Guía de prácticas recomendadas para la prevención de la pérdida de datos y el cifrado

Introducción

Este documento describe las prácticas recomendadas para la prevención de la pérdida de datos (DLP) y el cifrado para Cisco Email Security.

Este documento describe la configuración del cifrado de mensajes mediante el dispositivo de seguridad Cisco Email Security Appliance (ESA) y el servicio Cisco Registered Envelope Service (RES) basado en la nube.  Los clientes pueden utilizar el cifrado de mensajes para enviar mensajes individuales de forma segura a través de la Internet pública, mediante el uso de varios tipos de políticas, incluidos el filtrado de contenido y DLP.  La creación de estas políticas se tratará en otros documentos de esta serie.  Este documento se centra en conseguir que el ESA esté preparado para enviar correo cifrado de modo que las políticas puedan utilizar el cifrado como una acción.

Prerequisites 

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

En este documento se analizan los siguientes pasos:

1. Habilitación de Cisco IronPort Email Encryption
2. Registre su ESA y su organización con RES
3. Creación de perfiles de cifrado
4. Habilitación de DLP
5. Creación de acciones de mensajes DLP
6. Creación de políticas DLP
7. Aplicación de políticas de DLP a una política de correo electrónico saliente

Una vez completados correctamente estos pasos, el administrador de ESA puede crear correctamente una directiva que utilizará el cifrado como acción.

Cisco IronPort Email Encryption también se denomina cifrado RES.  RES es el nombre que utilizamos para los "servidores clave" en la nube de Cisco.  La solución de cifrado RES utiliza cifrado de clave simétrica, lo que significa que la clave utilizada para cifrar el mensaje es la misma que se utiliza para descifrar el mensaje.  Cada mensaje cifrado utiliza una clave única, que permite al remitente tener un control granular sobre un mensaje después de enviarlo (por ejemplo, bloquearlo o hacer que caduque para que el destinatario ya no pueda abrirlo) sin que ello afecte a ningún otro mensaje.  Al cifrar un mensaje, el ESA almacena la clave de cifrado y los metadatos en CRES sobre cada mensaje cifrado.

El ESA puede decidir cifrar un mensaje de muchas maneras: a través de una "bandera" (como el contenido del asunto), a través de la coincidencia del filtro de contenido o a través de la política DLP, por ejemplo.  Una vez que el ESA decide cifrar un mensaje, lo hace con un "perfil de cifrado" especificado creado en "Servicios de seguridad > Cifrado de correo electrónico de Cisco IronPort", la tabla denominada "Perfiles de cifrado de correo electrónico".  De forma predeterminada, no hay perfiles de cifrado.  Esto se discutirá en la sección 3. Creación de perfiles de cifrado.

Guía de prácticas recomendadas para las prácticas recomendadas de cifrado y prevención de pérdida de datos

1. Habilitar el cifrado de correo electrónico de Cisco IronPort en los ESA

Nota: Si tiene varios ESA en un clúster, el paso del paso #1 sólo debe realizarse una vez, ya que esta configuración se administra normalmente en el nivel de clúster.  Si tiene varias máquinas que no están agrupadas en clúster o si está administrando estos ajustes en el nivel de máquina, el paso #1 se debe realizar en cada ESA.

1. En la interfaz de usuario de ESA, vaya a Servicios de seguridad > Cifrado de correo electrónico Cisco IronPort.
2. Marque la casilla para activar Cisco IronPort Email Encryption.
3. Acepte el Acuerdo de licencia del usuario final (CLUF) y el Acuerdo de licencia de cifrado de correo electrónico de Cisco IronPort.
4. En Configuración global de cifrado de correo electrónico, haga clic en Editar configuración... 
   • Especifique la dirección de correo electrónico del administrador/persona que es el administrador de RES principal de la cuenta.  Esta cuenta de correo electrónico se asociará a la administración del entorno RES de la empresa.
   • Opcional: El tamaño máximo predeterminado para cifrar un mensaje es de 10 millones.  Si lo desea, puede aumentar o disminuir el tamaño en este momento.
   • Opcional: Si tiene un proxy por el que el ESA deberá pasar para conectarse a RES a través de HTTPS, agregue los ajustes de proxy y autenticación necesarios para permitir que pase a través del proxy.
5. Envíe y confirme los cambios de configuración.

Llegados a este punto, debería ver la "Configuración global de cifrado de correo electrónico" configurada con un valor similar al siguiente, pero sin que aún aparezcan perfiles:

2. Registre su ESA y su organización con RES

El paso #2 participa principalmente fuera de la consola de administración ESA.

