Применимо к: Exchange Server 2010 SP1
Последнее изменение раздела: 2011-02-11
Каждый день служащие, работающие с информацией, используют электронную почту для обмена конфиденциальными сведениями, такими как финансовые данные и отчеты, контракты, конфиденциальные сведения о продуктах, прогнозы объема реализации и отчеты о продажах, конкурентный анализ, исследовательская и патентная информация, а также данные о клиентах и сотрудниках. Поскольку в настоящее время люди могут получить доступ к своей электронной почте практически в любом месте, почтовые ящики превратились в хранилища, содержащие большое количество потенциально конфиденциальных сведений. Таким образом, утечка информации представляет серьезную угрозу для организаций. Для предотвращения утечки информации система Microsoft Exchange Server 2010 предоставляет функцию управления правами на доступ к данным (IRM), которая обеспечивает постоянную автономную и интернет-защиту сообщений электронной почты и их вложений.
Содержание
Традиционные решения для защиты от утечки информации
Применение защиты IRM к сообщениям
Расшифровка сообщений, защищенных службой IRM, для обеспечения соблюдения политик обмена сообщениями
Предварительное лицензирование
Агенты управления правами на доступ к данным
Требования к управлению правами на доступ к данным
Настройка и тестирование управления правами на доступ к данным
Понятие утечки информации
Утечка потенциально конфиденциальных сведений может привести к значительным издержкам организации и оказать существенное влияние на ее бизнес, сотрудников, клиентов и партнеров. Все большую роль в управлении способами хранения, передачи и защиты определенных типов информации играют местные и отраслевые нормативные требования. Чтобы избежать нарушения действующих норм, организациям необходимо обеспечить защиту от преднамеренной, неумышленной или случайной утечки информации.
Ниже приведены некоторые последствия, к которым может привести утечка информации.
- Материальный ущерб В зависимости от
размера организации, отрасли и местных нормативных требований,
утечка информации может привести к финансовым последствиям в
результате утраты деловых связей или выплаты штрафов, налагаемых
судебными или регулирующими органами. Открытые акционерные компании
также подвергаются риску потери рыночной капитализации в результате
неблагоприятного освещения ситуации средствами массовой
информации.
- Ущерб имиджу и репутации Утечка
информации может отрицательно повлиять на имидж и репутацию
организации среди клиентов. Кроме того, в зависимости от характера
общения утечка сообщений электронной почты может поставить
отправителя и организацию в затруднительное положение.
- Потеря конкурентоспособности Потеря
конкурентных преимуществ компании является одной из самых больших
угроз утечки информации. Раскрытие стратегических планов или
сведений о слияниях и приобретениях может привести к потери прибыли
или рыночной капитализации. Среди других угроз можно выделить
потерю данных исследований, аналитических данных и другой
интеллектуальной собственности.
Традиционные решения для защиты
от утечки информации
Несмотря на то что традиционные решения для защиты от утечки информации могут предотвратить начальный доступ к данным, они часто не обеспечивают постоянную защиту. В следующей таблице приведены некоторые традиционные решения и их ограничения.
