Confronto Benchmark Software DLP
Abbiamo confrontato Acronis DeviceLock DLP e ManageEngine DLP Plus su identiche VM Windows Server 2022 con 28 scenari: 23 test di perdita di dati (inclusi 12 file di evasione avversariale), 3 test di sicurezza dell'agente e 2 test sotto alto consumo di CPU e memoria.
Per gli altri prodotti DLP, Netwrix Endpoint Protector, Sophos Intercept X, Teramind DLP e Trellix DLP, abbiamo esaminato le loro funzionalità.
Risultati del benchmark DLP
Abbiamo distribuito ogni prodotto su un'infrastruttura identica: 3 istanze Contabo Cloud VPS 10 (4 vCPU, 8 GB RAM, 150 GB SSD) in esecuzione su Windows Server 2022 Datacenter con Active Directory.
- Acronis vince in generale con un vantaggio di 10 punti guidato da un'ispezione dei contenuti più approfondita, un'integrazione SIEM completa, la conservazione delle prove delle copie shadow e una libreria di modelli di policy più ricca.
- Un utente che copia dati SSN da un foglio di calcolo e li incolla in qualsiasi modulo web (Pastebin, Google Translate) aggira completamente ManageEngine. Anche la modifica del formato SSN da 578-12-3364 a 578 12 3364 lo aggira. Acronis blocca entrambi.
- Entrambi i prodotti hanno superato tutti i test di manomissione dell'agente. L'agente DLP non può essere fermato, ucciso o disinstallato da un account utente standard.
- Entrambi i prodotti hanno continuato a bloccare i caricamenti sotto un carico del 100% di CPU e durante i trasferimenti di file in blocco. Questa categoria è documentata ma non valutata, poiché le prestazioni sotto carico non erano un fattore differenziante.
- Nessun prodotto ha rilevato dati SSN codificati in base64. Entrambi hanno bloccato la falsificazione delle estensioni, gli archivi crittografati e il rilevamento di singoli SSN in documenti di grandi dimensioni.
Il punteggio complessivo è una somma ponderata di 8 categorie. Consulta la nostra metodologia di benchmark DLP per i pesi e la logica di punteggio.
Test di prevenzione delle perdite di dati
✓: DLP ha bloccato il tentativo, ✗: DLP lo ha lasciato passare
ManageEngine ha bloccato 16 su 23 scenari (70%). Acronis ha bloccato 19 su 23 scenari (83%). Entrambi i prodotti bloccano i canali standard di esfiltrazione (caricamenti file, email, trasferimenti web). Le differenze emergono sull'incolla dagli appunti, sulle varianti del formato SSN, sull'esfiltrazione cross-client e sui canali di stampa.
Mappatura su OWASP top 10
I nostri scenari di perdita mappano su categorie di vulnerabilità ben documentate. Il riferimento principale è A02:2021 Falli crittografici, precedentemente denominato "Esposizione dati sensibili". Questa categoria copre SSN e PII, lasciando l'endpoint in testo semplice senza crittografia o tokenizzazione, che è la modalità di guasto a cui mira ogni scenario di esfiltrazione nel nostro set di test. A04:2021 Design insicuro copre lacune architetturali come l'assenza di ispezione degli appunti o indicizzazione cross-client che non possono essere risolte solo tramite configurazione.
I nostri test avversariali (codifica base64, varianti formato SSN, testo nascosto HTML, formula divisa tra celle) si allineano con le tecniche di iniezione codificata ed evasione del filtro documentate nella Guida ai test di sicurezza web OWASP e nel Foglio di trucchi per l'evasione del filtro XSS. Le tecniche differiscono nello scopo (esfiltrazione dati vs iniezione payload) ma condividono lo stesso pattern sottostante: offuscare i contenuti sensibili in modo che i filtri basati su firme e regex non riescano a riconoscerli.
Test di sicurezza dell'agente DLP
Entrambi i prodotti hanno protetto contro tutti e tre i tentativi di manomissione. L'arresto del servizio da PowerShell è stato rifiutato. Il processo dell'agente non poteva essere terminato da Gestione attività. La disinstallazione da Programmi e funzionalità è fallita senza privilegi di amministratore. Gli utenti standard non possono disabilitare l'agente DLP su nessuno dei due prodotti.
Comportamento sotto alto consumo di CPU e memoria
Entrambi i prodotti hanno continuato a bloccare sotto un carico del 100% di CPU senza degradazione. Anche i caricamenti in blocco sono stati bloccati correttamente. Questa categoria è documentata per riferimento ma esclusa dalla valutazione, poiché nessuno dei due prodotti ha mostrato degradazione e non ha prodotto alcuna differenziazione tra di loro.
Prodotti DLP confrontati
Le due sezioni di prodotto sottostanti documentano il benchmark completo hands-on. Entrambi sono stati installati su identiche VM Windows Server 2022 e testati con gli stessi 23 scenari di perdita, 3 test di sicurezza dell'agente e 2 scenari di alto consumo di CPU e memoria.
1. Acronis DeviceLock DLP
Installazione
Acronis DeviceLock richiedeva un server SQL come prerequisito per l'installazione, e abbiamo installato SQL Server 2022 Express.
Dopo che il database era pronto, la configurazione di DeviceLock è ripresa con un certificato autofirmato e la configurazione della connessione al database. La distribuzione dell'agente ha utilizzato un file MSI da 164 MB copiato tramite condivisione di rete.
