه سازمانی اجرایی کنند. سومین بخش از قابلیت مشاهده در مرحله شناسایی به پویش داده‌های نقاط پایانی مرتبط است. این مرحله که تمرکزش روی نقاط پایانی است، جنبه نرم‌افزاری داشته و قابلیت مشاهده دقیقی از سیستمی که نرم‌افزار DLP روی آن مستقر شده است را شامل می‌شود که دسترسی کامل به پشته شبکه شرط دسترسی به چنین قابلیت است. در این مرحله باید داده‌های حساس نقاط پایانی در هر دو مدل ساخت یافته و غیر ساخت یافته و نرم‌افزارهای کاربردی که با داده‌های حساس سروکار دارند بررسی شود. افزایش تعداد کاربرانی که از گوشی‌های همراه استفاده می‌کنند و از نرم‌افزارهای مختلفی برای به‌اشتراک‌گذاری داده‌ها استفاده می‌کنند خطر نشت داده‌ها را افزایش می‌دهد.