Vontu DLP数据防泄漏方案模版(5)

数据防泄漏方案

Vontu Endpoint Agent 安装在 Windows XP、Windows Vista 和 Windows Server 2003 上，占用约25MB 的磁盘空间和约20MB 的内存。它包含 Vontu Endpoint Server 向它推送的数据丢失策略和过滤器／配置。这些数据丢失策略同时包含检测规则和响应规则。无论 Vontu Endpoint Agent 是否正在执行发现、监视或预防，它都以和本地检测相同的方式工作，通过“破解”开放文件并检查其中的数据来查看它是否违反策略。如果数据违反了策略，Vontu Endpoint Agent 将启动实时本地响应规则（如 USB/CD/DVD 拦截），然后通过 Vontu Endpoint Server 将事故数据发送到 Vontu Enforce。接下来，Vontu Enforce 将启动任何其它适用的自动响应规则，如对最终用户和／或其经理的电子邮件通知。事故信息将保存起来用于报告和补救，为企业提供其端点上数据丢失风险的完整视图。

如果推送到 Vontu Endpoint Agent 的所有策略都使用基于 DCM 或“基于描述”的检测规则（关键字、数据标识、正则表达式等），则Vontu Endpoint Agent只执行本地检测。如果策略包含任何基于 EDM/IDM或“基于指纹”的检测规则，则由于经指纹识别的索引可能很大，且存储这些索引和针对其执行检测所需的服务器级硬件也很大，Endpoint Agent 将不可能执行本地检测。在这种情况下，数据从 Vontu Endpoint Agent 传输到 Vontu Endpoint Server，在这里，服务器将以和所有其它 Vontu 服务器产品类似的方式检查数据是否存在违反策略的情况。当 Vontu Endpoint Server 执行检测时，不可能进行实时端点拦截和屏幕弹出消息。

- 19 -

数据防泄漏方案

? Vontu Endpoint Prevent 的工作原理

Vontu Endpoint Prevent 监视正被下载到或写入本地驱动器的数据，同时监视和拦截复制到 USB、防火墙或 SCSI 存储设备或烧录到 CD/DVD 的保密数据。它还可以选择显示屏幕弹出消息，通知最终用户违反了策略并包含一些字段供用户判断。

Vontu Endpoint Agent 包含 Vontu Enforce 推送给它的数据丢失策略和可配置的 Vontu Endpoint Prevent 过滤器。Vontu Endpoint Agent 能够与 Microsoft 的文件系统过滤驱动器（一种受支持的标准 API）集成，拦截文件系统写入和读取事故。这将确保所有文件系统活动的可视性，包括写入内部驱动器或已安装 USB 文件系统的数据，或者是在操作系统中嵌入的 CD/DVD 应用读取的数据。使用此 API 还可以确保与端点上其它代理的互操作性。Vontu Endpoint Agent“破解”那些满足过滤器参数条件的开放文件，扫描文件内的数据，将其与 Vontu Endpoint Agent 中存储的数据丢失策略进行比较，来查看是否存在策略违反情况。如果数据违反了策略，则触发相应的实时响应规则，如拦截和／或显示弹出通知。然后，Vontu Endpoint Agent 将通过 Vontu Endpoint Server 向 Vontu Enforce 发送事故数据。

Vontu Endpoint Prevent 过滤器包括可移除媒体过滤器和内置驱动器过滤器。可移除过滤器根据文件大小和类型，告知 Vontu Endpoint Agent 要处理的文件。例如，这些过滤器可能会告诉 Vontu Endpoint Agent 只处理复制到 USB 设备、大于 20KB 的 Microsoft Office 文件，或者忽略所有的 MP3 文件。Vontu Endpoint Prevent 内置硬驱动过滤器将根据文件大小、类型和位置，告知 Vontu Endpoint Agent 应该处理哪些正在写入内置驱动器的文件。例如，这些过滤器可能会告诉 Endpoint Agent 只处理写入内置驱动器上“我的文档”文件夹、大于 50KB 的 Microsoft Office 和 PDF 文件。