Dashboard e UI
DeviceLock è amministrato tramite applicazioni native di Windows piuttosto che una console web. L'interfaccia principale è un componente aggiuntivo MMC (Microsoft Management Console) con una navigazione ad albero. Acronis fornisce anche un componente aggiuntivo DeviceLock Group Policy Manager per ambienti gestiti da AD e un DeviceLock Enterprise Manager separato per reti non AD, tutti condividono le stesse convenzioni UI.
Il pannello sinistro ha tre rami: DeviceLock Service (impostazioni agente), Enterprise Server (gestione centrale) e Content Security Server (motore di analisi dei contenuti). La console MMC si connette a un client alla volta, ma il modulo DeviceLock Reports fornisce report grafici su tutto il parco, inclusi User Activity Charts, Relations Charts, User Dossiers e report dispositivi plug-and-play.1
Il vantaggio architetturale: ogni dispositivo e protocollo si divide in profili Regular (online) e Offline (disconnesso). Un laptop può avere regole severe in ufficio e regole rilassate in viaggio. ManageEngine non offre questa distinzione.
Configurazione policy
Il Content Database di DeviceLock contiene oltre 50 gruppi di contenuti predefiniti con oltre 90 modelli regex e oltre 160 dizionari di parole chiave. L'analisi morfologica supporta 7 lingue per il matching delle parole chiave.
Il gruppo integrato "Social Security" è di tipo Parole chiave (cerca la frase "social security"), non di tipo Modello. L'approccio corretto: Aggiungi Gruppo > Modello con la convalida integrata "US Social Security Number", che utilizza la verifica stile Luhn. Questo modello convalidato è il motivo per cui Acronis ha rilevato tutte le 8 varianti di formato SSN mentre ManageEngine ha catturato solo il formato con trattini.
Acronis supporta due percorsi di distribuzione centralizzati: Criteri di gruppo Active Directory (il componente aggiuntivo DeviceLock GPO) e DeviceLock Enterprise Server, che distribuisce le policy agli agenti tramite modalità push (avviata dal server) o pull (pianificata dall'agente o su richiesta). Nel nostro laboratorio, abbiamo utilizzato l'esportazione del file .dls per client tramite la Console di gestione, che è il percorso manuale; l'approccio di produzione è la distribuzione GPO o Enterprise Server.
Test di perdita
Acronis ha bloccato 19 su 23 scenari (83% di tasso di blocco). I risultati di spicco:
Incolla dagli appunti bloccato: I dati SSN incollati su pastebin.com e inviati tramite "Crea nuovo incolla" hanno restituito ERR_CONNECTION_RESET. DeviceLock ha ispezionato il corpo HTTP POST, ha trovato contenuti SSN e ha ucciso la connessione. Lo stesso test su Google Translate: incollare un SSN completo (212-64-6345) ha attivato "Errore di traduzione". Rimuovere le ultime quattro cifre ha permesso la traduzione. La regola si attiva su pattern SSN validi, non sul sito stesso.
Varianti formato SSN rilevate: Acronis ha bloccato tutte le 8 rappresentazioni: spaziata (578 12 3364), puntata (612.34.8876), senza separatori (334721198), gruppi invertiti e formati misti. Il motore di convalida integrato riconosce il numero indipendentemente dalla formattazione.
Estrazione cross-client bloccata: ssn_data.xlsx prelevato dalla cartella condivisa e caricato tramite WeTransfer da una macchina diversa è stato bloccato. Acronis scansiona i contenuti al momento dell'esfiltrazione, non al momento della creazione.
Cancellazione file bloccata: ManageEngine ha permesso agli utenti di cancellare file sensibili dal desktop. Acronis lo ha impedito. Ciò significa che Acronis protegge contro la distruzione dei dati, non solo contro l'esfiltrazione dei dati.
Aggiramento stampa: La stampa non è stata bloccata nel nostro test (limitazione di configurazione). La stampa di confidential_report.docx da WordPad è riuscita perché le Regole Consapevoli dei Contenuti erano configurate solo sotto Protocolli. L'architettura a due livelli di DeviceLock richiede una regola separata sotto Dispositivi > Regole Consapevoli dei Contenuti per le stampanti; con la regola lato Dispositivi in atto, il blocco della stampa si attiverebbe anche. Questa non è una funzionalità mancante, ma è un passaggio in più che gli amministratori devono ricordare quando coprono sia i canali di rete che quelli fisici.
Controllo accessi e AD
DeviceLock offre un'integrazione nativa basata su GPO con Active Directory. Aggiunge il proprio componente aggiuntivo (DeviceLock Group Policy Manager) alla Console di gestione Criteri di gruppo, consentendo la distribuzione delle policy tramite l'infrastruttura AD standard. La differenziazione basata su OU è tecnicamente supportata: diverse OU possono ricevere diverse policy DeviceLock.
Nel nostro laboratorio, abbiamo utilizzato la distribuzione di file .dls piuttosto che i percorsi di produzione GPO/Enterprise Server. Abbiamo anche visto la console richiedere la re-autenticazione quando si legavano utenti/gruppi AD alle Regole Consapevoli dei Contenuti su client remoti, che abbiamo trattato come un artefatto della cache delle credenziali del nostro piccolo ambiente di test. In alternativa a AD GPO, DeviceLock Enterprise Server distribuisce le policy tramite modalità push o pull, adatte ad ambienti non AD e distribuzioni ad hoc.
