Jednym z głównych powodów zakazu zapisywania danych na dyskach USB (raz mi to wyjaśniłem) jest nie zapobieganie kradzieży poufnych informacji przez pracowników. Gdyby chcieli to , nie mieliby końca obejść, aż do drukowania kodów QR na arkuszach A4.

Chodzi raczej o to, aby pracownicy nie zapisywali poufnych informacji na Dyski USB w dobrej wierze, tylko po to, aby zgubić lub skradzić te dyski USB .

Często w takich przypadkach okaże się, że można zapisać dane na określonych zaszyfrowanych dyskach nie mogą zostać odszyfrowane w przypadku kradzieży lub zgubienia: np dyski z blokadą biometryczną (*) lub zaszyfrowane systemy plików, które będą „postrzegane” jako fizyczne stałe dyski twarde zamiast wymiennych dysków twardych, omijając w ten sposób „nie można zapisywać na wymiennych Dyski ”.

Windows 7+ ma jawne ustawienia, które umożliwiają traktowanie urządzeń z funkcją BitLocked (prawdopodobnie z kluczami firmowymi) inaczej niż zwykłych urządzeń USB.

(W moim przypadku był to Windows XP Pro SP3 jakiś czas temu, miałem klucz USB z woluminem VeraCrypt i pozwolono mi zająć się tym w domu. otrzymał zakaz kopiowania plików nigdzie indziej i nieużywania dysku USB do jakichkolwiek innych celów. Tego rodzaju środki ostrożności są wyraźnie skierowane przeciwko przypadkowym wyciekom, a nie celowym).

Z tych samych powodów niektóre popularne witryny do udostępniania plików lub witryny i aplikacje, które mogłyby zezwalać na udostępnianie plików, mogą być blokowane przez firmowe zapory sieciowe. Ponownie, nie tyle po to, by powstrzymać szpiegostwo, ale żeby ludzie nie stali się zbyt nieostrożni (przynajmniej w opinii władz) dzięki informacjom korporacyjnym.

(*) Uwaga

Pendrive'y z blokadą biometryczną i (zwłaszcza) dyski twarde niekoniecznie są bezpieczne - ani nawet są zaszyfrowane lub poprawnie zaszyfrowane. Jeśli pamięć może być fizycznie oddzielona od części zamykającej (łatwe w przypadku większości obudów dysków twardych, możliwe w przypadku wielu pendrive'ów USB), ktoś może spróbować ją odczytać bezpośrednio, może po prostu „odzyskać” samą pamięć. W końcu w przypadku awarii szukacz straci tylko trochę czasu. Gdy już zdobędzie czytelną pamięć, może wystarczyć zwykła ciekawość, aby zerknąć, a może nawet spróbować ją odszyfrować przed ponownym formatowaniem i zmianą przeznaczenia. Przy odrobinie szczęścia urządzenie jest podatne na ataki i po prostu wyszukanie w Google jego marki i modelu pozwoli komuś odzyskać niezbędne narzędzia i / lub wiedzę.

Oprócz tego, co powiedział Iserni, pendrive'y w dzisiejszych czasach mogą pomieścić ogromne ilości danych.

Przeniesienie 64 GB wrażliwych danych do dostawcy chmury może zająć dużo czasu i może spowodować uruchomienie reguł zapory ustawione na szukanie nadmiernej liczby przesyłanych plików. W każdym razie przesyłanie zostanie zarejestrowane.

Pobieranie 64 GB na pendrive USB3 będzie o wiele szybsze i nie będzie zbliżać się do żadnej firmowej zapory. Gdy pendrive jest pełny, można go po prostu włożyć do kieszeni. Firma nie będzie nawet wiedziała, co zostało zrobione, dopóki dane nie zostaną wykorzystane przeciwko nim lub ich klientom.

W wielu przypadkach taka polityka jest połączona z użyciem jakiejś formy oprogramowania cenzurującego, aby blokować dostęp do znanej listy dostawców usług przechowywania w chmurze i witryn poczty internetowej, a także blokować porty dla ftp (i przesyłania plików przez komunikatory).

