防数据泄露的“内外”战略

　　防止数据泄露已经成为现代企业的安全重点。有专家指出，数据防泄，需要从内到外层层阻拦，用户可以采取将输出内容监测工具与数字版权管理专用设备集成的组合拳战略。

　　保护的演进

　　美国《Network World》调查显示，几乎每个企业都会发现自己面临保密信息泄露的巨大麻烦，这些麻烦时刻威胁着企业内部信息的安全。事实上，数据防泄露已经是一个老问题了。有专家表示，很多企业的CSO已经开始装备越来越复杂的输出内容监测器，并以此来进行数据监控。

　　过去一年里，输出内容监测——即所谓的数据防泄露技，已经“长大成人”了。E-Trade Financial公司的前任CTO Josh Levine说，输出内容监测设备“已经进入了成为所有企业网络的基本组成部分的阶段。”

　　加州Calabasas市在线银行服务公司Digital Insight安全与法务副总裁Scott Mackelprang对此表示赞同。要知道，他并不是一个容易受外界影响的人。他说：“当我第一次看到这种技术时，我十分怀疑其过滤能力，毕竟这种技术运行在外围防线上。那时我没有使用它们，很长时间我只是在观察这种技术。”

　　此后，他发现了Tablus公司的Content Sentinel。Content Sentinel可以发现敏感数据，甚至当数据没有转移而是被保存在奇怪的、意想不到的地方时，如破旧的老便携机和残破的计算机中。他使用Content Sentinel加Tablus Alert寻找桌面机以及在网络上传输的敏感数据。Scott说，保护网络安全，避免它成为数据的发源地，而不是受到来自防火墙的攻击，这无疑是一种演进。

　　成熟中的技术

　　在早期，输出内容监测器通常将重点放在对网络边界处单一数据源的侦测上，比如隐藏在一封电子邮件中的敏感数据。而今天的输出内容监测器可以扫描几乎任何类型的数据流，包括Web传输流、电子邮件、FTP、传真和即时消息。一些监测器还检测隐藏在Word文档、电子报表、PowerPoint中的敏感数据。Burton Group高级分析师Trent Henry说，它们在语言学方面比以前的版本复杂得多。

　　Henry说：“它们可以进行概念上的分析，而非仅仅能够搜索简单的关键字，如名字或某个社会保险号。例如，它们可以知道何时需要给一份并购备忘录加上标记，因为备忘录改变了措辞或被重写，但仍包含敏感信息。使用语言分析，它们能够检测出过去会溜过去的内容。”

　　输出内容监测技术通常以智能网络专用设备的形式出现。这类设备执行政策驱动的控制，并在一些情况下使用行为分析来确定雇员是否让保密数据面临风险。这些设备发出报警，将可疑的输出内容放在一个存储区内，或者立即阻止可能使敏感数据面临风险的活动。

　　现在，大量用户发现，输出内容监测器对于他们的分层安全架构越来越重要。对于小型独立的安全智囊公司Security Constructs经理Tom Bowers来说，就是如此。Bowers以前担任过一家拥有250亿美元资本的全球制药公司的信息安全高级经理。在离开这家制药公司前，Bowers开发了一种分层的集成架构来保护内容安全。保护的内容包括该公司日常与临床试验外包商共享的知识产权。他说：“尽管我们对研究周期了解得一清二楚，但我们无法知道信息在何处，哪些信息有价值，哪些研究数据是老数据，哪些是新数据。我们没有办法跟踪所有这些东西。”事实上，这对于信息安全部门确实是一个重大挑战。

　　解决这个问题意味着利用内容监测专用设备搜索网络寻找敏感数据。Bowers的团队认为，内容监测产品可以使用关键词和短语找到信息，提供取证分析，以安全的方式从取证角度保存数据，支持法律法规的遵从性。最终，这家制药公司将该产品部署在生产网络中。

　　Bowers说，他选择了iGuard内容安全检测设备。在安装后的头5分钟内，iGuard专用设备就捕获到了一份利用电子邮件寄给某个Yahoo账户的电子报表，报表中列有公司所有消费产品的销售情况。他说，更糟的是，这份电子报表是利用一些外部网站提取数据来进行自动更新。

　　如果这个例子还不够吓人的话，Bowers说，iGuard专用设备还立即发现了一份利用电子邮件寄给MSN Hotmail账户的、包含一种新产品的临床研究文档。他说，这个目的Hotmail账户甚至不是雇员的账户，而是雇员朋友的账户。更糟的是，在这份文档的封面上用大大的粗体字赫然印着：“禁止传播到公司以外”。

　　下一步：版权管理

　　输出内容监测系统正在这家制药公司证明它的价值，但它只是内容保护架构的一部分。Bowers说：“你实际上利用内容监测技术做的事情是提供被动保护。下一步，你必须能够为业务单位提供一种主动保护信息的方法。”他说，这正是企业版权管理软件的职责所在。Authentica、SealedMedia和Liquid Machines等厂商生产这类软件，他称这些厂商的产品值得企业部署。因为它们可以保护几乎任何类型的文件——AutoCAD、JPEG、MPEG、PDF等等，并可与任何版本的Office一起使用。

　　当应用于某个保密的Word文档时，企业版权管理软件剥掉它的元数据外壳，对内容进行加密。然后，它重新给文件包上外壳以及新的控制。一台中央策略服务器管理这些新的控制功能：批准或拒绝剪切、复制、粘贴、编辑和打印等。任何试图得到受保护内容的人都必须具有正确的用户名、口令和访问权。如果用户的访问权在下载内容后被撤消，内容仍是安全的，因为它是加密的。Bowers说：“因此，现在用户有了一种主动内容保护方案。”

　　Bowers说，内容监测专用设备和企业版权管理软件如果组合在一起的话，可以形成致命的一击。他描述了这种组合是如何工作的：一家公司给正在开发的产品起了一个秘密代号“nellsworth”，并指示内容监测器对任何类型的包含这个关键字的数据都必须加以保护。内容监测器使用其语言引擎检测这个关键字或可能与其有关的上下文，阻拦任何可疑的文档，并通知企业版权管理系统这个文档需要保护。在把这个文档传送到目的地之前，企业版权管理软件对文档进行加密并给文件包裹上控制外壳。

　　Burton Group的Henry认为，这种想法很有价值。他说：“如果我们有一种多协议网络监测工具，这种工具具有语言意识，能够知道何时数据是敏感的，那么，我们把这种工具与版权管理系统集成起来，在数据传送到企业之外时自动保护数据，这会很安全。”