- 20 -

数据防泄漏方案

? Vontu Endpoint Discover

Vontu Endpoint Discover 扫描端点的内置驱动器来识别存储的保密数据，这样就可以采取一些措施来存储、保护或重新定位此数据。它支持对数千个端点进行高性能并行扫描，且几乎不对系统带来任何影响。每个 Vontu Endpoint Agent 每小时可以扫描约 5 GB数据。

Vontu Endpoint Agent 包含 Vontu Enforce 向它推送的数据丢失策略和可配置的 Vontu Endpoint Discover 过滤器。当 Vontu Administrator 在 Vontu Enforce 中触发端点扫描后，Endpoint Agent 将“破解”满足过滤器参数条件的开放文件并扫描其中的数据，将其与 Vontu Endpoint Agent 中存储的数据丢失策略比较来查看是否存在违反策略的情况。请注意，此扫描过程不会更改文件的“最近访问”属性，确保依赖此属性的其它过程（如备份过程）不会受到 Endpoint Discover 扫描的影响。如果数据违反了策略，Vontu Endpoint Agent 将通过 Vontu Endpoint Server 向 Vontu Enforce 发送事故数据。

Vontu Endpoint Discover 过滤器根据文件的位置（文件路径）、类型、大小和添加／修改日期，告知 Vontu Endpoint Agent 扫描哪些文件。例如，过滤器可能会告诉 Vontu Endpoint Agent 只扫描“我的文档”文件夹中大小在 50KB 和 5MB 之间，自上次完全扫描以来添加或修改的文件。数据过滤器包括自动差异

- 21 -

数据防泄漏方案

扫描，仅扫描自上次扫描以来添加／修改的文件。这些差异扫描比最初的完全扫描小的多、快得多。

? 对网络和端点的影响

Vontu 的端点解决方案对最终用户机器和公司网络的影响最小。许多影响都可以通过前面章节中提到的可配置 Vontu Endpoint Prevent 和 Discover 过滤器进行管理，也可以通过下面讨论的其它过滤器管理。所有的过滤器都在每服务器基础社进行设置，并推送到与给定 Vontu Endpoint Server 连接的所有 Vontu Endpoint Agent。

? 端点影响：

? 可以为 Vontu Endpoint Agent 使用的端点 CPU 和磁盘 I/O 设定的

百分比上限

? Vontu Endpoint Agent 自动作为比其它应用优先级低的进程运行，所

以如果最终用户正在运行需要更多资源的其它应用，它将会自动减少资源占用。

? 本地文件破解和检测只占用少量 CPU，不会引起最终用户的注意 ? 将数据发送到 Vontu Endpoint Server 之前，Vontu Endpoint Agent 为

保存数据将使用的磁盘总量或 MB 上限百分比（当类似笔记本的端点从公司网络断开连接时，将在此高速缓存中保存受监视的文件，直

- 22 -

数据防泄漏方案

到该端点重新连接到网络）。

? 网络影响：

? 假设 Vontu Endpoint Agent 只包含使用 DCM 的策略，则所有检测都

在本地进行，因此可以忽略网络影响。只有事故数据被发送到 Vontu Endpoint Server，而不是来自所有扫描文件的所有数据。

? 即使因为策略使用 EDM、IDM 或 DGM，数据被发送到 Vontu

Endpoint Server 进行检测，也会由于 Vontu Endpoint Agent 在本地破解内容使发送到服务器的数据远远少于源文件中的数据（约5%）。 ? 每个 Vontu Endpoint Agent 和 Vontu Endpoint Server 之间通信的带

宽被限制在每秒 MB 范围内，以确保网络影响受到控制。 ? 先前章节中提到的过滤器通过降低扫描文件的数量最终将减少网络

流量。

? 防篡改和安全性

有几种方法可以确保员工无法禁用或篡改 Vontu Endpoint Agent，最根本最有效的方式是准入控制。

不管端点以何种方式与网络相连，利用网络准入控制都能够发现并评估端点遵从状态、设置适当的网络访问权限、根据需要提供补救功能，并持续监视端点 …… 此处隐藏：2462字，全部文档内容请下载后查看。喜欢就下载吧 ……