EagleEyeOS Professional 2.0

EagleEyeOS™ Professional 2.5
Schützen Sie Ihr Unternehmen durch Überwachung
und sichere Organisation des Datenzugriffs
Legen Sie Spionen und
Datendieben das Handwerk!
Jede
Organisation,
die
Daten
und
unternehmenseigene Informationen speichert,
ist
gesetzlich
verpflichtet,
wirksame
Sicherheitsmaßnahmen gegen Datendiebstahl
und
unbefugten
Zugriff
zu
ergreifen.
Internationale IT-Sicherheitsstandards wie ISO/
IEC 17799:2000 und ISO/IEC 27001:2005
(basierend auf BS7799), CobIT oder SOA richten
sich gezielt gegen externe Angriffe. Doch ein
weiteres gravierendes Risiko sind Gefahren, die
aus dem Verhalten von Mitarbeitern entstehen.
PCs verfügen heutzutage über eine Vielzahl von
preiswerten und einfach zu handhabenden Datenzugriffs- und -übertragungsoptionen (z. B. Bluetooth,
PenDrive, FireWire, Infraport usw.). Das bedeutet zahlreiche undichte Stellen, die Datendiebstahl ermöglichen.
IT-Sicherheitsteams haben meist Probleme, Datendiebstahl zu vermeiden und gleichzeitig den PC-Benutzern
die für ihre Arbeit notwendigen Daten zur Verfügung zu stellen.
EagleEyeOS™ Professional unterstützt Sie bei der sicheren Verwaltung und Handhabung von Daten, bei der
Zuweisung von Benutzerzugriffsrechten und bei der Definition und Durchsetzung interner Sicherheitsrichtlinien.
Die Software überwacht Dateibewegungen und Dateilebenszyklen, ermöglicht
die Einrichtung von Quarantänebereichen, verhindert unbefugten Datenzugriff
und Datendiebstahl über Peripherieanschlüsse und -laufwerke und identifiziert
eventuelle Eindringlinge.
Keine Aktivität, ob zulässig oder nicht, entgeht EagleEyeOS™ Professional.
CSI/FBI Computer Crime and Security Survey
Bei einer Erhebung von CSI und FBI aus
dem Jahre 2005 zum Thema Verbrechen
und Sicherheit im EDV-Bereich wurden
zwei Bereiche verstärkter betrügerischer
Vorfälle ermittelt – unbefugter Datenzugriff
(durchschnittlicher
Verlust
pro
Umfrageteilnehmer von 4.278.205 USDollar im Jahr 2004 bis 31.233.100 USDollar im Jahr 2005) sowie Diebstahl
unternehmensinterner
Informationen
(durchschnittlicher
Verlust
pro
Umfrageteilnehmer von 11.460.000 USDollar im Jahr 2004 bis 30.933.000 USDollar im Jahr 2005).
2004: 269 Umfrageteilnehmer
2005: 687 Umfrageteilnehmer
Quelle: Computer Security Institue
FUNKTIONEN
Seite: 2
Seiten
Startseite
Über die Startseite im EagleEyeOS™ Professional Control Center können Sie einfach
und schnell auf alle wichtigen Funktionen zugreifen. Sie finden dort eine Sammlung
häufig verwendeter Links und allgemeiner statistischer Daten.
Echtzeitüberwachung
Hier werden die Informationen der fortlaufenden Echtzeitüberwachung von
Ereignissen im gesamten Netzwerk angezeigt. Sie können auf dieser Seite
Vorkommnisse in Echtzeit untersuchen und die notwendigen Maßnahmen auf der
entsprechenden Ebene ergreifen (z. B. die sofortige Überprüfung einer
Regeländerung).
Berichte
Berichte dienen der Abfrage und Analyse von Benutzerereignissen. Mithilfe eines Berichts können Sie gespeicherte
Informationen aller Art abrufen, gruppieren und so anordnen, dass Sie auf einen Blick auf dem laufenden sind. Über
Dateioperationen hinaus können auch spezielle Informationen abgerufen werden, z. B. über das Verlassen des geschützten
Netzwerks, Zutritte zum Netzwerk, Kopieren und Einfügen usw.
