Сохранить мозг офицеру безопасности. Призван новый «Дозор-Джет»

Немного статистики: по данным IDC, объем мирового рынка DLP в 2010 году составил $362 млн. При этом отмечается ежегодный рост этого рынка на 17%. Прогнозируется, что к 2015 году его объем составит в денежном выражении $808 млн. Россия занимает седьмое место по количеству утечек, сведения о которых стали известны широкой общественности. По различным экспертным оценкам, объем российского рынка DLP составляет порядка $30 млн.  

Заместитель директора Центра информационной безопасности Евгений Акимов рассказал, что объем DLP-проектов составляет 24,2% от общего объема проектов по информационной безопасности. В России компания выполнила 25,3% проектов по внедрению систем DLP от общего объема рынка DLP. «1/4 плюс 1/4 равно 5.0, так возникла версия «Дозор-Джет» 5.0», - пошутил Евгений Акимов.

Кирилл Викторов, заместитель директора по развитию бизнеса «Инфосистемы Джет»,  отметил, что при разработке новой версии продукта были приняты во внимание пожелания заказчиков компании. Все они констатировали, что прогрессивно растут объемы данных, обрабатываемых DLP-системами, в частности, за счет того, что поток информации между пользователями растут экспоненциально. То есть повышается нагрузка на систему фильтрации, повышаются требования к хранилищу обработанных данных. Постепенно сложились требования к новой версии системы «Дозор»: удобство, скорость, интеллект.

Как показала практика, наиболее активно в системах DLP используется функция поиска. В новой версии комплекса «Дозор-Джет» 5.0 увеличена производительность системы фильтрации более чем в два раза и позволяет перехватывать поток данных на скорости 10 Гбит/с. «Это была наша инвестиция в будущее, которое наступило гораздо раньше, чем все ожидали», - прокомментировал Кирилл Викторов.

Алгоритмы комплекса, созданные для обработки информации, ориентированы на большие потоки данных и «разношерстность» контролируемых объектов. Производительность удалось повысить благодаря поддержке кластеризации системы фильтрации на основе платформы Crossbeam. Благодаря этому можно не только гибко наращивать производительность системы, но и эффективно управлять рисками, соблюдая принятые в компании регламенты.

Высокая производительность может быть обеспечена и благодаря упрощению процесса эксплуатации системы и сокращению времени на обработку результатов работы комплекса и расследование инцидентов. «Одна из целей данного комплекса – сохранить мозг офицеру безопасности», - отметил эксперт Центра информационной безопасности «Инфосистемы Джет» Дмитрий Михеев. В среднем, офицер безопасности может в день обработать до 200 инцидентов. В новой версии комплекса к механизмам, осуществляющим качественный анализ данных, добавлен инструмент, отвечающий за такое направление алгоритмов анализа, как «искусственный интеллект». Он представляет собой специальный модуль, который позволяет офицеру ИБ за несколько секунд с помощью двух кликов определить тематику обнаруженного документа большого объема. Данный модуль выделяет наиболее типичные слова и фразы для конкретного документа и позволяет осуществить поиск похожей информации в накопленном архиве для получения целостной картины информационного обмена на определенную тематику.

Важно, что все эти новшества не усложнили эксплуатацию комплекса. Для него был создан новый, интуитивно понятный интерфейс. Формат различных пометок и окон нацелен на ускорение расследования инцидентов и максимально быстрое восстановление картины обмена информацией. Это снижает время выполнения той или иной операции с использованием комплекса в условиях обработки огромных объемов данных. Кроме того была добавлена страница, позволяющая за несколько секунд оценить состояние всего комплекса.

Исторически комплекс «Дозор» начинался как архивная система. В пятой версии применение гибридного хранилища данных позволяет хранить непосредственно в базах данных только «легкие» метаданные писем и индексы. «Тяжелые» данные (например, вложения) хранятся в файловом хранилище. За счет этого достигнуто 60% сокращение занимаемого места на дисковой подсистеме по сравнению с прошлыми версиями комплекса. Также существенно увеличена скорость помещения данных в базу (в некоторых случаях зафиксирован стократный рост этого показателя). Кроме того «Дозор-Джет» 5.0 позволяет более эффективно работать с историческими данными, подключая их необходимые блоки в автоматическом режиме и самостоятельно контролируя корректность этого процесса.

В числе новых функциональных модулей комплекса – модуль интеграции с BI-платформой QlikView. Это позволяет использовать «Дозор-Джет» 5.0 как для исполнения бизнес-процессов компании, так и для мониторинга уровня лояльности сотрудников. Механизмы глубокого анализа данных в пятой версии дополнены инструментом для поиска схожих по содержанию документов, таким образом получая целостную картину информационного обмена по определенной тематике.