InfoWatch ट्रैफिक मॉनिटर। कीड़े और सुविधाओं के किनारे तक

"इगोर, वह दो दिल है !!!"

अन्ना पॉपोवा, इन्फोसिससिटी ग्रुप ऑफ़ कंपनीज़ के डीएलपी ग्रुप के प्रमुख, अलग-अलग डीएलपी सिस्टम का उपयोग करने के अपने छापों को साझा करना जारी रखते हैं। पिछले लेख में उसने SearchInform CIB समाधान के पेशेवरों और विपक्षों के बारे में बात की थी। आज, जैसा कि वादा किया गया है, आइए InfoWatch उत्पाद लाइन के बारे में बात करते हैं। बस तुरंत निर्णय लेते हैं कि हम एक उद्देश्य तुलना करने का दिखावा नहीं करते हैं।




सामान्य तौर पर, यह समझना मुश्किल है कि सिस्टम के बारे में एक उद्देश्य राय क्या है। उद्देश्य की विशेषताएं ग्राहक तकनीकी आवश्यकताओं, FSTEC आवश्यकताओं, आदि के साथ-साथ आवश्यक क्षमताओं के साथ उनके सहसंबंध के साथ DLP- सिस्टम अनुपालन हैं। बाकी सब कुछ व्यक्तिपरक है, क्योंकि वास्तविकता यह है कि एक क्लाइंट जो दूसरे से "टेक ऑफ" करता है, वह छोड़ देगा। और इससे भी अधिक, यदि हम विश्लेषकों द्वारा इसके संचालन के बारे में बात कर रहे हैं, तो एक प्रणाली की वस्तुगत श्रेष्ठता के बारे में बात करने की आवश्यकता नहीं है। किसी को एक इंटरफ़ेस पसंद है, किसी और को, किसी को इवेंट अनलोडिंग पसंद नहीं है, किसी के लिए यह महत्वपूर्ण नहीं है।

InfoWatch DLP के बारे में बहुत कुछ कहता है; उसके आसपास कई प्रतियाँ टूटी हुई हैं। राय बहुत विविध हैं - सबसे ध्रुवीय से तटस्थ तक। समय के साथ, कंपनी और उत्पाद दोनों के पास विकास का एक लंबा और कांटेदार मार्ग था, एक से अधिक उपयोगी कार्य करने के लिए और यहां तक ​​कि गार्टनर के "जादू चतुर्थांश" में भी। तो यह पता लगाने की कोशिश करें कि उत्पाद क्या हासिल करने में कामयाब है, चाहे वह कितना अच्छा (या बुरा) हो, जैसा कि वे कहते हैं।

वास्तुकला (कौन है)

सबसे पहले, आपको यह समझने की आवश्यकता है कि हम किसके साथ काम कर रहे हैं। InfoWatch ट्रैफिक मॉनिटर सॉफ्टवेयर पैकेज में निम्नलिखित घटक होते हैं:

InfoWatch ट्रैफिक मॉनिटर नेटवर्क अवरोधन और इंटरसेप्टेड डेटा (नेटवर्क पर और एजेंटों से एकत्र) के विश्लेषण के लिए जिम्मेदार मुख्य घटक है। यह आरएचईएल / सेंटोस 6. पर काम करता है। वह वेब इंटरफेस के प्रतिपादन के लिए भी जिम्मेदार है, जो सिस्टम के साथ काम करते समय आईएस अधिकारी के लिए मुख्य प्रवेश बिंदु है।

InfoWatch डिवाइस मॉनिटर - यह घटक एजेंटों (एजेंट नीतियों सहित) के प्रबंधन के लिए जिम्मेदार है। विंडोज सर्वर द्वारा संचालित। इसमें एक अलग प्रबंधन कंसोल है जिसे किसी भी विंडोज मशीन पर इंस्टॉल किया जा सकता है - मुख्य बात यह है कि डिवाइस मॉनिटर सर्वर के लिए नेटवर्क एक्सेस खुला है।

InfoWatch क्रॉलर - एक मॉड्यूल जो आपको निर्दिष्ट उपयोगकर्ता निर्देशिकाओं और नेटवर्क निर्देशिकाओं को स्कैन करने की अनुमति देता है। यह विंडोज सर्वर पर काम करता है (इसे डिवाइस मॉनीटर सर्वर वाली मशीन पर इंस्टॉल किया जा सकता है), लेकिन इसे ट्रैफिक मॉनिटर वेब कंसोल में एकीकृत किया जाता है और वहां से प्रबंधित किया जाता है।

