DLP (Veri Kaybı Önleme) Nedir? Sınırları ve Kurulumu

DLP (Data Loss Prevention, veri kaybı önleme), hassas verinin kurumdan çıktığı noktaları denetleyen ve kural dışı bir çıkışı durduran katmandır. Antivirüs ve EDR içeri gireni arar; DLP dışarı çıkanı arar.

Bir müzeyi düşünün. Kapıdaki görevli içeri girenin çantasına bakar, bu bir güvenlik işidir. Ama müzenin asıl kaygısı içeri gireni değil, çıkanı denetlemektir; hangi eserin kataloglandığını, hangisinin bugün binadan çıkabileceğini ve çıkacaksa hangi belgeyle çıkacağını bilmek ister. Kataloglanmamış bir eser kapıda tanınmaz bile. DLP müzenin çıkış kapısıdır ve bu sayfanın konusu o kapının nasıl kurulduğu, neyi durduramadığı ve kimin bekleyeceğidir.

Gölge veri, sınıflandırma ve tarama disiplinini gölge veri rehberimizde anlattık; bu sayfa onun üstüne kurulan kontrol katmanını ele alıyor. İçeri girenin tarafı ise antivirüs ve EDR farkı rehberimizin konusu. Bu kapıyı kurumunuzda nasıl kurup yönettiğimizi DLP çözümü sayfamızda anlattık.

Antivirüs Varken DLP Neden Ayrı Bir Çözüm?

Çünkü ikisi farklı soruya cevap verir ve birinin başarısızlığı ötekini devre dışı bırakmaz. Uç nokta koruması “bu makinede kötü bir şey çalışıyor mu?” diye sorar; DLP “bu veri buradan çıkmalı mı?” diye sorar.

Asıl mesele şurada görünür hale geliyor. Bir saldırgan bir şekilde sisteminize girdiğinde ve antivirüs bunu algılamadığında, o noktada elinizde kalan tek engel verinin çıkış kapısındadır. Saldırgan içeride serbestse bile, sınıflandırılmış bir veriyi dışarı taşımaya kalktığında DLP onu durdurabilir. Yani DLP, uç nokta korumasının bir tamamlayıcısı değil, o koruma başarısız olduğunda devreye giren ayrı bir katmandır.

Fidye yazılımının bugünkü hâli bu ayrımı daha da belirginleştiriyor: şifrelemeden önce veriyi dışarı kopyalamak yaygın bir adım oldu. Yedeğiniz eksiksiz olsa ve dosyaları geri getirseniz bile, kopyalanmış veri dışarıdadır ve onu geri getirecek bir yedek yoktur.

DLP Nasıl Çalışır? İçeriğe mi, Bağlama mı Bakar?

DLP bir çıkışa karar verirken iki şeyi birlikte okur: verinin içeriğini ve o çıkışın bağlamını. İkisi ayrı sorular sorar ve ancak birlikte anlamlı bir cevap verirler.

İçerik Denetimi: Desen, Dijital Parmak İzi ve Sözlük

İçerik denetimi, dosyanın ya da mesajın içinde ne olduğuna bakar. Üç yöntemle çalışır ve üçü farklı şeyleri yakalar.

• Desen eşleştirme. Belirli bir biçime uyan veriyi arar: kimlik numarası, kredi kartı numarası, IBAN. Biçim sabit olduğu için kurulumu kolaydır ve ilk günden çalışır.
• Dijital parmak izi. Belirli bir belgenin kendisinden matematiksel bir özet çıkarılır ve o belgenin kopyaları, adı değişse bile tanınır. Kuruma özel tek bir dosyayı korumanın en kesin yoludur.
• Sözlük ve anahtar sözcük. Kurumun kendi terimlerini arar: bir proje kod adı, bir müşteri unvanı, “gizli” ibaresi.

Müzede bunun karşılığı eserin kendisidir. Desen, eserin cinsini tanır; dijital parmak izi, tam olarak hangi eser olduğunu tanır; sözlük ise üstündeki etikette ne yazdığını okur.

