Vontu DLP数据防泄漏方案模版(4)

数据防泄漏方案

应，如拦截／修改数据发生送或复制／重新定位文件。如果代理正在执行本地检测，则会启用 USB/CD/DVD 拦截的自动响应规则。在任何情况下，当检测到某事故时，相关事故信息都会立即发送给 Vontu Enforce，在这里，事故的详细信息将存储在 Vontu Enforce 数据库中，并可以激活其它自动响应规则（如电子邮件通知）。

3.3.1 网络 DLP

Vontu Network DLP 产品位于 DMZ 中的网络出口，其中包括 Vontu Network Monitor 和 Vontu Network Prevent。Vontu Network Monitor 扫描离开企业的所有数据，以查看其是否包含敏感信息。Vontu Network Prevent 添加了为加密、隔离电子邮件和拦截包含敏感数据的 web 和 FTP 通信而重新定向电子邮件的功能。大多数 Vontu 客户在多个协议中都使用 Network DLP 产品，来确保数据丢失威胁的广泛覆盖。他们还看到了前后使用这两种产品的价值，因为 Vontu Network Prevent 增加了自动拦截的功能，且 Vontu Network Monitor 覆盖了 Vontu Network Prevent 没有覆盖的协议。Vontu 的网络 DLP 解决方案使企业能够监视离开企业的数据，以保护知识产权、证明其遵从性并保护他们的品牌和声誉。

? Vontu Network Monitor 的工作原理

Vontu Network Monitor 被动检查网络流量并针对所有的网络协议和内容类型，在保密信息离开网络之前对其进行检测，使企业能够限定和量化数据丢失风险。例如，Vontu Network Monitor 可以检测使用IM或公共 web 邮件提供商的员工向竞争对手发送产品计划和其工作的保密样本。它还可以识别中断的业务流程，该流程导致将社保编号未经加密发送到可靠的合作伙伴。Vontu Network Monitor 的基本操作非常简单。它位于网络出口处，分析网络信息包的副本，检测数据是否违反策略。

网络协议在 Vontu Network Monitor 设置中进行配置，其中可以包括公共数据传输协议和交互协议，如SMTP、HTTP、FTP 流量（包括主动和被动方式发

- 14 -

数据防泄漏方案

送的数据和控制会话）、IM 流量（AIM、Yahoo 和 MSN Messenger）、IRC 和 Internet News（NNTP）。通过Universal TCP协议定义，可以对非标准和专用协议进行定制式监视，如文件共享网络 Kazaa 或 FastTrack。Vontu Network Monitor 还可以监视加密的使用和类型，包括检测未经授权使用加密和验证是否遵守了加密策略。

Vontu Network Monitor 是端口不可知论者，它基于协议签名识别应用程序级别的网络流量来执行策略，即使流量从非本机端口离开也不例外。例如，只要 TCP 连接的格式符合在 Vontu 系统中配置的 HTTP 协议签名，则不使用标准 TCP 80 端口的流量也仍将被分析和分类为 HTTP。类似地，根据 Vontu 基于协议签名匹配流量并识别隧道协议的功能，在 HTTP 内进行隧道传送的即时消息将会被正确识别为 IM 协议。

Vontu Network Monitor 通常由客户配置，检查最有可能丢失保密数据的流量。在典型数据中心中，有大量低威胁流量（如 UDP 或安全 VPN 流量）以及与高威胁流量（如 SMTP、HTTP、FRP 和 IM）纠缠在一起的入站流量。在标准部署中，Vontu Network Monitor 被配置为过滤出低威胁流量，以确保不会花费 CPU 周期来处理低风险数据。可以免于分析的数据包括：加密的流量、流媒体或低风险自动管理业务（如 IM 持续连接）等。将检查网络流量的范围缩小为最高风险的通信是通过为 IP 网络和地址、应用层发送人和接收人以及数据头中的任意名称值对配置过滤器实现的。