Integrazione
Acronis è leader nell'integrazione con tre canali di esportazione SIEM (Syslog, SNMP, SMTP) che supportano i formati di log CEF e JSON. La copia shadow preserva una copia completa di ogni file bloccato o monitorato sul server per la risposta agli incidenti. Il Content Security Server include un modulo Discovery che scansiona endpoint, NAS e condivisioni di file per dati sensibili mal posizionati.
RBAC ha tre livelli (Accesso completo, Modifica, Sola lettura) con un interruttore separato Shadow Data Access su ogni livello. L'integrazione programmatica è incentrata sull'inoltro SIEM (Syslog/SNMP/SMTP) e sulla consegna dei log shadow a un server centrale piuttosto che su un pubblico REST API.
Sicurezza dell'agente
Acronis ha protetto contro tutti e tre i test di manomissione come utente standard. Stop-Service sul servizio DeviceLock ha restituito accesso negato. Gestione attività ha rifiutato di terminare il processo dell'agente. La disinstallazione da Programmi e funzionalità richiedeva elevazione amministrativa ed è stata bloccata senza di essa.
Per la difesa contro la manomissione a livello di amministratore, Acronis offre l'elenco DeviceLock Administrators. Quando configurato, solo gli account nell'elenco possono disinstallare, modificare o fermare l'agente. Anche gli amministratori locali fuori dall'elenco sono bloccati.
Comportamento sotto alto consumo di CPU e memoria
Sotto un carico del 100% di CPU (4 lavori PowerShell a ciclo infinito), Acronis ha continuato a bloccare i caricamenti senza degradazione. 100 file caricati consecutivamente sono stati tutti scansionati e bloccati correttamente. Questa categoria non è stata valutata.
Analisi dei contenuti
L'analisi dei contenuti è l'area più forte di Acronis. Il modello SSN convalidato con rilevamento indipendente dal formato è la funzionalità più impattante che abbiamo testato. Oltre alle regex, Acronis documenta diverse funzionalità2
Registrazione e avvisi
DeviceLock fornisce tre visualizzatori di log separati: Audit Log (tutti i tentativi di accesso e le modifiche alle policy), Shadow Log (copie di file bloccati/monitorati) e UAM Log (monitoraggio attività utente con screenshot e utilizzo applicazioni).
I canali di avviso includono SMTP, SNMP Traps e Syslog. Sono configurabili quattro categorie di avvisi: accesso dispositivo/protocollo, violazioni Regole Consapevoli dei Contenuti, regole firewall e modifiche amministrative. L'esportazione dei report supporta HTML, PDF e RTF.
La copia shadow è la funzionalità di spicco per la risposta agli incidenti. Quando un trasferimento file viene bloccato, il contenuto completo del file viene preservato sul server. ManageEngine registra l'evento ma scarta il file. Nessuno dei due prodotti ha un flusso di lavoro completo per gli incidenti (assegnazione, escalation, tracciamento stato).
Scegli Acronis DeviceLock DLP per una soluzione integrata, inclusi backup, disaster recovery e gestione endpoint.
Visita il sito web2. ManageEngine DLP Plus
Installazione
ManageEngine DLP Plus si installa da una procedura guidata standard di Windows. Nessun database esterno richiesto. L'intero processo, server più due agenti client, ha richiesto circa 15 minuti.
Il programma di installazione dell'agente è fallito silenziosamente su Client 1 con un conflitto sulla porta 8383 che non ha prodotto alcun messaggio di errore visibile. Il problema è stato scoperto solo controllando manualmente lo stato del servizio. Anche l'installazione dell'estensione del browser è richiesta per il blocco dei caricamenti e deve essere configurata separatamente per ogni browser (Chrome, Edge, Firefox, Brave).
Dashboard e UI
ManageEngine si apre in un browser web. La dashboard mostra lo stato delle policy, gli incidenti recenti e la panoramica dei dispositivi con grafici e diagrammi. La navigazione utilizza una barra laterale sinistra. La creazione di policy, la gestione dei dispositivi e la generazione di report sono accessibili entro 2-3 clic.
Tutti i client sono visibili in un'unica schermata. Rispetto alla console MMC di Acronis, l'interfaccia sembra moderna e funzionale. ManageEngine non offre la modalità a doppio profilo Offline/Regular.
Configurazione policy
ManageEngine fornisce un Content Database con regole predefinite per PCI-DSS, HIPAA, GDPR e pattern specifici per paese. Le categorie includono numeri di carta di credito (Visa, Mastercard, Amex), SSN, ID fiscale per oltre 20 paesi, IBAN, numeri di passaporto e dati assicurativi sanitari. È possibile creare regole regex personalizzate.
Un problema operativo: ogni modifica alla policy richiede un riavvio del PC client prima di entrare in vigore. Il primo tentativo è costato 30 minuti di risoluzione dei problemi prima che il requisito di riavvio fosse scoperto nella documentazione. Lo stato di distribuzione della policy era al 0% fino al riavvio manuale del client. In un ambiente di produzione con centinaia di endpoint, questo è un grave onere operativo.
Test di perdita
ManageEngine ha bloccato 16 su 23 scenari (70% di tasso di blocco). Le scoperte chiave:
Stampa bloccata automaticamente: La stampa di confidential_report.docx da WordPad è stata bloccata. Anche la stampa in PDF è stata bloccata. A differenza di Acronis, ManageEngine copre la stampa sotto la stessa policy dei caricamenti. Nessuna regola dispositivo separata richiesta.
Aggiramento incolla dagli appunti: I dati SSN copiati da un foglio di calcolo e incollati su pastebin.com sono stati caricati con successo. ManageEngine non ispeziona il testo incollato nei moduli web. Anche l'incolla su Google Translate è stato aggirato.
