Система мониторинга и архивирования почтовых сообщений «Дозор-Джет»

Использование Интернет-технологий в настоящее время является корпоративным стандартом благодаря удобству, доступности, открытости и дешевизне предоставляемых в Интернете услуг.

Интернет дает не только ощутимые преимущества в развитии информационно-технической инфраструктуры компании — неконтролируемость и потенциальная агрессивность Интернет-окружения может представлять для компании значительную опасность. С точки зрения обмена информацией с помощью электронной почты это означает отсутствие гарантий аутентичности отправителя, доставки почтового сообщения адресату, конфиденциальности информации, содержащейся в самих сообщениях, а также безопасности содержимого сообщения для получателя и отправителя.

Сегодня существует целый ряд подходов к обеспечению безопасности информационных систем — межсетевое экранирование, организация виртуальных собственных сетей, активный аудит и др. Однако этого недостаточно для решения, например, таких проблем, как утечка конфиденциальной информации по каналам электронной почты, использование сотрудниками корпоративной почты в личных целях, фильтрация массовой рассылки рекламных сообщений, учет и контроль электронного обмена документами. В этом случае необходимо применять специализированные средства, одним из которых является «Дозор-Джет», представляющий собой систему мониторинга и архивирования почтовых сообщений.

Назначение системы

Электронная почта является для многих компаний таким же широко используемым сервисом, как, скажем, телефон или факс. Однако в большинстве случаев работа с электронной почтой происходит по принципу «все разрешено», что рано или поздно приводит к проблемам, связанным с нарушением информационной безопасности компании. Для снижения вероятности возникновения проблем такого рода необходимо, во-первых, сформировать корпоративную политику и правила использования электронной почты, а во-вторых, применять их на практике.

«Дозор-Джет», в свою очередь, представляет собой программное решение, позволяющее реализовать корпоративную политику использования электронной почты в части обеспечения информационной безопасности. При этом «Дозор-Джет» одновременно решает несколько задач.

Повышение безопасности корпоративной почты

В значительной степени повысить безопасность использования корпоративной почты возможно путем мониторинга и контроля всех входящих, исходящих и внутренних почтовых сообщений. Мониторинг включает в себя анализ заголовков и структуры сообщений и проверку на наличие в тексте сообщения или прикрепленных файлах разрешенных или запрещенных к использованию в почтовых сообщениях слов или последовательностей слов. Результатом такого мониторинга может стать, например, задержание подозрительных писем. «Дозор-Джет» позволяет задавать корпоративные правила обработки входящей и исходящей почты в зависимости от тех или иных предопределенных событий, например:

· запрет пересылки файлов формата EXE всем, кроме разработчиков программного обеспечения;
· запрет пересылки картинок формата GIF и JPEG всем, кроме сотрудников рекламного отдела;
· ограничение на объем и количество присоединенных файлов, направляемых отдельным адресатам;
· автоматическое уведомление руководителя подразделения о письмах с пометкой «Срочно», получаемых его сотрудниками, и т. д.

Использование гибкой системы фильтрации сообщений позволяет реализовать практически любую схему прохождения электронной почты. Например, возможна так называемая отложенная доставка почтового сообщения, когда решение о доставке конечному пользователю предпринимается только после дополнительного анализа администратором безопасности и другими системами безопасности, включающего в себя контроль массовой рассылки сообщений рекламного характера, проверку на наличие вирусов, неопознанных (закодированных) вложений и пр.

Расширение возможностей документооборота

Благодаря предоставляемым системой «Дозор-Джет» возможностям архивирования сообщений, а также документирования всех событий, происходящих с электронными сообщениями, становится реальностью интеграция системы электронной почты в традиционный документооборот компании.

Документирование событий позволяет не только регистрировать все входящие, исходящие и внутренние сообщения, но и вести учет необходимой информации на протяжении всего жизненного цикла сообщения.

Архивирование почтовых сообщений позволяет хранить, учитывать и систематизировать сообщения и документы, передаваемые посредством корпоративной электронной почты. При этом «Дозор-Джет» предоставляет возможность как краткосрочного, так и долговременного хранения почтовых сообщений, удовлетворяющих определенным критериям. Кроме того, подотчетность и невозможность отказа от совершенных действий является немаловажным фактором повышения ответственности пользователей корпоративной почты за содержание передаваемой информации.