Bağlam: Kim, Nereye, Hangi Yolla?

İçerik tek başına karar verdirmez. Aynı dosyanın muhasebe müdürü tarafından kurumsal bir adrese gönderilmesiyle, ayrılmak üzere olan bir personel tarafından kişisel bir adrese gönderilmesi farklı olaylardır ve DLP bu farkı bağlamdan okur: gönderen kim, alıcı nerede, hangi yol kullanılıyor, saat kaç.

Bu yüzden iyi kurulmuş bir DLP policy’si “şu veri asla çıkmasın” demez. “Şu veri, şu kişiler dışında, şu yollardan çıkmasın” der. Birincisi bir yasak, ikincisi bir kuraldır ve kurumda yalnız ikincisi yaşayabilir.

Verinin Üç Hâli, Üç Ayrı Kontrol Noktası

DLP tek bir yerde durmaz, çünkü veri de tek bir yerde durmaz. Kurulum kararı çoğu zaman “hangi ürünü alalım?” değil, “hangi noktayı denetleyelim?” sorusudur.

Üçüncüsü en çok atlanan ve en çok sızıntı üreten noktadır. Duran ve hareket eden veriyi denetleyip uç noktayı boş bırakmak, müzenin ana kapısına görevli koyup personel çıkışını açık bırakmaya benzer. USB ve harici depolama tarafının cihaz üstündeki karşılığı güvenlik sıkılaştırma sayfasında ayrıca ele alınıyor.

Sınıflandırma Olmadan DLP Ne Yapar?

Hazır desenleri yakalar, kuruma özel olan hiçbir şeyi yakalamaz. Kimlik ve kart numarası her kurumda aynı biçimdedir, ama sizin fiyat listeniz, teklif şablonunuz ve müşteri listeniz yalnız sizde vardır ve hiçbir hazır desene uymaz.

Müze karşılığı basit: kataloglanmamış eser kapıda tanınmaz. Görevli bakar, bir şey görür, ama elindeki listede o eser yoktur ve durdurma yetkisi doğmaz.

Sınıflandırma kulağa büyük bir proje gibi gelir ve öyle kurulursa gerçekten bitmez. Uygulanabilir hâli dar başlar:

1. Bir liste yazın. Kurumdan çıkmaması gereken veri türleri, en fazla beş kalem. Uzun liste hiç uygulanmaz.
2. Kaynağı etiketleyin. O verinin üretildiği yeri bulun ve etiketi orada verin. Sonradan etiketlemek, dağılmış kopyaları kovalamak demektir.
3. Etiketi kural hâline getirin. DLP’nin tanıyacağı şey etiketin kendisidir; etiketsiz bir kurumda policy yazmanın yolu yoktur.

Sıra bu üçüdür ve tersine çevrilemez. Önce ürün alıp sonra sınıflandırmaya başlayan kurumlar, ürünü aylarca izleme kipinde bekletir.

DLP Neyi Durduramaz?

Bunu baştan yazmak gerekiyor, çünkü DLP çoğu zaman sihirli değnek diye anlatılıyor ve beklenti yanlış kurulduğunda ilk sızıntıda bütün yatırım sorgulanıyor.

• Ekranın fotoğrafını. Telefonla çekilen bir ekran görüntüsü hiçbir kapıdan geçmez, çünkü dosya hiç oluşmaz.
• Elle yeniden yazılan veriyi. Bir tabloya bakıp rakamları başka bir yere yazan kişi, içerik denetiminin göremediği bir yoldan gider.
• Şifreli arşivi. İçeriği okunamayan bir dosyanın içindeki veri de tanınamaz. Şifreli arşivlerin çıkışını topluca kısıtlamak bir seçenektir, ama o da meşru işleri durdurur.
• Sınıflandırılmamış kopyayı. Etiketsiz veri, DLP için sıradan bir dosyadır.

