Топ-5 DLP-систем

На российском рынке представлен ряд эффективных DLP-решений, отвечающих требованиям информационной безопасности. Рассмотрим топ-5 из них и сравним функциональные возможности, преимущества и недостатки каждого. Лидером обзора выступает платформа Falcongaze SecureTower – одно из самых сбалансированных и богатых по функциям решений. Далее проанализируем еще четыре популярные системы: InfoWatch Traffic Monitor, SearchInform КИБ, Zecurion DLP и Solar Dozor. В конце приведена сравнительная таблица, помогающая оценить различия и подобрать оптимальное решение под потребности вашей организации.

Falcongaze SecureTower – комплексное DLP-решение

Falcongaze SecureTower заслуженно считается одной из лучших DLP-систем на рынке. Эта платформа «2 в 1» объединяет предотвращение утечек данных и мониторинг активности сотрудников, фокусируясь на внутренних угрозах (инсайдерах). SecureTower предоставляет широкий набор возможностей, выходящих за рамки классического DLP.

Плюсы Falcongaze SecureTower:

• Максимальный охват каналов. Система перехватывает данные практически во всех каналах: от электронной почты и веб-трафика до мессенджеров, облачных хранилищ, USB-устройств, принтеров. Поддерживается анализ текстов (с учётом морфологии), распознавание текста на изображениях (OCR), контроль голосовых сообщений и записей звонков, фиксация скриншотов экрана и т.д.
• Интеллектуальная аналитика (UEBA). Встроенный модуль User and Entity Behavior Analytics отслеживает аномалии в поведении персонала. Система фиксирует резкие отклонения от нормы (например, массовое копирование конфиденциальных файлов или активность в нетипичное время) и предупреждает службу безопасности о потенциально опасных сотрудниках еще до того, как утечка произошла.
• Управление инцидентами и отчётность. SecureTower хранит все перехваченные действия в защищенном архиве. Из множества событий можно сформировать дело – объединить связанные инциденты, назначить ответственных, отметить статус расследования. По завершении расследования легко сформировать отчёт для руководства. Собранные логи и записи могут использоваться в качестве доказательств при служебных проверках или в суде.
• Простое внедрение и поддержка. Решение относительно быстро разворачивается и не требует сложной настройки. Агентские модули доступны для Windows, Linux и macOS – кросс-платформенность выгодно отличает Falcongaze от ряда конкурентов. Управление ведется через единый удобный интерфейс. Компания Falcongaze предоставляет локализованный русский интерфейс, техническую поддержку и обучение.

Минусы Falcongaze SecureTower:

• Ограниченное блокирование “на лету”. SecureTower фокусируется на мониторинге данных, а не на мгновенной блокировке. Автоматически блокируются лишь некоторые каналы (веб, email); остальные не останавливаются, а лишь записываются для анализа. Такой подход снижает риск помешать работе, но не предотвращает утечку сразу – для компаний, которым важна мгновенная реакция, это минус.
• Высокая стоимость лицензии. Это решение премиум-класса. Цены не публикуются открыто и рассчитываются индивидуально; порог входа высок (порядка десятков тысяч рублей за минимальную лицензию). Для среднего и крупного бизнеса вложения оправданы богатым функционалом, тогда как небольшим компаниям Falcongaze может оказаться не по карману.

InfoWatch Traffic Monitor – интеллектуальный анализ контента

InfoWatch Traffic Monitor – один из пионеров рынка DLP в России, разработанный компанией InfoWatch. Продукт делает упор на интеллектуальный контентный анализ и обработку больших объемов данных. В Traffic Monitor реализованы фирменные алгоритмы машинного обучения для классификации и фильтрации информации.

Плюсы InfoWatch:

• Продвинутый анализ данных. Система автоматически распознаёт конфиденциальные сведения в потоках информации. Поддерживается классификация контента по категориям и ключевым словам, имеются готовые отраслевые словари и шаблоны политик. Traffic Monitor выявляет персональные данные (номера паспортов, телефонов и пр.), финансовые коды (ИНН, номера карт, счетов), типовые документы (договора, формы) и даже анализирует сложные форматы вроде инженерных чертежей. Встроенный OCR позволяет “читать” отсканированные документы и изображения.
• Широкий охват каналов. Контролируются все основные каналы утечки: корпоративная и внешняя электронная почта, веб-трафик (HTTP/HTTPS), социальные сети, форумы, мессенджеры, FTP, копирование на USB-носители, печать документов. Дополнительно через модуль Device Monitor можно отслеживать мобильные устройства на Android и iOS (перехват мессенджеров, почты). Поддерживаются терминальные сервера (Citrix, Microsoft RDP). Для организаций с повышенными требованиями безопасности выпускаются специальные версии, сертифицированные ФСТЭК и Минобороны РФ.