? Vontu Network Monitor 部署

有两种方法可以实施 Vontu Network Monitor，通过使用端口镜像（SPAN）或网络分流器配置。在网络交换机上使用端口镜像方法，所有进出端口的网络数据包都将被复制到另一个与 Vontu Network Monitor连接的专用交换机端口。这样，Vontu Network Monitor 将获得所有流量的副本。还有一种备选方法是在物理网络中放置一个硬件网络分流器，使流量经过该分流器，将数据包的副本向外发送到 Vontu Network Monitor 的两个监视端口。该分流器方法会分离入站和出

- 15 -

数据防泄漏方案

站流量，这样可以在不破坏流量的情况下，重新组合接近 Gb/s 速率的流量，以进行分析。

Vontu Network Monitor 实时处理流量，因此它必须能够处理峰值负载。对于流量负载较高的网络，Vontu 建议使用高性能网络接口卡。高速网卡提供缓冲功能，这样对系统 CPU 的中断较少，支持在不丢失数据包的情况下提高 Gb/s 持续吞吐量。为了帮助高负载环境，Vontu Network Monitor 可以水平扩展，在多个 Vontu Network Monitor 间进行流量的负载均衡。可以将多个监视器连接到网络端口镜像或分流器，并配置单独的监视器来查找特定的协议或各种 IP 地址。还有一种选择是使用负载均衡设备在网络分流器和监视器之间引导流量。Vontu Network Monitor 扩展性好，一台服务器能够分析高达 1Gb/s 的流量，而不出现数据包丢失。在若干大型客户部署中，多台 Vontu Network Monitors 覆盖了超过 100,000 名用户，其中一位客户在 24 小时内处理了超过 10 亿条消息。有关产品硬件要求，请参阅附录。

? Vontu Network Prevent 的工作原理和部署

Vontu Network Prevent 可用于 SMTP（“Vontu Network Prevent for Email”）或 HTTP/HTTPS/FTP（“Vontu Network Prevent for Web”），并通过重定向、隔离或拦截包含保密数据的传输，主动防止保密数据丢失。HTTP 覆盖包括通信，如 web 邮件发送（如 Gmail 或 Hotmail）、网站 POST、博客或互联网论坛记录。就像“检测和准确性”节中描述的那样，Network Prevent 检查数据，以确定数据是否违反数据丢失策略。为了使 Vontu Network Prevent 拦截数据传输，实现对Vontu Network Prevent for Email 的有条件加密，要求与一些第三方产品集成。包括：

? Vontu Network Prevent for Email

Vontu Network Prevent 使用一个支持与各种企业级 MTA 兼容的 API，这些 MTA 支持标准 SMTP 和扩展 SMTP（eSMTP）消息及转发功能。这使得公司能够使用他们现有的基础设施，在出站 SMTP 消息传递流中无需其它步骤。

- 16 -

数据防泄漏方案

Vontu Network Prevent 已经成功完成了与各公司 MTA 的集成测试，包括 Symantec、IronPort、Postfix、CipherTrust、Sendmail、Proofpoint、SonicWall 和 Clearswift。对于加密，Vontu Network Prevent 可以使用任何标准加密网关产品，包括 PGP、PostX、Zix、Voltage 和 Tumbleweed。

部署在Vontu Network Prevent 服务器上的策略引导 Vontu Network Prevent 集成 MTA 根据具体的内容或其它消息属性，拦截、重新路由或改变电子邮件消息。例如，如果电子邮件符合策略，它将被发送回 MTA，不作任何改动地随电子邮件链发送。如果电子邮件违反数据丢失策略，Vontu Network Prevent 可以修改该电子邮件标题并将其发回 MTA。例如，某条拦截 SMTP 消息可能会返回 SMTP 5xx 故障响应代码，其中包含在策略响应规则中指定的文本。MTA 还可以丢弃消息、重定向消息到隔离文件夹，或者转发到电子邮件加密网关。重定向消息可以通过在主题行中添加关键字或由 Prevent 服务器创建一个经过修改的 RFC 2822 消息报头（如 X-CFilter: Encrypt）来完成。根据这些经修改的主题行或报头，MTA 可以做出消息转发决策，并包含从加密网关或其它下游消息 …… 此处隐藏：3663字，全部文档内容请下载后查看。喜欢就下载吧 ……