Dopo aver cambiato l'Accesso ai file in modalità "Consenti nelle applicazioni attendibili", l'aggiramento degli appunti è stato chiuso perché gli utenti non potevano più aprire file sensibili con applicazioni non attendibili. Questa è una mitigazione indiretta che limita i flussi di lavoro legittimi, non un'ispezione mirata degli appunti.
Varianti formato SSN aggirate: ManageEngine ha rilevato solo il formato standard con trattini (XXX-XX-XXXX). Le varianti spaziata, puntata e senza separatori sono passate.
Cattura screenshot bloccata: ManageEngine ha rilevato e bloccato la cattura dello schermo mentre un file sensibile era aperto.
Caricamento immagine SSN bloccato: ssn_image.png (un file immagine contenente numeri SSN) è stato bloccato durante il caricamento. Questo è un rilevamento basato su metadati/classificazione, non OCR.
Aggiramento cancellazione file: I file sensibili potevano essere cancellati dal desktop del client senza alcun intervento DLP. Acronis ha bloccato la cancellazione dei file.
Aggiramento estrazione cross-client: Uno screenshot scattato su Client 1, copiato sulla condivisione di rete e caricato da Client 2 tramite WeTransfer è passato. L'agente di Client 2 non aveva mai indicizzato questo file.
Controllo accessi e AD
L'integrazione AD funziona: la console ha scoperto il dominio dlptest.local e ha sincronizzato utenti e OU automaticamente dopo aver inserito le credenziali. Le policy basate su gruppi sono state testate creando due gruppi di computer manuali (Finance-Clients e IT-Clients) con regole diverse. Client 1 (Finance) aveva restrizioni di accesso ai file severe mentre Client 2 (IT) non aveva blocchi. La differenziazione ha funzionato correttamente.
I gruppi di utenti AD non potevano essere mappati direttamente ai gruppi di computer. Il sistema si aspetta gruppi di computer AD, non gruppi di utenti. Ciò significa che l'assegnazione di policy basata su gruppi richiede la creazione manuale di gruppi di computer piuttosto che l'estrazione dei gruppi da Active Directory.
Integrazione
ManageEngine Endpoint DLP Plus non ha integrazione SIEM nativa. La documentazione ufficiale di aiuto3 , la pagina delle funzionalità e la guida utente non menzionano Syslog, CEF o inoltro SIEM. Altri prodotti ManageEngine (DataSecurity Plus, ADAudit Plus, Endpoint Central) supportano Syslog, ma DLP Plus come prodotto autonomo non lo fa.
RBAC è disponibile e più granulare di Acronis: 4 ruoli predefiniti (Amministratore, Endpoint DLP Manager, Tecnico, Ospite), ruoli personalizzati con permessi a livello di modulo (Controllo completo, Scrittura, Lettura, Nessun accesso), assegnazione basata su ambito (limitare gli amministratori a specifici gruppi di computer) e supporto 2FA (Email OTP o Google Authenticator). Nonostante un RBAC migliore, il punteggio di integrazione complessivo è più basso perché mancano SIEM e copia shadow.
Sicurezza dell'agente
ManageEngine ha protetto contro tutti e tre i test di manomissione come utente standard. Stop-Service sul servizio dell'agente DLP ha restituito accesso negato. Gestione attività non ha terminato il processo dell'agente. La disinstallazione da Programmi e funzionalità richiedeva elevazione amministrativa ed è stata rifiutata senza di essa.
A differenza di Acronis, ManageEngine non offre un elenco di amministratori nominati per limitare la disinstallazione a livello di amministratore. Qualsiasi account con privilegi di amministratore locale può disinstallare l'agente da Programmi e funzionalità. Per le distribuzioni di produzione, ciò significa che i privilegi di amministratore endpoint devono essere controllati rigorosamente tramite l'iscrizione ai gruppi di Active Directory e la policy di amministratore locale, poiché non esiste una restrizione a livello di prodotto.
Comportamento sotto alto consumo di CPU e memoria
Sotto un carico del 100% di CPU, ManageEngine ha continuato a bloccare i caricamenti senza degradazione. Tutti i 100 file in un test di caricamento in blocco sono stati scansionati e bloccati correttamente.
Analisi dei contenuti
L'analisi dei contenuti di ManageEngine è basata su regex e parole chiave. Analizza correttamente più formati di file (xlsx, docx, csv, json, html, py, log) e scansiona all'interno di commenti del codice, voci di log e campi dati strutturati. La falsificazione delle estensioni non lo inganna. Gli archivi ZIP crittografati sono bloccati dall'analisi dei metadati/intestazione.
Le limitazioni: viene rilevato solo il formato SSN standard con trattini (XXX-XX-XXXX). Nessuna decodifica base64, nessuna scansione PDF crittografati. ManageEngine offre impronta digitale dei documenti e OCR tramite Endpoint Central, ma il motore regex non include la convalida SSN indipendente dal formato come Acronis. La libreria di regole è ricca (oltre 20 paesi, più framework di conformità).
Registrazione e avvisi
La pagina Audit File Sensibili registra eventi con dettagli utili: nome computer, utente loggato, tipo evento, nome file, dominio web, applicazione aziendale, stato evento e la regola di classificazione specifica che ha attivato. Questo livello di dettaglio è sufficiente per l'indagine.
