DLP и SIEM: для чего нужны и как дополняют друг друга

Комплексная информационная безопасность подразумевает сочетание разных технологий. Например, системы предотвращения утечек данных (DLP) и управления информацией о безопасности и событиями (SIEM) часто работают вместе. В этой статье разберем, как работают DLP и SIEM, в чем их сходство и различия, а также на какие нюансы обратить внимание при внедрении.

Максим Чеплиев Менеджер продукта

Для чего нужны DLP-системы

DLP (Data Loss Prevention) — программное обеспечение для предотвращения утечек данных. DLP-системы отслеживают действия сотрудников и могут блокировать попытки несанкционированной отправки конфиденциальных сведений — планов развития, финансовой документации, технических инноваций и т.д. Речь идет как про отправку по электронной почте, через мессенджеры, на флеш-накопители, в облачные хранилища, так и про перемещение между папками или открытие в редакторе.

Несмотря на слово «Prevention» (предотвращение) в названии, на практике DLP-системы часто используют не столько для блокировки, сколько для мониторинга движения информации и выявления инцидентов. Блокировки применяют точечно — в основном для критических каналов или заведомо неправомерных действий сотрудников. Не вовремя сработавшая блокировка может серьезно нарушить бизнес-процесс.

Реклама 16+

Расследуйте инциденты со Staffcop

Выявляйте и расследуйте утечки, мошенничество и другие инциденты, происходящие по вине сотрудников.

Оставить заявку

Основные функции DLP-системы:

• Контроль — отслеживает движение информации, передачу файлов, действия сотрудников, каналы связи. 
• Анализ — обрабатывает и анализирует собранные данные: содержимое файлов, каналы передачи, контекст действий сотрудника, классификацию передаваемой информации.
• Реакция — на основе анализа строит отчеты, уведомляет специалистов или пользователей, блокирует утечки или отдельные каналы передачи.

Подробнее о DLP

Есть несколько способов анализировать передаваемую информацию. Дальше более детально расскажем про каждый.

Контентный анализ 

Система анализирует неструктурированные данные (тексты, документы) с помощью регулярных выражений, словарей, синонимов, правил морфологии и транскрибации. DLP не просто ищет отдельные слова, а пытается понять смысл текста. Например, она определит, что документ содержит информацию о финансовой отчетности, даже если слова «баланс» или «прибыль» не упоминаются напрямую. 

Другой пример: для поиска номеров платежных карт используется регулярное выражение, которое обнаруживает последовательность из 16 цифр, построенных по определенному правилу. Это позволяет блокировать отправку или копирование таких данных. 

Контекстный анализ

Инцидент распознается не только по содержимому файла, но и по обстоятельствам его передачи. DLP оценивает:

• доступ к конкретным директориям с секретными данными;
• характеристики канала (например, отправка на личную почту);
• время суток и должность сотрудника;
• необычную активность с флеш-накопителя.

Статистический анализ

Система создает профиль нормального использования данных: как часто сотрудник отправляет файлы, какого они объема и типа, какие отделы с какими данными работают. Затем DLP отслеживает отклонения. Например, если сотрудник, обычно отправляющий 2–3 файла в день, внезапно отправил 100, система поднимает тревогу.

Хэши файлов, цифровые отпечатки и метки

Эти методы не анализируют содержимое напрямую, а работают с цифровыми отпечатками. Это разные способы выявить одно и то же.

• Хэши — система вычисляет хэш (цифровой отпечаток) всего файла и сравнивает с базой известных хэшей конфиденциальных файлов. Если кто-то попытается переслать секретный договор или его точную копию, DLP обнаружит это даже после переименования.
• Совпадение фрагментов — система анализирует структурированные данные и создает отпечатки отдельных записей, ориентируясь на заданные шаблоны, например, номера кредитных карт, паспортов. При передаче DLP ищет совпадения с этими отпечатками в любом месте документа, даже если номер слегка изменен или окружен другим текстом.
• Метки конфиденциальности — к данным прикрепляются специальные метки, которые указывают на уровень конфиденциальности и правила обработки. Это тоже один из видов однозначного идентификатора файла, но метка записывается прямо в документ. Такие метки сохраняются в течение всего жизненного цикла информации. Если пользователь попытается отправить за пределы компании документ с пометкой «Совершенно секретно» или «Коммерческая тайна», DLP-система заблокирует это действие.

На практике все эти методы используются одновременно и дополняют друг друга. После настройки методов сбора и анализа специалист по ИБ определяет правила реагирования: отправлять уведомление, остановить передачу, заблокировать канал или отозвать права доступа.

Для чего нужны SIEM-системы

SIEM (Security Information and Event Management) — система управления информацией и событиями безопасности. SIEM-решения собирают и анализируют данные о безопасности из различных источников событий: журналов ОС, приложений, брандмауэров, маршрутизаторов и коммутаторов,  персональных компьютеров, мобильных устройств, а также от других систем инфобезопасности, включая DLP и корпоративных информационных систем (CRM, ERP, Active Directory и т.п.).

Как работает SIEM:

1. Сначала SIEM собирает в центральное хранилище информацию из разных источников: журналов ОС, приложений, брандмауэров, маршрутизаторов, коммутаторов, а также с ПК, мобильных устройств и других систем безопасности (включая DLP и корпоративные ИС). Затем данные преобразуются в единый стандартизированный формат — так их можно анализировать независимо от источника.
2. Далее система устанавливает связи между собранными сведениями. Пример: несколько неудачных попыток входа с разных IP-адресов — SIEM может расценить это как потенциальную атаку.
3. Обнаружив опасность, SIEM отправляет уведомление сотрудникам ИБ. Степень важности оповещения зависит от уровня риска, связанного с событием.
4. Помимо оповещений, система формирует отчеты и информационные панели. Они дают общую картину безопасности в компании: подробности об угрозах, инцидентах и статусе соблюдения нормативных требований.