Традиционные решения
| Решение | Описание | Ограничения |
|---|---|---|
|
Протокол TLS |
Протокол TLS является стандартным интернет-протоколом, используемым для обеспечения безопасной передачи данных через сеть путем их шифрования. В среде обмена сообщениями протокол TLS используется для защиты взаимодействий сервер-сервер и клиент-сервер. По умолчанию сервер Exchange 2010 использует TLS для всех внутренних передач сообщений. По умолчанию для сеансов с внешними узлами также включен гибкий протокол TLS. Сервер Exchange в первую очередь попытается использовать для сеанса шифрование TLS, но если установить подключение TLS к серверу назначения не удастся, то сервер Exchange будет использовать протокол SMTP. Также можно настроить безопасность домена, чтобы применять протокол Mutual TLS для сеансов с внешними организациями. Дополнительные сведения см. в разделе Общие сведения о безопасности домена. |
Протокол TLS обеспечивает защиту сеанса SMTP только между двумя узлами SMTP. Другими словами, TLS защищает данные при передаче, но не обеспечивает защиту на уровне сообщений или данных в местах хранения. Сообщения в почтовых ящиках отправителей и получателей остаются незащищенными, если они не шифруются другим методом. Защита TLS сообщения, отправляемого за пределы организации, используется только для первого прыжка. Затем сообщение принимает удаленный узел SMTP за пределами организации, который может ретранслировать его на другой узел SMTP через незашифрованный сеанс. Поскольку протокол TLS представляет собой технологию защиты данных на транспортном уровне, он не может контролировать действия получателя с сообщением. |
|
Шифрование электронной почты |
Для шифрования сообщений пользователи могут использовать различные технологии, например S/MIME. |
Пользователи самостоятельно решают, необходимо ли шифровать сообщение. Шифрование также накладывает дополнительную стоимость развертывания инфраструктуры открытых ключей (PKI) с сопутствующими затратами на управление сертификатами для пользователей и защиту закрытых ключей. Действия получателя с информацией после расшифровки сообщения не контролируются. Расшифрованные данные можно скопировать, напечатать или переслать. По умолчанию сохраненные вложения не защищены. Организация не имеет доступа к сообщениям, зашифрованным с помощью таких технологий, как S/MIME. Поскольку организация не может проверять содержимое сообщения, она не может применять политики обмена сообщениями, проверять сообщения на наличие вирусов и вредоносного содержимого или предпринимать другие действия, для которых требуется доступ к содержимому. |
И наконец, традиционные решения часто не имеют принудительных средств, которые применяют единые политики обмена сообщениями для предотвращения утечки информации. Например, пользователь отправляет сообщение, содержащее конфиденциальные данные, и помечает его как Служебное, конфиденциально и Не пересылать. После доставки сообщения получателю ни отправитель, ни организация больше не могут управлять содержащейся в нем информацией. Получатель может умышленно или непреднамеренно переслать сообщение (с помощью таких функций, как правила автоматической пересылки) на внешние учетные записи электронной почты, подвергая организацию существенному риску утечки информации.
IRM в Exchange 2010
Сервер Exchange 2010 имеет функции управления доступом к данным (IRM) для обеспечения постоянной защиты сообщений и вложений. Система управления правами на доступ к данным использует службу управления правами Служба каталогов Active Directory (AD RMS), технологию защиты информации в Windows Server 2008. Использование функций управления правами на доступ к данным в системе Exchange 2010 позволяет организации и ее пользователям управлять правами получателей на доступ к сообщениям электронной почты. C помощью IRM можно разрешить или запретить получателю пересылать сообщение другим получателям, печатать сообщение или вложения, а также копировать текст сообщения или вложений. Защита IRM может применяться пользователями приложений Microsoft Outlook или Microsoft Office Outlook Web App, или она может основываться на политиках обмена сообщениями организации и применяться с помощью правил защиты транспорта или правил защиты Outlook. В отличие от других решений шифрования электронной почты, IRM также позволяет организации расшифровывать содержимое в целях обеспечения соблюдения требований политики.
Для сертификации компьютеров и пользователей и защиты содержимого служба AD RMS использует сертификаты и лицензии на основе eXtensible Rights Markup Language (XrML). Когда содержимое, документ или сообщение, защищено с помощью службы AD RMS, к нему прикрепляется лицензия XrML, содержащая права уполномоченных пользователей на содержимое. Чтобы получить доступ к содержимому, защищенному службой IRM, приложения с поддержкой AD RMS должны получить лицензию на использование для уполномоченных пользователей из кластера AD RMS.
