Защита FTP и SFTP серверов от утечек данных

FTP и SFTP серверы служат для обмена документами между сотрудниками, подрядчиками и информационными системами.

FTP, FTPS и SFTP: чем отличаются и от чего защищают

SFTP — не «FTP с шифрованием», а отдельный протокол поверх SSH. Различия в том, что именно шифруется и что остается без защиты.

• FTP

   

  FTP или File Transfer Protocol – это один из базовых протоколов передачи файлов, предназначенный для передачи файлов в сети между компьютерами. Для использования FTP необходима специальная программа. Их существует большое количество, некоторые из них бесплатные, некоторые могут быть коммерческими.

• FTPS

   

  FTPS или File Transfer Protocol + SSL – это защищенный протокол передачи данных. В процессе передачи информации по протоколу FTPS используется криптографический протокол SSL (Secure Sockets Layer). Используя протокол FTPS, можно передавать или принимать данные через своего интернет-провайдера с уверенностью, что никто не узнает, какие именно манипуляции вы производили со своими файлами.

• SFTP

   

  Передача по SSH: единое защищенное соединение для команд и данных, аутентификация по паролю или ключу.

Почему «перешли на SFTP» не значит «защитили данные»

SFTP и FTPS решают задачу конфиденциальности канала: трафик шифруется, стороны проходят аутентификацию, поэтому перехват сетевого обмена не раскроет ни пароли, ни содержимое. Это существенное преимущество, и конфиденциальные данные по обычному FTP передавать не следует.

Поэтому нужно различать два вопроса. Защита передачи отвечает на вопрос, можно ли перехватить или изменить данные в пути. Защита от утечек данных отвечает на другие: кто скачал, имел ли право, не ушла ли клиентская база на личный сервер по тому же зашифрованному соединению. Это вопрос информационной безопасности бизнеса и защиты от утечек данных, а не настройки протокола.

Откуда берется утечка с файлового сервера

Допустим, SFTP настроен безупречно: вход по ключам, анонимный доступ закрыт, версия SSH актуальна. Это снижает риск взлома сервера, но не слива файлов изнутри. Способы вывода данных постоянно меняются, подробнее — в обзоре про новые схемы утечек данных.

Типичный случай: подрядчик с действующим ключом ночью скачивает каталог с клиентской базой. В журнале сервера одна авторизованная сессия без ошибок, тревоги не будет. Кражу данных заметят только по объму, времени и дальнейшей судьбе выгрузки.

Основные сценарии утечек данных:

• сотрудник с законным доступом массово скачивает базу или архив;
• пользователь выгружает корпоративные данные на внешний или личный сервер;
• избыточные права открывают учетной записи данные, не нужные для работы;
• общие учетные записи, а доступ уволенных сотрудников и завершивших работу подрядчиков не закрыт;
• скачанные документы уходят дальше через USB, облако или мессенджер.

Журнал сервера фиксирует обращение к данным, но сама утечка может случиться на рабочем компьютере через минуту после скачивания. Поэтому контроль нужен и на сервере, и на конечной точке.

Контроль доступа и операций с файлами на сервере

Эти меры — основа защиты информации от несанкционированного доступа и первый барьер против злоупотребления легальным доступом. Они снижают риск еще до внедрения специализированных средств:

• минимальные права: учетная запись видит только нужные для работы каталоги;
• персональные учетные записи: видно, кто именно выполнил операцию;
• аудит: кто, когда и что скачал, загрузил, удалил или переименовал;
• выявление аномалий: всплеск скачиваний, нетипичные каталоги, активность в нерабочее время;
• своевременный отзыв доступа при увольнении или завершении договора.

Журналы полезны, только если хранятся достаточно долго: если записи стираются через несколько дней, разобрать утечку, найденную через месяц, не получится. И у журнала есть предел: он показывает учетную запись, время и операцию, а не содержимое и дальнейшую судьбу данных. Для этого нужен контроль содержимого и конечных точек.

Как DLP контролирует содержимое и каналы передачи

DLP-система контролирует действия пользователей с корпоративными данными и анализирует содержимое передаваемых документов. Контроль ведется на рабочих станциях и в сети, в зависимости от конфигурации и канала. Она дополняет антивирус и межсетевой экран, а не заменяет их.

Анализ содержимого находит конфиденциальные данные независимо от имени документа: по ключевым словам и шаблонам, цифровым отпечаткам известных документов, тексту на изображениях. Переименование или вставка фрагмента в другой документ не дает обход проверки.

Защита передачи на примере SecureTower

SMTP отвечает за исходящую электронную почту. SecureTower не только анализирует такие письма, но и может остановить отправку, если сработало правило блокировки.

Правила блокировки в SecureTower реализованы по SMTP и настраиваются в профилях агентов в Консоли администратора, в разделе «Блокировки». Там есть несколько вариантов: HTTP, SMTP, MAPI, FTP и XMPP.

