Как защитить данные в домене Windows?

Question

[Иван Трофимов]

Всем привет. Есть домен Windows, в котором хочется защитить данные на рабочих станциях от утечки за пределы домена.
Интересует защита именно от выноса на внешних накопителях (USB, CD). CD-ROM можно в принципе запретить политиками. Вижу следующий сценарий: пользователь вставляет разрешенную флешку в USB (или кард-ридер) доменного компа, происходит проверка разрешено ли использовать устройство с текущим ID и если всё хорошо, то он получает доступ к накопителю и может скинуть на него свои файлы (можно реализовать через GPO). Но нужно предусмотреть, чтобы пользователь не смог вынести эту информацию за пределы домена на разрешенной флешке. На ум приходит только шифрование информации на этом устройстве. Причём ключик для дешифровки, также должен быть распространён на все компы домена и пользователь ничего не заметит, если вставит в доменный комп.
Рабочие станции преимущественно Windows 7, 8.1 а сервера 2012R2

Answer 1

[Макс]

На ум приходит только шифрование информации на этом устройстве. Причём ключик для дешифровки, также должен быть распространён на все компы домена и пользователь ничего не заметит, если вставит в доменный комп.
Рабочие станции преимущественно Windows 7, 8.1 а сервера 2012R2

ну если 7 и 8 везде - то смотрите в сторону BitLocker. Он умеет шифровать флэшки. Если есть XP (надеюсь, уже нет),
то посмотрите не TrueCrypt. Аналогично - шифрует диски/флэшки.
Есть еще SecretNet, вроде и он умеет что-то такое. Но, собака, недешев. Зато с сертификатом ФСТЭК

Answer 2

[Пума Тайланд]

Глупости пишите, сделайте шары и запретите флешки, по шаре можно раздать файло внутри сети, флешки не нужны.

Comments

[Иван Трофимов]

Шары есть, но тут свои проблемы: нужно передавать большие объёмы информации, а канал не такой широкий. Поэтому иногда проще скинуть на флешку и доставить данные курьерским методом. И ещё есть мобильные сотрудники которые используют VPN-туннель, а через него скидывать такой объём информации вообще не вариант.

Answer 3

[Александр]

Запретить пользователям устанавливать новые устройства(вообще), предварительно натроив все имеющиеся, убрать пишущие приводы из пк пользоваталей. Отключить вообще любые СОМ порты - по RS-232 тоже можно подключить модем и утянуть достаточно много, не обладая правами админа и не ставя никаких драйверов.

Comments

[Александр]

Если у шпиона будет стоять задача получить данные, то он их получит. Отключение флешек не играет особой роли.

Answer 4

[Андрей Ермаченок]

InfoWatch в числе прочего может и это.

Answer 5

[oia]

да все же давно вынесли и продали ,

нужно передавать большие объёмы информации, а канал не такой широкий

расширяйте

Comments

[Макс]

давайте уже сразу посоветуем не передавать большие объемы данных - при таком раскладе вообще ничего делать не надо.