DLP (ochrona przed wyciekiem danych)

DLP (data loss prevention) to klasa rozwiązań, które rozpoznają wrażliwe dane w organizacji, śledzą, dokąd trafiają, i blokują ich nieuprawnione wyprowadzenie. Słownik NIST opisuje DLP jako zdolność systemu do identyfikowania, monitorowania i ochrony danych w użyciu, w ruchu i w spoczynku, między innymi przez głęboką inspekcję treści pakietów i analizę kontekstu transakcji w ramach centralnego zarządzania ^[1]. MITRE ATT&CK traktuje DLP jako środek zaradczy M1057, obejmujący strategie i technologie do identyfikowania, kategoryzowania, monitorowania i kontrolowania przepływu wrażliwych danych ^[2]. W polskich tekstach używa się też rozwinięcia Data Leak Prevention ^[4].

Jak działa

DLP łączy trzy czynności: klasyfikację danych, obserwację kanałów, którymi dane mogą opuścić organizację, oraz egzekwowanie polityki. MITRE podaje jako przykład skanowanie i oznaczanie plików z wrażliwymi informacjami według wzorców, takich jak numery ubezpieczenia społecznego albo numery kart płatniczych ^[2]. Gdy oznaczony plik próbuje opuścić organizację kanałem niedozwolonym przez politykę, system blokuje transfer, ostrzega użytkownika albo zapisuje zdarzenie do przeglądu.

Niebezpiecznik opisuje zadanie DLP jako monitorowanie, wykrywanie i blokowanie wszelkich nieautoryzowanych transferów lub udostępnień wrażliwych danych ^[3]. Przebieg decyzji pokazuje schemat poniżej.

RYS. 1Decyzja systemu DLP

Rodzaje

Definicja NIST dzieli chronione dane według stanu, a ten podział wyznacza też rodzaje rozwiązań ^[1].

DLP sieciowe korzysta z mechanizmów podobnych do DPI (deep packet inspection), bo musi zajrzeć w treść przesyłanych danych, a nie tylko w nagłówki ^[1]. DLP punktu końcowego działa zwykle jako agent na stacji roboczej, podobnie jak EDR (Endpoint Detection and Response), lecz jego celem jest ochrona danych, a nie wykrywanie złośliwego kodu.

Zagrożenia, przed którymi chroni

DLP jest odpowiedzią na eksfiltrację danych. MITRE wiąże M1057 między innymi z technikami wyprowadzania danych kanałem alternatywnego protokołu, kanałem sterowania (C2), przez nośnik USB, przez usługi internetowe oraz przez przeniesienie danych na konto w chmurze ^[2]. Te same techniki służą zarówno zewnętrznemu włamywaczowi, jak i pracownikowi działającemu na szkodę firmy.

Niebezpiecznik wskazuje DLP jako techniczne uzupełnienie szkoleń i kontroli dostępu w ograniczaniu zagrożeń ze strony pracowników, czyli insiderów ^[3]. Równie częsty jest wyciek przez nieuwagę: wysłanie arkusza z danymi klientów na zły adres albo wklejenie ich do zewnętrznej usługi, co bywa formą shadow IT i shadow AI. Każdy taki przypadek może stać się wyciekiem danych, a gdy chodzi o dane osobowe, także naruszeniem ochrony danych osobowych w rozumieniu RODO.

W WordPressie

Strona na WordPressie rzadko ma własny system DLP, ale przechowuje dane, których wyciek jest typowym skutkiem włamania: konta użytkowników, komentarze, zamówienia i zgłoszenia z formularzy. Dlatego myślenie w kategoriach DLP przydaje się przy projektowaniu strony i jej zaplecza.

Eksport danych osobowych. WordPress od wersji 4.9.6 ma narzędzie Export Personal Data, które tworzy archiwum .zip z danymi osobowymi użytkownika ^[5]. Link do pobrania wysyłany mailem jest ważny przez 48 godzin, a plik trafia do katalogu wp-personal-data-exports wewnątrz wp-content/uploads ^[5]. Eksport obejmuje informacje o witrynie, dane użytkownika, komentarze i media, a wtyczki mogą dodać własne dane ^[5]. Dokumentacja zaznacza, że narzędzie zbiera dane tylko z WordPressa i wtyczek, które się do niego podłączają, więc do pełnej odpowiedzi na żądanie eksportu może być potrzebne więcej ^[5]. Ta sama uwaga dotyczy odwrotnego kierunku: dane zapisane przez wtyczkę, która nie współpracuje z eksportem, łatwo przeoczyć przy inwentaryzacji. Z punktu widzenia DLP eksport jest kontrolowanym kanałem wyprowadzania danych: trzeba wiedzieć, kto może go uruchomić, i nie przechowywać archiwów dłużej niż potrzeba.

Kopie i pliki poza kontrolą. Dokumentacja utwardzania WordPressa zaleca regularne kopie bazy MySQL, przechowywane w zaufanym miejscu ^[6]. Kopia zapasowa (backup) bazy zostawiona w katalogu dostępnym z sieci staje się jednym z publicznie dostępnych plików wrażliwych i omija każdą politykę DLP. Ta sama dokumentacja zaleca zawężanie uprawnień plików i ochronę wp-config.php tak, by czytać go mógł tylko właściciel i serwer WWW ^[6].

Uprawnienia. Dostęp do eksportu, kopii i list użytkowników powinien wynikać z zasady najmniejszych uprawnień. Konto redaktora nie potrzebuje wtyczki eksportującej zamówienia do CSV.

Dobre praktyki

• Najpierw inwentaryzacja i klasyfikacja: DLP chroni tylko dane, które potrafi rozpoznać ^[2].
• Polityki dla kanałów wyjścia: załączniki poczty, nośniki USB, niezaszyfrowane wysyłki, dyski chmurowe ^[2].
• Monitorowanie ruchu wychodzącego pod kątem wrażliwej treści ^[2].
• Zdarzenia DLP przekazywane do SIEM (Security Information and Event Management), by łączyć je z innymi sygnałami.
• Szyfrowanie danych w spoczynku jako uzupełnienie: zaszyfrowany plik, który wycieknie, jest mniej groźny.

Niebezpiecznik zwraca uwagę, że dostawcy rozwiązań DLP sami mogą stać się celem ataków ^[3]. System, który widzi wszystkie wrażliwe dane organizacji, wymaga więc takiej samej ochrony jak one.

Upowszechnienie

Według badania cytowanego przez Niebezpiecznika, dotyczącego zabezpieczania urządzeń mobilnych w polskich firmach przed upowszechnieniem pracy zdalnej, mechanizmy Data Leak Prevention stosowało 32% ankietowanych ^[4]. W ramie MITRE ATT&CK DLP jest jednym z nazwanych środków zaradczych, powiązanym z technikami eksfiltracji oraz zbierania danych z systemu lokalnego i nośników wymiennych ^[2].