Технологии анализа DLP: как система понимает содержимое

Правило по имени или расширению файла легко обойти: достаточно переименовать документ, чтобы простая политика перестала его распознавать. Поэтому технологии анализа DLP должны работать не только с атрибутами файла, но и с его фактическим содержимым.

Зачем DLP анализировать содержимое, а не имя файла

Если поиск утечки информации осуществляется только по расширению, имени или пути, это значит, что не оценивается само содержание документа, это позволяет сотруднику обойти такой контроль: сотрудник меняет расширение или название документа, и контроль уже обойден. На помощь приходит контентный анализ в DLP, который решает задачу безопасности не только на основании общих параметров файла, но и за счет анализа содержимого.

Это особенно важно для защиты от внутренних угроз. Конфиденциальные сведения могут находиться в обычном документе, изображении или сообщении и не иметь очевидного названия. Поэтому предотвращение утечки строится на проверке фактического содержания, а не на доверии к имени файла.

Подробнее общий принцип описан в материале о принципах работы DLP-систем. Здесь рассмотрим именно механику: какие методы позволяют распознать данные и определить их категорию.

Методы контентного анализа: как система считывает текст

Контентный анализ в DLP использует разные способы проверки содержимого. Система может искать конкретные слова и фразы, распознавать данные по заданному шаблону, анализировать особенности текста или сравнивать его с известными образцами.

На практике эти методы используют вместе:

• ключевые слова и словари — поиск определенных слов, фраз и терминов, которые могут указывать на конфиденциальную информацию;
• регулярные выражения — поиск данных по заданному шаблону выражения из одинакового количества символов. Например, так можно распознавать номера банковских карт, СНИЛС или ИНН;
• статистический анализ — оценка текста или документа по его общим характеристикам;
• лингвистический и морфологический анализ — анализ словоформ, формулировок и контекста, чтобы учитывать разные варианты написания и употребления слов;
• сигнатурный анализ — сравнение содержимого с известными образцами или признаками защищаемых данных.

Регулярные выражения и словари: точность против гибкости

Регулярные выражения подходят для объектов с устойчивой структурой: например, номер карты или СНИЛС можно искать по заданному шаблону. Словари работают с терминологией и маркерами, характерными для организации, но требуют настройки. Так, слово «пароль» может встречаться в обычной переписке ИТ-поддержки, поэтому необходимо учитывать и другие условия, при которых применение этого слова считалось бы попыткой получения доступа к конфиденциальной информации. Примером такого условия может быть совпадение не одного, а нескольких слов по словарю через установку порога срабатывания. При этом учитывается морфология слов: система может распознавать разные формы слова с учетом приставок, суффиксов, окончаний и других изменений.

На примере DLP-системы SecureTower можно рассмотреть работу со словарями. В системе заранее предустановлено 188 системных словарей на 5 популярных языках, что позволяет гибко настраивать политики безопасности под задачи компании. Также есть возможность добавить свой пользовательский словарь с неограниченным количеством слов.

Лингвистика и статистика: за пределами точного совпадения

Чувствительный текст не всегда содержит точное ключевое слово. Перефразировки и разные формы слов тоже передают смысл. Лингвистический анализ учитывает словоформы и контекст, статистический — характеристики текста в целом. Результат зависит от языка и тематики данных, поэтому настройки должны соответствовать коммуникации организации. Можно также отметить транслитерацию, когда русские слова могут набираться латиницей и наоборот. Все эти варианты работы с языком учитываются в DLP.

Содержимое может требовать дополнительной обработки — подробнее об этом в материале про анализ запароленных архивов.

Таким образом, универсального метода контентного анализа нет: каждый подход выявляет свой набор признаков, учитывание которых полезно для работы с текстом. На практике их сочетание помогает одновременно находить конкретные реквизиты, характерную терминологию, совпадения с уже известными защищаемыми данными, а также измененные варианты текста, возникшие из-за грамматических ошибок или намеренного изменения формулировок.

OCR: распознавание текста на изображениях и сканах

Контентный анализ применим не только к тексту сообщений и документов. Информация может быть передана в виде скриншота переписки, фотографии документа или скана паспорта. В этом случае сначала нужно извлечь текст из изображения, чтобы система могла его проверить.

Для этого используется OCR — технология оптического распознавания символов. Она переводит текст с изображения в машиночитаемый формат, после чего его можно проверить по словарям, регулярным выражениям и другим правилам контентного анализа.

С помощью OCR в контроль можно включать скриншоты, фотографии документов и сканы. При этом результат распознавания зависит от качества изображения: важны разрешение, четкость, контраст и расположение текста. Печатный текст обычно распознается лучше рукописного, поэтому результаты OCR требуют учета этих ограничений и не гарантируют полной точности.

Цифровые отпечатки и поиск персональных данных

Контентный анализ может работать не только с отдельными словами и шаблонами. Если в организации есть документы, содержание которых нельзя передавать за ее пределы, для их контроля можно использовать цифровые отпечатки. В этом случае система сопоставляет проверяемые данные с заранее заданным эталоном и ищет совпадения, в том числе частичные.

Это важно, когда из документа передается только часть информации. Например, сотрудник может отправить отдельный абзац внутреннего отчета, таблицу или фрагмент базы данных. При обычном поиске по ключевым словам такой фрагмент может остаться незамеченным, если в нем нет характерных терминов. Сопоставление с цифровым отпечатком позволяет связать его с исходным документом.

Каждая компания может создавать собственные банки цифровых отпечатков для документов, характерных именно для её деятельности. С учетом этих данных компания настраивает политики безопасности.

Чем отпечатки отличаются от ключевых слов

Ключевые слова и регулярные выражения ищут данные по заданным признакам, а цифровой отпечаток сопоставляет содержимое с эталонным образцом и помогает обнаружить его фрагменты. Эти методы дополняют друг друга: выбор зависит от типа защищаемых данных и того, известен ли заранее исходный материал.

При обработке персональных данных необходимо учитывать требования 152-ФЗ «О персональных данных», а для сведений, составляющих коммерческую тайну, — 98-ФЗ «О коммерческой тайне» при установленном в организации режиме коммерческой тайны.

Классификация данных и политики безопасности

Результаты разных методов анализа могут использоваться для классификации данных: как конфиденциальной информации, персональных данных, сведений, составляющих коммерческую тайну, или публичной информации. Классификация связывает обнаружение содержимого с правилами безопасности.

На ее основе определяют, какие события фиксировать, какие передавать специалисту, а какие блокировать. Один метод не закрывает все сценарии: ключевые слова не заменяют поиск структурированных данных, OCR нужен для изображений, а для работы с цифровыми отпечатками требуется эталонный документ. Поэтому методы комбинируют.

Контентный анализ — специализированная задача DLP. Антивирус ориентирован на вредоносное ПО, файрвол и IPS — на сетевой трафик, SIEM — на корреляцию событий. Они дополняют DLP, но не заменяют анализ содержимого.

При контроле переписки и файлов сотрудников нужно учитывать правовые основания мониторинга: средство контроля закрепляется в локальном нормативном акте и связано с условиями трудовых отношений, сотрудник знакомится с установленными правилами, а обработка данных имеет определенную цель с учетом требований 152-ФЗ. Одного уведомления недостаточно. Подробнее — в материале о защите информации от несанкционированного доступа; вопросы доступа к классифицированным данным рассматривает DCAP-система.

Технологии анализа DLP эффективнее работают в связке: контентный анализ помогает распознать текст и структуры данных, OCR — извлечь текст из изображений, а цифровые отпечатки — сопоставить содержимое с эталонными документами.