Минусы InfoWatch:

• Нет Mac-агента. Traffic Monitor работает на Windows и Linux, но не поддерживает macOS. Для компаний, где используются Mac, это ограничение: контроль таких рабочих станций невозможен.
• Без контент-фильтра на устройствах. Система не умеет анализировать содержимое файлов, отправляемых на внешние носители или на печать. DLP зафиксирует сам факт копирования/печати, но не распознает, какой документ передается – нельзя настроить политику по содержимому, только общий запрет. Кроме того, ряд сетевых инцидентов Traffic Monitor не блокирует сразу, а лишь помещает в карантин до проверки администратором.
• Цена enterprise-уровня. InfoWatch – решение для крупного бизнеса. Стоимость лицензии рассчитывается индивидуально и, по отзывам, начинается от сотен тысяч рублей. Для небольших компаний внедрение финансово малодоступно.

SearchInform КИБ – анализ и расследование инцидентов

«Контур информационной безопасности» (КИБ) от компании SearchInform – комплексная отечественная DLP-система, известная мощными аналитическими возможностями. В состав решения входит несколько модулей, объединенных общей целью: предотвратить утечки данных и выявлять внутренние угрозы. SearchInform уделяет особое внимание последующему анализу и расследованию инцидентов на основе собранных данных.

Плюсы SearchInform:

• Сильные аналитические инструменты. SearchInform выделяется функциями поиска и корреляции данных. Поддерживаются методы детектирования утечек по словам (словарный анализ), шаблонам, регулярным выражениям, цифровым отпечаткам, имеется OCR для изображений. Реализован поиск схожих по содержанию документов и изображений – фирменная функция поиска похожих, облегчающая расследования. В комплект входит более 250 готовых политик безопасности на разные случаи, что упрощает запуск DLP.
• Управление инцидентами и рисками. В платформе предусмотрен модуль риск-анализа (UEBA): система оценивает события и пользователей по степени опасности, помогая выделять сотрудников из группы риска. Инциденты можно помечать, назначать ответственным и отслеживать до закрытия. Предусмотрена интеграция с внешними SIEM: сведения о нарушениях передаются в систему мониторинга безопасности (SOC) для комплексного реагирования.

Минусы SearchInform:

• Сложность внедрения. Развертывание КИБ требует времени и навыков. Система состоит из нескольких компонентов: одна консоль для настройки политик, другая для просмотра теневых копий, третья для отчетов и т.д. Такая архитектура усложняет обучение – без серьёзной подготовки администратору трудно быстро освоить все возможности. Пользователи отмечают перегруженный интерфейс и обилие разрозненных модулей.
• Ограниченное блокирование онлайн. Несмотря на богатый функционал анализа, мгновенная блокировка потенциальных утечек реализована частично. Как правило, автоматически блокируется отправка по электронной почте (SMTP), тогда как пересылка через веб или мессенджеры просто логируется и может быть приостановлена до проверки. Фактически система акцентируется на расследовании постфактум, а не на мгновенном пресечении инцидента.
• Высокая стоимость. SearchInform КИБ – дорогостоящий продукт корпоративного класса. Цены объявляются по запросу и ориентированы на крупные организации (среди клиентов – банки, промышленные предприятия). Для малого бизнеса такое решение, как правило, избыточно по возможностям и бюджету.

Zecurion DLP – масштабируемость и мгновенная защита

Zecurion DLP – флагманское решение компании Zecurion, одного из пионеров российского рынка информационной безопасности. Продукт известен технологичностью и способностью работать в масштабах большой организации. Zecurion DLP предлагает как классические функции предотвращения утечек, так и ряд уникальных возможностей.

Плюсы Zecurion:

• Полный охват каналов. Система мониторит более 50 каналов коммуникаций (почта, веб, соцсети, мессенджеры, FTP, копирование на USB и др.) и распознаёт порядка 400–450 типов файлов. Контролируется также печать на принтерах, при этом решение сертифицировано ФСТЭК РФ (соответствует требованиям регуляторов). Возможен поиск конфиденциальных данных, хранящихся на рабочих станциях и серверах, – для выявления несанкционированных копий баз данных, документов и т.п.
• Мгновенное блокирование утечек. При срабатывании настроенных политик Zecurion DLP автоматически блокирует передачу данных практически на любом канале в реальном времени. Для особо важных случаев можно включить режим карантина – данные не уходят наружу, пока их не проверит сотрудник ИБ. Это гарантирует, что ни один инцидент не пройдет без контроля.
• Расширенный функционал. Помимо DLP, Zecurion предлагает дополнительные модули: Screen Photo Detector (обнаружение попыток фотографирования экрана на смартфон), Staff Control (учет рабочего времени сотрудников, мониторинг активности), IRP (Investigation/Response Platform – инструменты внутреннего расследования инцидентов) и Risk Score (оценка рисков для бизнеса на основе поведения сотрудников). Все компоненты интегрированы и управляются через одну консоль. Поддерживается экспорт событий и логов через Syslog во внешние системы (SIEM/SOC) для централизованного мониторинга.