Программа анализирует данные с помощью установленных правил, алгоритмов машинного обучения и поведенческой аналитики. Остановимся на типах правил в SIEM. 

Правила на основе сигнатур — используются заранее определенные шаблоны (сигнатуры) для поиска конкретных видов угроз или атак. Например, правило может звучать так: «Если в журнале брандмауэра обнаружена попытка подключения к порту 22 (SSH) с определенного IP-адреса, отправить оповещение».

Правила корреляции — метод, связывающий события из разных источников для выявления сложных, многоэтапных атак, которые не видны при анализе отдельных событий. SIEM может сопоставить информацию о нескольких неудачных попытках входа с одного IP-адреса с последующей загрузкой подозрительного файла — это может указывать на попытку взлома и установки вредоносного ПО.

Современные SIEM-системы также могут интегрироваться с UEBA-модулями, получая обогащенные данные для корреляции и оповещений. UEBA (User and Entity Behavior Analytics) — это класс решений, который строит профиль нормальной активности пользователя (рабочие часы, типичный объём скачиваний) и ищет отклонения. Классический SIEM сам по себе эту функцию не реализует, но интеграция с UEBA расширяет его возможности. 

Что дает SIEM на практике:

• Единую картину безопасности, собирая данные со всех устройств и информационных систем в одном месте.
• Быстрое выявление подозрительной активности, которая может указывать на кибератаку.
• Возможность реагировать на инциденты, устранять угрозы и восстанавливать работу системы.
• Соблюдение требований безопасности и законодательства.

В чем разница между DLP и SIEM

DLP и SIEM — два важных инструмента информационной безопасности, которые часто работают вместе, но выполняют разные задачи.

DLP в первую очередь защищает от утечек данных: выявляет попытки передачи секретной информации, блокирует их или предупреждает специалистов. DLP работает на основе заданных правил, которые определяют, какие данные важны и что с ними можно делать. Фокус — на контенте и контексте передачи, на действиях с файлами.

SIEM шире смотрит на безопасность. Он собирает в свою базу информацию из всех возможных логов и информационных систем, включая логи самих DLP, и анализирует их с помощью корреляции и сигнатур. SIEM оповещает и дает общую картину, помогая реагировать на происшествия. 

Таким образом, DLP фокусируется на защите данных от утечки, а SIEM — на анализе всех событий, связанных с безопасностью, предоставляя общую картину. Они дополняют друг друга, обеспечивая более высокий уровень защиты информационных систем.

Советы по использованию DLP и SIEM

Для DLP. Система будет работать и без детального аудита того, какие данные у вас есть и кто к ним имеет доступ. Но в таком случае система вынуждена реагировать на сам факт передачи информации, что приводит к большому количеству ложноположительных срабатываний.

Чтобы платформа работала эффективно, нужно понимать:

• Какая критичная информация существует и где она хранится.
• Кто потенциально должен иметь доступ к данным и кто имеет его в реальности (это часто не совпадает).

Для ответа на эти вопросы лучше использовать DCAP-решения (Data Classification and Access Policy). Если этого не сделать, DLP придется настраивать на более грубые политики — реагировать на любую передачу определенных типов данных, что неизбежно даст много ложных срабатываний.

Для SIEM. Типичная ошибка — подключать к SIEM все возможные источники событий без фильтрации. Это приводит к лавинообразному росту данных: система тонет в логах, анализ становится тяжеловесным, а пользы при этом мало.

Что важно понимать:

• SIEM сама по себе не знает, что для вашей среды является нормой, а что — отклонением. «Норма» — это скорее задача UEBA.
• Ключевое — правильно подключить источники, которые реально обогатят систему нужными данными: Active Directory, CRM, ERP, сетевое оборудование, DLP, антивирусы.
• Без должной настройки сбор данных приводит к тяжеловесности процесса анализа. Поэтому определите, какие источники событий критичны для ваших сценариев, настраивайте выборочный сбор и постепенно добавляйте новые источники.

Если вам нужен поведенческий анализ (поиск аномалий в активности сотрудников), ищите SIEM с интегрированным UEBA-модулем или используйте отдельное UEBA-решение в связке с SIEM. Также эффективно подключать DLP к SIEM: DLP ограничен своими источниками данных (ПК, почта, USB), чего часто не хватает для глубокого расследования. SIEM добавляет контекст со всей инфраструктуры — логи серверов, сетевого оборудования, приложений. Вместе они дают полную картину инцидента. 

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку

Заключение

DLP и SIEM — это не просто программы, которые можно установить и забыть. Это процессы, требующие постоянной настройки и понимания своей инфраструктуры:

• DLP требует тонкой балансировки между блокировкой и сохранением бизнес-процессов, различения контентного и контекстного анализа, а также предварительного аудита данных (DCAP) для снижения ложных срабатываний.
• SIEM требует выборочного подключения источников событий и регулярной донастройки корреляционных правил, иначе он превращается в дорогое хранилище неструктурированных логов.

Staffcop Enterprise дополняет оба подхода: DLP-модуль Staffcop контролирует утечки с настраиваемой реакцией (блокировка, уведомление, отчет), а журналы событий могут поставляться в SIEM для комплексного анализа. Система фиксирует каждый инцидент, а это ускоряет расследование и сокращает число ложных срабатываний.