InfoWatch विज़न एक वैकल्पिक घटक है जो विज़ुअलाइज़ेशन के माध्यम से सूचना सुरक्षा घटनाओं की जांच की प्रक्रिया को सरल बना सकता है। ट्रैफ़िक मॉनिटर से स्वचालित रूप से ट्यून करने योग्य इंटरेक्टिव ग्राफ़ के रूप में घटनाओं का प्रतिनिधित्व करता है। यह विंडोज सर्वर पर चलता है और यह QlikSense प्लेटफॉर्म पर आधारित है।

InfoWatch व्यक्ति मॉनिटर भी एक वैकल्पिक मॉड्यूल है जो काम के घंटे की कार्यात्मक निगरानी प्रदान करता है। यह Win Server पर काम करता है, अपनी जड़ों को पौराणिक से लेता है, किसी तरह से, Stakhanovets सिस्टम।

कार्यशीलता को अवरुद्ध करना

चूंकि सिस्टम में डीएलपी (जो याद करते हैं, मतलब डेटा लीकेज प्रिवेंशन - डेटा लीकेज को रोकना) की गौरवपूर्ण स्थिति है, सबसे पहले, हम इस तरह के सिस्टम के लिए "क्लासिक" कार्यक्षमता पर विचार करते हैं - रोकथाम। यह सॉफ्टवेयर पैकेज हमें क्या प्रदान कर सकता है?

न्यूनतम इंस्टॉलेशन (ट्रैफ़िक मॉनिटर, डिवाइस मॉनिटर) में भी, कार्यक्षमता पर्याप्त समृद्ध है: मेल को अवरुद्ध किया जा सकता है, हटाने योग्य मीडिया पर रिकॉर्डिंग को सामग्री विश्लेषण या मीडिया की श्वेत सूचियों के परिणामों से रोका जा सकता है, एप्लिकेशन लॉन्च निषिद्ध है, एफ़टीपी निषिद्ध है। व्यक्ति मॉनिटर मॉड्यूल के कनेक्शन के साथ, कार्यक्षमता कुछ हद तक विस्तारित होती है: क्लिपबोर्ड को साफ करने की क्षमता और इंटरनेट पर फ़ाइलों को डाउनलोड करने का निषेध जोड़ा जाता है।

एक अप्रशिक्षित उपयोगकर्ता के लिए पहले विभिन्न प्रबंधन कंसोलों की पूरी विविधता को समझना मुश्किल होगा: उदाहरण के लिए, सिस्टम के साथ काम करते समय सुविधाओं में से एक डिवाइस मॉनिटर में कुछ इंटरसेप्ट चैनलों को "सक्षम" करने की आवश्यकता है।

सामान्य तौर पर, रोकथाम की कार्यक्षमता सवाल नहीं उठाती है, जहां घूमना है; हालांकि सबसे अधिक मांग वाले ग्राहकों को संभवतः अधिक लचीले प्रतिस्पर्धी उत्पादों की ओर मुड़ना होगा। कामकाजी घंटों के कार्यात्मक लेखांकन के लिए, फिर IWTM में इसे एक मूल, लेकिन काफी सुविधाजनक तरीके से लागू किया जाता है।

कार्यात्मक समय प्रबंधन

डीएलपी बाजार, विशेष रूप से सीआईएस देशों में, आज केवल रोकथाम की कार्यक्षमता तक सीमित नहीं है। डीएलपी सिस्टम धीरे-धीरे उत्पादों के एक अन्य वर्ग की कार्यक्षमता को शामिल करता है - कर्मचारी कार्य निगरानी प्रणाली।

