Benchmark del software DLP
Abbiamo confrontato Acronis DeviceLock DLP e ManageEngine DLP Plus su macchine virtuali identiche con Windows Server 2022 con 28 scenari: 23 test di fuga di dati (inclusi 12 file di evasione avversaria), 3 test di sicurezza dell'agente e 2 test con elevato consumo di CPU e memoria.
Per gli altri prodotti DLP, Netwrix Endpoint Protector, Sophos Intercept X, Teramind DLP e Trellix DLP, abbiamo esaminato le loro funzionalità.
Risultati del benchmark DLP
Abbiamo distribuito ciascun prodotto su un'infrastruttura identica: 3 istanze Contabo Cloud VPS 10 (4 vCPU, 8 GB RAM, 150 GB SSD) con Windows Server 2022 Datacenter e Active Directory.
- Acronis vince complessivamente con un vantaggio di 10 punti, grazie a un'ispezione dei contenuti più approfondita, all'integrazione completa con il SIEM, alla conservazione delle prove tramite copia shadow e a una libreria di modelli di policy più ricca.
- Un utente che copia dati SSN da un foglio di calcolo e li incolla in un modulo web qualsiasi (Pastebin, Google Translate) elude completamente ManageEngine. Anche cambiare il formato SSN da 578-12-3364 a 578 12 3364 lo elude. Acronis blocca entrambi.
- Entrambi i prodotti hanno superato tutti i test di manomissione dell'agente. L'agente DLP non può essere arrestato, terminato o disinstallato da un account utente standard.
- Entrambi i prodotti hanno continuato a bloccare i caricamenti sotto carico 100% della CPU e durante trasferimenti di file in blocco. Questa categoria è documentata ma non valutata, poiché le prestazioni sotto carico non costituivano un elemento di differenziazione.
- Nessuno dei due prodotti ha rilevato dati SSN in codifica base64. Entrambi hanno bloccato lo spoofing delle estensioni, gli archivi crittografati e il rilevamento di un singolo SSN in documenti di grandi dimensioni.
Il punteggio complessivo è una somma ponderata di 8 categorie. Consulta la nostra metodologia di benchmark DLP per i pesi e la logica di assegnazione dei punteggi.
Test di prevenzione della fuga di dati
✓: DLP ha bloccato il tentativo, ✗: DLP lo ha lasciato passare
ManageEngine ha bloccato 16 scenari su 23 (70%). Acronis ha bloccato 19 scenari su 23 (83%). Entrambi i prodotti bloccano i canali di esfiltrazione standard (caricamenti di file, email, trasferimenti web). Le differenze emergono nell'incollaggio degli appunti, nelle varianti di formato SSN, nell'esfiltrazione cross-client e nei canali di stampa.
Mappatura alla Top 10 OWASP
I nostri scenari di fuga di dati si mappano a categorie di vulnerabilità ben documentate. Il riferimento principale è A02:2021 Errori crittografici, precedentemente denominata "Esposizione di dati sensibili". Questa categoria copre SSN e PII, lasciando l'endpoint in chiaro senza crittografia o tokenizzazione, che è la modalità di fallimento a cui mira ogni scenario di esfiltrazione nel nostro set di test. A04:2021 Progettazione insicura copre lacune architetturali come la mancanza di ispezione degli appunti o l'indicizzazione cross-client che non possono essere risolte solo con la configurazione.
I nostri test avversari (codifica base64, varianti di formato SSN, testo HTML nascosto, suddivisione tramite formule tra celle) si allineano con le tecniche di iniezione codificata e di evasione dei filtri documentate nella Guida ai test di sicurezza web OWASP e nel Cheat Sheet per l'evasione dei filtri XSS. Le tecniche differiscono nello scopo (esfiltrazione di dati vs iniezione di payload) ma condividono lo stesso schema sottostante: offuscare il contenuto sensibile in modo che i filtri basati su firma e su regex non riescano a riconoscerlo.
Test di sicurezza dell'agente DLP
Entrambi i prodotti hanno protetto contro tutti e tre i tentativi di manomissione. L'arresto del servizio da PowerShell è stato rifiutato. Il processo dell'agente non ha potuto essere terminato da Task Manager. La disinstallazione da Programmi e funzionalità non è riuscita senza privilegi amministrativi. Gli utenti standard non possono disabilitare l'agente DLP su nessuno dei due prodotti.
Comportamento con elevato consumo di CPU e memoria
Entrambi i prodotti hanno continuato a bloccare con il 100% di carico della CPU senza degradazione. Anche i caricamenti in blocco sono stati bloccati correttamente. Questa categoria è documentata come riferimento ma esclusa dal punteggio, poiché nessuno dei due prodotti ha mostrato degrado e non ha prodotto alcuna differenziazione tra loro.
Prodotti DLP sottoposti a benchmark
Le due sezioni di prodotto seguenti documentano il benchmark pratico completo. Entrambi sono stati installati su macchine virtuali identiche con Windows Server 2022 e testati con gli stessi 23 scenari di fuga di dati, 3 test di sicurezza dell'agente e 2 scenari di elevato consumo di CPU e memoria.
1. Acronis DeviceLock DLP
Installazione
Acronis DeviceLock richiedeva un server SQL come prerequisito per l'installazione e abbiamo installato SQL Server 2022 Express.
Dopo che il database è stato pronto, l'installazione di DeviceLock è ripresa con un certificato autofirmato e la configurazione della connessione al database. La distribuzione dell'agente ha utilizzato un file MSI da 164 MB copiato tramite condivisione di rete.
Dashboard e interfaccia utente
DeviceLock viene amministrato tramite applicazioni Windows native anziché una console web. L'interfaccia principale è uno snap-in MMC (Microsoft Management Console) con una navigazione ad albero. Acronis fornisce anche uno snap-in DeviceLock Group Policy Manager per ambienti gestiti tramite AD e un DeviceLock Enterprise Manager separato per reti non AD, che condividono tutte le stesse convenzioni dell'interfaccia utente.
