Tool for automatic enforcement of DLP policies in cloud applications

Adam Smejkal

Diplomová práce

Anotace:

Migrací citlivých dat do cloudových služeb vznikají nové vektory úniku dat. Organizace, které již ochránily citlivá data skladována v rámci svého perimetru, mohou narazit na problém, pokud jejich řešení pro prevenci úniku dat (DLP) nelze adaptovat na změny v procesech a infrastruktuře způsobené migrací dat do cloudových služeb. V takové situaci může být nutné nasadit dodatečné řešení DLP na ochranu dat ve využívaných cloudových službách. Tento krok ale může vést ke zdvojení bezpečnostních politik a jejich případné desynchronizaci, což může mít za následek snížení bezpečnosti dat dané organizace. Cílem této práce je pokusit se sjednotit cloudové systémy a systémy provozované lokálně v organizacích z pohledu prevence úniku dat. Výsledkem této práce je služba sloužící k překladu bezpečnostních politik, kterou mohou využít poskytovatelé řešení DLP na synchronizaci bezpečnostních politik spravovaných jejich řešením do libovolných cloudových služeb. Této schopnosti bylo dosáhnuto implementací vysoce rozšiřitelného systému pro aplikaci politik, který využívá schopnosti prevence úniku dat nabízené nativně v cloudových službách. Pro řešení problému rozdílnosti bezpečnostních politik v různých prostředích byl v rámci této práce vyvinut jazyk DLPPSL, který je specificky určený ke specifikaci politik pro prevenci úniku citlivých dat. Zaměření DLPPSL na politiky tohoto typu mu v oblasti DLP poskytuje výraznou výhodu oproti jiným jazykům pro specifikaci bezpečnostních politik. Tento jazyk je použit v komunikačním protokolu implementované překladové služby, kde slouží k oddělení implementačních detailů řešení DLP a chráněných cloudových služeb. Vyvinutá služba byla úspěšně integrována do produktu Safetica DLP k synchronizaci politik pro ochranu e-mailové komunikace s cloudovou službou Exchange Online.

Abstract:

The migration of sensitive data into cloud services creates new data loss vectors. Companies that have already secured their on-premises data may face an issue if their implemented Data Loss Prevention (DLP) solution is not capable of adapting to the changes in workflow and infrastructure brought on by cloud migration. In such situations, it may be necessary to implement an additional DLP solution to protect data handled by utilized cloud services. This may lead to a duplication and desynchronization of policies, which can reduce overall data security of the organization. This thesis attempts to bridge the gap between on-premises and cloud systems with regard to data loss prevention. The result of the thesis is a policy translation service that can be used by DLP solution providers to synchronize policies enforced by their on-premises solution with potentially any given cloud service. This is achieved by implementing a highly extensible policy engine that leverages native DLP capabilities of cloud services. To reconcile the differences between descriptions of policies in different systems, an XML-based DLP policy specification language DLPPSL has been developed as a part of the thesis. Unlike other existing policy specification languages, this language is specifically developed for describing DLP policies, which gives it a significant advantage in such applications. The language is used in the communication protocol of the implemented service to achieve a high degree of decoupling between DLP solutions and protected cloud services. The service was successfully integrated with an on-premises DLP product Safetica DLP to synchronize its email protection policies with the Exchange Online cloud service.

Keywords

DLP, cloud, policy, policy specification language, data loss prevention, DLPPSL, Office 365, Exchange Online, prevence úniku dat, citlivá data, bezpečnostní politika

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 20. 7. 2020

Obhajoba závěrečné práce

• Obhajoba proběhla 15. 9. 2020
• Vedoucí: prof. RNDr. Václav Matyáš, M.Sc.
• Oponent: Ing. Mgr. et Mgr. Zdeněk Říha, Ph.D.

Masarykova univerzita

Fakulta informatiky

Magisterský studijní program / obor:
Aplikovaná informatika / Služby - výzkum, řízení a inovace