प्रश्न में उत्पाद कोई अपवाद नहीं था और कुछ को अवशोषित भी करता था। कैसे उच्च गुणवत्ता?
आप व्यक्ति मॉनीटर मॉड्यूल का उपयोग कर कर्मचारियों को नियंत्रित कर सकते हैं - कीलॉगर के साथ शुरू और डेस्कटॉप से ​​वीडियो के साथ समाप्त होता है, साथ ही साथ वेब कैमरा और माइक्रोफ़ोन से ध्वनि को नियंत्रित करता है। हालांकि, सब कुछ इतना रसीला नहीं है। ऊपर उल्लेख किया गया है कि यह मॉड्यूल प्रशंसित "स्टैक्हानोवेट्स" की व्याख्या है। इसलिए नुकसान - उदाहरण के लिए, जटिल के अन्य मॉड्यूल के साथ एकीकरण की पूर्ण कमी और केवल पचास कारों के "पूर्ण नियंत्रण" की गारंटीकृत कवरेज। डेटाबेस की सुरक्षा विशेष रूप से छू रही थी - एन्क्रिप्शन आवश्यक नहीं है, डेटाबेस में डेटा केवल एक परिवर्तित एन्कोडिंग में संग्रहीत किया जाता है। "ताकि किसी को अनुमान न हो! .."

वैसे, भावना के बारे में: जब आप पहली बार वेब इंटरफ़ेस खोलते हैं, तो पर्सन मॉनिटर चेतावनी देता है कि कनेक्शन एन्क्रिप्ट नहीं किया गया है (सामान्य http, वह है) और एक मैनुअल को लिंक प्रदान करता है जिसके द्वारा हर कोई अपने लिए https कॉन्फ़िगर कर सकता है। ऐसा क्यों नहीं किया गया "बॉक्स से बाहर" अस्पष्ट है।

पाठ फ़ंक्शन के लिए एक बहुत ही दिलचस्प आवाज मान्यता भी है। यह Google API के माध्यम से लागू किया गया है, जो कई ग्राहकों के लिए एक समस्या होगी: सबसे पहले, आपको सर्वर को इंटरनेट से कनेक्ट करने की आवश्यकता है, और दूसरी बात, हर कोई अपनी गोपनीय जानकारी को किसी तीसरे पक्ष को स्थानांतरित करने के लिए सहमत नहीं है।

जब व्यक्ति मॉनीटर द्वारा एकत्र की गई जानकारी पर जांच करते हैं, तो हम असहज थे क्योंकि हम सभी उपलब्ध चैनलों और सभी कर्मचारियों से सभी उपलब्ध जानकारी के साथ काम करने के लिए उपयोग किए गए थे। इसके अलावा, एन्क्रिप्टेड कीलॉगर डेटा का उपयोग करने वाली एक स्थानीय खोज में केवल सबसे बुनियादी कार्यक्षमता है - उदाहरण के लिए, एक आकृति विज्ञान है, लेकिन दिलचस्प और जटिल पाठ खोज नियम नहीं बनाए जा सकते हैं। फिर भी, यातायात के छोटे संस्करणों और छोटी कंपनियों में, हर कोई इसके साथ रह सकता है।

तकनीकी दृष्टिकोण से, पर्सनल मॉनिटर में एक एजेंट होता है जो उपयोगकर्ता के कार्य केंद्र से डेटा एकत्र करता है, एक डेटाबेस (MSSQL) के साथ एक सर्वर, जहां यह डेटा तब संग्रहीत किया जाता है, और विंडोज के लिए अपाचे, जो सिस्टम के वेब इंटरफ़ेस को प्रस्तुत करता है। उपयोगकर्ता के अनुरोध पर, एक SQL क्वेरी संकलित की जाती है, और इसका परिणाम उपयोगकर्ता के सामने HTML रिपोर्ट पेज के रूप में दिखाई देता है।

छोटी और बड़ी कंपनियों की बात करें तो हम आसानी से दूसरे मॉड्यूल - विजन पर आगे बढ़ते हैं। यदि यह हमारे आदेश द्वारा बनाया गया था - यह आपको विज़ुअल प्रतिनिधित्व के लिए ट्रैफिक मॉनिटर द्वारा इंटरसेप्ट किए गए डेटा को व्यवस्थित करने की अनुमति देता है, और इसके अलावा, मक्खी पर अनुरोधों का पुनर्निर्माण करना संभव बनाता है। यह सब संभव है, कम से कम QlikSense मंच के लिए धन्यवाद, जो विज़न सर्वर की स्मृति में ट्रैफिक मॉनिटर से खींची गई घटनाओं को संचालित करता है।
घटनाओं को एक निश्चित अवधि में एक बार लोड करने की आवश्यकता होती है - उदाहरण के लिए, हर रात, चूंकि बड़ी मात्रा में डेटा अपलोड करने में लंबा समय लगता है।