Il pannello di sinistra ha tre rami: DeviceLock Service (impostazioni dell'agente), Enterprise Server (gestione centrale) e Content Security Server (motore di analisi dei contenuti). La console MMC si connette a un client alla volta, ma il modulo DeviceLock Reports fornisce report grafici su tutta la flotta, inclusi grafici delle attività degli utenti, grafici delle relazioni, dossier utente e report sui dispositivi plug-and-play.1
Il vantaggio architetturale: ogni dispositivo e protocollo si suddivide in profili Regolare (online) e Offline (disconnesso). Un laptop può avere regole rigide in ufficio e regole più rilassate in mobilità. ManageEngine non offre questa distinzione.
Configurazione delle policy
Il Content Database di DeviceLock contiene oltre 50 gruppi di contenuti predefiniti con oltre 90 modelli regex e oltre 160 dizionari di parole chiave. L'analisi morfologica supporta 7 lingue per la corrispondenza delle parole chiave.
Il gruppo predefinito "Social Security" è di tipo Parole chiave (cerca la frase "social security"), non di tipo Pattern. L'approccio corretto: Aggiungi gruppo > Pattern con la convalida predefinita "US Social Security Number", che utilizza la verifica in stile Luhn. Questo pattern convalidato è il motivo per cui Acronis ha rilevato tutte le 8 varianti di formato SSN mentre ManageEngine ha intercettato solo il formato con trattino.
Acronis supporta due percorsi di distribuzione centralizzata: Criteri di gruppo di Active Directory (lo snap-in GPO di DeviceLock) e DeviceLock Enterprise Server, che distribuisce le policy agli agenti tramite modalità push (avviata dal server) o pull (pianificata dall'agente o su richiesta). Nel nostro laboratorio, abbiamo utilizzato l'esportazione di file .dls per client tramite la Console di gestione, che è il percorso manuale; l'approccio di produzione è la distribuzione tramite GPO o Enterprise Server.
Test di fuga di dati
Acronis ha bloccato 19 scenari su 23 (tasso di blocco dell'83%). I risultati più significativi:
Incollaggio degli appunti bloccato: I dati SSN incollati su pastebin.com e inviati tramite "Create New Paste" hanno restituito ERR_CONNECTION_RESET. DeviceLock ha ispezionato il corpo della richiesta HTTP POST, ha trovato il contenuto SSN e ha interrotto la connessione. Lo stesso test su Google Translate: incollando un SSN completo (212-64-6345) ha attivato "Errore di traduzione". Rimuovendo le ultime quattro cifre, la traduzione è stata consentita. La regola si attiva su pattern SSN validi, non sul sito stesso.
Varianti di formato SSN rilevate: Acronis ha bloccato tutte e 8 le rappresentazioni: con spazi (578 12 3364), con punti (612.34.8876), senza separatori (334721198), gruppi invertiti e formati misti. Il motore di convalida integrato riconosce il numero indipendentemente dalla formattazione.
Esfiltrazione cross-client bloccata: ssn_data.xlsx prelevato dalla cartella condivisa e caricato tramite WeTransfer da un computer diverso è stato bloccato. Acronis analizza il contenuto al momento dell'esfiltrazione, non al momento della creazione.
Cancellazione di file bloccata: ManageEngine consentiva agli utenti di eliminare i file sensibili dal desktop. Acronis lo ha impedito. Ciò significa che Acronis protegge dalla distruzione dei dati, non solo dall'esfiltrazione dei dati.
Elusione della stampa: Stampa non bloccata nel nostro test (limitazione di configurazione). La stampa di confidential_report.docx da WordPad è riuscita perché le regole Content-Aware sono state configurate in Protocolli. L'architettura a due livelli di DeviceLock richiede una regola separata in Dispositivi > Regole Content-Aware per le stampanti; con la regola lato dispositivi in vigore, anche il blocco della stampa si attiverebbe. Non si tratta di una capacità mancante, ma di un passaggio aggiuntivo che gli amministratori devono ricordare quando coprono sia i canali di rete che quelli fisici.
Controllo degli accessi e AD
DeviceLock offre un'integrazione nativa con Active Directory basata su GPO. Aggiunge il proprio snap-in (DeviceLock Group Policy Manager) alla Console di gestione Criteri di gruppo, consentendo la distribuzione delle policy tramite l'infrastruttura AD standard. La differenziazione basata su OU è tecnicamente supportata: diverse OU possono ricevere diverse policy di DeviceLock.
Nel nostro laboratorio, abbiamo utilizzato la distribuzione di file .dls anziché i percorsi di produzione GPO/Enterprise Server. Abbiamo anche notato che la console richiedeva una nuova autenticazione quando si associavano utenti/gruppi AD alle regole Content-Aware sui client remoti, cosa che abbiamo considerato un artefatto della cache delle credenziali del nostro piccolo ambiente di test. In alternativa al GPO di AD, DeviceLock Enterprise Server distribuisce le policy tramite modalità push o pull, adatte ad ambienti non AD e distribuzioni ad hoc.
Integrazione
Acronis è in testa nell'integrazione con tre canali di esportazione SIEM (Syslog, SNMP, SMTP) che supportano i formati di log CEF e JSON. La copia shadow conserva una copia completa di ogni file bloccato o monitorato sul server per la risposta agli incidenti. Content Security Server include un modulo Discovery che analizza endpoint, NAS e condivisioni di file alla ricerca di dati sensibili fuori posto.
RBAC ha tre livelli (Accesso completo, Modifica, Sola lettura) con un interruttore separato per l'accesso ai dati shadow su ogni livello. L'integrazione programmatica è costruita attorno all'inoltro SIEM (Syslog/SNMP/SMTP) e alla consegna dei log shadow a un server centrale piuttosto che a un'API REST pubblica.