Анализ эффективности почтового сервиса

Статистическая обработка накопленной в системе «Дозор-Джет» информации позволяет анализировать эффективность использования почтового сервиса компании: насколько активно ведется переписка с партнерами и клиентами, как часто пользователи передают по почте файлы большого размера или определенного типа (графические, аудио- или видеофайлы). Появляется возможность анализа эффективности и качества работы отдельных подразделений компании: средних сроков обработки запросов клиентов, количества обращений, поступающих в подразделения компании, и многого другого.

Описание системы

Система «Дозор-Джет» представляет собой набор программных модулей, которые обеспечивают потоковый анализ SMTP-трафика почтовых сообщений как между локальной сетью компании и внешним миром, так и внутри локальной вычислительной сети компании, а также ведение архива почтовых сообщений.

Компоненты

«Дозор-Джет» состоит из следующих основных системных компонентов:

• модуль разбора сообщений;
• модуль мониторинга почтовых сообщений;
• модуль архивирования со справочной подсистемой;
• модуль администрирования.

Все почтовые сообщения, поступающие из внешней среды (Интернет) или из локальной сети компании, обрабатываются системой «Дозор-Джет». В процессе обработки система принимает решение о дальнейшей отправке сообщения адресату или о его задержке, архивировании сообщения, а также уведомлении администратора безопасности о прохождении сообщения определенного типа. Вся почта, успешно прошедшая проверку системы, перенаправляется почтовому серверу для дальнейшей отправки по назначению.

Полный разбор

Все попадающие в «Дозор-Джет» почтовые сообщения проходят процедуру разбора на составляющие компоненты. При этом происходит разбор не только заголовка сообщения (отправитель, получатель, скрытая копия, тело сообщения и пр.), но и всей его структуры вне зависимости от количества уровней вложенности. Это позволяет анализировать как сообщения, содержащие прикрепленные файлы, так и те сообщения, которые были несколько раз перенаправлены корреспондентами, перед тем как попасть на обработку в систему «Дозор-Джет».

Мониторинг сообщений

Подсистема мониторинга почтовых сообщений использует правила фильтрации, предварительно настроенные в соответствии с корпоративной политикой использования электронной почты, для анализа разобранных сообщений, например, по:

• адресатам и/или другой информации полей почтовых заголовков;
• типу структуры сообщения;
• типу, количеству и размеру присоединенных файлов;
• использованию в заголовке, теле сообщения и присоединенных файлах слов или последовательности слов, разрешенных или запрещенных к использованию в почтовых сообщениях.

При обнаружении соответствия почтовых сообщений заданным в правилах фильтрации критериям система осуществляет одно или несколько из заранее предписанных действий: добавление или удаление получателей сообщения, отказ в передаче (блокирование) сообщения, его архивирование для дальнейшего анализа, оповещения администратора безопасности системы (или других лиц) о событиях в системе. При этом в обязательном порядке осуществляется протоколирование всех производимых действий.

Архивирование сообщений

На каждое сообщение заводится учетная карточка, которая содержит всю идентификационную информацию сообщения и описание его структуры. В дальнейшем в учетную карточку попадает информация, связанная с жизненным циклом данного сообщения в системе (причина и сроки задержки, дальнейшие административные действия, время хранения в архиве и пр.).

Модуль архивирования почтовых сообщений предусматривает возможность организации определенного жизненного цикла письма в системе и включает в себя справочную подсистему, позволяющую получать отчеты по запросам администратора безопасности. Для реализации модуля архивирования используется СУБД Oracle.

Администрирование системы

Обслуживание системы «Дозор-Джет» осуществляется администратором безопасности. Задачами администратора безопасности является обеспечение надежного функционирования системы, настройка фильтров, управление подсистемой архивирования. В обязанности администратора безопасности может быть включен, кроме того, регулярный контроль и анализ задержанных писем, осуществление поисковых запросов и реагирование на сообщения системы.

