Vontu DLP数据防泄漏方案模版(3)

数据防泄漏方案

从客户数据库中查找与一条消息中同时出现的“姓”、“名”、“身份证号码”、“帐号”或“电话号码”中的任意三个相对应的记录。EDM 技术能够扩展至非常大的数据集，在每个客户部署的单台服务器上保护 3 亿多条客户记录。实际案例中，在一台服务器上，Vontu 已经在一个拥有 5 亿行数据的数据库测试了 EDM，这些数据每行都有四列，总共 20 亿个单独的数据元。该容量可以随服务器的增加而线性扩展。

EDM 允许在给定数据行的的任意列组合的基础上进行检测，即给定记录的M字段中的N。它可以针对“元组”，或指定的数据类型组进行发。例如，可以接受“名”和“身份证号码”字段的组合，但不能接受“姓”和“身份证号码”字段的组合。EDM 还允许使用更加复杂的规则，如查找 M 字段中的 N，但指定的元组除外。例如，可以要求姓、名和以下字段的任意一个：身份证号码、银行帐号、信用卡号或驾驶证号。

每个数据单元都保存有独立的散列，因此，查找不同数据组合的检测策略只能由一行中的相应数据触发。例如，要求“名 + 姓 + 身份证号码”的 EDM 策略将由“Joe + Smith + [Joe Smith 的 身份证号码]”触发，但不能由“Joe + Smith + [Jane Doe 的 身份证号码]”触发，即使 Jane Doe 也在同一个数据库中。EDM 还支持近接逻辑，以减少潜在的误报。对于检测过程中正在处理的自由格式文本，指纹的某一行中所有数据的字数都必须在可配置的字数范围内才会被视为匹配。例如，默认情况下，要达到匹配，所检测电子邮件正文中的“Joe”、“Smith”和“[Joe Smith 的 身份证号码]”的字数必须在所选字数范围内。对于包含表格数据的文本（如来自 Excel 电子表格的数据），指纹某一行中的所有数据都必须在表格文本的同一行中才会被视为匹配，以减少总体误报。

对于安全性极高的环境，Vontu 提供了一个独立工具“External EDM Indexer”，它允许用户在存储系统上直接创建密码索引，然后再将其移动到 Vontu Enforce 服务器。External EDM Indexer 还能够直接连接到 SQL 数据来创建 EDM 配置文件。

? 非结构化数据：索引文件匹配

- 9 -

数据防泄漏方案

索引文件匹配（IDM）确保精确检测非结构化数据，这些数据以 Microsoft Word 和 PowerPoint 文件、PDF 文档、设计规划、源码文件、CAD/CAM 图像、财务报告、并购文档和其它敏感或专利信息形式保存。业务或者系统管理只需要定义机敏信息应当存储的目录，IDM即可以对该目录下的文件建立索引，类似与google搜索引擎的方式，形成企业机敏信息的内容索引。

IDM 创建文档指纹来检测源文档、草稿或不同版本受保护文档的摘录部分，以及与二进制内容的精确匹配。Vontu IDM 还有将某些内容（如标准样板文本）列入“白名单”的能力，以减少误报。在一台服务器上，Vontu 已通过 IDM 指纹成功创建并检测了超过两百万个文档。与 EDM 一样，其容量也可以随服务器的增加而线性扩展。

部分文档匹配是 Vontu IDM 技术的一个特点。因为 IDM 注册和指纹识别文档的已摘录和已标准化的文本的不同部分，所以它允许在派生文档（如修订和版本）和段落（如粘贴到其它文档中的大块受保护内容）上进行可配置的匹配。如果指纹中检测到所有散列段，则同样的技术也用于文本文档的精确文档匹配。IDM 还支持以所有语言进行检测，包括那些拥有双字节字符集的语言。策略编写UI允许完全控制部分文档检测背后的设置，特别是触发事故所需的原指纹识别文件与检测信息匹配的百分比。内容被标准化，以除去标点符号和格式，这样对内容表示方法的修改就不会中断检测。Vontu IDM 使用统计取样方法来存储指纹识别文档的散列段，因此并非所有文本都存储在文档配置文件中。这种方法使 IDM 同时具有极高的准确率和可扩展性。Vontu 没有使用一些不是很先进的非结构化数据匹配技术，包括对从文档创建的散列进行过度采样，这种方法非常低效且浪费系统资源，或者是对散列进行随机取样，这将导致较高的漏报率。