Sicurezza dell'agente
Acronis ha protetto contro tutti e tre i test di manomissione come utente standard. Stop-Service su DeviceLock Service ha restituito accesso negato. Task Manager ha rifiutato di terminare il processo dell'agente. La disinstallazione da Programmi e funzionalità richiedeva l'elevazione amministrativa ed è stata bloccata senza di essa.
Per la difesa contro la manomissione a livello di amministratore, Acronis offre l'elenco DeviceLock Administrators. Se configurato, gli account nell'elenco possono disinstallare, modificare o arrestare l'agente. Anche gli amministratori locali al di fuori dell'elenco vengono bloccati.
Comportamento con elevato consumo di CPU e memoria
Sotto carico 100% della CPU (4 processi PowerShell a ciclo infinito), Acronis ha continuato a bloccare i caricamenti senza degrado. 100 file caricati consecutivamente sono stati tutti analizzati e bloccati correttamente. Questa categoria non è stata valutata.
Analisi dei contenuti
L'analisi dei contenuti è il punto di forza di Acronis. Il pattern SSN convalidato con rilevamento indipendente dal formato è la funzionalità di maggiore impatto che abbiamo testato. Oltre alle regex, Acronis documenta diverse capacità2
Registrazione e avvisi
DeviceLock fornisce tre visualizzatori di log separati: Audit Log (tutti i tentativi di accesso e le modifiche alle policy), Shadow Log (copie dei file bloccati/monitorati) e UAM Log (monitoraggio delle attività degli utenti con screenshot e utilizzo delle applicazioni).
I canali di avviso includono SMTP, trap SNMP e Syslog. Sono configurabili quattro categorie di avvisi: accesso a dispositivi/protocolli, violazioni delle regole Content-Aware, regole del firewall e modifiche amministrative. L'esportazione dei report supporta HTML, PDF e RTF.
La copia shadow è la funzionalità distintiva per la risposta agli incidenti. Quando un trasferimento di file viene bloccato, l'intero contenuto del file viene conservato sul server. ManageEngine registra l'evento ma elimina il file. Nessuno dei due prodotti dispone di un flusso di lavoro completo per gli incidenti (assegnazione, escalation, monitoraggio dello stato).
Scegli Acronis DeviceLock DLP per una soluzione integrata, che include backup, disaster recovery e gestione degli endpoint.
Visita il sito web2. ManageEngine DLP Plus
Installazione
ManageEngine DLP Plus viene installato tramite una procedura guidata standard di Windows. Non è richiesto alcun database esterno. L'intero processo, server più due agenti client, ha richiesto circa 15 minuti.
L'installazione dell'agente non è riuscita silenziosamente sul Client 1 a causa di un conflitto sulla porta 8383 che non ha prodotto alcun messaggio di errore visibile. Il problema è stato scoperto controllando manualmente lo stato del servizio. Anche l'installazione dell'estensione del browser è necessaria per il blocco dei caricamenti e deve essere configurata separatamente per ciascun browser (Chrome, Edge, Firefox, Brave).
Dashboard e interfaccia utente
ManageEngine si apre in un browser web. La dashboard mostra lo stato delle policy, gli incidenti recenti e una panoramica dei dispositivi con grafici e diagrammi. La navigazione utilizza una barra laterale sinistra. La creazione di policy, la gestione dei dispositivi e i report sono accessibili in 2-3 clic.
Tutti i client sono visibili su un'unica schermata. Rispetto alla console MMC di Acronis, l'interfaccia sembra moderna e funzionale. ManageEngine non offre la modalità a doppio profilo Offline/Regolare.
Configurazione delle policy
ManageEngine fornisce un Content Database con regole predefinite per PCI-DSS, HIPAA, GDPR e pattern specifici per paese. Le categorie includono numeri di carte di credito (Visa, Mastercard, Amex), SSN, codice fiscale per oltre 20 paesi, IBAN, numeri di passaporto e dati di assicurazione sanitaria. È possibile creare regole regex personalizzate.
Un problema operativo: ogni modifica della policy richiede il riavvio del PC client prima di avere effetto. Il primo tentativo è costato 30 minuti di risoluzione dei problemi prima che il requisito di riavvio fosse scoperto nella documentazione. Lo stato di distribuzione della policy rimaneva allo 0% fino al riavvio manuale del client. In un ambiente di produzione con centinaia di endpoint, questo rappresenta un serio onere operativo.
Test di fuga di dati
ManageEngine ha bloccato 16 scenari su 23 (tasso di blocco del 70%). I risultati principali:
Stampa bloccata automaticamente: La stampa di confidential_report.docx da WordPad è stata bloccata. Anche la stampa in PDF è stata bloccata. A differenza di Acronis, ManageEngine copre la stampa con la stessa policy dei caricamenti. Non è richiesta alcuna regola separata per i dispositivi.
Elusione tramite incollaggio degli appunti: I dati SSN copiati da un foglio di calcolo e incollati su pastebin.com sono stati caricati con successo. ManageEngine non ispeziona il testo incollato nei moduli web. Anche l'incollaggio su Google Translate è stato eluso.
Dopo aver impostato Accesso ai file sulla modalità "Consenti solo in applicazioni attendibili", l'elusione tramite appunti è stata chiusa perché gli utenti non potevano più aprire file sensibili con applicazioni non attendibili. Si tratta di una mitigazione indiretta che limita i flussi di lavoro legittimi, non di un'ispezione mirata degli appunti.
Elusione delle varianti di formato SSN: ManageEngine ha rilevato il formato standard con trattini (XXX-XX-XXXX). Le varianti con spazi, punti e senza separatori sono passate.
Cattura screenshot bloccata: ManageEngine ha rilevato e bloccato l'acquisizione dello schermo mentre un file sensibile era aperto.
Caricamento immagine SSN bloccato: ssn_image.png (un file immagine contenente numeri SSN) è stato bloccato durante il caricamento. Si tratta di rilevamento basato su metadati/classificazione, non su OCR.
