Контроль XMPP (Jabber) и Cisco Jabber: перехват переписки

XMPP (Extensible Messaging and Presence Protocol) по-прежнему используется в корпоративных коммуникациях. На его основе работают корпоративные мессенджеры, в том числе Cisco Jabber, а сам протокол применяется в различных self-hosted-развертываниях.

Что такое XMPP и где его используют

XMPP — открытый протокол обмена сообщениями и данными о присутствии пользователей. В классической архитектуре есть клиент, сервер и, при необходимости, обмен между несколькими серверами. Открытый характер протокола удобен для организаций, которым нужен контроль над всей собственной инфраструктурой. Сервер можно развернуть внутри компании, самостоятельно определить правила доступа и интегрировать мессенджер с другими корпоративными системами.

Cisco Jabber — один из известных корпоративных клиентов, использовавших XMPP для обмена мгновенными сообщениями и информацией о присутствии. При этом не стоит считать весь набор функций Cisco Jabber частью XMPP: текстовый обмен, передача файлов, голос и видео могут использовать разные механизмы и компоненты корпоративной UC-инфраструктуры.

Какие данные могут уходить через Jabber

С точки зрения информационной безопасности интерес представляет не сам XMPP как протокол, а действия пользователя с корпоративной информацией.

Отдельного внимания требует федерация XMPP — обмен сообщениями между корпоративным сервером и внешними XMPP-серверами. Если такая возможность настроена, сотрудник может отправить сообщение или данные пользователю за пределами организации.

В этом случае компания контролирует свою инфраструктуру, но не получает административного доступа к внешнему серверу. Поэтому для DLP важен контроль на управляемой рабочей станции: агент может зафиксировать действие пользователя до передачи данных внешнему адресату — если соответствующий клиент и операция поддерживаются системой контроля.

Что реально видит DLP в XMPP и Jabber

Здесь важно не смешивать несколько разных способов контроля. DLP может получать информацию с конечной точки, где работает корпоративный клиент, а в отдельных архитектурах — дополнительно анализировать сетевой трафик. Возможный набор контролируемых объектов зависит от версии продукта, операционной системы, используемого клиента и способа передачи данных.

Cisco Jabber: почему нельзя смешивать чат и голос

Cisco Jabber объединяет несколько способов коммуникации, поэтому контроль нужно рассматривать по отдельным каналам. Для текстовой переписки и передачи файлов ключевым объектом контроля является клиентское приложение и действия пользователя на рабочей станции.

С голосом ситуация другая. Cisco Jabber может использовать различные компоненты корпоративной телефонии, а голосовой трафик не следует автоматически считать XMPP-трафиком. Поэтому возможность записи и последующего распознавания речи зависит от того, каким протоколом и через какую инфраструктуру проходит конкретный звонок.

Если голосовая коммуникация передается по поддерживаемому SIP-сценарию, распознавание речи может использоваться как дополнительный уровень контентного анализа. Но это нельзя автоматически распространять на любой звонок Cisco Jabber.

Для проекта внедрения ИБ-службе стоит заранее проверить:

• каким протоколом передается голос;
• где находится точка контроля;
• какая версия клиента используется;
• поддерживается ли этот сценарий конкретной версией DLP;
• требуется ли отдельная настройка или интеграция.

Такой подход лучше, чем обещание контроля «всего Cisco Jabber» независимо от архитектуры.

Как выглядит контроль XMPP в корпоративной сети

Для типовой схемы сначала определяют рабочие станции и пользователей, которые должны находиться под контролем. На них устанавливается агент DLP, после чего для мессенджера задаются соответствующие политики.

Например, можно отдельно контролировать:

• отправку файлов внешним адресатам;
• передачу документов, содержащих конфиденциальные сведения;
• массовую передачу файлов;
• количества сообщений, звонков и др. коммуникации;
• попытки вывода данных через другие каналы одновременно с использованием Jabber.

Последний пункт особенно важен при расследованиях. Попытка передачи одного файла через чат может выглядеть безобидно. Если перед ней пользователь массово открывал документы определенного типа, архивировал их и затем отправил несколько файлов внешнему адресату, картина уже другая. DLP в этом случае нужна не для того, чтобы заранее объявить сотрудника нарушителем, а для восстановления последовательности событий.

Федерация: что происходит при отправке сообщения наружу

Федерация создает дополнительную границу контроля. Если корпоративный XMPP-сервер обменивается данными с внешним сервером, организация не может управлять инфраструктурой другой стороны. Но это не означает, что передача становится невидимой для DLP на рабочей станции.

При этом не стоит смешивать контроль исходящей операции с контролем внешнего сервера. DLP может контролировать действия пользователя на своей стороне, но не становится системой мониторинга чужой XMPP-инфраструктуры.

Законность контроля корпоративной переписки

Техническая возможность контролировать переписку не означает автоматической правомерности любого способа мониторинга. Компания должна заранее определить цели и порядок контроля, закрепить правила использования корпоративных информационных систем во внутренних документах и ознакомить работников с ними в установленном порядке.

