Любой пользователь корпоративной сети "уведёт" вашу КИ посредством собственного NAS - Форум по вопросам информационной безопасности

Добрый день!
Недавно столкнулись с интересной уязвимостью корпоративной сети. Любой пользователь сети может выдернуть сетевой проводок из розетки и вставить его в свой собственный NAS, получить IP адрес и начать уже сливать инфу. Если адрес статический, то сконфигурировать сетевые настройки NASа в соответствии с установленными на рабочем месте.
Вместо NASа можно использовать OTG адаптер с USB сетевой картой и собственный смартфон, заодно можно и в Интернет выйти, посмотреть вконтактики, или что вы им там блокируете.
Собственно вопрос, что с этим делать?
P.S. Рабочее место предполагает доступ ко многим сетевым сервисам, включая web-корпоративный портал, которых пользователя лишать никак нельзя.

Приветствую!
А почему именно NAS? Почему не личный ноут с набором хак-тулз?
Раскройте тему, пожалуйста :)

ЗЫ Ни в коем случае не хочу обидеть. Просто вопрос либо неполный, либо упирается корнями в незнание базовых принципов нейтрализации внутреннего нарушителя в корпоративной сети...

У пользователя отключены usb-порты, распечатки отслеживает DLP, почту читает безопасник, а доступ в интернет ограничен белым списком. Права на ПК урезаны, оборудования не добавить, другой софт не запускается т.к. SRP задействованы. И единственный у него выход это - подключиться к своему смартфону через OTG адаптер с USB сетевой картой.
Адаптер и USB карту можно пронести на территорию предприятия в естественных полостях своего тела.

sivkovsn | 64188

Что это за корпоративная сеть такая, к которой обычный пользователь может подключить недоверенное устройство?

Работник холдинга
Устройство подключается не в сеть, там сразу порт будет заблокирован коммутатором!
Устройство подключается непосредственно к рабочему месту (к ПК) через сетевой интерфейс.

Хреновая у Вас DLP. Современные системы умеют прекрасно блокировать подобные утечки офф-лайн.

sivkovsn | 64182
Если мне память не изменяет, DLP умеют работать в оффлайн режиме, и все складывается в локальное хранилище до появления связи с сервером. А вообще есть более простые способы увести КИ.

Как DLP помешает подключиться к интернету? Собственно вопрос больше в этом.

Хорошее DLP помешает вынести чувствительную информацию. Но тут главное - игра на определение пресловутой "конфиденциальности" администратором DLP. Ибо ошибки 1 и 2 рода, ага. И лично я в такие подходы как допустимые верю с большой натяжкой...
Кардинальных решения (мимо DLP, разумеется) по означенной проблеме два (и оба под собой подразумевают усложнение или изменение техпроцесса):
1. Внедрение мандатных механизмов, при которых информация с меткой 1 не является защищаемой, а с меткой 2 является. И каждый файл/юзер/процесс/поток характеризуется своей меткой. При этом важно понимать, что оптимальность защиты будет только в случае первичного размещения ресурса с меткой 2 "доверенным лицом", а продолжение работы с ним от лица предполагаемого нарушителя. К примеру, все "чувствительные" документы хранятся на выделенном сервере, им присвоена метка 2. Нарушителю ограничиваются права запуска ПО на своей машине так, что для обработки метки 2 имеется только заранее определенный перечень ПО, а понизить метку нарушитель не может. Тогда подключение любого внешнего канала - лишенная смысла атака - ибо каждый процесс будет сравнивать метки документа с меткой места назначения. И при несоответствии метки (например, левый сервер в Интернет) будут запрещены любые попытки вывода информации.
2. Перевод всей системы в терминальный режим. Лучше всего совместно с концепцией тонкого клиента. Чтобы у нарушителя вообще не было возможности хранить и обрабатывать информацию в памяти своей машины (за исключением оперативки, но тут уже речь о его умениях и потенциале). Впрочем, это тянет за собой другой пласт проблем и сложностей, который, пожалуй, не буду тут сейчас обсуждать...

Классическое решение №1 - "автоматичики" за спиной каждого пользователя + опечатывание всего, что только возможно (мест подключения линий ЛВС, портов и т.д.) Впрочем, тут цель больше в установлении факта утечки, чем в предотвращении. Зато крайне "тренирует" сознание каждого пользователя, что тоже плюс...

Классическое решение №2 (чисто для рассмотренной тов. sivkovsn ситуации) - перехватчик данных на уровне драйвера сетевой карты и исполнительных процессов ОС. Метка машины + метка штатного сервера доступа к внешним сетям. При несовпадении меток (либо отказе сервера предоставить свою метку, ибо сервер у нас - телефон с USB-сетевухой) - запрет вывода информации.

ЗЫ К чему я это все веду. Защита от инсайдера - самое сложное направление. Особенно, когда инсайдеру априори должны быть доступны высокие права к защищаемой информации с целью выполнения производственных задач. И, добавив к этому ситуацию с разрешением хранения информации на носителе, расположенном в прямом доступе инсайдера, получаем риторический вопрос: "А чего вы, собственно, хотели в такой ситуации добиться?" :)

Спасибо око за развёрнутый ответ.
Как я понял, наиболее подходящим вариантом всё же остаётся закручивание гаек в политиках DLP.