O (data loss prevention) tradicional vigiava o perímetro da rede. Isso funcionava quando os dados saíam pela rede e a rede era sua. Hoje nenhuma das duas premissas vale, e é por isso que o FortiDLP coloca o seu ponto de observação no endpoint (o computador ou dispositivo do usuário) e nas plataformas SaaS.

De onde ele observa

O agente de endpoint vê os dados no ponto de uso: um arquivo sendo copiado para um pendrive, colado num navegador, enviado para uma conta pessoal de nuvem ou impresso. O ponto crucial é que ele vê isso antes da criptografia, e é isso que permite a um agente de endpoint responder perguntas que um sensor de rede não consegue. Na rede, o tráfego para uma aplicação SaaS é TLS; no endpoint, é um arquivo sendo anexado.

A integração SaaS se conecta à API da própria plataforma e vê o que está armazenado e compartilhado lá. Isso cobre o caso em que os dados nunca passam por um endpoint gerenciado por você: um arquivo compartilhado direto entre duas contas de nuvem, ou um terceiro que recebe acesso a um documento.

As duas abordagens se complementam, não são redundantes, e vale dar nome à lacuna entre elas: um dispositivo não gerenciado que acessa uma plataforma SaaS aparece para a integração, mas não para o agente; e um dispositivo gerenciado que mexe em arquivos locais aparece para o agente, mas não para a integração. A cobertura é a união das duas, e saber qual metade está faltando em cada caminho é o que torna uma implantação honesta.

Tenants e estrutura

Um tenant (inquilino) é o contêiner de nível mais alto: políticas, dados, usuários e administradores. A maioria das organizações tem um só. Para um provedor de serviços, ou para um grupo com empresas realmente separadas, o tenant é a fronteira de separação e, como em todos os outros produtos multi-tenant tratados aqui, decidir a que tenant cada coisa pertence é um controle de segurança, e não uma simples questão de organização.

Dentro de um tenant, os objetos com que você trabalha são:

Assets (ativos): os endpoints que rodam o agente. Nodes (nós): os componentes que formam a implantação. Usuários: as pessoas a quem a atividade é atribuída, e é isso que transforma um evento de "um arquivo se moveu" em "alguém moveu um arquivo".

Como implantar os agentes

Implantar agentes é distribuição de software comum, e os pontos que dão problema são os mesmos já conhecidos de todos os outros produtos de endpoint deste portfólio.

Registrar importa mais do que instalar. Um agente instalado que não se registrou no tenant não tem política. Ele está lá, consome recursos e não protege nada.

As lacunas de cobertura são o risco de verdade. Um parque com noventa por cento de cobertura de agentes tem um caminho de dez por cento por onde os dados podem sair sem que ninguém veja, e quem tem mais chance de estar nesses dez por cento são justamente as pessoas com dispositivos não gerenciados ou fora do comum. O inventário de assets responde a essa pergunta, e vale a pena consultá-lo com regularidade, não só na época da auditoria.

Existem diferenças entre plataformas. Os recursos variam conforme o sistema operacional, e supor que tudo funciona igual num parque misto gera uma política que é aplicada em alguns endpoints e em outros não, sem nenhum sinal claro de que isso está acontecendo.

Atividade e comportamento do usuário

O FortiDLP registra o que os usuários fazem com os dados, e esse registro tem dois usos que devem ser mantidos separados.

O primeiro é a detecção: uma atividade bateu com uma política, e alguma coisa precisa acontecer.

O segundo é o contexto: entender o que é normal para um usuário ou para uma função, para que uma atividade fora do comum possa ser reconhecida como tal. Um usuário que lida o tempo todo com centenas de registros de clientes não está fazendo nada de especial ao abrir um deles; já um usuário que nunca mexe nesses registros e baixa todos eles, está.

Esse segundo uso é o que separa uma implantação moderna de DLP de um motor de regras que só gera ruído, e ele depende inteiramente de haver histórico suficiente para saber o que era normal.

O que quem vai fazer a prova precisa saber de cor

O agente de endpoint observa os dados no ponto de uso, antes da criptografia, e é por isso que enxerga o que um sensor de rede não enxerga. A integração SaaS cobre os dados que nunca passam por um endpoint gerenciado, e as duas juntas definem a cobertura: saber qual metade falta em cada caminho é o que torna a implantação honesta. Os tenants são a fronteira de separação; os assets são os endpoints com agente; a atividade é atribuída a usuários. Um agente instalado e não registrado não tem política, e uma cobertura de agentes que não seja total significa que existe um caminho sem observação.