Zpedia
/ Что такое точное сопоставление данных (EDM)?
Точное сопоставление данных (EDM) — это передовой метод предотвращения утечки данных (DLP), который находит конкретные значения данных, важные для организации и подлежащие защите, а не просто общие шаблоны или форматы данных. Например, организация может обнаружить точное совпадение номера кредитной карты клиента, а не просто обнаружить шаблон, чтобы повысить точность обнаружения и сократить количество ложных срабатываний.
Что такое EDM в сфере кибербезопасности?
Цель EDM, как и в случае с DLP, заключается в защите конфиденциальных данных, таких как персональные данные (PII), от попадания в интернет. Защита такой информации становится более сложной задачей по мере того, как организации внедряют облачные сервисы, где управление такими функциями безопасности, как разрешения, безопасность конечных точек и устранение уязвимостей, увеличивает риск неправильной настройки организации — главной причины утечек данных в облаке.
Точное сопоставление данных — это метод классификации данных, который является важнейшим элементом DLP. Как правило, системы DLP используют сопоставление с образцом для идентификации данных, требующих защиты. Система DLP будет отслеживать такие данные, как номера кредитных карт, номера счетов, номера социального страхования (SSN) и т. д., в зависимости от типов записей, выбранных администратором для защиты, и связанных с ними политик.
EDM помогает защитить эти значения на точной основе, а не косвенно, что означает, что для самого значения действует собственный протокол безопасности, а не группа значений, рассматриваемая как одно целое. Эта схема поможет группам безопасности сократить количество ложных срабатываний или ненужных уведомлений.
Как работает точное сопоставление данных?
EDM «создает цифровые отпечатки» конфиденциальных данных из источников структурированных данных, таких как базы данных или электронные таблицы, а затем отслеживает попытки перемещения этих данных, чтобы предотвратить их ненадлежащий обмен или передачу. Если хотя бы одна транзакция выглядит подозрительно, DLP, связанный с EDM, закроет доступ ко всем записям этого пользовательского типа конфиденциальной информации, например номеру кредитной карты.
Все начинается с простого текста из базы данных или электронной таблицы, содержащей конфиденциальные записи. Данные в этих записях маскируются, как правило, путем хеширования (т. е. строки данных алгоритмически сокращаются и шифруются), а затем сохраняются в решении DLP. Затем те же алгоритмы применяются ко всему исходящему трафику. Таким образом, когда захэшированный трафик совпадает с сохраненными хешами, передача будет заблокирована или сработает оповещение.
Почему EDM важен?
Давайте возьмем в качестве примера номер кредитной карты: простое отслеживание трафика на предмет наличия номеров кредитных карт может вызывать оповещения всякий раз, когда кто-то в организации использует кредитную карту по любой причине. Таким образом, сотруднику, совершающему покупку в интернете во время перерыва, может быть отказано в этом, а администратор безопасности получит оповещение.
В этом случае оповещение будет «ложноположительным», поскольку система точно обнаружила попытку отправки данных кредитной карты, но эта деятельность не представляла никакой угрозы для организации. С помощью EDM оповещения будут вызывать только те конкретные номера кредитных карт, которые компания хранит в своих базах данных, например принадлежащие ее клиентам или партнерам. Сотрудник, совершающий покупку, или бухгалтер, оплачивающий счета, не вызовут срабатывания оповещения.
Уточним: большинство ложных срабатываний на самом деле являются истинными срабатываниями, то есть механизм обнаружения выполнил свою работу и выявил контент, соответствующий политике. Однако этот контент не представляет угрозы для бизнеса в контексте его использования. Ложные срабатывания имеют последствия: они не наносят прямого вреда, но засоряют систему. Хотя администраторы еженедельно отсеивают сотни ложных срабатываний, а возможно, и больше, они тратят меньше времени на расследование законных оповещений.
Преимущества EDM
DLP уже внедряет протоколы, помогающие организациям обеспечивать безопасность данных, но точное сопоставление данных позволяет организациям обнаруживать и защищать определенные значения данных. Тем не менее, при выборе качественной платформы следует обращать внимание на определенные функции. Некоторые из преимуществ эффективной платформы EDM включают в себя:
Встроенный контроль и обеспечение соблюдения политик
Облачное решение DLP с функцией EDM может проверять весь сетевой трафик в режиме inline независимо от того, находятся пользователи в сети или за ее пределами, что повышает точность обнаружения инцидентов потери данных и практически сводит к нулю количество ложных срабатываний. EDM со встроенной инспекцией SSL и соблюдением политик обеспечивает безопасность всего трафика приложений и пользователей, повышая уровень безопасности и улучшая видимость.
Облачная емкость
Используя масштабируемость облака, клиенты могут создавать цифровые отпечатки и сопоставлять до миллиарда ячеек данных в любой момент времени. Попытка развернуть такое решение локально (on-premises) приведет лишь к ограничениям производительности из-за ресурсоемкого характера технологии.
Детализированное управление политиками
Благодаря EDM и легко настраиваемым политикам облачное решение DLP может обнаруживать и останавливать передачу точного соответствия конкретной записи неавторизованным лицам или службам. Этот метод исключает ложные срабатывания, улучшая как уровень безопасности, так и производительность администратора.
Очевидно, что EDM может поддерживать различные варианты использования DLP, но только один поставщик DLP появился в облаке и способен защищать пользователей везде, где бы они ни находились, на любых используемых ими устройствах, в соответствии с принципами нулевого доверия (zero trust). Этот поставщик — Zscaler.
Точное сопоставление данных и Zscaler DLP
Не следует путать с технологией Exact Data Match, предлагаемой Microsoft. Zscaler Exact Data Match — это операция, требующая больших объемов памяти и вычислительных ресурсов, для которой необходима высоко масштабируемая платформа, способная справляться с нагрузкой при обработке.
Поскольку решение Zscaler Cloud DLP с функцией EDM построено на глобальной многоарендной (multitenant) облачной архитектуре, оно обнаруживает и блокирует попытки отправки защищенных данных независимо от того, откуда подключается пользователь и какие приложения используются. Подключение и производительность не страдают благодаря широкому глобальному присутствию Zscaler (более 150 точек присутствия — PoP), а централизованный портал администрирования Zscaler обеспечивает видимость инцидентов в режиме реального времени.
Большинство систем DLP не могут проверять зашифрованный трафик, из-за чего они остаются слепыми к большей части корпоративного трафика. Но Zscaler Cloud DLP является частью интегрированной платформы Zscaler Zero Trust Exchange™, которая проверяет весь трафик, включая зашифрованный. Zscaler — единственный поставщик услуг безопасности, предоставляющий такие функциональные возможности в качестве облачного сервиса.
С помощью Zscaler EDM вы можете создавать цифровые отпечатки и сопоставлять миллиарды ячеек ваших уникальных конфиденциальных данных, хранить эти отпечатки в облаке Zscaler и предотвращать утечку данных в глобальном масштабе. Zscaler также помогает вам максимизировать защиту информации при соблюдении отраслевых требований, таких как HIPAA для медицинских данных и медицинских карт, а также нормативов по защите конфиденциальности данных, таких как GDPR.
Благодаря широкому набору функций, включающему EDM, машинное обучение, контроль типов файлов и детальную политику DLP, которая следует за пользователем, Zscaler Cloud DLP упрощает соблюдение региональных нормативных требований. Это также помогает повысить уровень безопасности, снизить раздражение конечных пользователей из-за ненужных блокировок транзакций и вернуть вашим командам время на расследование и устранение реальных инцидентов потери данных вместо того, чтобы копаться в стоге сена ложных срабатываний.
