Data exfiltration — ma’lumotning tashkilot nazoratidagi muhitdan ruxsatsiz ravishda tashqariga olib chiqilishi yoki uzatilishidir. U tashqi hujumchi, zararli dastur, ichki xodim yoki noto‘g‘ri sozlangan avtomatlashtirish orqali sodir bo‘lishi mumkin. Exfiltration maxfiylik buzilishining asosiy ko‘rinishi bo‘lib, ko‘pincha kirish, qidirish va ma’lumotni tayyorlash bosqichlaridan keyin yuz beradi.
Kanallar
Ma’lumot oddiy HTTPS yuklash, bulut saqlash xizmati, elektron pochta, fayl almashish platformasi yoki masofaviy boshqaruv protokoli orqali chiqishi mumkin. DNS tunneling kichik bo‘laklarni domen so‘rovlariga joylaydi. Jismoniy muhitda USB qurilma, chop etish yoki ekran tasviri ham kanal hisoblanadi.
Hujumchi katta hajmli fayllarni avval staging katalogiga yig‘ishi, arxivlashi va siqishi mumkin. Shifrlash tarmoq himoyasining mazmunni tekshirishini qiyinlashtiradi, lekin hajm, manzil, vaqt va jarayon kabi meta-ma’lumotni yashirmaydi. Sekin va kichik uzatishlar normal trafik orasida kamroq sezilishi mumkin.
Aniqlash belgilari
Tarmoqda odatdagidan katta chiqish hajmi, yangi tashqi domen, noodatiy vaqtdagi uzatish yoki serverning ilgari ishlatmagan protokoli tekshiriladi. Endpointda ko‘p faylni ketma-ket o‘qish, arxivator ishga tushishi, vaqtinchalik katalogda katta fayl paydo bo‘lishi va undan keyingi tarmoq ulanishi muhim ketma-ketlikdir.
DLP vositasi hujjat turi, maxfiylik yorlig‘i, shaxsiy ma’lumot andozasi yoki hujjat barmoq izi bo‘yicha chiqishni aniqlashi mumkin. Biroq shifrlangan, bo‘laklangan yoki rasmga aylantirilgan ma’lumotni ko‘rish qiyinlashadi. Xulq-atvor tahlili foydalanuvchining odatiy hajmi va manzillaridan og‘ishni topadi, lekin xizmat vazifasi o‘zgarganda noto‘g‘ri signal berishi mumkin.
Oldini olish
Eng kam imtiyoz foydalanuvchi va xizmatga faqat zarur ma’lumotni o‘qish imkonini beradi. Segmentatsiya, egress filtering va ruxsat etilgan tashqi xizmatlar ro‘yxati chiqish yo‘llarini qisqartiradi. Maxfiy ma’lumotni tasniflash va yorliqlash DLP siyosatini aniqroq qiladi. Saqlash va uzatishda shifrlash tashuvchining yo‘qolishidan himoya qiladi, ammo qonuniy hisob ma’lumotni o‘qib olib tashqariga yuborsa, shifrlashning o‘zi yetarli emas.
Katta eksportlar uchun qo‘shimcha tasdiq, qisqa muddatli ruxsat va audit jurnali qo‘llanishi mumkin. Xizmat hisoblari interaktiv kirishdan ajratiladi, tokenlar doirasi cheklanadi va noodatiy foydalanishda bekor qilinadi. USB yoki chop etishni mutlaq taqiqlash barcha tashkilotga mos emas; nazorat ma’lumot sezgirligi va ish jarayoniga mutanosib bo‘lishi kerak.
Hodisaga javob
Exfiltration gumonida faol uzatishni to‘xtatish bilan birga qaysi ma’lumot, qancha hajmda, kim tomonidan va qaysi manzilga yuborilgani aniqlanadi. Hisob tokenlari bekor qilinadi, qurilma izolyatsiya qilinadi va dalillar saqlanadi. Tashqi manzilni bloklash zarur bo‘lishi mumkin, ammo hujumchi boshqa kanalga o‘tishi ehtimoli tekshiriladi.
Ma’lumot toifasi va yurisdiksiyaga qarab mijozlar, hamkorlar yoki vakolatli organlarni xabardor qilish majburiyati tug‘ilishi mumkin. Shuning uchun huquqiy, maxfiylik, xavfsizlik va kommunikatsiya jamoalari birgalikda ishlaydi. Yakuniy tahlil boshlang‘ich kirish sababini, nazorat nega ishlamaganini va o‘xshash ma’lumotlar boshqa tizimlarda ham xavf ostida ekanini baholaydi.
Bazaviy profil
Aniqlash tizimi “katta uzatish” tushunchasini aktiv roliga moslashtirishi kerak. Zaxira serverining tungi terabayt trafiki normal, kadrlar bo‘limi ish stansiyasidan o‘nlab gigabayt chiqishi esa noodatiy bo‘lishi mumkin. Bazaviy profil mavsumiy ishlar va rejalashtirilgan migratsiyani hisobga oladi. Istisnolar muddatli, egasi ko‘rsatilgan va qayta ko‘rib chiqiladigan bo‘lsa, nazorat asta-sekin kuchsizlanib ketmaydi.
Bog‘liq tushunchalar
Data loss prevention, Egress filtering, DNS tunneling, Insider threat, Incident response, Ma’lumotlar tasnifi