File Lifecycle Tracking (FLT)
Wer hat wann welche Operation mit einer Datei vorgenommen? Wo und unter welchem Namen ist die Datei zu finden? Das
File Lifecycle Tracking (FLT) wurde speziell entwickelt, um zu verfolgen, welche Operationen seit der Erstellung in Bezug auf
eine Datei vorgenommen wurden. Die Funktion stellt parallele „Lebenswege“ (Life-Tracks) einer Datei in einer Baumstruktur
dar. Außerdem kann der Lebenszyklus einer Datei direkt aus den abgefragten Berichten ermittelt werden.
Storage Lifecycle Tracking (SLT)
Dies ist das wichtigste Element bei der Verfolgung der auf einem Speichermedium ausgeführten Dateioperationen. Die
Funktion zeigt, welche Hosts mit einem bestimmten Speichermedium verbunden waren, unabhängig davon, ob es sich um
einen Speicherstick oder eine Kamera handelt. Aufgrund der Hardware-Identifikationsfähigkeit zeigt die Funktion präzise an,
wer auf welchem Host und zu welchem Zeitpunkt mit dem Speichermedium verbunden war bzw. welche Arten von
Dateioperationen ausgeführt wurden.
Automatische Berichte
Die automatische Berichtsfunktion ermöglicht das Erstellen von Berichten und das File Lifecycle Tracking nach Zeitplan
sowie die Analyse bestimmter Aktivitäten. Außerdem können mithilfe dieser Funktion umfangreiche und zeitintensive
Abfragen zu Zeiten geringerer Serverauslastung durchgeführt werden, so dass die vorhandene Infrastruktur optimal genutzt
werden kann.
Alarmmeldungen
Alarmmeldungen werden generiert, sobald ein bestimmtes Ereignis eintritt. Alarmmeldungen können sowohl im Berichts- als
auch im File-Lifecycle-Format abgefragt werden. Die Alarmfunktion ermöglicht eine unmittelbare Untersuchung unbefugter
Zugriffsversuche, da sie sofort den Urheber meldet und gleichzeitig blockiert.
Center
Das Center ermöglicht die Verwaltung des gesamten Netzwerks. Mit einem einzigen Tastendruck können Sie die Installation
auf mehreren Remote-Hosts gleichzeitig ausführen oder die auf den Hosts
laufenden Agenten aktualisieren.
EagleEyeOS™ Professional
Optimaler Schutz vor Datendiebstahl
für tragbare Geräte.
FUNKTIONEN
Seite: 3
FENSTERBEREICHE
VERWALTUNG
GESAMTSTRUKTUR
Hosts
Regelgruppen
Hier finden Sie alle verwalteten Hosts sowie die Listen der
erstellten Host-Gruppen in hierarchischer Struktur. Von hier
aus steuern Sie den Betrieb der Agenten, schalten den
stummen Modus ein und kontrollieren das Verhalten
verbundener Speicher, die ein Dateisystem enthalten.
Eigenschaften
In Regelgruppen können vordefinierte Regeln zusammengefasst
werden. Dadurch wird die Regelzuweisung zu Hosts und HostGruppen erleichtert.
Protokollfilter
Mithilfe von Protokollfiltern können Protokollinformationen, die für
Hier können Sie die Eigenschaften der verschiedenen Objekte
festlegen. Außerdem können Sie zu bestimmten Objekten
(z. B. Hosts) zusätzliche Informationen wie Abhängigkeiten,
Statistiken usw. aufrufen.
die Aktivitäten von
Server
Menge
Auf Servern werden die eingehenden Ereignisprotokolle und
die definierten Regeln gespeichert. Außerdem steuern sie die
korrekte Netzwerkverwaltung durch die Agenten. In einem
einzelnen Control Center können mehrere Server überwacht
werden und umgekehrt können mehrere Control Center mit
einem einzelnen Server verbunden sein. Außerdem können
von
hier
aus
statistische
Informationen über den Server
abgefragt werden.
Benutzern irrelevant sind, ausgeblendet
werden. Zu solchen Ereignissen gehören z. B. temporäre interne
Prozesse verschiedener Anwendungen. Durch eine entsprechende
Konfiguration können der Datenverkehr im Netzwerk und die
überflüssiger
Protokolle
auf
den
Servern
verringert
werden.
Filter
Filter sind Regeln zur Durchsetzung von Sicherheitsrichtlinien. Sie
bestimmen, wer wann mit welcher Art von Gerät und wie auf
Dateien zugreifen darf.