 Примечание. |
|---|
| В системе Exchange 2010 агент предварительного лицензирования прикрепляет к сообщению, защищенному с помощью кластера AD RMS в организации, лицензию на использование. Дополнительные сведения см. в подразделе Предварительное лицензирование далее в этом разделе. |
Приложения, используемые для создания содержимого, должны иметь поддержку службы RMS для обеспечения постоянной защиты содержимого с помощью AD RMS. Приложения Microsoft Office, такие как Word, Excel, PowerPoint и Outlook имеют поддержку RMS и могут использоваться для создания и потребления защищенного содержимого.
Служба IRM помогает:
- предотвратить пересылку, изменение, печать, отправку по факсу,
сохранение и копирование уполномоченными получателями содержимого,
защищенного службой IRM;
- обеспечить для вложений в поддерживаемых форматах такой же
уровень защиты, что и для сообщения;
- поддерживать функцию управления сроком действия сообщений и
вложений с защитой IRM, которая не позволяет просматривать их по
истечении указанного периода;
- предотвратить копирование содержимого, защищенного службой IRM,
с помощью средства «Ножницы» в Windows.
Однако служба IRM не может предотвратить копирование сведений следующими методами:
- создание снимков экрана с помощью программ сторонних
производителей;
- фотографирование содержимого, защищенного службой IRM, с экрана
с помощью таких устройств, как камеры и фотоаппараты;
- запоминание данных пользователем или их запись вручную.
Дополнительные сведения о службе AD RMS см. в статье Службы управления правами Active Directory.
Шаблоны политики прав службы AD RMS
Служба AD RMS использует шаблоны политики прав на основе XrML, чтобы совместимые приложения с поддержкой IRM могли применять согласованные политики защиты. В системе Windows Server 2008 на сервере AD RMS доступна веб-служба, которую можно использовать для перечисления и получения шаблонов. Сервер Exchange 2010 поставляется вместе с шаблоном «Не пересылать». Если к сообщению применен шаблон «Не пересылать», расшифровать сообщение могут только получатели, которым оно адресовано. Получатели не могут пересылать сообщение, копировать содержимое из сообщения или печатать его. Можно также создать дополнительные шаблоны RMS на сервере AD RMS в организации в соответствии с требованиями защиты IRM.
Защита IRM обеспечивается путем применения шаблона политики прав AD RMS. C помощью шаблонов политики можно управлять разрешениями, которые имеют получатели в отношении сообщений. Такими действиями, как ответить, ответить всем, переслать, извлечь сведения из сообщения, сохранить сообщение или напечатать сообщение, можно управлять, применив к сообщению соответствующий шаблон политики прав.
Дополнительные сведения о шаблонах политики прав см. в статье Особенности использования шаблонов политики AD RMS.
Дополнительные сведения о создании шаблонов политики прав AD RMS см. в статье Пошаговое руководство по развертыванию шаблонов политики прав AD RMS.
Применение защиты IRM к
сообщениям
В системе Exchange 2010 применить защиту IRM к сообщениям можно следующими способами.
- Вручную пользователями
Outlook Пользователи приложения Outlook могут
применить защиту IRM к сообщениям с помощью доступных шаблонов
политики прав AD RMS. При этом используется функция IRM
приложения Outlook, а не сервера Exchange. Однако с помощью
Exchange можно получить доступ к сообщениям и предпринять действия
(например, применить правила транспорта) для применения политики
обмена сообщениями, действующей в организации. Дополнительные
сведения об использовании функции IRM в приложении Outlook см. в
статье Вводные сведения об использовании службы IRM для
сообщений электронной почты.
- Вручную пользователями Outlook Web
App При включении службы IRM в приложении
Outlook Web App пользователи могут защищать с помощью IRM
отправляемые сообщения и просматривать получаемые сообщения,
защищенные службой IRM. В системе Exchange 2010 с пакетом
обновления 1 (SP1) пользователи Outlook Web App также могут
просматривать вложения с защитой IRM с помощью веб-просмотра
документов. Дополнительные сведения о службе IRM в Outlook Web App
см. в разделе Общие сведения об
управлении правами на доступ к данным в Outlook Web App.