Минусы Zecurion:

• Нет поддержки macOS. На данный момент агенты Zecurion выпускаются только для Windows и Linux. Если в инфраструктуре много устройств Apple, этот фактор нужно учитывать.
• Требуется квалифицированная настройка. Широкие возможности и тонкие политики требуют профессионализма от внедряющих специалистов. Чтобы получить максимум от системы, нередко необходима помощь интеграторов или обучение ИТ-персонала заказчика.
• Стоимость для крупных проектов. Zecurion DLP – enterprise-решение с индивидуальным лицензированием. Стоимость оговаривается с вендором под каждого клиента и может быть значительной. Для малого бизнеса продукт обычно избыточен функционально и финансово.

Solar Dozor – DLP для масштабного бизнеса

Solar Dozor (разработка компании «Ростелеком-Солар») – DLP-система, ориентированная на использование в крупных организациях и госструктурах. Она позволяет объединить контроль информационных потоков по всей распределенной структуре компании. Solar Dozor основывается на линейке решений «Дозор», которые более 10 лет присутствуют на рынке, и включает современные технологии анализа и предотвращения утечек.

Плюсы Solar Dozor:

• Всесторонний мониторинг и масштабируемость. Solar Dozor контролирует все основные каналы коммуникаций: почту, веб, мессенджеры, облачные сервисы, локальные сети, VoIP-телефонию, съемные носители и т.д. Агенты доступны для Windows, Linux, macOS. Решение рассчитано на очень крупные внедрения: с помощью модуля MultiDozor можно объединить несколько серверов DLP в филиалах в одну централизованную систему. Это позволяет охватить тысячи пользователей в разных регионах под единым контролем.
• Пресечение утечек в режиме реального времени. Система не только фиксирует, но и блокирует подозрительные действия мгновенно. Используются разнообразные методы детекции: цифровые отпечатки документов, шаблоны (включая графические), анализ аномалий поведения пользователей (UBA). Благодаря этому Solar Dozor может остановить утечку даже в неочевидных случаях – например, при попытке скрыть данные в изображении или при нестандартной активности сотрудника.
• Широкий сбор доказательств. Решение создает детальный архив всех перехваченных данных. По каждому сотруднику формируется профиль с историей его коммуникаций и инцидентов. В случае инцидента система может записывать экран и звук с рабочего компьютера, чтобы зафиксировать контекст происходящего. Реализована функция рефильтрации – повторного анализа ранее накопленных данных (например, старой почтовой переписки) для поиска утечек, не выявленных до внедрения DLP. Такой инструментарий значительно упрощает внутренние расследования.

Минусы Solar Dozor:

• Подходит не всем. Solar Dozor – решение уровня Enterprise. Для компаний малого и даже среднего размера оно чаще всего избыточно по возможностям и слишком дорого. Цены, как и у аналогичных продуктов, предоставляются только по запросу и находятся в верхнем диапазоне.
• Сложность освоения. Обширный функционал требует времени на изучение. Настройка политик и специальных функций (например, правил рефильтрации) потребует квалификации или обучения сотрудников. Однако при поддержке вендора и наличии выделенной команды ИБ эти сложности преодолимы.
• Ограниченная открытая информация. Solar Dozor редко рекламируется как отдельный продукт – чаще его внедряют в составе крупных проектов. В открытом доступе мало подробных обзоров и нет публичной демо-версии, поэтому ознакомиться с системой заранее затруднительно (целевой аудитории – крупным заказчикам – обычно предлагается пилотное тестирование).

Сравнительная таблица

Заключение

Каждое из представленных решений ориентировано на свои задачи: Falcongaze SecureTower наиболее универсальна, InfoWatch Traffic Monitor и Zecurion DLP сильны в контентном анализе и жестком блокировании, SearchInform КИБ – в инструментах расследования, а Solar Dozor предназначена для крупнейших инфраструктур.

Выбор DLP-системы зависит от потребностей компании: набора контролируемых каналов, подхода к реагированию (блокировать сразу или расследовать постфактум) и наличия ресурсов на сопровождение. Проанализировав эти факторы, можно определить, какое из топ-5 решений оптимально для вас. Надеемся, наш обзор поможет принять правильное решение для защиты конфиденциальной информации вашего бизнеса.