[Sophos 대학생 기자단 1기] DLP 정책 테스트

이번 포스팅에서는 DLP가 무엇이며, Sophos EDR의 DLP 정책 생성,변경 등으로 데이터 유출을 방어하는 방법을 확인해보겠습니다.

DLP란?

DLP는 Data Loss Protect의 약자로 데이터유출방지입니다.
DLP는 DRM과 달리 문서에 암호화 기능은 존재하지 않습니다.
DLP는 정보의 유통이나, 기업 내부의 중요 정보와 데이터 유출을 감시하고 기록합니다. 그리고 데이터가 이동할때 유출이나 정책에 위배되는 행위가 감지되었을때 경고 or 차단하면서 데이터(파일)을 보호합니다.

또한 DRM과 달리 문서를 암호화 하지 않아, 업무의 효율성을 저하시키지 않습니다.

 

1. DLP 기본 메뉴

1.1.조치

- 파일 전송 허용 모드 : PC에 설치된 Sophos Agent에 Alert으로 탐지 되며, 파일간 정상 이동, 복사 가능.

 

1.2.파일 전송 시 사용자 확인

- 사용자 확인 시 전송 허용 모드 : 정책 설정을 통해 파일의 이동을 사용자가 정의할 수 있음. 

 

1.3.파일 차단

- 파일 차단 모드 : 정책에 위배되는 파일의 경우 복사, 이동이 불가능하게 됨.

 

2. 파일 컨텐츠(내용) 규칙으로 파일 유출 방지

2-1 단순 컨텐츠

설정 방법 : Endpoint Protection → 정책 → 데이터 손실 방지 진입

상세 설정 방법 : 설정 → 데이터 전송 규칙 사용 ON → 맞춤 정책 만들기 클릭

처음 DLP의 정책을 만들어 주는 것이기 때문에 "새 콘텐츠 규칙" 클릭

규칙 이름을 정해주고, 정책 위배 시 이메일을 보낼 수 있는 기능이 있지만 패스하겠습니다. 해위는 블록전송으로 체크 후 다음으로 이동

콘텐츠 규칙 구성에서 정황 → 파일에는 다음이 포함됩니다. → Custom → 사용자 지정 콘텐츠 제어 목록 추가 진입

정책 이름 반영 및 파일 이름 혹은 이메일 안에 들어갈 내용 "비밀번호", "중요", "기밀" 등 추가

 

여러가지가 있지만, PC 저장소와, 이메일, 인터넷에서 해당 이름들이 들어간다면, 대외비 파일로 간주하고 차단 모드로 저장

위배된 정책이 발동된다면,"정책에 위배되어 차단되었습니다" Alert 메시지라는 커스텀도 가능합니다.

다음은 해당 정책이 제대로 적용이 되었는지 확인해보겠습니다.

Word 파일에 대외비, 기밀, 비밀번호 내용을 적은 후 메일로 타 메일에 송부 행위를 한 결과입니다.

메일은 송부가 안되었으며, 정책에 의해 차단되었다는 경고창이 발생하였습니다. 이로써 기업이라면 외부로 기밀 문서를 반출하는 행위를 차단하였습니다.

 

2-2 정규표현식을 이용한 값 변경

주민번호를 잡는 정규표현식으로 \d{6}[-][1-4]\d{6}를 설정해줍니다.

정규표현식이 작동하는 것을 확인

이전처럼 모든 설정 확인 후 저장해줍니다.

이전과 정책과 동일하게 외부로 주민번호 반출 행위.

주민번호 반출 행위 시 전송 차단으로 해당 정책에 위배되어 외부로 유출되지 못하게하는 시나리오를 보였습니다.

 

3. 파일 형식 및 파일 이름으로 파일 유출 방지

3.1. 파일 형식으로 제어

이전 정책과는 다르게 "새 파일 규칙"으로 설정

파일 형태 조건 "Spreadsheet"로 설정

정책 설정 반영 완료! 엑셀 파일 외부 반출 시도 시 차단 완료.

 

3.2. 파일 이름으로 제어

[항목]

*비밀번호대장.*

 비밀번호대장*.*

*비밀번호대장*.*

어떠한 파일 명이 나올지 모르기 때문에 *를 통한 비밀번호대장이 붙은 모든 파일명을 탐지하기 위해 추가합니다.

비밀번호대장.txt 파일을 탐지하여 외부 반출 전 차단하였습니다.

4. 파일 형식, 파일 이름으로 예외처리

제외 조건에서 파일이름 : 주민번호, 파일 형식 : Spreadsheet

정상적으로 제외되어 해당 주민번호.xlsx가 반출되었습니다.

이로써 제외처리까지 모두 테스트를 진행해보았습니다.

 

해당 정책 설정으로 기업 보안이 중요하고 정책설정의 중요도에 따라 업무의 환경이 변화를 줄 수 있습니다.