IDM 检测技术的第二个特点是能够精确匹配二进制内容。除了创建针对部分文档匹配的内容散列之外，再创建一个二进制内容的 MD5 散列可以实现这一点。这种形式的检测可以用于任何文件类型，包括那些不能破解和已提取文本内容的文件，如媒体文件或一些专用文件格式。

? 补充：描述内容匹配

- 10 -

数据防泄漏方案

精确数据匹配和索引文件匹配两种方式都是从现有的数据中提取信息建立样本库。当不可能或难以获取信息副本进行索引，或者当精确内容未知但可以描述时，可以采用描述内容匹配（DCM）辅助建立样本库。不同于精确数据匹配和索引文件匹配自动建立样本哭的方式，DCM需要业务或者系统管理手工输入机密信息的关键内容。

描述内容匹配（DCM）具有高度准确性，对结构化和非结构化数据同样适用，它通过用户输入Vontu Enforce 中的 Vontu 数据标识符、关键字、词典、模式匹配、文件类型、文件大小、发送人、接收人、用户名和网络协议信息来检测数据丢失事故。

DCM 包含 20 多个现成的数据识别符，准确识别基于敏感模式的数据，如信用卡号、社保编号或驾驶证号。数据识别符利用检测算法，将模式匹配与其它准确性检查和验证相结合，如用于信号卡号的 Luhn 检查。与只用正则表达式识别模式的解决方案不同，数据识别符还包括有关不同数据类型有效编号范围的内置智能功能。例如，只有合法的身份证号码才会被检测。这种额外的智能功能使客户能够在屏幕上显示出测试数据和其它频繁发生的误报，并识别特定于各种行业、国家和地区的数据类型，包括信用卡号、符合支付卡行业（PCI）数据安全标准的磁条数据、银行卡发卡行标识代码（BIN）、社保编号和保险编号等。例如，社保编号的数据识别器将不仅查找九位数字的编号，它还将查找以破折号或空格分隔的 DDD-DD-DDDD 模式，其中的编号是处于有效分配编号范围内的公共测试编号（如 123456789），或者已经排除了所有相同的阿拉伯数字，显示社保相关的关键字。

Vontu 的关键字检测提供匹配任意单字或短语的功能，包括那些使用任何普通字定界符，如空格、逗号、短划线或斜杠等。用户可以针对每种情况配置区分大小写的关键字匹配。可以针对每种情况单独配置定义事故的匹配关键字或关键字短语的数量。

- 11 -

数据防泄漏方案

3.2 制定监视和防护策略

Vontu Enforce 提供一种集中用户界面，用户可以从中快速方便地构建可以在所有 Vontu 产品中应用的数据丢失策略。每种策略都是检测规则和响应规则的组合。当违反一种或多种检测规则时，将生成事故。Vontu 支持布尔逻辑来构造复杂的检测规则，允许用户使用 AND、OR 和 NOT 逻辑运算符来组合多条规则和条件，还可以在单个策略中结合不同的检测技术。在异常中将会考虑特定数据和发送人／接收人的“白名单”。这些高度可配置的检测规则和异常规则的最终结果准确性非常高，且误报最少。策略中的每个检测规则都被指定一个严重性等级，事故的总体严重性由所引发的最高严重性级别确定。用户还可以定义消息组件，如正文、标题或附件，针对这些组件可以出现任何检测规则。另外，经过指纹识别的数据配置文件在特定的策略外部定义，这使得可以在多个策略中引用经指纹识别的内容。

客户可以创建他们自己的策略，或者利用 Vontu 提供的 60 多个预先构建的策略模板，这些 …… 此处隐藏：3249字，全部文档内容请下载后查看。喜欢就下载吧 ……