Giải pháp chống thất thoát dữ liệu AD RMS

Theo báo cáo mới nhất về an ninh toàn cầu của Microsoft thì vấn đề thất thoát thông tin trong doanh nghiệp và chính phủ ngày càng phổ biến với mức độ thiệt hại không hề thua kém so với virus hay mã độc.

Điều này cũng rất dễ hiểu vì ngày nay thông tin không còn bị bó hẹp trong phạm vi công ty hay vùng miền mà nó có thể được phát tán trên phạm vi toàn cầu chỉ trong vài giờ. Chắc hẳn mọi người chưa thể quên những tác động của vụ website Wikileak chia sẻ thông tin mật về chiến tranh Iraq của Bộ Quốc Phòng Mỹ hay vụ tập đoàn Boeing mất 382.000 tệp thông tin mật mà mất mát tài chính và uy tín là vô cùng lớn.

“Những phương thức bảo mật thông tin truyền thống như tường lửa hay phân quyền truy cập tập tin hay thư mục bằng ACL không thể ngăn ngừa được thất thoát dữ liệu khi laptop hay USB bị mất cũng như được truyền qua đường thư điện tử hay thư thoại. Với vai trò là công ty cung cấp dịch vụ hạ tầng chủ chốt cho doanh nghiệp trên toàn cầu với các sản phẩm như Active Directory, Microsoft Exchange Server, Microsoft Windows, Microsoft Office…, công ty Microsoft đã đưa ra nhiều giải pháp giúp khách hàng giảm thiểu nguy cơ mất mát thông tin xuống mức thấp nhất”, ông Đỗ Huy Hoàng, phụ trách sản phẩm và giải pháp cho Máy chủ của Microsoft chia sẻ. Cụ thể là để chống lại rủi ro do mất máy tính hay USB thì khách hàng có thể ứng dụng giải pháp mã hóa Bitlocker cho các thiết bị này. Việc triển khai Active Directory Right Management Services ( AD RMS) giúp chống thất thoát dữ liệu được lưu trên file server, email, cổng thông tin, máy tính cá nhân hoặc điện thoại di động dưới hình thức kiểm soát “quyền tương tác với thông tin”. Trong phạm vi bài viết chúng tôi chỉ tập trung vào giải pháp AD RMS.

AD RMS là gì?

Thông thường dữ liệu khi được truyền gửi hay chia sẻ cho người nhận dưới hình thức chia sẻ bằng máy chủ file server, email thì họ có toàn quyền với dữ liệu đó chẳng hạn họ có quyền nhào nặn nội dung, in tài liệu ra, chuyển email chứa nội dung nhạy cảm cho người khác… Do vậy để giảm thiểu việc người nhận lạm dụng quyền hạn với nội dung, AD RMS đưa ra phương thức cho phép người gửi phân quyền tương tác với nội dung cho người nhận như: cấm in tài liệu, cấm chuyển email cho người khác, thiết lập thời gian hết hạn của tài liệu. Để làm được điều đó AD RMS sẽ tiến hành mã hóa dữ liệu ở mức độ 128bit và gắn chứng chỉ số vào tài liệu nhằm can thiệp vào suốt quá trình tồn tại của dữ liệu bất kể nó được lưu trữ ở đâu. Kết quả là người nhận muốn mở dữ liệu được bảo vệ bởi AD RMS phải chìa ra thông tin định danh của mình mà cụ thể là tài khoản truy cập vào hệ thống AD của công ty. Khi đó máy chủ AD RMS sẽ dựa trên danh tính của người nhận để xác định quyền tương tác đối với dữ liệu. Mô tả nghe có vẻ phức tạp nhưng giải pháp công nghệ của Microsoft luôn mang đặc tính vốn có là rất thân thiện với người dùng. Do vậy khi các doanh nghiệp triển khai AD RMS sẽ không mất nhiều công sức và thời gian.

Để sử dụng được AD RMS khách hàng cần sẵn sàng hạ tầng về quản trị định danh Active Directory 2003 hoặc 2008. Ngoài ra hạ tầng PKI nhằm cung cấp chứng chỉ số nội bộ cũng cần phải sẵn sàng. Ngoài ra tùy vào tình huống ứng dụng RMS mà còn cần thêm những ứng dụng liên quan. Mặc định AD RMS hỗ trợ cho các định đang tài liệu văn phòng của Microsoft Office như Word, Excel, Powerpoint, Infopath.. cũng như email hay thư thoại.