Oczywiście łatwo jest zastosować własne obejście: miałem raz serwer ftp działający na porcie 80 w domu przez kilka dni; poczta internetowa mojego dostawcy usług hostingowych nie jest powszechnie znana; i jestem pewien, że istnieją gotowe rozwiązania umożliwiające przesyłanie za pośrednictwem protokołu http. Jak powiedziałeś, korporacyjne korzystanie z GitHub jest zmartwieniem (chociaż wielu pracodawców obawia się go i można go odblokować na poziomie użytkownika tylko dla programistów, zmniejszając powierzchnię zagrożenia). Nie każde źródło (nawet celowego) wycieku danych jest bardzo wyrafinowane, a przypadkowymi źródłami mogą być osoby o najniższych umiejętnościach z logowaniem.

Wiele dużych organizacji ma takie ograniczenia. Udało mi się ominąć wszystkie testowane przeze mnie.

Celem jest to, aby użytkownicy nie mogli zbiorczo wyodrębniać danych. Zrozumiałe jest, że ludzie mogą wydobywać niewielkie ilości danych, fotografując swój ekran, a nawet po prostu zapamiętując go. Jest jednak różnica między wyodrębnieniem kilku szczegółów a kradzieżą 10-gigabajtowej bazy danych danych osobowych. Myślę, że to dobry zamiar, ale nigdy nie można tego zrobić idealnie.

Aby zrobić to bezpiecznie, dobrym początkiem jest:

• Zablokuj wszystkie lokalne nośniki wymienne: USB , Nagrywarki CD, karty pamięci, firewire, eSATA i może więcej.
• Ogranicz eksflitrację sieci: Zwykle odbywa się to poprzez blokowanie całej poczty internetowej i usług udostępniania plików na serwerze proxy. Konfiguruję również laptopy, aby gdy znajdowały się poza organizacją, wszystko, co robią, to VPN z powrotem do bazy.

Zwykle mogę ominąć eksfiltrację sieci, przesyłając pliki do własnej witryny internetowej. Nie jest znany przez proxy jako witryna do udostępniania plików, więc przechodzi. Inną techniką jest podłączenie laptopa zewnętrznej organizacji do sieci biurowej i kopiowanie bezpośrednio z komputera firmowego na laptop zewnętrzny - z pominięciem proxy. Ponadto firmowy system poczty e-mail prawie zawsze umożliwia ominięcie, chociaż ryzyko jest zmniejszane przez limity rozmiaru plików i rejestrowanie. Jeśli to się nie powiedzie, uzyskaj uprawnienia administratora na komputerze i wyłącz ograniczenia.

Jeśli organizacja ma system pracy zdalnej w stylu Citrix - kiedy możesz połączyć się z komputera domowego - bardzo często można to wykorzystać do eksfiltracji dane. Pamiętam taki, który blokował dyski lokalne, co było dobrym początkiem, ale pozwalało na zdalne USB, więc można było podłączyć pamięć USB do komputera domowego i zamontować ją na serwerze Citrix - co pozwala na masową kradzież danych.

Jednym z problemów związanych z tą konfiguracją jest to, że ludzie mają uzasadnione zapotrzebowanie na pamięci USB, dyski CD z możliwością zapisu itp. Prostym podejściem jest utworzenie procesu, w którym osoby z potrzebami biznesowymi są dodawane do listy wyjątków. Bardziej zaawansowanym podejściem jest Data Loss Prevention (DLP), która jest bardzo interesującą technologią. Dyskusja na ten temat prawdopodobnie najlepiej będzie odpowiadać na inne pytanie.

Nie pomijajmy wpływu wektorów zagrożeń, które opierają się na USB przy wprowadzaniu do sieci - (ktoś „StuxNet”?) To powiedziawszy, czy jest to „wydajne”? - IMHO, tak, to wymaga niewielkiego wysiłku, aby schwytać masy, które mogą wyjawić tajemnice tenisówek za drzwiami. Ale czy jest skuteczny ? tylko dla nieskomplikowanych mas. sprytni lokalni administratorzy wciąż będą chodzić po sekretach. Szyfrowanie danych wrażliwych w sieci jest znacznie skuteczniejsze.