Nota: La información de registro de ESA también se encuentra en la siguiente nota técnica: Cisco RES: Ejemplo de Configuración de Aprovisionamiento de Cuentas para ESA Virtual, Alojada y de Hardware 

Envíe un correo electrónico directamente a RES: stg-cres-provisioning@cisco.com.

Para aprovisionar una cuenta de CRES para los perfiles de cifrado de su ESA, proporciónenos la siguiente información:

1. Nombre de la cuenta (especifique el nombre exacto de la empresa, ya que debe aparecer en la lista).
   1. En el caso de las cuentas de clientes alojadas/Cloud Email Security (CES), anote el nombre de su cuenta para que finalice como "<Account Name> HOSTED".
2. Direcciones de correo electrónico que se utilizarán para el administrador de la cuenta (especifique la dirección de correo electrónico del administrador correspondiente)
3. Números de serie completos del dispositivo
   1. Se puede localizar un número de serie del dispositivo desde la GUI de ESA (Administración del sistema > Claves de característica) o desde la CLI de ESA mediante el comando 'version'.  No se acepta proporcionar una licencia de número de licencia virtual (VLAN) o de clave de actividad del producto (PAK), ya que se requiere un número de serie completo del dispositivo para la administración de cuentas de CRES.
4. Nombres de dominio que deben asignarse a la cuenta de CRES para fines administrativos

Nota: Si ya dispone de una cuenta de CRES, proporcione el nombre de la empresa o el número de cuenta de CRES existente. De este modo se garantiza que los nuevos números de serie de los dispositivos se agregan a la cuenta correcta y se evita la duplicación de la información y el aprovisionamiento de la empresa.

Puede estar seguro de que, si envía un correo electrónico con respecto al aprovisionamiento de una cuenta de CRES, le responderemos en un (1) día laborable. Si necesita asistencia y asistencia inmediatas, abra una solicitud de asistencia con Cisco TAC. Esto se puede realizar a través del Administrador de casos de asistencia (https://mycase.cloudapps.cisco.com/case) o llamando por teléfono (https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html).

Nota: Después de enviar esta solicitud por correo electrónico, puede que tarde un día en crearse la cuenta RES de la empresa (si aún no se ha creado) y en agregarse los S/N.  La tarea "Aprovisionar" del paso #3 no funcionará hasta que se complete.

3. Crear perfiles de cifrado en los ESA

Nota: Si tiene varios ESA en un clúster, el paso del paso #1 sólo debe realizarse una vez, ya que esta configuración se administra normalmente en el nivel de clúster.  Si tiene varias máquinas que no están agrupadas en clúster o si está administrando estos ajustes en el nivel de máquina, el paso #1 se debe realizar en cada ESA.

Un perfil de cifrado especifica cómo deben enviarse los mensajes cifrados.  Por ejemplo, una organización puede necesitar enviar sobres de alta seguridad para un segmento de sus destinatarios, como aquellos a los que sabe que enviará con frecuencia datos confidenciales.  La misma organización puede tener otros segmentos de su comunidad de destinatarios que reciben información menos confidencial, y que son quizás menos pacientes con tener que proporcionar una ID de usuario y una contraseña para recibir correo cifrado.  Esos destinatarios serían buenos candidatos para un tipo de sobre de baja seguridad.  Disponer de varios perfiles de cifrado permite a la organización adaptar el formato de mensaje cifrado a la audiencia.  Por otro lado, muchas organizaciones pueden estar bien con un solo perfil de cifrado.

En este documento, mostraremos un ejemplo de creación de tres perfiles de cifrado denominados "CRES_HIGH", "CRES_MED" y "CRES_LOW".   

1. En la interfaz de usuario de ESA, vaya a Servicios de seguridad > Cifrado de correo electrónico Cisco IronPort.
2. Haga clic en "Agregar perfil de cifrado..."
3. Se abrirá el menú Encryption Profile (Perfil de cifrado) y podrá asignar el nombre "CRES_HIGH" a su primer perfil de cifrado.
4. Seleccione "High Security" (Seguridad alta) para Envelope Message Security (Seguridad del mensaje del sobre), si aún no está seleccionado.
5. Haga clic en Enviar para guardar este perfil.

A continuación, repita los pasos del 2 al 5 para crear "CRES_MED" y "CRES_LOW"; solo tiene que cambiar el botón de opción de Seguridad de mensajes de sobre para cada perfil. 