- Вручную пользователями устройств Windows Mobile и Exchange
ActiveSync В окончательной первоначальной
версии (RTM) Exchange 2010 пользователи устройств
Windows Mobile могут просматривать и создавать сообщения с
защитой IRM. Для этого пользователям необходимо подключить
поддерживаемые устройства Windows Mobile к компьютеру и
активировать их для использования функции IRM. Система Exchange
2010 с пакетом обновления 1 (SP1) позволяет включить службу IRM в
Microsoft Exchange ActiveSync, чтобы разрешить пользователям
устройств Exchange ActiveSync (в том числе устройств Windows
Mobile) создавать, просматривать, пересылать сообщения, защищенные
службой IRM, и отвечать на них. Дополнительные сведения о службе
IRM в Exchange ActiveSync см. в разделе Общие сведения об
управлении правами на доступ к данным в службе Exchange
ActiveSync.
- Автоматически в Outlook 2010 В Outlook
2010 можно создать правила Outlook для автоматической защиты
сообщений с помощью службы IRM. Правила защиты Outlook
автоматически развертываются в клиентах Outlook 2010, а защита IRM
применяется приложением Outlook 2010 при составлении сообщения
пользователем. Дополнительные сведения о правилах защиты Outlook
см. в разделе Общие сведения о
правилах защиты Outlook.
- Автоматически на транспортных
серверах-концентраторах Для автоматической
защиты сообщений с помощью службы IRM на транспортных
серверах-концентраторах Exchange 2010 можно создать правила защиты
транспорта. Дополнительные сведения о правилах защиты транспорта
см. в разделе Общие сведения о
правилах защиты транспорта.
Примечание.Защита IRM не применяется к сообщениям, которые уже защищены посредством службы IRM. Например, если сообщение защищено пользователем с помощью службы IRM в приложении Outlook или Outlook Web App, защита IRM с использованием правил защиты транспорта к нему применяться не будет.
Сценарии для защиты IRM
Сценарии для защиты IRM описаны в следующей таблице.
Сценарии для защиты IRM
| Отправка сообщений, защищенных службой IRM | Поддерживается | Требования |
|---|---|---|
|
В одном локальном развертывании Exchange 2010 |
Да |
Сведения о требованиях см. в подразделе Требования к управлению правами на доступ к данным далее в этом разделе. |
|
Между различными лесами в локальном развертывании |
Да |
Сведения о требованиях см. в статье Настройка службы AD RMS для интеграции с Exchange Server 2010 между несколькими лесами. |
|
Между локальным развертыванием Exchange 2010 и организацией Exchange 2010 на основе облака |
Да |
|
|
Внешним получателям |
Нет |
Сервер Exchange 2010 не содержит решение для отправки сообщений, защищенных службой IRM, внешним получателям в нефедеративной организации. Служба AD RMS предоставляет решения на основе политик доверия. Можно настроить политику доверия между кластером AD RMS и идентификатором Windows Live ID. Для сообщений, отправляемых между двумя организациями, можно создать федеративное доверие между двумя лесами Служба каталогов Active Directory с помощью служб федерации Служба каталогов Active Directory (AD FS). Дополнительные сведения см. в статье Общие сведения о политиках доверия службы AD RMS. |
Расшифровка сообщений,
защищенных службой IRM, для обеспечения соблюдения политик обмена
сообщениями
Чтобы обеспечить соблюдение политик обмена сообщениями и соответствие нормативным требованиям, необходимо иметь доступ к содержимому зашифрованного сообщения. Для соблюдения требований к электронному обнаружению (eDiscovery) в связи с судебным разбирательством, ревизией или внутренним расследованием пользователю также должна быть доступна функция поиска в зашифрованных сообщениях. Для осуществления этих задач сервер Exchange 2010 включает следующие функции IRM.