AD RMS và vấn đề chống thất thoát dữ liệu qua đường email

Hình 1: Người dùng thực hiện phân quyền truy cập thông tin trên Outlook

Việc chia sẻ và trao đổi qua email dường như đã trở thành một phần không thể thiếu trong hoạt động đối nội cũng như đối ngoại của bất kì doanh nghiệp nào. Do đó vấn đề chống thất thoát thông tin cần được thực hiện đầu tiên với dữ liệu nằm trên kênh email. Cơ chế chống thất thoát dữ liệu RMS áp dụng cho cả chiều gửi và chiều nhận đối với phần mềm duyệt mail Outlook trên máy trạm lẫn Outlook Mobile trên điện thoại di động. Người dùng có thể sử dụng các chính sách phân quyền truy cập thông tin dựa trên các template có sẵn và do bộ phận IT thiết lập như:

- Cấm chuyển đi (Do Not Forward): được dùng để ngăn chặn người dùng chuyển nội dung email cho người thứ ba.

- Cấm gửi lại cho tất cả mọi người trong loop mail (Do Not Reply All): được dùng để ngăn chặn người nhận trả lời email lại cho tất cả những người trong loop mail ngoại trừ người gửi.

- Nội dung email là chỉ đọc không được copy hay in ấn (Read Only): là cách thức cấm người nhận in, sao chụp email hay lưu file đính kèm xuống máy. Cơ chế Read Only thường đi chung với template Do Not Forward.

- Nội dung email bị giới hạn theo nhóm người (Company User Group Confidential): được dùng để đảm bảo email nhạy cảm liên quan đến nhân sự, chính sách công ty, thông tin mật không lọt ra khỏi nhóm người dùng mong muốn.

- Nội dung chỉ được xem trong thời gian nhất định (Expire Date): được áp dụng cho các tài liệu thuộc loại tối mật và người dùng nhận chỉ có thể xem trong khoảng thời gian nhất định mà thôi.

Hình 2: Quyền tương tác nội dung của người nhận bị giới hạn

Hình 3: Người nhận bị cấm chuyển email đi trên điện thoại di động

Với Exchange 2010, bộ phận IT và pháp chế của doanh nghiệp còn có thể thiết lập các bộ lọc RMS tự động cho phép áp đặt chính sách ngay từ phía máy chủ. Điều này rất thuận tiện đề phòng trường hợp người dùng quên thiết lập RMS khi soạn thảo email. Vì email trên hệ thống Exchange được luân chuyển qua vai trò Hub Transport nên chính sách RMS tự động sẽ được thiết lập tại nhóm máy chủ này thông qua các Transport Rule. Khi đó email khi đi ngang qua Hub Transport sẽ được máy chủ Exchange kiểm tra nội dung dựa trên các Rule do công ty thiết lập và sẽ áp chính sách tương ứng khi tìm thấy email nhậy cảm. Chẳng hạn trong ví dụ ở hình 4 chúng ta sẽ thấy Exchange 2010 áp chính sách tự động cho các email chứa cụm chữ dạng n-nnnn-nnnn vì đây là chuỗi ID của một đơn hàng (PO) trong công ty.

Hình 4: RMS tự động được áp từ phía máy chủ Exchange thông quan Transport Rules

AD RMS và vấn đề chống thất thoát cho các loại dữ liệu trên máy chủ-máy trạm-USB

“Dữ liệu văn phòng như Word, Excel, Powerpoint sau khi đã được bảo vệ bằng AD RMS thì mặc định đã được mã hóa nên cho dù chúng có được lưu trữ trên máy chủ file server, máy trạm, máy tính xách tay hay thiết bị lưu trữ di động thì vẫn không làm ảnh hưởng đến tính toàn vẹn và cơ chế phân quyền tương tác thông tin”, ông Trần Văn Huệ, giám đốc công ty Nhất Nghệ nhận xét. Người dùng cũng có thể thiết lập các chính sách phân quyền do công ty thiết lập tương tự như nội dung email chẳng hạn chỉ đọc cấm in cấm copy cấm chỉnh sửa, chỉ cho những nhóm người dùng nhất định truy cập, thiết lập ngày hết hạn… Các hình dưới cho thấy người dùng có thể thiết lập chính sách kiểm soát quyền truy cập nội dung ngay từ tài liệu văn phòng và bất kể họ mở tài liệu được lưu ở đâu thì đều bị RMS kiểm soát quyền truy cập.