ManageEngine ha una utile funzione di segnalazione dei falsi positivi: quando un file viene bloccato, l'utente vede un'opzione "Segnala questo blocco come falso positivo". Il report appare nella pagina Override Audit della console di amministrazione. Acronis gestisce le eccezioni tramite regole lato amministratore e ambito utente/gruppo nella Console di gestione piuttosto che un pulsante rivolto all'utente finale.
I canali di avviso sono limitati all'email SMTP. Non c'è inoltro SNMP o Syslog. L'esportazione dei report supporta solo CSV e PDF. Sono disponibili report pianificati. Non c'è copia shadow o raccolta prove. Nessun flusso di lavoro per gli incidenti.
Metodologia e ambiente del benchmark DLP
Abbiamo fornito 3 istanze Contabo Cloud VPS 10 in esecuzione su Windows Server 2022 Datacenter.
Active Directory: Dominio dlptest.local con due OU (Finance, IT), quattro utenti di test (user.finance1, user.finance2, user.it1, user.it2) e una cartella condivisa su \vmi3184661\share.
Test sequenziali: ManageEngine è stato installato per primo, testato su tutte le 8 categorie valutate, poi completamente disinstallato. Acronis è stato installato sulle stesse VM e testato con scenari e file identici. Entrambi i prodotti hanno affrontato lo stesso ambiente. Tutti i test sono stati eseguiti dalla stessa persona.
Set di dati di test
8 file base e 12 file di evasione avversariale, tutti contenenti Numeri di Sicurezza Sociale statunitensi (SSN) come tipo di dato sensibile principale:
File base: ssn_data.xlsx (foglio di calcolo SSN), credit_cards.csv (numeri di carta di credito), confidential_report.docx (SSN con parola chiave "CONFIDENTIAL"), health_records.docx (dati HIPAA), source_code.py (credenziali nel codice), ssn_image.png (SSN in immagine per OCR), confidential_archive.zip (archivio crittografato), normal_file.docx (file pulito per controllo falso positivo).
File avversariali (12): File di log con SSN incorporato, CSV con nome innocuo con colonna SSN nascosta, JSON con SSN nei campi dati, commenti Python con SSN, 8 varianti formato SSN (spaziate/puntate/senza separatore), SSN codificato in base64, HTML con SSN testo nascosto, SSN diviso da formula tra celle del foglio di calcolo, falsificazione estensione (.txt in .jpg, .xlsx in .png), ZIP protetto da password, ago nel pagliaio (1 SSN in 80 righe di testo pulito).
Esempi di test di perdita
Ogni test segue lo stesso pattern: tentare di esfiltrare un file sensibile attraverso un canale specifico e registrare se l'agente DLP lo blocca o lo permette.
Test di perdita di base (caricamento): Apri un browser sul client, vai su WeTransfer, seleziona ssn_data.xlsx dal desktop, clicca carica. Se l'agente DLP blocca il caricamento, il browser visualizza un errore o la connessione viene resettata. Se lo permette, il file viene caricato con successo su WeTransfer.
Test di evasione del canale (appunti): Apri ssn_data.xlsx in Notepad, seleziona tutto il testo, copia (Ctrl+C). Apri un browser, vai su pastebin.com, incolla (Ctrl+V) nell'area di testo, clicca "Crea nuovo incolla". Un prodotto DLP con ispezione degli appunti uccide il HTTP POST prima che completi. Un prodotto senza ispezione degli appunti permette l'incolla perché i dati non sono mai usciti come file.
Test di evasione dei contenuti (varianti formato): Crea un file di testo contenente 8 diverse rappresentazioni SSN: standard (578-12-3364), spaziata (578 12 3364), puntata (578.12.3364), senza separatore (578123364), invertita (3364-12-578) e formati misti. Carica il file su WeTransfer. Un prodotto DLP con pattern SSN convalidati riconosce tutti i formati. Un prodotto solo regex rileva solo i formati coperti dalla sua regex.
Test di perdita indiretta (cross-client): Su Client 1, acquisisci uno screenshot di dati sensibili visualizzati sullo schermo. Salva lo screenshot. Copialo sulla condivisione di rete (\server\share). Su Client 2, preleva il file dalla condivisione e caricalo su WeTransfer. Un prodotto che scansiona al momento del caricamento blocca indipendentemente da dove provenga il file. Un prodotto che si basa sulla pre-indicizzazione perde i file che non ha mai visto.
Test di carico CPU: Esegui 4 lavori PowerShell a ciclo infinito per saturare tutti e 4 i vCPU: 1..4 | ForEach-Object { Start-Job { while($true){} } }. Conferma che la CPU è al 99-100% in Gestione attività. Mentre la CPU è bloccata, tenta di caricare ssn_data.xlsx su WeTransfer. Se l'agente DLP blocca ancora il caricamento sotto carico completo, il comportamento sotto carico è accettabile. Pulisci con Get-Job | Stop-Job; Get-Job | Remove-Job.
Punteggi per categoria del benchmark DLP
Ogni categoria ha un punteggio massimo pari al suo peso assegnato. I pesi sommano a 50 e il totale grezzo è scalato a 100 per il punteggio finale. I punteggi sono interi legati direttamente ai risultati misurati o alle funzionalità documentate, non valutazioni soggettive.
La registrazione e gli avvisi contribuiscono al singolo divario più grande (+6). Acronis esporta in SMTP, SNMP e Syslog, esegue tre visualizzatori di log (Audit, Shadow, UAM) e preserva il contenuto completo del file tramite copia shadow. ManageEngine ha solo SMTP, un singolo log di audit e nessuna copia shadow. L'integrazione aggiunge altri +3 tramite il supporto SIEM di Acronis, il modulo Discovery e il profilo doppio offline, nessuno dei quali esiste in ManageEngine DLP Plus autonomo. La configurazione delle policy aggiunge +2 tramite i oltre 90 modelli predefiniti di Acronis e l'analisi morfologica delle parole chiave in 9 lingue. I test di perdita aggiungono +1, riflettendo direttamente il tasso di blocco dell'83% contro il 70%.