Elusione della cancellazione dei file: I file sensibili potevano essere eliminati dal desktop del client senza alcun intervento DLP. Acronis ha bloccato la cancellazione dei file.
Elusione dell'esfiltrazione cross-client: Uno screenshot acquisito sul Client 1, copiato nella condivisione di rete e caricato dal Client 2 tramite WeTransfer è passato. L'agente del Client 2 non aveva mai indicizzato questo file.
Controllo degli accessi e AD
L'integrazione con AD funziona: la console ha rilevato il dominio dlptest.local e sincronizzato automaticamente utenti e OU dopo aver inserito le credenziali. Le policy basate su gruppo sono state testate creando due gruppi di computer manuali (Finance-Clients e IT-Clients) con regole diverse. Il Client 1 (Finance) aveva rigide restrizioni di accesso ai file, mentre il Client 2 (IT) non aveva blocchi. La differenziazione ha funzionato correttamente.
I gruppi di utenti AD non potevano essere mappati direttamente ai gruppi di computer. Il sistema prevede gruppi di computer AD, non gruppi di utenti. Ciò significa che l'assegnazione di policy basata su gruppo richiede il raggruppamento manuale dei computer anziché l'estrazione dei gruppi da Active Directory.
Integrazione
ManageEngine Endpoint DLP Plus non ha integrazione SIEM nativa. La documentazione ufficiale della guida3 , la pagina delle funzionalità e la guida per l'utente non menzionano Syslog, CEF o l'inoltro SIEM. Altri prodotti ManageEngine (DataSecurity Plus, ADAudit Plus, Endpoint Central) supportano Syslog, ma DLP Plus come prodotto autonomo no.
RBAC è disponibile e più granulare di Acronis: 4 ruoli predefiniti (Amministratore, Endpoint DLP Manager, Tecnico, Ospite), ruoli personalizzati con autorizzazioni a livello di modulo (Controllo completo, Scrittura, Lettura, Nessun accesso), assegnazione basata sull'ambito (limitazione degli amministratori a gruppi di computer specifici) e supporto 2FA (OTP via email o Google Authenticator). Nonostante un RBAC migliore, il punteggio di integrazione complessivo è inferiore perché mancano SIEM e copia shadow.
Sicurezza dell'agente
ManageEngine ha protetto contro tutti e tre i test di manomissione come utente standard. Stop-Service sul servizio dell'agente DLP ha restituito accesso negato. Task Manager non ha terminato il processo dell'agente. La disinstallazione da Programmi e funzionalità richiedeva l'elevazione amministrativa ed è stata rifiutata senza di essa.
A differenza di Acronis, ManageEngine non offre un elenco di amministratori nominativi per limitare la disinstallazione a livello di amministratore. Qualsiasi account con diritti di amministratore locale può disinstallare l'agente da Programmi e funzionalità. Per le distribuzioni di produzione, ciò significa che i diritti di amministratore dell'endpoint devono essere rigorosamente controllati tramite l'appartenenza ai gruppi di Active Directory e i criteri di amministratore locale, poiché non esiste alcuna restrizione a livello di prodotto.
Comportamento con elevato consumo di CPU e memoria
Sotto carico 100% della CPU, ManageEngine ha continuato a bloccare i caricamenti senza degrado. Tutti i 100 file in un test di caricamento in blocco sono stati analizzati e bloccati correttamente.
Analisi dei contenuti
L'analisi dei contenuti di ManageEngine è basata su regex e parole chiave. Analizza correttamente più formati di file (xlsx, docx, csv, json, html, py, log) ed esegue la scansione all'interno di commenti di codice, voci di log e campi di dati strutturati. Lo spoofing dell'estensione non lo inganna. I file ZIP crittografati vengono bloccati in base all'analisi dei metadati/intestazione.
Le limitazioni: il formato SSN standard con trattini (XXX-XX-XXXX) viene rilevato. Nessuna decodifica base64, nessuna analisi di PDF crittografati. ManageEngine offre il rilevamento delle impronte digitali dei documenti e OCR tramite Endpoint Central, ma il motore regex non include la convalida SSN indipendente dal formato come Acronis. La libreria di regole è ricca (20+ paesi, più framework di conformità).
Registrazione e avvisi
La pagina Sensitive File Audit registra gli eventi con dettagli utili: nome del computer, utente connesso, tipo di evento, nome del file, dominio web, applicazione aziendale, stato dell'evento e la regola di classificazione specifica che lo ha attivato. Questo livello di dettaglio è sufficiente per le indagini.
ManageEngine ha un'utile funzionalità di segnalazione dei falsi positivi: quando un file viene bloccato, l'utente visualizza un'opzione "Segnala questo blocco come falso positivo". La segnalazione appare nella pagina Override Audit della console di amministrazione. Acronis gestisce le eccezioni tramite regole lato amministratore e ambiti utente/gruppo nella Console di gestione anziché con un pulsante rivolto all'utente finale.
I canali di avviso sono limitati alla posta elettronica SMTP. Non c'è inoltro SNMP o Syslog. L'esportazione dei report supporta solo CSV e PDF. Sono disponibili report pianificati. Non c'è copia shadow o raccolta di prove. Nessun flusso di lavoro per gli incidenti.
Metodologia e ambiente del benchmark DLP
Abbiamo predisposto 3 istanze Contabo Cloud VPS 10 con Windows Server 2022 Datacenter.
Active Directory: Dominio dlptest.local con due OU (Finance, IT), quattro utenti di test (user.finance1, user.finance2, user.it1, user.it2) e una cartella condivisa in \vmi3184661\share.
Test sequenziali: ManageEngine è stato installato per primo, testato in tutte le 8 categorie valutate, quindi completamente disinstallato. Acronis è stato installato sulle stesse macchine virtuali e testato con scenari e file identici. Entrambi i prodotti hanno affrontato lo stesso ambiente. Tutti i test sono stati eseguiti dalla stessa persona.
