DLP системы - Форум по вопросам информационной безопасности

Коллеги,всех приветствую. Подскажите, какую лучше систему DLP выбрать? Критерии выбора примерно такие "цена-качество(функционал)":
- сертификат ФСТЭК;
- 300-400 пользователей;
- одна компания без филиалов;
- два контура: открытый/закрытый;
- смешанная структура : Astra + Win ( клиенты и сервера);
- по железу:
2x16 CPUs x Intel(R) Xeon(R) CPU E5-2630 v3 @ 2.40GHz
ОЗУ: 128 (свободно 32) Gb
СХД HUAWEI 5 Tb
2x24 CPUs x Intel(R) Xeon(R) Silver 4310 CPU @ 2.10GHz
ОЗУ: 128 (свободно 32) Gb
SAS SSD 3 Tb
функционал:
в основном контроль пользователей,почта,файлообмен,переписка в корпоративном мессенджере, скриншоты и т.д.;
быстрое проведение расследований инцидента;
HR аналитика можно,но не обязательно.
Пока остановились на Стахановце,функционал подходит, но дороговато выходит.
Есть у кого дельные советы по этой теме?

Вы реально хотите контролировать/мониторить 300-400 пользователей имея в наличии 8 Тб в совокупности? ))

Под Ваши критерии подходят практически все доступные dlp.
По функционалу: смотрите, какой функционал есть, что нужно именно Вам (обязательно + хотелки из серии "а вдруг и это можно контролировать"). Программное обеспечение, протоколы и много чего ещё.
По поддерживаемому ПО: Нужно смотреть, что из установленного у Вас может контролировать dlp. Например, не каждая dlp сможет контролировать установленный у Вас почтовик. По остальным пунктам аналогично.

По железу для dlp: Как верно написал Влад, нужно смотреть, какой будет ежедневный объем логов, сколько их хранить и тогда уже считать диск, аналогично определиться с оперативкой, процессором и т.д.

И напоследок: "Не читайте перед обедом советских газет" - не слушайте продавцов/маркетологов. Технические характеристики уточняйте только у технических специалистов + документация. Причина, думаю понятна.

В идеале нужно брать на тест или хотя бы подключиться к демостенду и потрогать ручками.
При анализе стоимости нужно смотреть не только годовую стоимость лицензий и техподдержки (первый год без неё не советую), но и дальнейшее сопровождение, хотя бы в пределах 3-5 лет.

* Вы реально хотите контролировать/мониторить 300-400 пользователей имея в наличии 8 Тб в совокупности? ))
Да, представьте, это оказывается возможно. Без фанатизма, с учетом потребностей по функционалу и нашего трафика нам достаточно будет 6тб., уже все опробовано и подсчитано (равернута демка DLP), Ваш сарказм тут точно не уместен(.

>>Ваш сарказм тут точно не уместен(.
Это был не сарказм. Вы видимо плохо представляете себе, какой объём занимают логи. Если DLP разворачиваете "для галочки", то вопросов нет, можно и HDD на 500 Гб выделить )) Если DLP разворачиваете для реального использования, особенно для вероятного использования в качестве доказательной базы, то и мощности должны быть соответствующие.

Повторяюсь. Естественно DLP не для галочки, а реального использования и расследования инцидентов, в основном выявление внутренних нарушителей. Мы не пишем аудио и видео файлы с частотой реального времени,не контролируем пользователя 24/24, пересылка больших объемов информации во вне, только через ИБ контроль, у сотрудников нет технической возможности даже это делать. Исходя из данных апробации демоверсии, включения в ней только необходимых функций и расчета мощностей, то 6Тб нам будет достаточно на полгода хранения и записи логов, не хватит добавим, проблем нет.

Т.к. в исходных условиях упоминается Astra, то хотелось бы обратить внимание, что не каждая DLP могёт в Astra, а те, что могут, как правило, имеют весьма урезанный функционал агента по сравнению с win. А еще очень важно вопрос применения DLP правильно обставить с юридической точки зрения, а то решения судов по применению данных систем часто не на стороне ИБ.

Сейчас все отечественные DLP работают с Астрой, разработчики уже давно работают над этим, насчет правовой основы, все наши работники подписывают при заключении трудового договора согласие на обработку действий такой системой.