• Para el perfil CRES_HIGH, elija el botón de opción "High Security" (Alta seguridad).
• Para el perfil CRES_MED, seleccione el botón de opción "Seguridad media".
• Para el perfil CRES_LOW, seleccione el botón de opción "No se requiere contraseña"

Observará que hay opciones para Habilitar confirmación de lectura, Habilitar respuesta segura para todos y Habilitar reenvío seguro de mensajes.  En Configuración de sobre, si hace clic en el enlace "Avanzado", puede seleccionar uno de los tres algoritmos de cifrado simétrico, así como especificar que el sobre se envía sin el subprograma de cifrado de Java.

A la derecha de Configuración del sobre, verá el enlace de hipertexto "Mensaje de ejemplo".  Si se hace clic en esta opción, se mostrará un ejemplo del sobre de mensaje seguro: lo que verá el destinatario en su mensaje de correo electrónico después de abrir el adjunto HTML.

Recibos de lectura significa que el remitente del mensaje cifrado recibirá un correo electrónico de CRES cuando el destinatario abra el mensaje seguro (lo que significa que el destinatario retiró la clave simétrica y descifró el mensaje). 

A la derecha de Configuración de mensajes, verá el enlace de hipertexto "Mensaje de ejemplo".  Si se hace clic en esta opción, se mostrará el aspecto que tendrá el mensaje abierto, es decir, lo que verá el destinatario una vez que haya proporcionado la información necesaria en el sobre y haya abierto el mensaje cifrado.

Recuerde siempre hacer clic en Enviar y confirmar los cambios. 

La fila de la tabla mostrará un botón "Provisión".  El botón Provisión no aparecerá hasta que confirme los cambios.

Vuelva a hacer clic en el botón Provisioning (Aprovisionar). Esto solo funcionará después de que se haya creado la cuenta RES de su empresa y se hayan agregado los S/N del dispositivo a su cuenta.  Si la cuenta RES está vinculada al ESA, el proceso de aprovisionamiento se producirá con relativa rapidez.  Si no lo es, ese proceso tendrá que completarse primero.

Una vez finalizado el aprovisionamiento, la página Cisco IronPort Email Encryption mostrará el perfil tal y como está configurado.  

4. Habilitar la prevención de la pérdida de datos (DLP)

1. Desde la interfaz de usuario de ESA, navegue hasta Servicios de seguridad > Prevención de pérdida de datos.
2. Haga clic en Enable... para activar DLP.
3. Acepte el EULA, Acuerdo de licencia de prevención de pérdida de datos.
4. Haga clic en la casilla de verificación Habilitar registro de contenido coincidente.
5. Haga clic en la casilla de verificación Habilitar actualizaciones automáticas.
6. Haga clic en Submit (Enviar). 

Las actualizaciones del motor DLP y los clasificadores de coincidencia de contenido predefinidos de su dispositivo son independientes de las actualizaciones de otros servicios de seguridad. Las actualizaciones de firmas regulares de Talos, que duran de 3 a 5 minutos, son diferentes y no incluyen la actualización de las políticas y diccionarios de DLP. Las actualizaciones deben estar habilitadas aquí.

Cuando se habilita el "registro de contenido coincidente", permite que el rastreo de mensajes muestre el contenido del correo electrónico que causó la violación. Este es un ejemplo de Rastreo de mensajes que muestra el contenido del correo electrónico que provocó la infracción de DLP.  De este modo, un administrador puede saber exactamente qué datos activaron una política DLP específica.

Violación de prevención de pérdida de datos

5. Creación de acciones de mensajes de prevención de pérdida de datos

Crear cuarentenas DLP

Si desea conservar una copia de los mensajes que infringen las políticas de DLP, puede crear cuarentenas de políticas individuales para cada tipo de infracción de políticas. Esto resulta especialmente útil cuando se ejecuta un PDV "transparente", en el que se registran y entregan los mensajes salientes que infringen las políticas de DLP, pero no se realiza ninguna acción con los mensajes.

1. En el SMA, navegue hasta Correo electrónico > Cuarentena de mensajes > Cuarentenas de brotes, virus y políticas
2. Este es el aspecto que debería tener la tabla de cuarentenas antes de comenzar:Cuarentena de brotes y virus de políticas
3. Haga clic en el botón "Agregar cuarentena de políticas" y cree una cuarentena para que la utilicen las políticas DLP.

