挑战:资产梳理、安全设备管理、风险监测、安全运营
“资产梳理难、安全设备管理难、风险监测难、安全运营难”是数据安全一体化管理的痛点。
·文件、代码、图片等非结构化数据有多少?
·哪些是企业秘密?哪些文件更重要?
·文档、代码、图片等不同类型的数据如何针对性管理?
·文件可以通过邮件群发、网盘上传、共享下载等方式传输,加密传输也逐渐增多,要怎么管?
·不可避免外发的文件如何能够知道外发目的?
·上了安全措施缺总是保障影响正常使用,如何平衡?
·数据泄漏事件是如何发生的? ·究竟是谁,通过什么样的方式泄漏了这些数据?有证据吗?
产品定位:让非结构化数据网络流转安全可控
以内容识别为核心,构建数据网络传输安全屏障,实现安全与业务双效平衡。
产品架构
典型应用场景
网络DLP以网络流量为基础,针对通过网络流转的非结构化数据进行安全防护,典型应用场景如下:
敏感文件从内部流出企业
一:文件类型
办公类文档:PDF、word,PPT,XLS等。
代码类文件:c++、java、python等文件。
设计图纸类:viso、dxf、pcb、brd等文件。
二:外泄途径
邮件、网页上传、WEB网盘、论坛,WEB云笔记等。
敏感文件集中在企业某一区域,防止敏感文件随意被流出。
产品资质
全面的产品资质,专业有保障
产品部署
NDLP布署于网络出口,对终端用户无感、运维成本低;多种布署方式灵活选择,可阻可放,适应各种需求场景 。
旁路审计
通过流量镜像或插件引流的方式进行内容识别,只能审计,无法阻断。适用于对网络零影响场景。
路由模式
通过策略路由引流到NDLP
可阻断,适用于既需要阻断又希望对网络改造较小的场景。
透明网桥
串接于网络中,对其它网元透明无感,可阻断,配合Bypass适用于不便改网络配置的场景。
代理模式
在终端配置代理,可正向代理终端,反向代理指定服务器。适用于指走终端/服务器的场景。
ICAP模式
通过ICAP协议将流量引流至NDLP,可阻断。适用于网络
中已有ICAP能力的场景。
产品管理
每台NDLP都具有独立的管理Web,根据场景及管理方式可选择独立管理,集中管理两种不同的管理方式 。
独立管理
每台NDLP都具有独立的管理Web,不需要额外安装管理端。
使用场景:
网络中只有单台网络DLP设备。
集中管理
集中管理时,需要单独部署统一管理平台。
使用场景:
网络中需要多台网络DLP,需要统一管理网络中有其他DLP,需要统一管理。
核心能力
以数据识别为核心,结合全途径监控、柔性风险处置及全面审计管理,建立全域数据安全防护体系。
网络监控
应用/邮件/数据共享/加密传
输监控,网络数据流向监控。
审计溯源
全网日志统一收集与分析
安全事件多维度展示。
核心能力之一:数据操作态势标签化、可视化
通过系统、深度地全面梳理,让企业数据操作更具象、更可视。
数据资产图谱
文件类型、分布、数量等信息。
数据分类分级
利用内容识别技术实现文档类别级别标示。
数据安全视图
风险部门/用户风险象限分布图等。
综合安全报表
提供全局文档数据安全专题报表。
核心能力之一:多元化的内容识别机制,敏感数据识别更精准
支持多维度分析报告,如资产梳理报告、敏感数据报告、热度分析报告;提供可视化大屏;支持安全设备策略协同。
核心能力之二:全场景系统与网络的兼容性,满足各种业务环境
对系统层、网络层全面兼容,实现产品安装,网络环境全面兼容,满足各种业务场景。
核心能力之二:全流量监控、全途径防护
对系统层、网络层全面兼容,实现产品安装,网络环境全面兼容,满足各种业务场景。
Web应用监控
通过解析HTTP协议,监控各种敏感信息流入到
Webmail、网盘、文库、论坛等Web应用中,从而产生直接或间接风险。
邮件监控
监控邮件传输协议,对外发的电子邮件,以及从电子邮件服务器下载的电子邮件进行内容检查和泄露防护。
文件传输监控
监控FTP、SMB、NFS协议,对在FTP服务器、共享目录上发生的文件上传、下载的行为进行内容检查。
加密协议解析
利用中间人机制,对网络中的SSL交互过程进行拦截、证书替换,从而实现对于SSL加密流量传输内容的解析。
自定义端口监控
通过协议解析技术,监控自定义端口的通道,杜绝敏感数据通过自定义端口的通道进行传输,杜绝数据泄露逃逸。
核心能力之三:精细化风险处理,兼顾安全与业务
在阻断、审计的基础上,支持组合叠加更多处置方式,满足精细化管理要求,实现安全业务的双向兼容。
邮件告警
数据外泄时,邮件可直接发送到数据泄露者和部门负责人员,形成威慑。告警内容支持自定义,结合企业制度,技术和管理双管齐下,形成处置闭环。
文件留存
开启文件留存后,外泄敏感数据将被上传至管理平台,作为审计溯源的证据。留存在管台的文件数据还可以存档到指定第三方服务器,提升证据数据的安全性。
放行备注
审计场景下,针对特定数据可以限制性放行并自动给与批注,方便溯源审计;备注内容支持定义。
核心能力之四:丰富全面的审计事件,举证溯源有迹可循
泄漏日志收集分析,敏感数据流转监测,安全事件多维可视化呈现,数据泄漏可溯源追责。