Для правила задают название или описание, а затем условия, почти такие же, как в обычном правиле безопасности:

• по содержимому письма;
• по датам и дням недели;
• по SSL-трафику;
• по категории сайтов (категоризатору);
• по определенному файлу и др.

Если правило сработало, письмо не уходит адресату, а попадает в модуль «Карантин почты», где собираются все письма, заблокированные по протоколу SMTP. Дальше решение принимает человек. Специалист по информационной безопасности в Консоли клиента просматривает письмо и либо разрешает его отправку, либо блокирует. Поэтому ложное срабатывание правила не приводит к потере нужного письма: его можно отправить после проверки.

Для заблокированных писем по SMTP и MAPI можно дополнительно включить теневое копирование. Копии сохраняются только для заблокированных писем, а не для всей почты.

SecureTower перехватывает передачу файлов по FTP и FTPS в обе стороны: и то, что сотрудник отправил на удаленный сервер, и то, что получил с него.

Все такие передачи собираются в разделе «FTP», где в окне просмотра для каждой записи видны дата и время перехвата, путь вложенности данных, локальный и удаленный пользователи и содержимое файла. Система автоматически проверяет перехваченное на конфиденциальную информацию, как и файлы, уходящие по HTTP и HTTPS, через мессенджеры, в облака, на сетевые ресурсы и в почтовых вложениях.

Для протокола FTP доступны и правила блокировки, которые можно сочетать с условиями по цифровым отпечаткам, словарям поиска и регулярным выражениям (с версии 7.0), а FTP-серверы отображаются в графе взаимосвязей.

Falcongaze SecureTower — это DLP-система, которая защищает данные изнутри и дополняет SFTP там, где протокол бессилен: против инсайдера с легальным доступом. Совместимость SecureTower с российскими ОС можно проверить в рамках теста бесплатно для юридических дел в течение 30 дней. 

Правовая рамка: как контролировать доступ законно

Контроль серверов и действий сотрудников правомерен при сочетании условий: материальные ресурсы объявлены служебными в локальных актах (политика информационной безопасности, регламент), и это отражено в трудовых документах. Сотрудники ознакомлены с установленными правилами под подпись, а цели обработки данных определены в соответствии с национальным законодательством.

Как построить защиту FTP/SFTP сервера: чек-лист

Выстраивайте защиту последовательно: защищенный протокол (SFTP или FTPS вместо FTP), устанавливайте минимальные права и персональные учетные записи, аудит с хранением журналов, DLP контроль содержимого и рабочих станций, правила мониторинга во внутренних документах, обучение сотрудников и подрядчиков.

Все эти меры дополняют друг друга. Защищенное соединение не покажет лишних скачиваний, а журнал не всегда объяснит, какие данные и куда ушли. Общий подход разобран в материале о защите данных на предприятии.

Заключение

FTP и SFTP сервера защищает передачу информации, но не мешает пользователю с законным доступом вынести данные из компании. Полноценная защита данных на предприятии складывается из защищенного протокола, минимальных прав, аудита операций, DLP контроля содержимого и конечных точек и правовой рамки.

Часто задаваемые вопросы

• Защищает ли SFTP от утечки данных?

   

  Нет. SFTP шифрует соединение и защищает от перехвата, но пользователь с действующими правами по-прежнему может скачать документы и передать их за пределы компании. Для контроля нужны аудит и анализ содержимого.

• Чем защита от внутренних утечек отличается от антивируса и межсетевого экрана?

   

  Антивирус ищет вредоносный код, межсетевой экран фильтрует трафик. Действия пользователя с корпоративными данными они не анализируют. DLP дополняет их, контролируя работу с данными и их передачу по поддерживаемым каналам.

• Как контролировать доступ к файловому серверу?

   

  Выдавайте только необходимые права, используйте персональные учетные записи, фиксируйте операции и храните журналы. Настройте оповещения о массовом скачивании и закрывайте доступ уволенным сотрудникам и подрядчикам.

• Как защитить удаленный доступ через VPN или RDP от слива данных?

   

  Ограничьте круг пользователей и устройств, ведите журнал сессий и контролируйте действия на рабочем устройстве после подключения. VPN и RDP защищают соединение, но не предотвращают копирование и передачу данных.

• Как защитить корпоративную базу данных от выгрузки?

   

  Ограничьте круг сотрудников с правом экспорта, отслеживайте массовое чтение и скачивание, настройте правила для файлов, похожих на выгрузки базы, и контролируйте каналы, через которые они могут покинуть компанию.

• Что выбрать для передачи конфиденциальных данных: FTP, FTPS или SFTP?

   

  Обычный FTP не шифрует трафик, поэтому нужен FTPS или SFTP. Выбор зависит от инфраструктуры и настроек сетевого оборудования. В обоих случаях необходимы разграничение доступа и контроль утечек.

• Законно ли контролировать действия сотрудников и подрядчиков на сервере?

   

  Да, при соблюдении требований: правила закреплены во внутренних документах, сотрудники ознакомлены под подпись, цели обработки персональных данных соответствуют 152-ФЗ. Процедуру согласуйте с юристом.