A continuación se incluye un ejemplo de cuarentena realizada para una violación de DLP media. La segmentación de cuarentenas es posible y se puede desear para varias reglas DLP:

Ejemplo de cuarentena DLP

Acerca de las acciones de mensajes DLP

Las acciones de mensajes de DLP describen las acciones que llevará a cabo el ESA cuando detecte una infracción de DLP en un correo electrónico saliente. Puede especificar acciones de DLP principales y secundarias, y se pueden asignar diferentes acciones para diferentes tipos de infracciones y niveles de gravedad.

Las acciones principales incluyen:

• Entregar
• Abandonar
• Cuarentena

En el caso de un estado de solo lectura en el que se registran y notifican las infracciones de DLP pero los mensajes no se detienen, ni se ponen en cuarentena ni se cifran, la acción Entregar se utiliza con mayor frecuencia.

Las acciones secundarias incluyen:

• Enviando una copia a cualquier cuarentena personalizada o a la cuarentena de ‘política’. 
• Cifre el mensaje. El dispositivo solo cifra el cuerpo del mensaje. No cifra los encabezados de los mensajes. 
• Modificar el encabezado Asunto. 
• Agregar texto de renuncia/HTML al mensaje. 
• Enviando el mensaje a un host de correo electrónico de destino alternativo. 
• Enviando copias cco del mensaje. 
• Envío de una notificación de infracción de DLP al remitente o a otros contactos. 

Estas acciones no se excluyen mutuamente: puede combinar algunas de ellas dentro de diferentes políticas de DLP para diversas necesidades de procesamiento para diferentes grupos de usuarios.

Vamos a implementar las siguientes acciones de DLP: Cifrar

Estas acciones suponen que el cifrado tiene licencia y está configurado en el ESA y que se han creado tres perfiles para la seguridad alta, media y baja, como se hizo en las secciones anteriores:

• CRES_HIGH
• CRES_MED
• CRES_LOW

Crear las acciones de mensaje de DLP

1. Vaya a Políticas de correo > Personalizaciones de mensajes DLP.
2. Haga clic en el botón "Agregar acción de mensaje" y agregue las siguientes acciones de DLP.  Asegúrese de confirmar el cambio después de enviar la acción de mensaje

Acción de mensaje

6. Creación de políticas de prevención de pérdida de datos

Una política DLP incluye:

• Conjunto de condiciones que determinan si un mensaje saliente contiene datos confidenciales
• Las acciones que se deben realizar cuando un mensaje contiene dichos datos. 

1. Vaya a: Políticas de correo > Gestor de políticas DLP
2. Haga clic en "Agregar política DLP".
3. Abra el triángulo de divulgación "Cumplimiento de las normas".

Plantilla de política DLP

   4. Para la política PCI, haga clic en el botón "Agregar" a la izquierda de PCI-DSS.

Ejemplo de regla DLP PCI-DSS

   5. Para el incidente de gravedad crítica, seleccione la acción "Cifrar medio y entregar" que configuramos anteriormente. Podríamos cambiar los incidentes de menor gravedad, pero por ahora, dejemos que hereden nuestro incidente de gravedad crítica. Envíe y, a continuación, confirme el cambio.

7. Aplicación de políticas de DLP a una política de correo electrónico saliente

1. Navegue hasta: Políticas de correo > Políticas de correo saliente
2. Haga clic en la celda de control de DLP para la política predeterminada. Se leerá "Disabled" (Desactivado) si aún no lo ha activado.
3. Cambie el botón del menú desplegable de Disable DLP (Desactivar DLP) a Enable DLP (Activar DLP) e inmediatamente se le mostrará la política DLP que acaba de crear.
4. Haga clic en la casilla de verificación "Activar todo". Envíe y, a continuación, confirme los cambios.

Conclusión

En resumen, hemos mostrado los pasos necesarios para preparar un dispositivo de seguridad Cisco Email Security Appliance para enviar un correo electrónico cifrado:

1. Habilitación de Cisco IronPort Email Encryption

2. Registre su ESA y su organización con RES

3. Creación de perfiles de cifrado

4. Habilitación de DLP
5. Creación de acciones de mensajes DLP
6. Creación de políticas DLP
7. Aplicación de políticas de DLP a una política de correo electrónico saliente

Encontrará más información en la guía del usuario de ESA correspondiente a su versión de software ESA.  Las guías del usuario están disponibles en el siguiente enlace:

http://www.cisco.com/c/en/us/support/security/email-security-appliance/products-user-guide-list.html

Información Relacionada

• Soporte Técnico y Documentación - Cisco Systems