Set di dati di test
8 file di base e 12 file di evasione avversaria, tutti contenenti numeri di Social Security (SSN) statunitensi come tipo di dati sensibili primario:
File di base: ssn_data.xlsx (foglio di calcolo SSN), credit_cards.csv (numeri di carta di credito), confidential_report.docx (SSN con parola chiave "CONFIDENTIAL"), health_records.docx (dati HIPAA), source_code.py (credenziali nel codice), ssn_image.png (SSN in immagine per OCR), confidential_archive.zip (archivio crittografato), normal_file.docx (file pulito per controllo di falsi positivi).
File avversari (12): File di log con SSN incorporato, CSV con nome file innocente e colonna SSN nascosta, JSON con SSN nei campi dati, commenti Python con SSN, 8 varianti di formato SSN (con spazi/con punti/senza separatore), SSN con codifica base64, HTML con testo SSN nascosto, SSN suddiviso tramite formule tra celle del foglio di calcolo, spoofing dell'estensione (da .txt a .jpg, da .xlsx a .png), ZIP protetto da password, ago nel pagliaio (1 SSN in 80 righe di testo pulito).
Esempi di test di fuga di dati
Ogni test segue lo stesso schema: tentare di esfiltrare un file sensibile attraverso un canale specifico e registrare se l'agente DLP lo blocca o lo consente.
Test di fuga di base (caricamento): Aprire un browser sul client, accedere a WeTransfer, selezionare ssn_data.xlsx dal desktop, fare clic su carica. Se l'agente DLP blocca il caricamento, il browser visualizza un errore o la connessione viene reimpostata. Se lo consente, il file viene caricato con successo su WeTransfer.
Test di evasione del canale (appunti): Aprire ssn_data.xlsx nel Blocco note, selezionare tutto il testo, copiare (Ctrl+C). Aprire un browser, accedere a pastebin.com, incollare (Ctrl+V) nell'area di testo, fare clic su "Create New Paste". Un prodotto DLP con ispezione degli appunti termina la richiesta HTTP POST prima che venga completata. Un prodotto senza ispezione degli appunti consente l'incollaggio perché i dati non hanno mai lasciato il sistema come file.
Test di evasione del contenuto (varianti di formato): Creare un file di testo contenente 8 diverse rappresentazioni SSN: standard (578-12-3364), con spazi (578 12 3364), con punti (578.12.3364), senza separatore (578123364), invertito (3364-12-578) e formati misti. Caricare il file su WeTransfer. Un prodotto DLP con pattern SSN convalidati riconosce tutti i formati. Un prodotto basato solo su regex rileva i formati coperti dalla sua regex.
Test di fuga di dati indiretta (cross-client): Sul Client 1, acquisire uno screenshot dei dati sensibili visualizzati sullo schermo. Salvare lo screenshot. Copiarlo nella condivisione di rete (\server\share). Sul Client 2, prelevare il file dalla condivisione e caricarlo su WeTransfer. Un prodotto che esegue la scansione al momento del caricamento blocca indipendentemente dall'origine del file. Un prodotto che si basa sulla pre-indicizzazione non rileva i file che non ha mai visto.
Test di carico della CPU: Eseguire 4 processi PowerShell a ciclo infinito per saturare tutte e 4 le vCPU: 1..4 | ForEach-Object { Start-Job { while($true){} } }. Confermare che la CPU sia al 99-100% in Task Manager. Mentre la CPU è al massimo, tentare di caricare ssn_data.xlsx su WeTransfer. Se l'agente DLP blocca ancora il caricamento a pieno carico, il comportamento sotto carico è accettabile. Pulire con Get-Job | Stop-Job; Get-Job | Remove-Job.
Punteggi delle categorie del benchmark DLP
Ogni categoria ha un punteggio massimo pari al suo peso assegnato. La somma dei pesi è 50 e il totale grezzo viene scalato a 100 per il punteggio finale. I punteggi sono numeri interi direttamente legati a risultati misurati o funzionalità documentate, non a valutazioni soggettive.
La registrazione e gli avvisi contribuiscono al divario maggiore (+6). Acronis esporta su SMTP, SNMP e Syslog, dispone di tre visualizzatori di log (Audit, Shadow, UAM) e conserva l'intero contenuto del file tramite copia shadow. ManageEngine ha SMTP, un singolo registro di controllo e nessuna copia shadow. L'integrazione aggiunge altri +3 attraverso il supporto SIEM di Acronis, il modulo discovery e il doppio profilo offline, nessuno dei quali esiste in ManageEngine DLP Plus standalone. La configurazione delle policy aggiunge +2 grazie agli oltre 90 modelli predefiniti di Acronis e all'analisi morfologica delle parole chiave in 9 lingue. I test di fuga di dati aggiungono +1, riflettendo direttamente il tasso di blocco dell'83% rispetto al 70%.
ManageEngine recupera +2 dall'installazione, +4 dalla dashboard (interfaccia web moderna con grafici rispetto allo snap-in MMC senza dashboard) e +1 dal controllo degli accessi (2FA, ruoli personalizzati, amministratore basato sull'ambito). La sicurezza dell'agente è in parità a 6 ciascuno dopo che tutti e tre i test di manomissione sono stati superati.
Metodologia di punteggio (logica dei pesi)
8 categorie valutate su scale intere proporzionali al loro peso. Il punteggio massimo possibile di ogni categoria è uguale al suo valore di peso. I pesi sommano a 50 e il totale grezzo viene scalato a 100 per il punteggio finale. I pesi sono stati assegnati dal revisore senior in base a quali categorie producono una differenziazione significativa e quali sono direttamente correlate alle operazioni DLP quotidiane.
Ogni punteggio deriva da risultati misurati (tassi di blocco dei test di fuga di dati) o dalla matrice di funzionalità documentate nella sezione Confronto delle funzionalità, non da valutazioni soggettive. Il comportamento con elevato consumo di CPU e memoria è stato testato separatamente ma escluso dal punteggio, poiché entrambi i prodotti hanno funzionato in modo identico sotto carico.
