Сколько ресурсов нужно DLP: сервер, агенты, хранилище

При выборе DLP-системы стоимость лицензии является не единственной статьей затрат. Еще до пилота ИТ- или ИБ-руководителю обычно нужен ответ на более конкретный вопрос: какой сервер потребуется, насколько агент нагрузит рабочие станции и сколько места на диске со временем займет архив перехвата. Эта статья не повторяет базовые сведения о том, что такое DLP-система, — она посвящена именно ресурсному планированию.

От чего зависят ресурсы DLP

Единой цифры, подходящей под любое внедрение, не существует, потому что потребность DLP-системы в ресурсах — функция сразу нескольких переменных, а не фиксированная спецификация. Главные из них — размер парка рабочих станций, набор контролируемых каналов утечки и типичных индикаторов риска — почта, веб-трафик HTTP(S), мессенджеры, USB-устройства, печать, файловые операции, голос и видео, — а также глубина контентного анализа, применяемого к этому трафику: от базового поиска по ключевым словам до OCR, распознавания речи и цифровых отпечатков. Срок хранения архива добавляет к этому еще одну переменную.

На практике эти факторы не складываются линейно, а взаимодействуют между собой. Компании, контролирующей узкий набор каналов с базовым контентным анализом, потребуется заметно меньше инфраструктуры, чем той, что применяется более глубокий анализ — включая OCR для изображений и распознавание речи для голосовых данных — при том же числе рабочих станций. Соответственно, планирование железа стоит начинать с определения профиля контроля — сколько станций, какие каналы, какая глубина анализа, какой срок хранения данных, — а не с общего шаблона из брошюры вендора.

Сервер DLP: клиент-серверная архитектура и требования

Большинство DLP-систем, включая SecureTower, построены на клиент-серверной (агентской) архитектуре: агенты, установленные на рабочих станциях, снимают данные на месте, а серверные компоненты принимают, анализируют и хранят их. В распределенной инфраструктуре, охватывающей несколько площадок, иногда используют дополнительные серверные узлы или компоненты, которые помогают распределить обработку данных и снизить нагрузку на один узел.

Требования к серверу масштабируются вместе с общим объемом проходящего через систему трафика, числом активных агентов, которые с ним связаны, и интенсивностью анализа, выполняемого централизованно, — например, индексация и поиск по растущему архиву коммуникаций требует больше ресурсов, чем простое хранение. По мере роста парка станций серверные компоненты и хранилище, как правило, нужно масштабировать вместе с ним — вертикально или за счет дополнительных узлов обработки.

On-premise-размещение остается выбором по умолчанию для организаций, работающих с чувствительными данными, поскольку архив перехвата — который регулярно содержит персональные данные в рамках 152-ФЗ — не покидает периметр компании. Точные значения по объему ОЗУ, числу ядер или дискового пространства — это не то, что вендор может ответственно назвать абстрактно; они зависят от описанного выше профиля и обычно уточняются по документации вендора и подтверждаются на пилоте на реальной инфраструктуре.

Нагрузка агента на рабочую станцию: что действительно важно

В агентской модели данные снимаются непосредственно на рабочей станции, а не только через зеркалирование сетевого трафика, — именно поэтому вопрос влияния на производительность рабочего места закономерно возникает уже на этапе выбора. Агент, как правило, работает как фоновая служба, передает перехваченные данные на сервер и не выполняет всю обработку локально в реальном времени.

На реальную нагрузку влияет несколько факторов: какие каналы включены на конкретной станции, задействован ли ресурсоемкий анализ вроде OCR, и с какой частотой данные передаются на сервер. Станция с несколькими контролируемыми каналами и без задач локального распознавания будет нести заметно меньшую нагрузку, чем станция, где включены все каналы и все виды анализа.

Было бы неточно утверждать, что агент во всех конфигурациях незаметен для пользователя, — это зависит от характеристик самой станции и применяемого к ней профиля контроля. Что можно сказать определенно — агенты по умолчанию проектируются под фоновую работу с минимальным вмешательством в систему; реальное влияние для конкретного парка надежнее всего подтвердить на пилоте на реальном оборудовании.

Хранилище и архив: сколько места реально нужно DLP

Главный потребитель места на диске — не само программное обеспечение, а архив перехваченных данных и активности, который оно со временем накапливает: почта с вложениями, переданные файлы, скриншоты и результаты OCR, голосовые и видеозаписи вместе с результатами распознавания речи. Объем архива растет по двум направлениям: срок хранения данных и глубина перехвата по каналам.