При обработке персональных данных необходимо учитывать требования 152-ФЗ, а в трудовых отношениях — положения ТК РФ, в том числе нормы об обработке и защите персональных данных работников. Если коммуникации связаны с коммерческой тайной, дополнительно учитываются требования законодательства о коммерческой тайне.

Отдельное значение имеет разграничение корпоративного и личного использования. Контроль корпоративного мессенджера и мониторинг личной переписки сотрудника — разные ситуации, которые нельзя объединять одной формулировкой.

Поэтому одного уведомления недостаточно. Правомерность контроля определяется совокупностью правовых оснований, целей обработки, внутренних правил компании, способа мониторинга и конкретных обстоятельств.

Как организовать контроль Jabber

Техническую настройку лучше начинать не с выбора правила блокировки, а с инвентаризации реального сценария использования мессенджера. Практический порядок может выглядеть так:

1. определить, какие XMPP-серверы и клиенты используются в компании;
2. выяснить, какие операции проходят через XMPP, а какие используют другие протоколы;
3. определить категории информации, которые нельзя передавать через корпоративный мессенджер;
4. установить агенты на рабочие станции, которые входят в область контроля;
5. настроить политики и словари под реальные бизнес-процессы;
6. определить, где достаточно регистрации события, а где нужна блокировка;
7. ограничить круг сотрудников, имеющих доступ к архиву коммуникаций;
8. закрепить правила мониторинга во внутренних документах компании.

Также можно установить полную блокировку по протоколам XMPP, наряду и с другими типами блокировок.

Что делать при расследовании инцидента

Если DLP зафиксировала подозрительную передачу через Jabber, одного события обычно недостаточно. Стоит посмотреть всю активность и создать дело об инциденте:

• кто инициировал передачу;
• какой файл или фрагмент информации передавался;
• кому предназначались данные;
• какие действия пользователя происходили до этого;
• были ли похожие события раньше;
• использовались ли параллельно другие каналы вывода информации.

Так появляется не просто запись «файл отправлен», а последовательность действий, с которой уже может работать специалист ИБ.

Заключение

XMPP и корпоративные клиенты на его основе не являются «слепой зоной» только потому, что передача данных может идти по зашифрованному соединению. Но и обратное утверждение — что DLP автоматически видит все внутри любого XMPP-клиента — было бы неправильным.

Реальный уровень контроля определяется архитектурой: какой клиент используется, какие протоколы задействованы, где установлен агент, как передаются файлы и голос, поддерживает ли конкретная версия продукта нужный сценарий. Для ИБ-службы это означает простой практический принцип: сначала разобраться, как именно устроен канал коммуникации, а уже потом определять, что контролировать и какие правила применять.

DLP в такой схеме становится не средством «прослушивания Jabber», а инструментом контроля действий пользователей с корпоративной информацией — с возможностью зафиксировать событие, проанализировать его содержимое и, если это предусмотрено политикой и поддерживается каналом, остановить передачу.

Часто задаваемые вопросы

• Что именно может видеть DLP в Jabber?

   

  В поддерживаемых сценариях — текстовые сообщения, передачу файлов и другие события работы пользователя с корпоративным мессенджером. Конкретный набор данных зависит от клиента, операционной системы, версии DLP и способа получения событий.

• Можно ли контролировать зашифрованный XMPP-трафик?

   

  Да, если используется агентский контроль на управляемой рабочей станции и соответствующий сценарий поддерживается продуктом. В этом случае DLP не взламывает TLS, а получает данные на конечной точке, где они уже доступны клиентскому приложению.

• Можно ли контролировать Cisco Jabber?

   

  Да, но нельзя рассматривать Cisco Jabber как один однородный канал. Текст, файлы и голос могут использовать разные механизмы передачи. Поэтому конкретные возможности контроля нужно определять с учетом архитектуры Cisco-инфраструктуры и версии продукта.

• Перехватывает ли DLP голосовые звонки Cisco Jabber?

   

  Это зависит от используемого протокола и схемы телефонии. Если голос проходит по поддерживаемому сценарию, может применяться запись и распознавание речи. Сам факт использования Cisco Jabber не означает автоматически, что любой его звонок доступен для такого контроля.

• Можно ли контролировать сообщения, которые сотрудник отправляет на внешний XMPP-сервер?

   

  На управляемой рабочей станции можно контролировать соответствующее действие пользователя, если этот сценарий поддерживается DLP. При этом организация не получает контроля над внешним XMPP-сервером и его инфраструктурой.

• Чем контроль на агенте отличается от перехвата TLS?

   

  При агентском контроле DLP работает на управляемой конечной точке, где содержимое доступно клиентскому приложению. Это не требует расшифровывать или подменять транспортное соединение между серверами.

• Нужно ли информировать сотрудников о контроле корпоративного мессенджера?

   

  Компания должна заранее определить цели и порядок мониторинга, закрепить правила использования корпоративных систем во внутренних документах и ознакомить работников с ними в установленном порядке. Конкретные требования зависят от характера обработки данных и применимого законодательства.