Защита почтового трафика и данных в кейсе Делимобиля

Solar Dozor и почтовый трафик

DLP встроена в инфраструктуру «Делимобиля» в трёх режимах работы: «разрыв», «реконструкция» и «перехват почтового трафика». Заявлена гибкая настройка политик без остановки бизнес-процессов. Проверьте вашу архитектуру на тех же трёх точках:

• Перехват SMTP submission и relay. Убедитесь, что DLP-сенсор стоит перед или после MTA в разрыве (inline), а не зеркалированием копии — иначе политика срабатывает постфактум.
• Реконструкция вложений. Режим восстановления архивов (.pst,.mbox,.eml) даёт ощутимый эффект только при согласованной ротации формата хранения и регулярной синхронизации контентной БД с антивирусом.
• Перехват на исходящих MTA. Отдельный канал обработки исходящего потока с приоритетом по политикам не позволяет DLP стать узким местом очереди.

Передача тела письма и заголовков в DLP должна идти по TLS, иначе на стороне DLP появится собственная точка утечки. Зафиксируйте PTR-записи для хостов DLP — почтовые серверы партнёров фильтруют обратные соединения без валидной записи.

DCAP на внешние файлообменники

ИБ-департамент «Делимобиля» отказался от модели «смотрим почту и ловим нарушения» и перешёл к контролю внешних файловых хранилищ. Сенсор собирает ссылки, которыми сотрудники обмениваются через почту и мессенджеры, и прогоняет их через алгоритм поиска чувствительной информации.

Перенесите логику на свой периметр. Что сделать на стороне почтового домена:

• Заведите deny-list доменов публичных файлообменников на уровне MX/HTTPS-прокси. Базовый набор — популярные облачные диски и paste-сервисы.
• Для разрешённых обменников включите DCAP-парсер с правилами по номерам карт, ИНН, паспортам, служебным логинам.
• Принудительно переписывайте ссылки через прокси-шлюз с аудитом доступа. Ссылки из писем живут дольше, чем само письмо.

Регламент допуска и киберграмотность

Внутренняя политика «Делимобиля» закрепляет принцип «нет подтверждения знаний — нет роли». Новые сотрудники обязаны пройти курс по ИБ до получения критичных полномочий. Действующие сотрудники — обучение дважды в год с обязательным итоговым тестированием. Невыполнение порога переводит сотрудника на повторную проверку.

Переложите на свои процессы. Минимальный регламент:

• Свяжите роль в IdP со статусом пройденного курса. Без зелёного флага — атрибут role не выдаётся.
• Поставьте SLA на повторную проверку: 14 дней. Не больше — иначе риск-окно затягивается.
• Обновляйте тестовые сценарии ежеквартально под актуальные шаблоны фишинга в вашей нише.

Что отслеживать

Позиция «Делимобиля» опирается на тройку законов: 152-ФЗ (ПДн), 149-ФЗ (информация), приказ ФСТЭК № 117 (взаимодействие с ГИС), плюс PCI DSS для платёжного контура. Если ваша организация попадает в периметр 152-ФЗ и 117-го приказа, наличие DLP с перехватом почты — стандарт, а не опция. Сверяйте покрытие контрольных мер ежегодно и фиксируйте изменения в политике до того, как их запросит регулятор.