От чего зависит объем хранилища (детали):

• срок хранения, заданный в политике, — чем он больше, тем выше итоговый объем;
• выборочный перехват против полного захвата — сужение того, какие каналы или группы пользователей архивируются, снижает объем;
• тип, настройки и размещение СУБД, на которой построен архив, — влияют и на эффективность хранения, и на скорость поиска;
• правила ротации и архивирования, которые по заданному расписанию переносят или удаляют устаревшие данные, а не хранят все бессрочно.

Поскольку архив, как правило, содержит персональные данные, хранилище следует защищать соответствующим образом, а политика хранения информации в нем — опираться на определенную цель обработки в рамках 152-ФЗ. Для организаций, эксплуатирующих объекты критической информационной инфраструктуры (КИИ), дополнительно могут применяться требования 187-ФЗ и приказов ФСТЭК, хотя не для каждой организации по умолчанию.

Как рассчитать ресурсы под свой парк: методика и пилот

Работающая оценка начинается с числа рабочих станций и раскрывается дальше через профиль контроля, а не наоборот — это та же логика, что лежит в основе общего процесса внедрения DLP-системы. Полезно иметь четкие ответы на короткий набор вопросов:

• сколько рабочих станций и серверов нуждаются в агентах;
• какие каналы утечки необходимо контролировать, а какие можно разумно исключить;
• какой срок хранения должен соблюдать архив;
• с какими системами должна интегрироваться DLP-платформа, например с Active Directory или SIEM.

Пилот остается самым надежным способом получить цифры, специфичные для конкретной инфраструктуры: за период теста на реальном трафике организации становятся видны и фактическая нагрузка агента, и скорость роста архива — вместо оценки на основе общих предположений.

Чтобы узнать этапы внедрения DLP-системы и точные ресурсы для запуска под свой парк, можно обратиться к нашим специалистам, которые на примере SecureTower помогут подготовить план ресурсного обеспечения установки системы.

Заключение

Требования DLP-системы к ресурсам — не фиксированная спецификация, а функция, зависящая от размера парка рабочих станций, набора контролируемых каналов, глубины применяемого контентного анализа и срока хранения архива. Подбор вычислительной мощности сервера и хранилища стоит планировать исходя из этого профиля, а не общего шаблона, а нагрузку агента и реальный рост хранилища лучше всего подтвердить на собственной инфраструктуре организации в ходе пилота.

Часто задаваемые вопросы

• Сколько ресурсов нужно DLP-системе?

   

  Это зависит от размера парка рабочих станций, контролируемых каналов, глубины контентного анализа и срока хранения архива — а не от единой фиксированной спецификации.

• Какой сервер нужен для DLP и от чего зависят требования?

   

  Серверу DLP, как правило, нужно справляться с объемом трафика, числом подключенных агентов и интенсивностью централизованно выполняемого анализа; требования масштабируются вместе с размером парка и уточняются по документации вендора и результатам пилота, а не предполагаются заранее.

• Сильно ли DLP-агент нагружает рабочий компьютер?

   

  Это зависит от того, какие каналы и функции анализа включены на конкретной станции; агенты проектируются под фоновую работу, но реальное влияние для конкретной конфигурации лучше проверить на пилоте, а не принимать как данность.

• Сколько дискового места займет архив перехвата?

   

  В первую очередь это зависит от срока хранения, объема перехватываемых данных и от того, по скольким каналам ведется глубокий перехват, — голос, видео, скриншоты, OCR и распознавание речи могут заметно увеличивать объем архива.

• Как рассчитать хранилище под свой парк?

   

  Начните с числа рабочих станций, определите, какие каналы и какой срок хранения важны для вашей организации, и относитесь к полученной оценке как к отправной точке, которую нужно подтвердить пилотом на реальном трафике.

• On-premise или облако: где хранить перехваченные данные?

   

  On-premise обычно остается выбором по умолчанию для чувствительных или регулируемых данных (таких как коммерческая тайна), поскольку архив остается в периметре компании, а не на инфраструктуре третьей стороны.

• Что влияет на итоговую цену проекта?

   

  Финальная стоимость DLP-системы (цена) складывается из количества лицензий, набора выбранных модулей и затрат на серверное "железо", рассчитанное по итогам пилота.