Hình 5: Thiết lập RMS trên tài liệu Microsoft Word 2010

Hình 6: Mở tài liệu Word lưu trên file server được bảo vệ bằng RMS

Vào năm 2008, Microsoft và hãng bảo mật RSA kí hợp tác trong mảng bảo mật nội dung thông tin. Mà kết quả là giải pháp RSA Data Loss có thể áp đặt các chính sách AD RMS cho các tài liệu mà nó quét ra trên toàn hệ thống cũng như Microsoft đưa tính năng phân loại nội dung “File Classification” vào trong Windows Server 2008. Với tính năng sẵn có File Classification thì doanh nghiệp có thể thiết lập các bộ lọc cho phép phân loại các thông tin lưu trên máy chủ file server và áp đặt RMS cho chúng. Chẳng hạn IT có thể thiết lập bộ lọc nội dung phân loại và áp đặt chính sách cho các tài liệu được lưu trên máy chủ File Server có chứa chuỗi kí tự dạng n-n-n-n như hình 7.

Hình 7: Khả năng phân loại và áp đặt RMS cho tài liệu trên Windows Server 2008

AD RMS mở rộng

AD RMS cũng có thể được áp dụng cho các hình thức lưu trữ nội dung khác như Voice Mail trên Microsoft Exchange hoặc các tài liệu được đưa lên cổng thông tin Sharepoint 2007/2010. Có một điểm rất thú vị là do khả năng tích hợp sâu giữa Sharepoint và AD lẫn AD RMS cho phép các tài liệu được mã hóa bằng RMS vẫn có thể được index cho phép người dùng tìm kiếm nội dung như các tài liệu không mã hóa. Điều này thực hiện được do khi tài liệu được lưu trên Sharepoint sẽ được gỡ bỏ mã hóa RMS và lưu vào SQL Database dưới dạng mã hóa do Sharepoint quản lý nên nó hoàn toàn có thể index được toàn bộ nội dung của tài liệu. Khi người dùng truy cập vào tài liệu và lấy tài liệu khỏi cổng thông tin thì tài liệu đó lập tức được mã hóa lại dưới dạng RMS.

Hình 8: Thiết lập chính sách quản lý quyền truy cập thông tin trên Sharepoint 2007

Mặc định AD RMS sẵn sàng bảo vệ các dữ liệu văn phòng Microsoft và thư tín. Để mở rộng RMS cho các loại tài liệu khác như PDF,CAD/CAM hay hình ảnh cũng như các định dạng khác khách hàng có thể sử dụng các phần mềm phụ trợ của hãng thứ ba như Gigatrust,Liquidmachine hay của Foxit (nếu chỉ muốn rộng RMS cho tài liệu PDF)

Vì AD RMS quản lý quyền tương tác thông tin dựa trên định danh trong Active Directory . Do đó nếu doanh nghiệp muốn áp đặt quyền này cho nội dung được đưa ra khỏi intranet của mình cần thiết lập thêm các cơ chế khác. Chẳng hạn có thể thiết lập RMS liên doanh nghiệp bằng Active Directory Federation Service hoặc sử dụng TUD/TPD.

Thông tin chi tiết về AD RMS có tại các địa chỉ:

- Tài liệu lab, bản cài thử nghiệm: http://www.microsoft.com/windowsserver2008/en/us/ad-rms-overview.aspx

- Chính sách quản quyền AD RMS: http://www.microsoft.com/windowsserver2008/en/us/licensing-rights-management.aspx

Xem báo cáo MIR mới nhất tại http://www.microsoft.com/security/sir/default.aspx

Gigatrust Enterprise Plus: http://www.gigatrust.com/enterprise-plus.shtml

Foxit PDF Security Suite: http://www.foxitsoftware.com/rms/index.html

PV

Theo Bưu Điện Việt Nam