Snapshots
Mithilfe dieser Funktion können Regeln
erstellt werden. Nach Definition dieser
Archive
Regeln wird ein Datensatz zu einer
Die eingehenden Ereignisprotokolle
befinden sich in einer eigens für
bestimmten Workstation erstellt. Dieser
diesen
Zweck
entwickelten
Datensatz
hat
die
Aufgabe,
die
Datenspeicherstruktur.
Bedingungen zu bestätigen. Anhand des
Ereignisprotokolle
werden
Snapshots kann gezeigt werden, ob
automatisch archiviert, wenn eine
(beabsichtigt oder nicht beabsichtigt)
bestimmte
Größe
oder
ein
eine unzulässige Aktivität verursacht
bestimmter Zeitpunkt erreicht ist.
Die Software identifiziert
Diese Funktion erlangt im laufenden
wurde. Der Snapshot kann mit anderen
Sicherheitsverstöße!
Betrieb immer größere Bedeutung.
Schutzfunktionen
(z. B.
Filter,
Sie müssen die ständig wachsenden
Quarantäne) frei kombiniert werden.
Protokolle nicht regelmäßig selbst
kontrollieren, um eine angemessene Leistung des Servers zu
Geräte
gewährleisten. Informationen können direkt aus den
Ein Geräteobjekt ermöglicht die Aufstellung von Zugriffsrichtlinien
archivierten Daten abgefragt werden.
für allgemeine Kommunikationsmedien. Solche Geräte können
Operatoren
Diskettenlaufwerke, CD-/DVD-Laufwerke, Infrarot-, COM-, LPT-,
Die Aktivitäten auf den verschiedenen Prozess- und
Sicherheitsebenen können voneinander getrennt werden.
Bestimmten Operatoren können unterschiedliche Rechte
zugewiesen werden, so dass z. B. die für den IT-Betrieb
relevanten Aufgaben von den Berichtsleserechten für
Sicherheitsverantwortliche getrennt werden können.
USB-, Bluetooth-, Wireless-Anschlüsse usw. sein. Die wichtigste
Serverprotokoll
Quarantänen
Funktion eines solchen Objekts besteht darin, Geräte des
entsprechenden Typs zu blockieren, unabhängig davon, ob im
Moment ein solches Gerät an den Host angeschlossen ist oder
nicht.
Serverprotokolle bieten fortlaufende Statusinformationen
über den Serverbetrieb. Sie enthalten Echtzeitmeldungen
über die vom Server ausgeführten Prozeduren. Eventuell
aufgetretene Fehlermeldungen werden mit Informationen für
den technischen Support versehen, um die Fehlersuche und behebung zu erleichtern.
Die
Installationsprotokoll
festlegen, in das die Daten exportiert werden können. Die
Die Installationsprotokolle enthalten Informationen über die
Remote-Installation
von
Agenten
auf
ausgewählten
Workstations. Sie enthalten zusätzliche Daten zu Ereignissen,
die während der Installation aufgetreten sind, und
ermöglichen die Ermittlung der Ursachen von Folgefehlern,
die in anderen Protokollen gemeldet werden. Die
Installationsprotokolle sind eine effiziente Hilfe bei der
Fehlerbehebung.
Quarantäne
Dokumentbereich
einzurichten.
ist
mit
eine
der
spezielle
Schutzfunktion
Möglichkeit,
Datenbewegungen
können
separate
für
den
Territorien
innerhalb
dieses
Bereichs und darüber hinaus kontrolliert werden. Sie können für
einen Quarantänebereich autorisierte Benutzer, Anwendungen
und Drucker definieren und den Pfad eines Verzeichnisses
Informationen
des
lokalen
Administrators
und
des
Domänenadministrators können voneinander getrennt werden.
Darüber hinaus kann auch eine Trennung innerhalb derselben
Anwendung, die innerhalb und außerhalb des Quarantänebereichs
läuft, vorgenommen werden, so dass beispielsweise Inhalte nicht
zwischen zwei Word-Dokumenten kopiert werden können.
Drucker
Für Drucker können ebenfalls Regeln vordefiniert werden. Mithilfe
dieser Regeln können Drucker auf einem bestimmten Host zur
Verwendung freigegeben oder blockiert werden. Diese Funktion
spielt auch beim Erstellen von Quarantänen eine wichtige Rolle.