- Расшифровка транспорта Для применения
политик обмена сообщениями агенты транспорта, такие как агент
правил транспорта, должны иметь доступ к содержимому сообщений.
Расшифровка транспорта позволяет агентам транспорта, установленным
на серверах Exchange 2010, получать доступ к содержимому сообщений.
Дополнительные сведения см. в разделе Общие сведения о
расшифровке транспорта.
- Расшифровка отчета журнала Чтобы
обеспечить соблюдение требований компании или нормативных
требований, организации могут использовать функцию ведения журнала
для хранения содержимого сообщений. Для сообщений, подлежащих
регистрации в журнале, агент ведения журнала создает отчет журнала,
в котором содержатся метаданные сообщения. Исходное сообщение
присоединяется к отчету журнала. Если сообщение в отчете журнала
защищено службой IRM, то функция расшифровки отчета журнала
присоединяет к отчету копию сообщения в текстовом формате.
Дополнительные сведения см. в разделе Общие сведения о
расшифровке отчета журнала.
- Расшифровка IRM для службы поиска
Exchange Благодаря функции расшифровки IRM для
службы поиска Exchange служба поиска Exchange может выполнять
индексацию содержимого сообщений с защитой IRM. Если диспетчером
обнаружения используется поиск в нескольких почтовых ящиках, то в
результатах поиска будут возвращены сообщения с защитой IRM,
которые были проиндексированы. Дополнительные сведения см. в
разделе Общие
сведения о подсистеме поиска Exchange. Дополнительные сведения
о функции поиска по нескольким почтовым ящикам см. в разделе
Общие сведения о
поиске по нескольким почтовым ящикам.
Примечание.В версии Exchange 2010 с пакетом обновления 1 (SP1) члены группы ролей управления обнаружением могут получать доступ к сообщениям с защитой IRM, которые были возвращены в результате поиска на обнаружение и находятся в почтовом ящике найденных сообщений. Чтобы активировать эту функцию, используйте параметр EDiscoverySuperUserEnabled с командлетом Set-IRMConfiguration. Дополнительные сведения см. в разделе Настройка управления правами на доступ к данным для служб поиска и обнаружения Exchange.
Для включения этих функций расшифровки серверы Exchange должны иметь доступ к сообщениям. Для этого необходимо добавить федеративный почтовый ящик, системный почтовый ящик, созданный программой установки Exchange, в группу суперпользователей на сервере AD RMS. Дополнительные сведения см. в разделе Добавление почтового ящика федеративной доставки в группу суперпользователей службы управления правами Active Directory.
Предварительное
лицензирование
Для просмотра сообщений и вложений, защищенных службой IRM, сервер Exchange 2010 автоматически присоединяет к ним предварительную лицензию. Это предотвращает многократное обращение клиента к серверу AD RMS для получения лицензии на использование, а также позволяет просматривать сообщения и вложения, защищенные службой IRM, в автономном режиме. Предварительное лицензирование также позволяет просматривать сообщения, защищенные службой IRM, в приложении Outlook Web App. При включении функций защиты IRM предварительное лицензирование включается по умолчанию.
Агенты управления правами на
доступ к данным
В системе Exchange 2010 функции защиты IRM включаются на транспортных серверах-концентраторах с помощью агентов транспорта. Агенты IRM устанавливаются программой установки Exchange на транспортном сервере-концентраторе. Управлять агентами IRM с помощью задач управления для агентов транспорта невозможно.
| Примечание. |
|---|
| В системе Exchange 2010 агенты IRM являются встроенными агентами. Встроенные агенты не включаются в список агентов, возвращаемых командлетом Get-TransportAgent. Дополнительные сведения см. в разделе Общие сведения об агентах транспорта. |
В следующей таблице перечислены агенты IRM, действующие на транспортных серверах-концентраторах.