ManageEngine recupera +2 dall'installazione, +4 dalla dashboard (moderna UI web con grafici contro componente aggiuntivo MMC senza dashboard) e +1 dal controllo accessi (2FA, ruoli personalizzati, amministrazione basata su ambito). La sicurezza dell'agente è pareggiata a 6 ciascuno dopo che tutti e tre i test di manomissione sono stati superati.
Metodologia di punteggio (logica dei pesi)
8 categorie valutate su scale intere proporzionali al loro peso. Il punteggio massimo possibile di ogni categoria è pari al suo valore di peso. I pesi sommano a 50 e il totale grezzo è scalato a 100 per il punteggio finale. I pesi sono stati assegnati dal revisore senior in base a quali categorie producono una differenziazione significativa e quali sono direttamente correlate alle operazioni DLP quotidiane.
Ogni punteggio è derivato da risultati misurati (tassi di blocco test di perdita) o dalla matrice delle funzionalità documentata nella sezione Confronto Funzionalità, non da valutazioni soggettive. Il comportamento sotto alto consumo di CPU e memoria è stato testato separatamente ma escluso dalla valutazione, poiché entrambi i prodotti hanno performato identicamente sotto carico.
Confronto funzionalità
Configurazione e distribuzione
ManageEngine si distribuisce 6 volte più velocemente e non richiede dipendenze esterne. Acronis richiede SQL Server e un certificato, ma fornisce un kit di strumenti di distribuzione più ampio (componente aggiuntivo Criteri di gruppo, push/pull Enterprise Server, esportazione manuale .dls).
Registrazione e prove
La copia shadow è il divario più grande. Quando Acronis blocca un trasferimento file, il contenuto completo del file viene preservato sul server per revisione forense. ManageEngine registra i metadati dell'evento ma scarta il file effettivo. Nessuno dei due prodotti ha un flusso di lavoro completo per gli incidenti (assegnazione, escalation, tracciamento stato).
Capacità di analisi dei contenuti
Acronis ha un'analisi dei contenuti più approfondita per ogni metodo. I oltre 90 modelli regex e i oltre 160 dizionari di parole chiave con analisi morfologica in 9 lingue gli danno una superficie di rilevamento più ampia. ManageEngine offre OCR tramite la piattaforma Endpoint Central e digital fingerprinting tramite il suo modulo di classificazione, ma Acronis pubblica numeri specifici (33 lingue OCR, oltre 5.300 tipi file) mentre ManageEngine no. Nessuno dei due prodotti utilizza machine learning o NLP per la classificazione.4 5 6 7
Limitazioni
Due prodotti confrontati hands-on: Il benchmark copre ManageEngine DLP Plus e Acronis DeviceLock DLP. Gli altri quattro prodotti coperti (Netwrix, Sophos, Teramind, Trellix) non sono stati ritestati con la stessa metodologia a 28 scenari; le loro sezioni riflettono precedenti recensioni delle funzionalità. I punteggi comparativi (76/100 e 66/100) sono quindi solo tra i due prodotti testati hands-on, non su tutti e sei.
Nessun test USB o supporti rimovibili: Il controllo dei dispositivi USB è uno dei casi d'uso DLP più comuni. Entrambi i prodotti lo supportano, ma la nostra infrastruttura (istanze cloud VPS) non ha porte USB fisiche. Il blocco USB, l'applicazione della crittografia e l'elenco bianco dei dispositivi non sono stati testati.
Solo pattern SSN testati: Tutti i test di perdita hanno utilizzato il Numero di Sicurezza Sociale statunitense come tipo di dato sensibile. Il rilevamento delle carte di credito (convalida Luhn), i pattern HIPAA e le regole specifiche GDPR non sono stati testati separatamente, sebbene entrambi i prodotti includano modelli predefiniti per questi.
Prodotti DLP precedentemente esaminati
Avevamo accesso di prova ai quattro prodotti sottostanti in un precedente ciclo di ricerca. Le scoperte riflettono la copertura delle funzionalità e i test di quel periodo, non un ritest del 2026. Gli screenshot provengono dall'ambiente di recensione originale. Dove i vendor hanno inviato aggiornamenti dopo la recensione originale, questi sono segnalati inline.
Netwrix Endpoint Protector
Netwrix Endpoint Protector è una soluzione DLP pesante sui canali costruita attorno al controllo dei dispositivi, Deep Packet Inspection ed eDiscovery. La recensione ha coperto il suo flusso di lavoro di creazione policy, la copertura delle periferiche e le funzionalità amministrative.
Funzionalità efficaci: Controllo granulare su oltre 30 tipi di dispositivi, Deep Packet Inspection per trasferimenti file di rete, policy predefinite e personalizzate, diritti efficaci per la creazione di policy, eDiscovery per dati a riposo, crittografia USB, notifiche e avvisi per azioni bloccate, notifiche client personalizzabili, traccia di audit e protezione manomissione.
Funzionalità inefficaci: Nessuna gestione dispositivi (MDM è offerto come add-on, non incluso nella prova di base).