TECHNOLOGIE
ENTWICKLUNG AUF KERNELEBENE
Das Programm integriert die Regeltechnik für eigene interne
Vorgänge in den Kernel des Betriebssystems, und zwar zwischen
der Zugriffssteuerung des Betriebssystems und dem Dateisystem.
Dadurch
verfügt
es
über
bislang
nicht
mögliche
Schutzmechanismen.
UNABHÄNGIGKEIT VON ANWENDUNGEN
Da das Programm die Prozesse auf Kernel-Ebene überwacht und
steuert, ist es völlig unabhängig von den auf Benutzerebene
ausgeführten Anwendungen.
UNABHÄNGIGKEIT
VON
DATEISYSTEM
UND HARDWARE
Da sich das Programm vor dem Dateisystem in den Kernel
SYSLOG-UNTERSTÜTZUNG
integriert,
Mit Hilfe dieser Unterstützung können die generierten Informationen
ist
es
auch
von
den
darunter
liegenden
Treiberprogrammen des Dateisystems und von den unter den
an
Treibern befindlichen physikalischen Datenträgern unabhängig.
Protokolliersystem weitergeleitet werden, für das verschiedene
UNTERSTÜTZUNG
VON
MICROSOFT
ABWEICHENDER FILE-SHARING-SYSTEME
Das
Programm
unterstützt
neben
der
Freigabefunktion
von
Microsoft Windows auch die File-Sharing-Funktionen von Novell
Netware und stellt alle Protokoll- und Schutzfunktionen dafür zur
Verfügung. Sowohl mit dem Microsoft Netware Client als auch mit
dem Novell Netware Client ist die komplette Funktionalität nutzbar.
REPRODUKTIONSUNABHÄNGIG-KEIT
ein
vorhandenes
und
zentral
verwaltetes
SYSLOG-
Betriebsprozesse bereits entwickelt wurden (z. B. abgesicherte
Speicherung, Sicherungen usw.). Dank der SYSLOG-Unterstützung
können
die
Ressourcen
und
Betriebskosten
weiter
verringert
werden. Außerdem kann die Integration mit zentralen RemoteVerwaltungs-,
Fehlerbehandlungs-
und
Alarmsystemen
anderer
Anbieter vereinfacht werden. Das SYSLOG enthält den vollständigen
Pfad der Objekte. Deshalb kann bei Verwenden von beispielsweise
HP OpenView Operations ein eingetretenes Ereignis im Dienstraster
angezeigt werden, ohne dass ein intelligentes Plug-In entwickelt
Die Erkennung von Kopiervorgängen ist unabhängig von der
werden muss. (Produkte anderer Anbieter ohne Anspruch auf
Urheberanwendung
Vollständigkeit: HP OpenView, IBM Tivoli, Cisco MARS, Novell Nsure
(Explorer,
Drag
&
Drop,
Kopieren
und
Einfügen, Bildschirmdruck, Eingabeaufforderung usw.)
Audit usw.)
EIGENE SCHUTZMECHANISMEN
EAGLEEYEOS ZONE
Das Programm errichtet im Kernel unterhalb der Zugriffsteuerung
Ein einziger Einrichtungsvorgang ermöglicht, dass auch andere
einen
Computer, die ebenfalls mit dem Client ausgestattet sind, auf die
zusätzlichen
Dokumente
vom
Schutzwall.
lokalen
Domänenadministrator
sichere
Weise
zu
Es
die
Administrator
blockieren.
separate
bietet
Möglichkeit,
und/oder
Außerdem
Dokumentbereiche
können
vom
Dateien eines bestimmten Rechners zugreifen können. Die Dateien,
auf
die auf den Computern innerhalb einer solchen EagleEyeOS Zone
(Quarantänen)
eingerichtet werden.
GERÄTE
gespeichert
sind,
sind
von
unbefugt
mit
dem
Netzwerk
der
Organisation verbundenen Computern aus nicht zugänglich.
