McAfeeHost Data Loss Prevention 3.0支援標籤及指紋特徵辨識技術

我們此次測試的Host Data Loss Prevention（以下簡稱為HDLP） 3.0，主要提供DLP及周邊控管的功能。它也是McAfee Total Protection for Data功能的一部分，這套最高階的資料防護產品同時具備DLP、周邊控管及目錄檔案的加密等3項功能。McAfee的DLP技術，主要來自於2006年被該公司併購的資安廠商Onigma。

就架構而言，HDLP是一款主機型的DLP產品。它和同廠牌的許多資安產品一樣，都是架構在McAfee行之有年的ePolicy Orchestrator（ePO）。透過ePO的管理介面，我們可以設定HDLP的控管政策、閱覽報表，及派送DLP的代理程式。就計價方式來說，由於這套產品有版本的差異，因此它主要是以用戶所採購的功能模組不同，再以使用者授權數量的方式決定價格。

支援標籤及指紋特徵等2種辨識技術

McAfee的HDLP在技術上可以同時支援標籤及指紋特徵等2種技術，其中後者是HDLP 3.0這次所特別加入的新功能。

在設定上，我們可以根據檔案的存放路徑，及特定應用程式所產生的檔案等2種方式，將辨識所需的標籤加入，貼上檔案，但有別於採用同類型技術的DLP產品，HDLP在做法上並不會針對檔案本身執行任何的寫入動作。

舉例來說，當資料從定義為機密存放路徑的共享資料夾，複製到個人端電腦後，HDLP會將標籤寫入到一個資料庫檔案，而不是檔案本身，因此不會對於內容造成任何改變，造成企業管理上的疑慮。

McAfee表示，HDLP的指紋特徵在做法上，是採用字詞方式比對檔案間的相似度，做法上，和我們這次所借測的Websense DSS及趨勢LeakProof等2款產品較為類似。實際設定時，我們可以指定讓HDLP分析共享資料夾的檔案，後續可透過排程方式定期掃描，維持指紋庫的完整性。

而HDLP的代理程式在使用上，必須在個人端電腦已經安裝ePO代理程式的前提下，才能透過前者的管理介面主動派送。完成安裝之後，雖然代理程式會在系統列顯示一個常駐圖示，不過使用者無法透過手動方式關閉它，以規避DLP的檢查。此外，它的代理程式在電腦無法連線到DLP管理伺服器的離線狀態下，仍然可以針對使用者傳送機密檔案的行為加以控管。

檢測能力完整

在我們這次的測試環境中，對於存放在SQL Server資料庫裡的個資，HDLP可以採取特殊關鍵字的方式加以過濾；信用卡的部份，可以直接套用內建在HDLP的規則做檢查；至於臺灣使用者環境才獨有的身分證字號，目前仍然必須透過手動方式設定規則後，才能加以檢測。

對於我們設定開放使用的SMTP、Webmail等2類郵件，HDLP可以在使用者寄信過程中，當完成夾檔，準備傳送時，就中斷資料的傳送，同時透過代理程式秀出警告訊息。至於將機密文字內容貼在郵件本文傳送出去的方式，則可設定HDLP禁止使用者針對機密檔案的內文剪貼、複製；啟動這項功能之後，轉貼過去的內文將會變成DLP的警告文字。

針對即時通訊的控管，HDLP在功能上可以支援我們這次開放使用的2種即時通訊軟體，當我們透過即時通訊軟體傳送被DLP界定為機密資料的檔案時，MSN和Skype會立即離線，中斷所有訊息的傳輸，同時電腦桌面的右下角也會出現警告訊息，提示你須重新啟動即時通訊軟體的主程式後，才能繼續使用。

和我們這次測試的大多數產品一樣，產品本身具備周邊控管的功能，除了封鎖之外，也能設定儲存裝置的白名單。

可透過ePO平臺閱覽DLP的完整事件報表

我們透過HTTPS登入ePO的正體中文管理介面，點選首頁的DLP狀態摘要連結後，可切換閱覽DLP的狀態儀表板，快速了解機密資料的控管狀況。

點選DLP監視器的項目，看到所有記錄所得的事件皆條列在此，我們可以設定篩選器，選取我們所需要的事件加以閱覽，HDLP針對事件提供了相當完整的記錄，除了一般的違規原因，及查閱傳送出去的原始檔案之外，也一併列出欲傳送的目的地，便於日後舉證。

McAfee另推出硬體閘道器，專門過濾網路流量中的資料

除了主機型的DLP產品之外，McAfee其實也有採硬體型式推出的DLP閘道器設備，兩者在架構上是各自獨立運作的產品。早期的DLP閘道器，是從該公司的Secure Internet Gateway（SIG）硬體閘道器所修改而來，可用來檢測使用者透過網路的方式傳送機密資料的行為。不過，隨著McAfee在2008年併購了另外一家網路型DLP廠商Reconnex後，前述的設備便為新款的產品所取代。

因此，目前McAfee的DLP閘道器分為Network DLP Discover、Network DLP Monitor、Network DLP Manager，及Network DLP Prevent等4種，前身皆為Reconnex所推出的硬體閘道器設備。

這些設備的差異主要是功能。就像Network DLP Discover是一款稽核設備，它可以透過網路掃描的方式，檢查內部端點是否有可能造成資料外洩的漏洞存在；Network DLP Monitor的運作方式和其他廠商推出的DLP閘道器相同，都是以鏡射方式收集進出網路的流量；Network DLP Prevent則是能夠和自家Web Gateway等第3方閘道器產品相整合的設備，攔截透過網路傳送的機密資料；至於Network DLP Manager則是用來管理前述3種設備的管理伺服器硬體。

點選首頁的DLP狀態摘要連結後，管理者可切換閱覽DLP的狀態儀表板，快速了解機密資料的控管狀況。

保護規則

在保護規則的項目，可以從HDLP支援的各種資料傳輸通道設定保護。

DLP監視器

HDLP 會將記錄所得的事件條列於DLP監視器，我們可以設定篩選器，選取我們所需要的事件加以閱覽。

產品資訊

McAfeeHost Data Loss Prevention 3.0

建議售價：每人 5,957元（251至500人使用授權）

●原廠：McAfee

●電話：(02)2721-7766 

●產品架構：主機型DLP

●個人端電腦系統需求：Windows Server 2003 SP1、450MHz處理器、512MB記憶體、250MB硬碟空間

●管理伺服器硬體規格：Windows 2000 SP4、512MB記憶體、200MB硬碟空間

●網路應用程式控管類別：Mail、FTP、IM、P2P等

●周邊裝置控管類別：USB儲存裝置、CD/DVD、PCMCIA、數據機（含3.5G網卡）等

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商。】

【相關報導請參考「資料外洩防護產品採購大特輯」】