Copertura canali: Endpoint Protector abilita il controllo granulare su oltre 30 tipi di dispositivi, inclusi dispositivi USB, dispositivi Bluetooth, smartphone e altro. Gli amministratori possono impostare il controllo accessi per dispositivi specifici per consentire o bloccarli dal connettersi ai computer client. Deep Packet Inspection permette all'amministratore di gestire i trasferimenti file di rete su webmail, unità e applicazioni di terze parti. Quando abilitato, le impostazioni Content Aware Protection (CAP) e controllo dispositivi funzionano in conformità con le scansioni DPI.
Classificazione dati: Content Aware Protection include policy predefinite in tre gruppi basati sul sistema operativo del client (Windows, Mac, Linux). Ci sono 86 policy predefinite per Windows che coprono trasferimenti file per tipo di contenuto (grafica, archivi, programmazione), conformità HIPAA e conformità GDPR. Le policy personalizzate possono essere definite in base ai punti di uscita della policy, agli utenti e all'azione della policy scelta. eDiscovery rileva dati sensibili a riposo e abilita crittografia, decrittazione e cancellazione al target.
Amministrazione: I diritti efficaci abilitano la creazione di policy basate su un utente, dispositivo o tipo di file specifico. I diritti globali sono diritti di controllo dispositivi che si applicano in generale, e gli amministratori possono impostare diversi diritti di accesso per diversi dispositivi. Per creare una policy, l'amministratore seleziona tra opzioni predefinite o personalizzate, e le policy possono essere ordinate per priorità. Le classi personalizzate permettono di assegnare un "Dispositivo attendibile (TD)" in base alle informazioni del dispositivo come numero di serie e tipo.
Notifiche e avvisi: Quando un amministratore tenta di allegare un file .xlsx con il nome "Confidential" contenente informazioni sul numero di sicurezza sociale su WhatsApp, Endpoint Protector blocca l'azione e notifica l'amministratore. I log degli eventi sono visibili nella finestra Content-Aware Report con dettagli inclusi evento, ora, utente, dispositivo, destinazione e file.
Altre funzionalità: La sincronizzazione Microsoft AD e Microsoft Entra ID è supportata. Le notifiche client possono essere personalizzate. Le liste di negazione e consenso aiutano a definire contenuti sensibili tramite tipi di file, contenuti personalizzati, posizioni file, posizioni di scansione, pattern regex, domini, URL e domini email. La crittografia dei dispositivi USB può essere automatizzata.
Scegli Netwrix Endpoint Protector per una soluzione DLP completa con robuste capacità di controllo dispositivi
Visita il sito webSophos Intercept X
Sophos Intercept X fornisce capacità DLP come parte di una suite di sicurezza endpoint più ampia. La recensione si è concentrata sulla configurazione di policy personalizzate, sulla protezione manomissione e sull'esperienza amministrativa tramite Sophos Central.
Funzionalità efficaci: Efficace protezione email, periferiche e applicazioni, protezione manomissione funzionante, integrazione Active Directory, classificazione dati personalizzabile, ricerca file e tag con hash, traccia di audit completa.
Funzionalità inefficaci: Alcune funzionalità come la protezione periferiche richiedono policy personalizzate piuttosto che funzionare fuori dalla scatola. Nessuna analisi del comportamento utente e nessuna gestione dispositivi.
Copertura canali: Sia nelle periferiche che nell'email, le policy base predefinite non hanno fermato i trasferimenti file. Il team di recensione è stato in grado di bloccarli usando policy personalizzate. La funzionalità controllo applicazioni ha limitato il trasferimento file ad altre piattaforme come Google Drive. Gli utenti possono essere inclusi o esclusi direttamente dalle policy tramite eccezioni basate su email o IP. Nove tipi di dispositivi rimovibili possono essere monitorati e controllati, meno rispetto a concorrenti come Endpoint Protector.
Classificazione dati: La classificazione dati automatizzata è stata inefficace, classificando email rischiose come a bassa gravità. I parametri di personalizzazione sono disponibili e dettagliati. I dati classificati sono verificabili tramite un elenco file completo con stato di classificazione.
Amministrazione: La protezione manomissione ha limitato i dispositivi dal manomettere il software dell'agente e richiedeva una password per disinstallare il file dell'agente. Questa funzionalità ha funzionato durante i test di recensione. Sophos Central ha registrato con successo i log di audit delle attività utente. Gli hash file sono offerti tramite la funzionalità discovery per identificare file rischiosi.
Nota Shadow IA: Da gennaio 2026, Sophos ha aggiunto Workspace Protection per la governance Shadow IT e Shadow IA. Workspace Protection è adiacente alle funzionalità DLP endpoint coperte qui, non una loro sostituzione.8
Teramind DLP
Teramind DLP è una soluzione DLP guidata da policy con un forte posizionamento di analisi comportamentale. La recensione si è concentrata sulla copertura dei canali, sulla profondità di personalizzazione e sul sovraccarico amministrativo.
Funzionalità efficaci: Protezione efficace per periferiche, email e applicazioni, personalizzazione dettagliata classificazione dati, traccia di audit completa, integrazione Active Directory, ricerca file.
Funzionalità inefficaci: La classificazione dati ha faticato a distinguere dati confidenziali da non confidenziali. Le policy personalizzate sono difficili da gestire. Nessuna protezione manomissione, nessun OCR nella prova gratuita.