(UNABHÄNGIG
VON
DER
NOTEBOOK-VERWALTUNG
(LOKALE
SPEICHERPROZEDUREN)
VERFÜGBARKEIT)
Die Kommunikationskanäle können ungeachtet der momentanen
Der Betrieb auf Kernel-Ebene ermöglicht die Beibehaltung der
Verfügbarkeit gesteuert werden. So
die
definierten Regeln, so dass diese auch nach der Trennung vom
Bluetooth-Kommunikation auf einem bestimmten Host sogar dann
Netzwerk nicht umgangen werden können. So können Bluetooth-
blockiert werden, wenn der Host augenblicklich nicht mit einem
Geräte und Speichersticks auf einem Notebook selbst dann blockiert
Bluetooth-Gerät verbunden ist. Ein Bluetooth-Gerät, das später mit
werden, wenn der Computer aus dem Unternehmensnetzwerk
dem Host verbunden wird, kann nicht betrieben werden.
entfernt
SPEICHER
kann beispielsweise
(UNABHÄNGIG
VOM
wird.
Außerdem
werden
die
Benutzerprozesse
lokal
protokolliert, zusammen mit Datum und Uhrzeit der Trennung vom
Außer den Kommunikationskanälen können auch an den Computer
angeschlossene Speichermedien, die ein Dateisystem enthalten,
während der Laufzeit erkannt und gesteuert werden. Dadurch ist
Protokolle synchronisiert. Mithilfe dieser Funktion können auch
Remote-Aktivitäten erfasst und analysiert werden.
VORBEUGUNG GEGEN DATENVERLUST
vom Hersteller oder Typ abhängig. Ein Hauptmerkmal besteht
Durch
darin, dass Ereignisse auf einem Speichermedium protokolliert
Datenverluste verhindert. Wenn die Verbindung eines Host mit der
werden.
Zentrale unterbrochen wird, z. B. aufgrund von Wartungsarbeiten,
ein
schreibgeschützter
Zugriff
eingerichtet werden.
das
Konzept
der
lokalen
Speicherprozedur
werden
behalten die zuletzt definierten Regeln ihre Gültigkeit und die
Protokollierung erfolgt lokal. Bei der nächsten Verbindung zum
SQL SERVER-UNTERSTÜTZUNG
Dank dieser Unterstützung kann die eigene Datenbanktechnologie
Server wird eine Synchronisierung vorgenommen.
entwickelt wurden (z. B. abgesicherte Speicherung, Sicherungen
weiter
verringert
Datenbanken: Microsoft SQL Server.
werden.
Unterstützte
Server:
Microsoft® Windows® 2000, XP, 2003
Intel® Pentium® 4, 1 GHz, 512 MB
Arbeitsspeicher, 2 GB freier
Festplattenspeicherplatz, NTFSDateisystem
Microsoft® Windows® 2000, XP, 2003
Beliebiger Prozessor mit 300 MHz,
128 MB Arbeitsspeicher, 20 MB freier
Festplattenspeicherplatz
ersetzt werden, für die verschiedene Betriebsprozesse bereits
usw.). Mit Hilfe der SQL-Unterstützung können die Ressourcen und
EagleEyeOS™ Professional
Systemanforderungen
Agenten:
durch eine vorhandene und zentral verwaltete SQL-Datenbank
Betriebskosten
Diskettenlaufwerke
CD-/DVD-Brenner
Infrarot
Bluetooth
Firewire
Wireless
COM-Anschluss
LPT-Anschluss
MS Netzwerkzugriff
Novell Netzwerkzugriff
USB-Speichergeräte
PCMCIA-Karten
eine Verbindung zum Server hergestellt wird, werden die Regeln und
die Verwaltung der Geräte (Speichersticks, Kameras usw.) nicht
kann
•
•
•
•
•
•
•
•
•
•
•
•
Netzwerk und der erneuten Verbindung. Sobald das nächste Mal
HERSTELLER UND TYP)
Außerdem
Verwaltete Geräte
In den USA und anderen Ländern ist Microsoft SQL Server eine
eingetragene Marke von Microsoft, HP OpenView eine eingetragene
Marke von Hewlett-Packard, Cisco MARS eine eingetragene Marke
von Cisco Systems, IBM Tivoli eine eingetragene Marke von IBM und
Novell Nsure Audit eine eingetragene Marke von Novell.
www.eagleeyeos.com
Control Center:
Microsoft® Windows® 2000, XP, 2003
und .NET Framework 1.1
Beliebiger Prozessor mit 1 GHz, 256 MB
Arbeitsspeicher, 50 MB freier
Festplattenspeicherplatz
Seite: 4