सामान्य छाप

विचाराधीन प्रणाली, किसी भी अन्य की तरह, कमियों के बिना नहीं है। दुर्भाग्य से, अभी भी कुछ "बच्चों के घावों" हैं जो पहले के संस्करणों (उदाहरण के लिए, व्यक्तिगत मॉनिटर की सूचीबद्ध समस्याएं) से खींच रहे हैं; कुछ समाधान विवादास्पद दिखते हैं - यह हमेशा स्पष्ट नहीं होता है कि यह बग है या एक सुविधा (डिस्कनेक्ट किए गए कंसोल और ऑपरेशन को स्टोर करने के लिए विभिन्न डेटाबेस का उपयोग करके)। यदि आपको एक एकीकृत समाधान के बजाय एक विशिष्ट कार्यक्षमता पर जोर देने की आवश्यकता है, तो यह अनुशंसा की जाती है कि आप डीएलपी बाजार का अध्ययन करना जारी रखें।

एक बार जब हमने इन्फोवॉच ट्रैफिक मॉनिटर के साथ डीएलपी बाजार की खोज शुरू की, तो विपक्ष ने तुरंत मेरी आंख पकड़ ली:

• यहां तक ​​कि न्यूनतम स्थापना के साथ, दो सर्वरों की आवश्यकता होती है - ट्रैफ़िक मॉनिटर, डिवाइस मॉनिटर - विभिन्न परिवारों की प्रणालियों पर;
• अधिकतम स्थापना पर, कर्मचारी के कार्य केंद्र पर दो एजेंटों की स्थापना की आवश्यकता होती है;
• सिस्टम उपयोगकर्ता एक कंसोल का उपयोग करने के लिए मजबूर है, लेकिन दो से पांच तक (ट्रैफिक मॉनिटर, डिवाइस मॉनिटर, पर्सन मॉनिटर, पर्सन मॉनिटर, विज़न मॉनिटर कंसोल);
• उपरोक्त सभी के साथ, बाकी कॉम्प्लेक्स के साथ पर्सन मॉनिटर का कोई एकीकरण नहीं है - यह भावना कि आप एक अलग सिस्टम में काम कर रहे हैं।

हालांकि, बाजार का आगे अध्ययन जारी रखने के लिए, हमें कई फायदे मिले (वास्तव में, सब कुछ तुलना में जाना जाता है):

• काम की स्थिरता;
• सादगी और रोलिंग की गति। ट्रैफ़िक मॉनिटर की एक किकस्टार्ट छवि है, और विंडोज घटक "अगला - अगला - पूर्ण" पैटर्न के अनुसार स्थापित किया गया है;
• सिस्टम लचीलापन। सभी कंसोल के इंटरफ़ेस में महारत हासिल करने के बाद, आप ट्रैफ़िक आने पर तुरंत लागू होने वाले काफी जटिल ट्रिगरिंग नियमों को हवा दे सकते हैं;
• जांच की गति। इस तथ्य के बावजूद कि विज़न अभी भी युवा है और उसने हमारे लिए पर्याप्त कार्य नहीं किए हैं, इसकी गति और दृश्यता इसके लिए क्षतिपूर्ति करती है। पिछले प्रमुख ग्राहकों के साथ काम करते समय, वह युद्ध प्रणाली के हिस्से के रूप में हमारे लिए बहुत उपयोगी होगा।

लेख तैयार करने में, हमने अपने साथी अभ्यास विश्लेषकों का साक्षात्कार किया कि वे InfoWatch के DLP सिस्टम से कितने प्रभावित थे। जो कुछ कहा गया है, उसे संक्षेप में, हम कई पेशेवरों और विपक्षों पर प्रकाश डालते हैं।

विपक्ष:

• शान्ति की असंगति;
• गैर-कार्यात्मक अभिगम नियंत्रण (जैसे है, लेकिन यह हमेशा कॉन्फ़िगर करना संभव नहीं है जैसा आप चाहते हैं - उदाहरण के लिए, एक डैशबोर्ड);
• मॉड्यूल में से एक आम तौर पर जानकारी एकत्र करता है कि कर्नेल विश्लेषण नहीं कर सकता है;
• दो एजेंटों का उपयोग किया जाता है, कुछ कार्यों को दोनों में शामिल किया जाता है;
• डेटाबेस के बीच डेटा को डिस्टिल किया जाना चाहिए;
• सबसे न्यूनतम कार्यान्वयन में भी एक सर्वर में पूर्ण कार्यक्षमता डालना असंभव है;
• पीएम का तर्क (घटनाओं के साथ नहीं, लेकिन रिपोर्टों के साथ) यह पूरे कवरेज क्षेत्र के लिए आराम से उपयोग करने की अनुमति नहीं देता है, लेकिन विशेष रूप से "पॉइंटवाइज़"।

पेशेवरों:

• यदि आवश्यक हो तो कार्यक्षमता को लागू करने की इच्छा;
• स्थापना में आसानी (किकस्टार्ट);
• scalability;
• बहुत कुछ देखता है, बहुत कुछ समझता है - चैनलों का एक बड़ा चयन, मोबाइल ट्रैफ़िक के साथ काम करना, संवेदनशील डेटा का पता लगाने के लिए तरीकों का एक बड़ा चयन;
• विभिन्न रंगों में विभिन्न वस्तुओं को उजागर करने के साथ अपेक्षाकृत त्वरित खोज और सुविधाजनक पूर्वावलोकनकर्ता;
• प्रौद्योगिकियों और संरक्षण की वस्तुओं का विस्तृत विवरण;
• स्वचालित महत्वपूर्णता का पता लगाना, किसी अधिकारी को उतारना, आदि;
• एकत्र की गई जानकारी के दृश्य पर बहुत ध्यान दिया जाता है। बाजार पर सबसे अच्छा समाधान में से एक।

Minuses की - हाँ, अफसोस, यह बहु-संगति है और हमेशा उनके बीच कार्यक्षमता का तार्किक अलगाव नहीं है। यह न केवल असुविधाजनक है, बल्कि पूरी तरह से अप्रभावी है जब जांच के लिए सबूत आधार, और विभिन्न डेटाबेस में डेटा एकत्र करना आवश्यक है, और सिस्टम का उपयोग करके उन्हें एक रूप में लाना असंभव है। विश्लेषक या सुरक्षा गार्ड के बहुत सारे अनावश्यक मैनुअल काम।

हम संभावित ग्राहकों के लिए सुधार को लागू करने की विक्रेता की इच्छा से प्रसन्न थे, अर्थात बिना संविदा संबंधों को बनाए। यह एक बिल्कुल वास्तविक उदाहरण है: एक क्लाइंट में पायलट द्वारा हमारे द्वारा घोषित सुधारों के एक गुच्छा पर चर्चा करने के छह महीने बाद, हमने उन्हें कार्यान्वित कार्यक्षमता में देखा, जो बेहद सुखद था।

इसके अलावा, आईडब्ल्यू उन कुछ विक्रेताओं में से एक है जो इस तरह की समस्याओं की चर्चा के लिए चौकस है, टैग को लात नहीं मारता है - आपको इसकी आवश्यकता क्यों है, आप इसके बारे में पूछने वाले पहले हैं, आदि। (साशा क्लेवत्सोव, हम आपको एक अलग नमस्ते और शुभकामनाएं देते हैं :))।

नीचे की रेखा में, हमारे पास एक काफी संतुलित प्रणाली है जो अधिकांश उबाऊ ग्राहकों की आवश्यकताओं को कवर करती है और सिस्टम की अत्यधिक आवश्यकताएं नहीं रखती हैं। InfoWatch लगातार अपने कॉम्प्लेक्स को "पंप" करता है, नई शांत सुविधाओं को जोड़ता है। यह केवल ध्यान से उन्हें एक साथ सिलाई करने के लिए रहता है :)।

अन्ना पोपोवा, डीएलपी ब्लॉक के प्रमुख, कंपनियों के इन्फोसरेक्विटी समूह
निकिता शेवचेंको, डीएलपी ब्लॉक के इंजीनियरिंग सपोर्ट ग्रुप की प्रमुख, इन्फोसरेसी ग्रुप ऑफ कंपनीज