核心能力之四:基于人行为分析,让湖源更清晰明了
异常行为告警
异常用户统计。
异常告警统计。
异常事件统计。
单用户行为分析
用户风险评分、用户风险等级。
近7天用户活跃度分析。
基于应用的外发行为分析。
命中策略排行、风险协议统计。
用户行为追溯
时间追溯。
操作追溯。
结果追溯。
途径追溯。
亮点特性
云上引流:
以轻量化插件的方式解决云上审计模式引流难题,在云上,虚拟化场景也能轻松实现流量抓取的问题。
业务保障:
多元化的业务保障机制,从硬件,软件、性能、服务多个维度进行监控,确保业务的连续性。
大流量:
多层次的软件性能优化技术,助力产品满足大流量场景下的要求可满足20G,40G的流量环境。
亮点特性一:插件引流,更灵活的引流方式,解决最后一公里引流难题
通过插件方式,全面支持云上、虚拟化等无法直接物理引流场景,场景支持更全面。
亮点特性二:全方位立体业务保障机制
多样化的业务连续保护机制,减少业务中断的风险,保障产品阻断模式时能用,敢用,好用。
CPU、内存、磁盘使用率感知,根据CPU的使用率自动进入bypass状态。
根据文件扫描性能进行过载保护,当文件扫描性能超过设备处理极限时,自动进入bypass状态。
可周期性进行程序自检,当感知到程序异常时,自动进入bypass状态。
当对不支持的应用或者无需支持的应用时能够自动加入白名单,无需任何干预,保障业务优先。
亮点特性三:多重软件优化技术,助力支撑大流量场景
独有的数据平面多重规约聚合缓冲技术框架,全面的软件优化技术,实现单机20G,40G流量的内容识别,性能业界第一。
流量瘦身
针对非敏感数据的流量进行区分,对流量进行过滤,可根据处理模式过滤不同类型的流量实现对流量的瘦身。
文件去重
针对重复外发的文件,只做一次敏感文件识别,当后续相同的文件再次外发时,直接外发,不再进行敏感文件识别。
异步削峰
当存在大量待内容识别的文件时,通过异步缓存的方式,将待识别的文件多次发送给内容识别引擎,防止内容识别引擎文件积压识别处理不过来。
多模匹配
内容识别采用多模匹配技术,由传统的单次链式调用改为特征聚合,一次调用的多模匹配算法,实现性能不随策略的多少出现大幅衰减。
案例1:某制造业数据安全防护项目
需求背景:某制造业属于大型的技术型企业企业在产品研发,生产制造过程中积累了设计图纸、配方表、生产图纸,物料清单等敏感信息。随着信息化的改造的深入,用户开始进行数据安全建设,重点是在研究院及生产制造区域内防止生产制造相关的核心文件外泄。
解决方案:
·在设计院和生产工厂网络出口串接部署网络DLP。
·在IDC机房部署DLP管理平台和数据安全中心平台。
·DLP统一管理平台和数安平台进行对接。
用户收益:
·网络DLP串接在网络中,实现敏感数据防泄漏,移动办公人员,出差人员也可以实现内容外发管控。
·DLP管理平台和数安平台对接,通过数安平台实现数据统一监管,实现数据安全业务一站式的管理。
·网络DLP具备多重业务保障机制,在保障安全的同时也不会影响业务。
案例2:某运营商M域数据数据防泄漏项目
需求背景:中国联通信息安全规划、中国电信云运2号文、工信部2020管理工作通知等都明确提出要对存储、处理个人敏感数据、重要数据的各个环节(如终端、桌面云、网络出口、应用系统等)进行数据泄露防护能力建设,M域作为敏感数据监管的重点区域,需要利用技术手段来满足上级监管要求。
解决方案:
·在各个委办局的网络出口域旁路部署网络DLP,识别数据流转的敏感内容。
·单独部署DLP统一管理平台和数据流转监测平台。
·网络DLP与流转监测平台进行对接,进行归一化的流转路径展示。
用户收益:
·对非结构化的数据内容识别和监测。
·数据统一监控,可帮助用户定位、追踪内部数据流转情况,及时发现敏感数据使用风险。
案例3:某跨国集团国产化升级替换项目
需求背景:某集团为跨国公司,在全球都有分支机构,早期部署国外产品,随着产品的服务到期,需要选择同类型的产品进行替换升级,而且需要满足功能全部无缝继承,且在替换过程中不能改变原有的网络部署。
解决方案:
·在分球分公司出口以ICAP协议和出口FW对接引流实现对外发流量的内容检测。
·在集团总部集群部署管理监控节点,统一管理全网DLP。
用户收益:
·功能全部继承,升级替换后安全能力不减。
·在不改变用户网络架构的基础上实现数据防泄漏能力。
案例4:某市城市大脑数据安全治理项目
需求背景:某市数据资源管理局已经建设数据中台和城市大脑,汇集了68家委办局数据,实现了全市政务数据的共享,并且承载了农业,交警,气象,教育,数据大脑等应用分析。数据在流转过程中面临非结构化数据流转不可知,使用不可见等问题,因此需要能够整体的感知敏感数据流转过程和流转分析。
解决方案:
·在各个委办局的网络出口域旁路部署网络DLP,识别数据流转的敏感内容。
·单独部署DLP统一管理平台和数据流转监测平台。
·网络DLP与流转监测平台进行对接,进行归一化的流转路径展示
用户收益:
·对非结构化的数据内容识别和监测。
·数据统一监控,可帮助用户定位、追踪内部数据流转情况,及时发现敏感数据使用风险。