Buradan çıkan sonuç DLP’yi değersizleştirmez, beklentiyi doğru yere koyar: DLP hazırlıklı ve kasıtlı bir kişiyi durdurmak için değil, günlük akışta olan sızıntıyı durdurmak için vardır. Sahada gördüğümüz sızıntıların çoğu kötü niyetli değil, aceleyle yanlış adrese gönderilmiş bir ek ya da eve götürülmek istenen bir dosyadır. DLP tam olarak orayı kapatır.

Policy’yi Yaymadan Önce: İzle, Uyar, Engelle

Yeni bir DLP policy’si hiçbir zaman doğrudan engelleme kipinde yayınlanmaz. Üç kademeli açılış, bu işin en çok bedel ödeten adımını ucuzlatır.

1. İzle. Policy çalışır ama hiçbir şeyi durdurmaz, yalnız kaydeder. Birkaç hafta sonra elinizde kurumun gerçek veri akışı olur ve o akış çoğu zaman beklentiden farklı çıkar.
2. Uyar. Kullanıcı uyarı görür, gerekçe yazarak devam edebilir. Bu kademe iki iş birden yapar: kullanıcıyı eğitir ve meşru istisnaları size isim isim gösterir.
3. Engelle. Ancak akış bilindikten ve istisnalar tanındıktan sonra.

Policy’yi bütün kuruma aynı anda vermek de ayrı bir risktir. Envanter tek tip değilse policy de tek tip denenemez: cihazların donanımı, kurulu yazılımı ve ağ yapılandırması birbirinden farklıysa aynı kural her makinede aynı sonucu vermez. Uç nokta tarafında bunun somut bir örneğini antivirüs ve EDR farkı rehberinde anlattık: tek bir donanım farkı, sorunsuz görünen bir policy’yi birkaç makinede bozabiliyor. Doğru yöntem her iki üründe de aynıdır, yani önce çeşitliliği temsil eden küçük bir gruba vermek.

Meşru Veri Çıkışı Olanlar Ne Olacak?

Her kurumda veriyi gerçekten dışarı taşıması gereken insanlar vardır: teklif gönderen satışçı, bilirkişiye dosya ileten hukukçu, denetçiye kayıt veren mali işler. DLP kurulumunun en çok ihmal edilen parçası bu insanlar için bir yol açmaktır.

Müzede bunun adı ödünç verme belgesidir. Eser binadan çıkabilir, ama kimin izniyle, ne kadar süreyle ve hangi kayıtla çıktığı yazılıdır. Yasak yoktur, usul vardır.

Pratikte gereken üç şey var ve üçü de üründen değil kurumdan gelir.

• Bir istisna yolu. Kullanıcının “bunu göndermem gerekiyor” diyebileceği ve cevabı saatler içinde alabileceği bir kanal. Cevap günler sürüyorsa kullanıcı kendi yolunu bulur ve o yol genellikle kişisel e-posta olur.
• Kaydı tutulan bir onay. Kim, neyi, neden gönderdi. Bu kayıt hem denetimde işe yarar hem de istisnanın kalıcı bir delik hâline gelmesini önler.
• Süreli istisna. Bir projeye özel açılan izin, proje bitince kapanır. Süresiz istisna, bir süre sonra kimsenin neden orada olduğunu bilmediği bir kural olur.

Güvenlik Sıkılaştırması, Aynı Zamanda Kullanım Sıkılaştırmasıdır

Bunu satın alma kararından önce yazmak gerekiyor, çünkü sonradan öğrenildiğinde ürüne duyulan güveni sarsıyor. Her güvenlik sıkılaştırması, bir miktar kullanım sıkılaştırması demektir. DLP de bunun istisnası değildir ve yükü yalnız kullanıcıya binmez; BT’nin kendi işlerine de biner.