Агенты IRM на транспортных серверах-концентраторах
| Агент | Событие | Функция |
|---|---|---|
|
Агент расшифровки RMS |
OnEndOfData (SMTP) и OnSubmittedMessage |
Расшифровывает сообщения, чтобы разрешить доступ к агентам транспорта. |
|
Агент правил транспорта |
OnRoutedMessage |
Помечает сообщения, соответствующие условиям правила зашиты транспорта, для применения защиты IRM агентом шифрования RMS. |
|
Агент шифрования RMS |
OnRoutedMessage |
Применяет защиту IRM к сообщениям, помеченным агентом правил транспорта, и зашифровывает расшифрованные сообщения транспорта. |
|
Агент предварительного лицензирования |
OnRoutedMessage |
Присоединяет предварительную лицензию к сообщениям, защищенным службой IRM. |
|
Агент расшифровки отчетов журнала |
OnCategorizedMessage |
Расшифровывает сообщения с защитой IRM, присоединенные к отчетам журнала, и присоединяет к исходным зашифрованным сообщениям копии в текстовом формате. |
Дополнительные сведения об агентах транспорта см. в разделе Общие сведения об агентах транспорта.
Требования к управлению правами
на доступ к данным
Для реализации управления правами на доступ к данным в организации Exchange 2010 развертывание должно соответствовать требованиям, описанным в следующей таблице.
Требования к управлению правами на доступ к данным
| Сервер | Требования |
|---|---|
|
Кластер AD RMS |
|
|
Exchange |
|
|
Outlook |
|
|
Windows Mobile |
|
|
Exchange ActiveSync |
|
| Примечание. |
|---|
| Термин кластер AD RMS относится к развертыванию AD RMS в организации, в том числе к развертыванию одного сервера. Служба управления правами Active Directory является веб-службой. Установка отказоустойчивого кластера Windows Server 2008 не требуется. Чтобы обеспечить высокий уровень доступности и балансировку нагрузки, в кластере можно развернуть несколько серверов AD RMS и использовать балансировку сетевой нагрузки. |
 Важно! |
|---|
| В производственной среде установка службы AD RMS и сервера Exchange на одном сервере не поддерживается. |
Функции IRM для Exchange 2010 имеют поддержку файлов формата Microsoft Office. Можно распространить защиту IRM на файлы других форматов за счет развертывания пользовательских средств защиты. Дополнительные сведения о пользовательских средствах защиты см. в подразделе «Партнеры по защите и контролю информации» в разделе Независимые поставщики программных продуктов.
Настройка и тестирование
управления правами на доступ к данным
Для настройки функций управления правами на доступ к данным в Exchange 2010 необходимо использовать командную консоль Exchange. Чтобы настроить отдельные функции управления правами на доступ к данным, используйте командлет Set-IRMConfiguration. Функцию IRM можно включить или отключить для внутренних сообщений, расшифровки транспорта, расшифровки отчетов журнала, службы поиска Exchange и приложения Outlook Web App. Дополнительные сведения о настройке функций IRM см. в разделе Управление защитой прав.
После настройки сервера Exchange 2010 можно выполнить комплексную проверку развертывания управления правами на доступ к данным с помощью командлета Test-IRMConfiguration. Используемые тесты позволяют проверять функциональные возможности IRM сразу после первоначальной настройки IRM и на постоянной основе. Этот командлет выполняет следующие тесты.
- Проверяет конфигурацию IRM для организации Exchange 2010.
- Проверяет сервер AD RMS для получения сведений о версии и
исправлениях.
- Проверяет возможность активации сервера Exchange для службы
управления правами путем получения сертификата учетной записи прав
и клиентского сертификата лицензиара (CLC).
- Получает шаблоны политики прав AD RMS с сервера
AD RMS.
- Проверяет способность указанного отправителя отправлять
сообщения, защищенные службой IRM.
- Получает для указанного получателя лицензию на использование
суперпользователя.
- Получает для указанного получателя предварительную
лицензию.