Confronto delle funzionalità
Installazione e distribuzione
ManageEngine si distribuisce 6x più velocemente e non richiede dipendenze esterne. Acronis richiede SQL Server e un certificato, ma fornisce un toolkit di distribuzione più ampio (snap-in Criteri di gruppo, push/pull di Enterprise Server, esportazione manuale .dls).
Registrazione e prove
La copia shadow è il divario maggiore. Quando Acronis blocca un trasferimento di file, l'intero contenuto del file viene conservato sul server per la revisione forense. ManageEngine registra i metadati dell'evento ma elimina il file effettivo. Nessuno dei due prodotti dispone di un flusso di lavoro completo per gli incidenti (assegnazione, escalation, monitoraggio dello stato).
Capacità di analisi dei contenuti
Acronis ha un'analisi dei contenuti più approfondita in ogni metodo. Gli oltre 90 modelli regex e gli oltre 160 dizionari di parole chiave con analisi morfologica in 9 lingue gli conferiscono una superficie di rilevamento più ampia. ManageEngine offre OCR tramite la piattaforma Endpoint Central e il rilevamento delle impronte digitali dei documenti attraverso il suo modulo di classificazione, ma Acronis pubblica numeri specifici (33 lingue OCR, oltre 5.300 tipi di file) mentre ManageEngine no. Nessuno dei due prodotti utilizza l'apprendimento automatico o la PNL per la classificazione.2 4 5 6
Limitazioni
Due prodotti sottoposti a benchmark pratico: Il benchmark copre ManageEngine DLP Plus e Acronis DeviceLock DLP. Gli altri quattro prodotti coperti (Netwrix, Sophos, Teramind, Trellix) non sono stati nuovamente testati con la stessa metodologia a 28 scenari; le loro sezioni riflettono precedenti recensioni delle funzionalità. I punteggi comparativi (76/100 e 66/100) sono quindi tra i due prodotti testati praticamente, non tra tutti e sei.
Nessun test su USB o supporti rimovibili: Il controllo dei dispositivi USB è uno dei casi d'uso DLP più comuni. Entrambi i prodotti lo supportano, ma la nostra infrastruttura (istanze VPS cloud) non ha porte USB fisiche. Il blocco USB, l'applicazione della crittografia e la whitelist dei dispositivi non sono stati testati.
Solo pattern SSN testati: Tutti i test di fuga di dati hanno utilizzato il Social Security Number statunitense come tipo di dati sensibili. Il rilevamento delle carte di credito (convalida Luhn), i pattern HIPAA e le regole specifiche per il GDPR non sono stati testati separatamente, sebbene entrambi i prodotti includano modelli predefiniti per questi.
Prodotti DLP recensiti in precedenza
Abbiamo avuto accesso di prova ai quattro prodotti seguenti in un ciclo di ricerca precedente. I risultati riflettono la copertura delle funzionalità e i test di quel momento, non un nuovo test del 2026. Gli screenshot provengono dall'ambiente di recensione originale. Dove i fornitori hanno rilasciato aggiornamenti dopo la recensione originale, questi sono segnalati nel testo.
Netwrix Endpoint Protector
Netwrix Endpoint Protector è una soluzione DLP incentrata sui canali, basata sul controllo dei dispositivi, l'ispezione approfondita dei pacchetti e l'eDiscovery. La recensione ha riguardato il flusso di lavoro di creazione delle policy, la copertura delle periferiche e le funzionalità amministrative.
Funzionalità efficaci: Controllo granulare su oltre 30 tipi di dispositivi, Deep Packet Inspection per i trasferimenti di file di rete, policy predefinite e personalizzate, diritti effettivi per la creazione di policy, eDiscovery per i dati inattivi, crittografia USB, notifiche e avvisi per le azioni bloccate, notifiche client personalizzabili, traccia di controllo e protezione antimanomissione.
Funzionalità inefficaci: Nessuna gestione dei dispositivi (MDM è offerto come componente aggiuntivo, non incluso nella prova di base).
Copertura dei canali: Endpoint Protector consente un controllo granulare su oltre 30 tipi di dispositivi, inclusi dispositivi USB, dispositivi Bluetooth, smartphone e altro. Gli amministratori possono impostare il controllo degli accessi per dispositivi specifici per consentire o bloccare la loro connessione ai computer client. La Deep Packet Inspection consente all'amministratore di gestire i trasferimenti di file di rete attraverso webmail, unità e applicazioni di terze parti. Se abilitata, le impostazioni di Content Aware Protection (CAP) e di controllo dei dispositivi funzionano in conformità con le scansioni DPI.
Classificazione dei dati: Content Aware Protection include policy predefinite in tre gruppi in base al sistema operativo del client (Windows, Mac, Linux). Sono disponibili 86 policy predefinite per Windows che coprono i trasferimenti di file per tipo di contenuto (grafica, archivi, programmazione), la conformità HIPAA e la conformità GDPR. È possibile definire policy personalizzate in base ai punti di uscita della policy, agli utenti e all'azione scelta. eDiscovery rileva i dati sensibili inattivi e consente la crittografia, la decrittografia e l'eliminazione sul target.
Amministrazione: I diritti effettivi consentono la creazione di policy in base a un utente, dispositivo o tipo di file specifico. I diritti globali sono diritti di controllo dei dispositivi che si applicano in generale e gli amministratori possono impostare diversi diritti di accesso per diversi dispositivi. Per creare una policy, l'amministratore sceglie tra opzioni predefinite o personalizzate e le policy possono essere ordinate per priorità. Le classi personalizzate consentono di assegnare un "Dispositivo attendibile (TD)" in base a informazioni sul dispositivo come numero di serie e tipo.