Buradan çıkan sonuç DLP’den vazgeçmek değil, beklentiyi doğru kurmaktır. Sıkılaşan şey yalnız saldırganın yolu değil, sizin kendi yolunuzdur da. Bunu peşinen kabul eden kurum, ilk engellemede ürünü suçlamak yerine istisna yordamını çalıştırır; kabul etmeyen kurum ise birkaç hafta içinde policy’yi gevşetir ve elinde açık bir konsol kalır.

İki pratik sonucu var ve ikisi de kurulum planına yazılır.

• Göç ve cihaz yenileme işleri için önceden bir yol açın. BT ekibinin toplu veri taşıdığı işler, kullanıcı kaynaklı sızıntıyla aynı kural setine tabi tutulduğunda proje yavaşlar. Bu işler için süreli ve kaydı tutulan bir istisna, doğru çözümdür.
• Maliyeti teklif aşamasında konuşun. Bir DLP kurulumunun bedeli lisans değildir; lisansın yanına eklenen şey, yavaşlayan birkaç iş akışı ve onları yöneten kişinin zamanıdır. Bu kalem yazılmadığında proje “ürün sorunlu” diye anılmaya başlıyor, oysa sorun ürün değil, hesaba katılmamış bir maliyettir.

DLP’yi Kim Yönetecek?

Bir DLP kurulumu, onu izleyecek ve sürekli yapılandıracak bir kişi yoksa satın alınmış ama kurulmamış sayılır. Bu, uç nokta koruması için de geçerli olan aynı kuraldır ve iki üründe de aynı sebeple bozulur: konsol kendi kendine karar vermez.

Çözüm çoğu kurumda yeni bir kadro açmak değildir. Yeterli olan şey, ekipten bir kişinin bu araçların yönetimine açıkça atanmasıdır. Cevabı önceden belirlenmesi gereken sorular şunlardır. Policy’yi kim yazacak? Uyarıları kim okuyacak? İstisna talebini kim karara bağlayacak? Üçünün de aynı kişiyi göstermesi şart değildir, ama üçünün de bir cevabı olması şarttır.

İkinci şart kayıttır ve bu maddenin atlanması en pahalıya mal olanıdır. DLP policy’leri, istisnaları ve gerekçeleri dokümantasyon sunucusuna yazılır. Bir policy’nin neden o şekilde yazıldığı, hangi istisnanın hangi proje için açıldığı ve hangi kuralın hangi arızayı çözmek için konduğu kayıtlı değilse, o bilgi onu yazan kişiyle birlikte kurumdan çıkar. Sonraki kişi kuralı görür, gerekçesini göremez ve iki şeyden birini yapar: ya dokunmaya korkar ya da kaldırıp yeni bir arıza doğurur. Bu kaydın nasıl tutulacağı BT dokümantasyonu tarafının konusudur.

Kişisel veri söz konusu olduğunda kayıt ayrıca hukuki bir işlev kazanır, çünkü alınan teknik tedbirin varlığını gösteren şey uygulamanın kendisi değil, kaydıdır. Bu tarafı KVKK teknik uyum sayfasında ele alıyoruz.

Sonuç: Kapıdaki Görevli, Katalog ve Ödünç Defteri

DLP bir ürün alınarak kurulmaz, üç parçanın birlikte durmasıyla kurulur. Katalog olmadan kapıdaki görevli neyi durduracağını bilemez. Ödünç defteri olmadan meşru işler de durur ve kullanıcı kendi yolunu bulur. Görevli olmadan katalog da defter de kâğıt üstünde kalır.

Bu yüzden “DLP alalım mı?” sorusunun dürüst cevabı çoğu zaman “önce neyi koruduğunuzu yazalım” oluyor. Sınıflandırması olmayan bir kurumda DLP, kapısında görevli duran ama kataloğu hiç tutulmamış bir müzedir: görevli oradadır, çalışır, maaşını alır ve elinde hangi eserin çıkmaması gerektiğini söyleyen bir liste yoktur. Kataloğu, ödünç defterini ve görevliyi birlikte kurduğumuz işi DLP çözümü sayfamızda anlatıyoruz.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn