Solar Dozor

Solar Dozor — система для предотвращения утечек конфиденциальной информации (Data Leak Prevention, DLP). Ее возможности обеспечивают контроль коммуникаций сотрудников, блокировку или изменение нежелательных сообщений, выявление и мониторинг групп риска, а также ретроспективный анализ архива коммуникаций для проведения расследований. Кроме этого, Solar Dozor может анализировать поведение пользователей (User Behavior Analytics), что позволяет выявлять аномалии поведения, круг общения и приватные контакты сотрудников, а также профилировать их на основе 19 устойчивых паттернов поведения.

В Solar Dozor реализована современная концепция обеспечения внутренней безопасности организации — People-Centric Security. В ее основе — концентрация внимания службы безопасности не на движении информации, а на сотрудниках, их связях и поведении. Такой подход значительно снижает количество ложных срабатываний и отвлекающих уведомлений. В результате офицеры безопасности могут сосредоточиться на расследовании и профилактике критических инцидентов.

Если организация состоит из нескольких дочерних зависимых обществ или территориально-распределенных филиалов, инсталляции Solar Dozor могут работать как единое целое (функции модуля MultiDozor). Это дает возможность:

• в режиме реального времени получать и обрабатывать данные по всей компании или отдельным подразделениям;
• контролировать деятельность всех пользователей DLP-системы;
• выполнять централизованный мониторинг групп особого контроля;
• проводить сквозные расследования в масштабе компании;
• централизованно управлять системой и распространять политику безопасности в филиалы.

Пользователи Solar Dozor — представители служб информационной, экономической и собственной безопасности средних и крупных коммерческих и государственных организаций, нуждающиеся в инструментах для контроля коммуникаций и предотвращения утечек, а также выявления корпоративного мошенничества, конфликтов интересов, взяточничества, сговоров, прямых или косвенных хищений денежных средств, шпионажа.

Предотвращение утечек конфиденциальной информации

Для защиты от утечек конфиденциальной информации Solar Dozor использует специализированные модули-перехватчики. Они собирают и передают на анализ все сообщения сотрудников, контролируют действия пользователей на персональных компьютерах, а также проверяют локальные и облачные файловые ресурсы.

Защищаемая информация может быть представлена в текстовом, графическом или бинарном виде: как сообщения в электронной почте, мессенджерах, веб-ресурсах и социальных сетях, технические чертежи САПР, документы Microsoft Office, отсканированные счета, голосовые сообщения, видеофайлы, архивы и т. д.

Перехваченные данные анализируются в основном модуле Solar Dozor с помощью комплекса настраиваемых правил, отражающих актуальные задачи безопасности организации. По результатам анализа принимается решение о блокировке нежелательного действия или уведомлении офицеров безопасности о подозрительном поведении.

В отличие от ряда решений, позиционирующих себя как DLP-системы, но по факту ими не являющихся, Solar Dozor может ставиться в разрыв трафика. Это позволяет надежно блокировать передачу конфиденциальной информации в реальном времени, а не просто констатировать факт утечки.

Анализ поведения пользователей

Анализ действий сотрудников и контрагентов может стать для офицера безопасности главным источником признаков зарождающихся угроз. Перед совершением преступления любой злоумышленник проводит подготовительные действия и неосознанно оставляет следы, которые являются отклонением от нормы. Solar Dozor легко отслеживает такое поведение, своевременно замечая аномалии в поведении сотрудников.

Специальные виджеты представляют быстрый доступ к информации по сотрудникам, входящим в группы особого контроля (на испытательном сроке, на увольнение и т. д.) или у которых было зафиксировано аномальное поведение.

С модулем UBA, реализованном в Solar Dozor 7, система может анализировать действия пользователей автоматически, что открывает перед офицерами безопасности новые возможности. В их число входят выявление аномалий в поведении, круга общения и приватных контактов, а также профилирование сотрудников в соответствии с устойчивыми паттернами поведения. Эти возможности позволяют работать с рисками превентивно, вовремя принимая соответствующие меры.

Проведение расследований

Вся собранная Solar Dozor информация может помещаться в архив и использоваться для расследования инцидентов ИБ и работы службы собственной и экономической безопасности. При необходимости возможна перефильтрация архива для ретроспективного анализа ранее накопленных данные по вновь открывшимся обстоятельствам и нахождения ранее пропущенных инцидентов.

Качество расследований в компаниях, имеющих сеть филиалов, может быть улучшено за счет использования возможностей работы в филиальной структуре (модуль MultiDozor). Благодаря единому досье возможно осуществлять мониторинг групп особого контроля и проводить сквозные расследования по всей сети филиалов. Solar Dozor может интегрироваться с внешними ИТ-системами, такими как SIEM, HRM, MDM, IdM/IGA, для получения контекстной информации о сотрудниках и инцидентах.

Технология быстрого поиска, аналогичная поисковикам Яндекс или Google, позволяет за секунды находить нужные сообщения и инциденты безопасности — поиск в архиве на 17 млн сообщений занимает 1 секунду. При этом не нужно составлять сложные поисковые запросы, требующие наличия профильного ИТ- или ИБ-образования — при начале ввода имени или части адреса Solar Dozor сразу отображает список сотрудников, данные которых содержат вводимые символы.

Это дает возможность работать с системой специалистам служб экономической и собственной безопасности организации, комплаенса, внутреннего контроля, HR-департамента и т. д. В системе также реализованы поисковые шаблоны, отражающие многолетний опыт использования Solar Dozor в различных организациях России.

Вся информация о сотрудниках и внешних контактах концентрируется в специализированном разделе интерфейса — «Досье на персону». В нем сосредоточены все данные по активности персоны и инструменты для более глубокого анализа: граф связей, библиотека скриншотов, информация об активности на рабочем месте, используемых приложениях, веб-ресурсах и устройствах, а также данные об аномальном поведении. На основе информации в «Досье» можно мгновенно создать сводный отчет по персоне за требуемый период и отобразить его в веб-интерфейсе или выгрузить в PDF-файл для печати.

Единый интерфейс Solar Dozor позволяет мгновенно переходить к интересующему событию или документу (концепция drill-down — «углубление в данные»), что дает возможность оперативно анализировать обстановку, проводить сложные расследования и минимизировать ошибки, связанные с человеческим фактором. Возможна интеграция с внешними ИТ-системами, такими как SIEM, HRM, MDM, IdM, для получения контекстной информации о сотрудниках и инцидентах.

Работа в территориально-распределенном режиме

Для решения задач офицеров безопасности крупных территориально-распределенных организаций с филиальной сетью в Solar Dozor 7.2 был реализован новый модуль — MultiDozor. Он объединяет разрозненные инсталляции Solar Dozor в единую логическую структуру, предоставляя офицерам безопасности принципиально новые инструменты и возможности для обеспечения информационной и экономической безопасности организации. Например, MultiDozor позволяет в режиме реального времени централизованно контролировать процессы, получать аналитику и мониторить группы особого контроля в разрезе всей организации. Не менее важная функция, которую не могут предоставить другие DLP-системы — сквозные расследования по всей сети филиалов.

Работа с создаваемыми событиями и инцидентами, а также их хранение осуществляются централизованно. Сбор данных осуществляется локально в филиалах с помощью агентов на рабочих местах пользователей (Dozor Endpoint Agent). MultiDozor позволяет передавать собранные данные на общекорпоративные ресурсы для централизованного анализа и хранения.

Кроме этого, MultiDozor позволяет централизованно настраивать и распространять политики безопасности в филиалы компании. Это значительно облегчает управление системой и экономит ценное время, которое можно потратить на разбор инцидентов и проведение расследований.

Система позволяет вести централизованный контроль пользователей — офицеров безопасности, работающих в филиалах — за счет использования журнала регистрации действий.