Notifiche e avvisi: Quando un amministratore tenta di allegare un file .xlsx con il nome "Confidential" contenente informazioni sul Social Security Number a WhatsApp, Endpoint Protector blocca l'azione e avvisa l'amministratore. I registri eventi sono visibili nella finestra Content-Aware Report con dettagli tra cui evento, ora, utente, dispositivo, destinazione e file.
Altre funzionalità: La sincronizzazione con Microsoft AD e Microsoft Entra ID è supportata. Le notifiche client possono essere personalizzate. Gli elenchi di negazione e autorizzazione aiutano a definire il contenuto sensibile attraverso tipi di file, contenuti personalizzati, posizioni dei file, posizioni di scansione, modelli regex, domini, URL e domini di posta elettronica. La crittografia dei dispositivi USB può essere automatizzata.
Scegli Netwrix Endpoint Protector per una soluzione DLP completa con robuste capacità di controllo dei dispositivi
Visita il sito webSophos Intercept X
Sophos Intercept X fornisce funzionalità DLP come parte di una suite di sicurezza endpoint più ampia. La recensione si è concentrata sulla configurazione delle policy personalizzate, sulla protezione antimanomissione e sull'esperienza amministrativa tramite Sophos Central.
Funzionalità efficaci: Protezione efficace per email, periferiche e applicazioni, protezione antimanomissione funzionante, integrazione con Active Directory, classificazione dei dati personalizzabile, ricerca di file e tag con hash, traccia di controllo completa.
Funzionalità inefficaci: Alcune funzionalità come la protezione delle periferiche richiedono policy personalizzate anziché funzionare immediatamente. Nessuna analisi del comportamento degli utenti e nessuna gestione dei dispositivi.
Copertura dei canali: Sia per le periferiche che per le email, le policy di base predefinite non hanno interrotto i trasferimenti di file. Il team di recensione è riuscito a bloccarli utilizzando policy personalizzate. La funzionalità di controllo delle applicazioni ha limitato il trasferimento di file ad altre piattaforme come Google Drive. Gli utenti possono essere inclusi o esclusi direttamente dalle policy tramite eccezioni basate su email o IP. Nove tipi di dispositivi rimovibili possono essere monitorati e controllati, meno dei concorrenti come Endpoint Protector.
Classificazione dei dati: La classificazione automatica dei dati è stata inefficace, classificando le email rischiose come a bassa gravità. I parametri di personalizzazione sono disponibili e dettagliati. I dati classificati sono verificabili tramite un elenco completo di file con lo stato di classificazione.
Amministrazione: La protezione antimanomissione ha impedito ai dispositivi di manomettere il software dell'agente e richiedeva una password per disinstallare il file dell'agente. Questa funzionalità ha funzionato durante i test di recensione. Sophos Central ha registrato con successo i log di controllo delle attività degli utenti. Gli hash dei file vengono offerti tramite la funzionalità di discovery per identificare i file a rischio.
Nota su Shadow IA: Da gennaio 2026, Sophos ha aggiunto Workspace Protection per la governance di Shadow IT e Shadow IA. Workspace Protection è adiacente alle funzionalità DLP endpoint qui trattate, non le sostituisce.7
Teramind DLP
Teramind DLP è una soluzione DLP guidata da policy con un forte posizionamento nell'analisi comportamentale. La recensione si è concentrata sulla copertura dei canali, sulla profondità di personalizzazione e sul sovraccarico amministrativo.
Funzionalità efficaci: Protezione efficace per periferiche, email e applicazioni, personalizzazione dettagliata della classificazione dei dati, traccia di controllo completa, integrazione con Active Directory, ricerca di file.
Funzionalità inefficaci: La classificazione dei dati ha faticato a distinguere i dati confidenziali da quelli non confidenziali. Le policy personalizzate sono difficili da gestire. Nessuna protezione antimanomissione, nessun OCR nella prova gratuito.
Copertura dei canali: Le policy di blocco USB erano efficaci ma bloccavano anche la copia di file non confidenziali su dispositivi periferici. I tipi di dispositivi non erano menzionati nelle policy dei dispositivi rimovibili. Le policy email sono efficaci ma impediscono agli utenti interni di inviare email come effetto collaterale. La policy di protezione delle applicazioni limita tutti i trasferimenti di dati verso applicazioni come Google Drive. Email o domini specifici possono essere esclusi dalle policy.
Classificazione dei dati: La classificazione dei dati è stata inefficace perché non riusciva a distinguere tra dati confidenziali e non confidenziali nei test di prova. Le opzioni di personalizzazione sono dettagliate ma richiedono familiarità con la piattaforma. I dati classificati sono verificabili.
Amministrazione: La protezione antimanomissione è stata inefficace, poiché gli utenti potevano manomettere il file dell'agente. L'attività di ogni utente è stata monitorata con avvisi inviati all'email dell'amministratore. L'identificazione dei dati OCR non è inclusa nella prova gratuito.
Aggiornamento dell'agente Mac. A partire da gennaio 2026, l'agente Teramind per Mac supporta la registrazione dello schermo solo quando viene violata una regola comportamentale, riducendo l'utilizzo dello spazio di archiviazione e migliorando la privacy, catturando al contempo prove rilevanti.8
Trellix DLP
Trellix DLP (in precedenza McAfee Total Protection for DLP) copre un'ampia gamma di canali endpoint e di rete, ma mostra incoerenze in alcune aree. La recensione si è concentrata sulla copertura dei canali, sulle policy predefinite rispetto a quelle personalizzate e sulle capacità amministrative.
Funzionalità efficaci: Ampia copertura dei canali, protezione completa di email e applicazioni, regole dati personalizzabili, traccia di controllo, protezione antimanomissione, filtraggio web.
Funzionalità inefficaci: Nessuna integrazione con Active Directory nella prova, nessuna ricerca di file, nessuna analisi del comportamento degli utenti, nessun supporto completo di OCR per il rilevamento e la prevenzione web.
