File Classification Infrastructure

1. File Classification Infrastructure Олег Ржевский MVP – Windows Desktop Experience

2. Содержание • Данные в организации: цена хранения и риски • Как может помочь классификация данных • Windows Server 2008 R2 File Classification Infrastructure • Сценарии • Рекомендации по внедрению • Демонстрация

3. Данные в организации: стоимость хранения Ежегодный прирост объема данных, хранящихся на корпоративных файловых серверах, начиная с 2008 годаи по прогнозу до 2012 года, составляет 51% (IDC) 60% всех данных составляет малоиспользуемая и устаревшая информация Рост объемов информации

4. Данные в организации: стоимость хранения Ежегодное снижение стоимости систем хранения примерно составляет 30% (IDC) В среднем, затраты на хранение и управление данными в организации со временем возрастают Стоимость систем хранения

5. Данные в организации: риски • Федеральный закон 152-ФЗ «О персональных данных» от 27 июля 2006 года, регламентирующий информационную безопасность в коммерческих и государственных организациях - окончательно вступил в силу 1января 2010 года • Постановление Правительства № 781 от 17 ноября 2007 и № 687 от 15 сентября 2008 года • “Приказ трёх” (совместный приказ ФСТЭК, ФСБ, Мининформсвязи) № 55/86/20 от 13 февраля 2008 года Изменения в законодательстве и отраслевых стандартах

6. Данные в организации: риски • В пункте 1 статьи 19 Федерального закона «О персональных данных» говорится: «Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий». • В пункте 2 Постановления правительства № 781 говорится: «Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных)…». Изменения в законодательстве и отраслевых стандартах (продолжение)

7. Данные в организации: риски • Разрешения NTFS • Политики аудита • Encrypting File System (EFS) • BitLocker • Windows Rights Management Service (RMS) • Политики блокировки внешних USB-устройств • Многочисленные решения сторонних разработчиков (резервное копирование, антивирусная защита, DLP) Безопасность и защита от утечки информации

8. Управление разделяемыми папками IT • Разграничение доступа • Резервное копирование • Антивирусная защита

9. Через некоторое время… • Разграничение доступа • Резервное копирование • Антивирусная защита • Стоимость/риски хранения • Защита от утечки информации • Соответствие стандартам • Утилизация

10. Управляйте данными на основе их ценности для бизнеса • Шаг 1 Классифицируйте данные • Примените политики в зависимости от классификации • Шаг 2

11. File Classification Infrastructure “Традиционная” классификация • по расположению • по атрибутам • по дате создания/изменения файлов • по имени • по расширению } Можно использовать знаки подстановки FCI добавляет классификационные свойства, расширяя возможные критерии выборки файлов.

12. File Classification Infrastructure API установки свойств для внешних приложений API получения свойств для внешних приложений Классифицировать файлы Извлечь данные Выделить классификационные свойства Сохранить классификационные свойства Применить политики на основе классификации

13. File Classification Infrastructure • Работает в домене и в рабочей группе • Поддерживается во всех версиях Windows Server 2008 R2 • Не накладывает ограничения на клиентские операционные системы • Интегрируется с Sharepoint, Rights Management Service Можно внедрять прямо сейчас!

14. File Classification Infrastructure • Вфайловых потоках NTFS (NTFS alternate data streams) • В свойствах документов Microsoft Office (только для документов Microsoft Office) Где сохраняются классификационные свойства?

15. FCI: установка

16. FCI: установка

17. FCI: установка

18. Разработайте классификатор свойств, которые должны назначаться файлам Используйте автоматическую классификацию для назначения свойств Запланируйте задачи по управлению файлами на основе их классификации Классификация и применение политик

19. Сценарий: перемещение неиспользуемых файлов на другой файловый сервер 3 2 1 c Классификация c Назначенное задание перемещает файлы с признаком “Low Business Need” и измененные более чем 6 месяцев назад на другой файловый сервер File Classification Infrastructure (FCI) присваивает файлам в этой папке классификационное свойство “Business Need” со значением “Low” Пользователь копирует файлы в определенную папкуна файловом сервере Windows Server 2008 R2 Архивирование

20. Сценарий: распознавание конфиденциальных файлов и ограничение доступа к ним 2 3 4 1 c Уполномоченные сотрудники продолжают получать доступ к “marketing.docx” Назначениеразрешений Классификация c 5 Назначенное задание изменяет разрешения NTFS на файл File Classification Infrastructure (FCI) классифицирует файл как “конфиденциальный”, т.к. в тексте содержатся слова “конфиденциально” или “для внутреннего использования” Пользователь копирует файл “marketing.docx”в папке Public на файловом сервере Windows Server 2008 R2 Рядовой сотрудник не получает доступ к файлу “marketing.docx” в папке Public

21. (Near)Real-Time Classification Пример кода Near-Real-Time Classification FCI в Windows 2008 R2 Вызывает команду при создании или модификации выбранного множества файлов Позволяет администратору выбирать файлы на основе их классификационных свойств Является консольным приложением • Процессы FCI работают как назначенные задания • Приложения могут запрашивать свойства FCI, вызывая немедленное выполнение классификации Code Gallery http://code.msdn.microsoft.com/FCINRCT

22. PowerShell Host Classifier • Позволяет классифицировать файлы на основе сценария PowerShell if (($_.Name.IndexOf(‘Confidential’) –lt 0) –and $_.RelativePath.IndexOf(‘Confidential’) –lt 0)) { $false } Else { $true} • Прост при развертывании и при создании собственной логики классификации Входит в Windows 2008 R2 SDK

23. Инфраструктура MSIT (2009 г.) • 5 кластеров Windows 2008 R2 • 20% всех файловых серверов в MSIT • на каждый сервер приходится 1-6TB данных (4 – 24 миллиона файлов) • Классификационные свойства • Важность для бизнеса (business impact) • высокий, средний, низкий • Срок использования (retention) • длинный, короткий, постоянный • Основное внимание – политикам, назначаемым по важности для бизнеса

24. Классификация запускается ночью с 22 до 6 часов File Management Tasks запускаются в 12 часов дня Отчеты по классификации готовятся ежемесячно MSIT: Архитектура классификации по важности для бизнеса FCI Файловый сервер File Management Task Folder Classifier Если “высокая важность”, запуститьIcacls Классификация Политика Content Classifier Файл Классификация File Management Task Политика Классификация Классификатор стороннего разработчика Если “высокая важность”, запустить RMS Tool

25. Основные рекомендации • Сначала разработайте политики, затем выясните, какие потребуются для них классификационные свойства • Протестируйте правила классификации до развертывания • На основе FCI Content Classifier, как правило, можно реализовать практически любую логику классификации • Ошибки и предупреждения возникают, если классифицируемые файлы доступны только для чтения, открыты или повреждены • Теперь управлять файлами можно штатными средствами Windows Server 2008 R2, а не сторонними продуктами

26. Доклад подготовлен на основе материаловвыступления Joel Garcia “File Classfication Infrastructure” на конференции TechEd Berlin 2009 Источники информации Инфраструктура классификации файловwww.microsoft.com/windowsserver2008/ru/ru/fci.aspx • Вопросы и ответыtechnet.microsoft.com/ru-ru/library/ee344836(WS.10).aspx

27. Демонстрация