Действия администратора безопасности должны подчиняться общей корпоративной политике безопасности. В своей работе администратор должен взаимодействовать с администраторами всей информационной системы.

Особенности системы

Использование открытых стандартов

Несомненным преимуществом любой системы является использование открытых или широко распространенных стандартов хранения, передачи и представления данных. Такой подход значительно упрощает интеграцию в уже существующую инфраструктуру компании, а также позволяет работать с системой с использованием стандартных подходов.

В системе «Дозор-Джет» для ведения архива электронных сообщений используется СУБД Oracle. Это позволяет, во-первых, использовать стандартные средства обработки, поиска и анализа накопленной информации, а во-вторых, достаточно легко интегрировать базу почтовых сообщений с уже существующими в компании системами в целях ее более широкого использования.

Использование в качестве пользовательского интерфейса Веб-навигатора унифицирует рабочее место администратора безопасности, что значительно упрощает как работу по настройке модулей системы, так и текущую работу администратора безопасности.

Анализ русскоязычных текстов

В отличие от зарубежных аналогов «Дозор-Джет» осуществляет морфологический анализ русскоязычных текстов и поддерживает поиск последовательности символов (слов) как латиницы, так и кириллицы в кодировках Win-1251, DOS-866, ISO-8859.5, KOI-8 и Mac.

Надежность и безопасность

«Дозор-Джет» представляет собой лишь один из рубежей информационной защиты компании, которые должны действовать максимально согласованно в рамках единой корпоративной политики. Возможность легкой интеграции с межсетевым экраном «Застава-Джет» и антивирусными программами позволяет значительно повысить защищенность всей информационной системы компании в целом, не усложняя при этом процесс администрирования и контроля каждого из защитных рубежей.

Использование UNIX-платформы (SPARC/Solaris) и современной промышленной СУБД (Oracle) для работы системы «Дозор-Джет» позволяет удовлетворить самым высоким требованиям по надежности, доступности и масштабируемости системы.

Описание работы системы «Дозор-Джет»

С точки зрения информационной безопасности «Дозор-Джет» позволяет реализовать как минимум две основные схемы обработки почтовых сообщений — прохождение безопасных писем и задержание подозрительных. При необходимости возможна и более тонкая настройка системы, позволяющая учесть возможные особенности корпоративной политики использования электронной почты.

Прохождение безопасных писем

Как правило, работа системы «Дозор-Джет» совершенно прозрачна для сотрудника компании. Письмо, отправителем или получателем которого является сотрудник, проходит процедуру разбора и проверки на соответствие установленным фильтрам. После успешного прохождения проверки копия письма может быть направлена в архив, а само письмо отправляется адресату. При этом возможна передача сообщения адресату без изменения, с добавлением аннотации или добавлением новых получателей сообщения в соответствии с принятой корпоративной политикой. Никаких дополнительных действий ни от сотрудника компании, ни от администратора безопасности в этом случае не требуется.

Задержание подозрительных писем

В случае обнаружения модулем мониторинга почтовых сообщений письма, которое не соответствует принятой корпоративной политике, «Дозор-Джет» направляет это сообщение в специальный архив задержанных писем, посылая при этом соответствующее уведомление администратору безопасности. После дополнительного анализа задержанного сообщения администратором безопасности оно может быть удалено (например, при заражении вирусом), окончательно задержано или отправлено адресату в случае ошибочного задержания. В последних двух случаях копия письма заносится в основной архив, а сотруднику компании может быть направлено уведомительное сообщение о факте и причинах задержания письма системой.

Опираясь на многолетний опыт работы на рынке информационной безопасности и высокую квалификацию своих специалистов, компания «Инфосистемы Джет» предлагает следующие услуги:

• обследование, анализ рисков и степени защищенности почтового сервиса компании;
• разработка корпоративной политики и правил использования электронной почты, подготовка регламентирующих документов;
• адаптация системы «Дозор-Джет» для решения специальных задач;
• инсталляция и настройка системы;
• подготовка администраторов безопасности;
• сервисное обслуживание системы;
• выявление и анализ нарушений защиты, срочная помощь в чрезвычайных ситуациях.

Илья Дуров