Copertura dei canali: Trellix può rilevare quando un utente configura Outlook per inviare file sensibili tramite account di posta elettronica personali e può mettere in quarantena le email contenenti informazioni sensibili. Il rilascio delle email in quarantena può essere macchinoso, poiché richiede l'approvazione manuale da parte del mittente, del manager del mittente o del proprietario dei dati tramite notifiche email anziché un flusso di lavoro automatizzato. Trellix non supporta completamente il filtraggio dei dati sensibili sincronizzati su dispositivi mobili tramite ActiveSync per determinati gruppi di utenti.
Il monitoraggio e il controllo dei dispositivi periferici sono possibili, ma Trellix non supporta una policy unificata su tutti i canali, il che limita la flessibilità in ambienti con più tipi di dispositivi periferici. Gli amministratori possono impostare controlli di accesso per dispositivi USB e altre periferiche, ma l'implementazione delle policy può essere incoerente su canali più recenti come i dispositivi mobili.
Il supporto avanzato come la crittografia dei dispositivi USB richiede abbonamenti aggiuntivi. Per quanto riguarda le applicazioni, Chrome non è completamente supportato e gli utenti possono eludere le policy DLP in determinati scenari, ad esempio quando caricano file da una rete Wi-Fi pubblica.
Classificazione dei dati: Le policy predefinite di Trellix coprono i framework normativi comuni, inclusi PCI DSS e GDPR, sebbene i modelli di policy siano meno completi e accurati di quelli della concorrenza, creando potenziali lacune di rilevamento.
L'amministratore può creare policy personalizzate utilizzando parole chiave, espressioni regolari e impronte digitali dei file. Trellix non supporta funzionalità avanzate come l'apprendimento automatico o la protezione basata sul rischio comportamentale. L'OCR è limitato ai documenti grafici per il discovery, non per la prevenzione.
Amministrazione: Gli amministratori possono assegnare diritti in base a utenti o gruppi, ma Trellix non dispone di un'amministrazione delegata basata sui ruoli, limitando la possibilità di assegnare ruoli specifici per la gestione delle policy e la gestione degli incidenti. La crittografia USB e l'applicazione delle policy DLP endpoint sono standard, ma le opzioni avanzate come la protezione adattiva al rischio e l'analisi comportamentale nativa sono limitate o richiedono integrazioni di terze parti.
Vengono generati avvisi per i trasferimenti di dati sensibili tramite email, ma le opzioni limitate di personalizzazione dei report e le capacità di gestione degli incidenti potrebbero richiedere una supervisione manuale aggiuntiva.
Aggiungi come fonte preferitaCosa fa il software DLP?
Il software DLP monitora e controlla il flusso di dati sensibili attraverso gli endpoint, la rete e i servizi cloud di un'organizzazione. Impedisce i trasferimenti non autorizzati di dati attraverso canali come caricamenti di file, allegati email, copia-incolla degli appunti, stampa, unità USB e acquisizione dello schermo.
I prodotti DLP in genere combinano tre metodi di rilevamento: ispezione dei contenuti (analisi del contenuto dei file alla ricerca di pattern come SSN o numeri di carta di credito), analisi del contesto (valutazione del canale, dell'utente e della destinazione) e applicazione delle policy (blocco, avviso o registrazione in base alle regole).
Capacità DLP comuni
Conclusione
Per i team che necessitano di integrazione SIEM, prove di copia shadow o rilevamento SSN multi-formato, Acronis è il prodotto più forte. Ha bloccato l'83% degli scenari di fuga di dati, impedisce la cancellazione dei file, inoltra gli eventi a Syslog/CEF e conserva l'intero contenuto del file per la revisione forense tramite copia shadow.
Per i team che danno priorità alla distribuzione rapida e a un'interfaccia utente utilizzabile, ManageEngine si installa in 15 minuti senza dipendenze. Il costo: nessuna integrazione SIEM, nessuna copia shadow, nessuna ispezione degli appunti e un tasso di blocco inferiore di 13 punti percentuali.
FAQ
Acronis DeviceLock ha rilevato i dati SSN incollati su Pastebin e Google Translate ispezionando i corpi delle richieste HTTP POST. ManageEngine DLP Plus non ispeziona l'incollaggio degli appunti. L'abilitazione della modalità "Consenti solo in applicazioni attendibili" chiude indirettamente questa lacuna limitando quali applicazioni possono aprire file sensibili.
No. Entrambi i prodotti proteggono dall'arresto del servizio, dalla terminazione del processo e dai tentativi di disinstallazione da parte di utenti standard. Tutti e tre i test di manomissione sono stati superati su entrambi. Per la difesa contro gli account amministratore locale, Acronis offre l'elenco DeviceLock Administrators per limitare chi può disinstallare, arrestare o modificare l'agente. ManageEngine non ha un meccanismo equivalente a livello di prodotto, quindi i diritti di amministratore devono essere controllati tramite Active Directory.
Acronis ha rilevato SSN con spazi, punti e senza separatori. ManageEngine ha rilevato solo il formato standard con trattini (XXX-XX-XXXX).
Disponibilità di prove dei fornitori. ManageEngine e Acronis DeviceLock DLP hanno fornito prove funzionanti su Windows Server 2022 durante il nostro periodo di ricerca. Gli altri quattro prodotti (Netwrix, Sophos, Teramind, Trellix) richiedevano approvazioni demo guidate dalle vendite che non sono state completate in tempo, quindi ci affidiamo alle precedenti recensioni delle funzionalità per quelli. Non appena nuove prove saranno disponibili, eseguiremo nuovamente il benchmark completo di 28 scenari su tali prodotti e aggiorneremo i risultati di seguito.
Cita questo benchmark
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{sari2026,
author = {Sarı, Ekrem},
title = {{Benchmark del software DLP}},
year = {2026},
month = apr,
howpublished = {\url{https://aimultiple.com/dlp-review}},
note = {AIMultiple. Consultato il 30 Aprile 2026}
}Collegamenti di riferimento
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.