Copertura canali: Le policy di blocco USB sono state efficaci ma hanno anche bloccato file non confidenziali dal essere copiati su dispositivi periferici. I tipi di dispositivi non sono stati menzionati nelle policy dei dispositivi rimovibili. Le policy email sono efficaci ma impediscono agli utenti interni di inviare email come effetto collaterale. La policy protezione applicazioni limita tutti i trasferimenti dati ad applicazioni come Google Drive. Email o domini specifici possono essere esclusi dalle policy.
Classificazione dati: La classificazione dati è stata inefficace perché non poteva distinguere tra dati confidenziali e non confidenziali nei test di prova. Le opzioni di personalizzazione sono dettagliate ma richiedono familiarità con la piattaforma. I dati classificati sono verificabili.
Amministrazione: La protezione manomissione è stata inefficace, poiché gli utenti potevano manomettere il file dell'agente. L'attività di ogni utente è stata monitorata con avvisi inviati all'email dell'amministratore. L'identificazione dati OCR non è inclusa nella prova gratuita.
Aggiornamento agente Mac. A partire da gennaio 2026, l'agente Teramind Mac supporta la registrazione dello schermo solo quando viene violata una regola comportamentale, riducendo l'uso di archiviazione e migliorando la privacy mentre cattura prove pertinenti.9
Trellix DLP
Trellix DLP (precedentemente McAfee Total Protection for DLP) copre un'ampia gamma di canali endpoint e di rete ma mostra incoerenza in alcune aree. La recensione si è concentrata sulla copertura dei canali, sulle policy predefinite rispetto a quelle personalizzate e sulle capacità amministrative.
Funzionalità efficaci: Ampia copertura canali, protezione email e applicazioni completa, regole dati personalizzabili, traccia di audit, protezione manomissione, filtraggio web.
Funzionalità inefficaci: Nessuna integrazione Active Directory nella prova, nessuna ricerca file, nessuna analisi del comportamento utente, nessun supporto OCR completo per rilevamento e prevenzione web.
Copertura canali: Trellix può rilevare quando un utente configura Outlook per inviare file sensibili tramite account email personali e può mettere in quarantena email contenenti informazioni sensibili. Il rilascio di email in quarantena può essere ingombrante, richiedendo approvazione manuale dal mittente, dal manager del mittente o dal proprietario dei dati tramite notifiche email piuttosto che un flusso di lavoro automatizzato. Trellix non supporta completamente il filtraggio dei dati sensibili sincronizzati su dispositivi mobili tramite ActiveSync per alcuni gruppi di utenti.
Il monitoraggio e il controllo dei dispositivi periferici sono possibili, ma Trellix non supporta una policy unificata su tutti i canali, il che limita la flessibilità in ambienti con più tipi di dispositivi periferici. Gli amministratori possono impostare controlli di accesso per dispositivi USB e altre periferiche, ma l'implementazione della policy può essere incoerente su canali più recenti come i dispositivi mobili.
Il supporto avanzato come la crittografia dei dispositivi USB richiede abbonamenti aggiuntivi. Per le applicazioni, Chrome non è completamente supportato e gli utenti possono aggirare le policy DLP in alcuni scenari, come quando caricano file da una rete Wi-Fi pubblica.
Classificazione dati: Le policy predefinite di Trellix coprono framework normativi comuni inclusi PCI DSS e GDPR, sebbene i modelli di policy siano meno completi e accurati rispetto a quelli dei concorrenti, creando potenziali lacune di rilevamento.
L'amministratore può creare policy personalizzate usando parole chiave, espressioni regolari e digital fingerprinting. Trellix non supporta funzionalità avanzate come machine learning o protezione basata sul rischio comportamentale. OCR è limitato a documenti grafici per discovery, non per prevenzione.
Amministrazione: Gli amministratori possono assegnare diritti basati su utenti o gruppi, ma Trellix manca di amministrazione delegata basata su ruoli, limitando la capacità di assegnare ruoli specifici per la gestione delle policy e la gestione degli incidenti. La crittografia USB e l'enforcement policy DLP endpoint sono standard, ma opzioni avanzate come protezione adattiva al rischio e analisi comportamentale native sono limitate o richiedono integrazione di terze parti.
Gli avvisi sono generati per trasferimenti dati sensibili via email, ma la personalizzazione limitata dei report e le capacità di gestione degli incidenti possono richiedere un'ulteriore supervisione manuale.
Aggiungi come fonte preferitaCosa fa il software DLP?
Il software DLP monitora e controlla il flusso di dati sensibili attraverso gli endpoint, la rete e i servizi cloud di un'organizzazione. Previene trasferimenti dati non autorizzati attraverso canali come caricamenti file, allegati email, copia-incolla dagli appunti, stampa, unità USB e cattura schermo.
I prodotti DLP combinano tipicamente tre metodi di rilevamento: ispezione dei contenuti (scansione dei contenuti file per pattern come SSN o numeri di carta di credito), analisi del contesto (valutazione del canale, utente e destinazione) e enforcement policy (blocco, avviso o registrazione basato su regole).
Capacità DLP comuni
Conclusione
Per team che necessitano integrazione SIEM, prove copia shadow o rilevamento SSN multi-formato, Acronis è il prodotto più forte. Ha bloccato l'83% degli scenari di perdita, previene la cancellazione dei file, inoltra eventi a Syslog/CEF e preserva il contenuto completo del file per revisione forense tramite copia shadow.
Per team che danno priorità alla distribuzione rapida e a un'UI utilizzabile, ManageEngine si installa in 15 minuti senza dipendenze. Il costo: nessuna integrazione SIEM, nessuna copia shadow, nessuna ispezione degli appunti e un tasso di blocco inferiore di 13 punti percentuali.
FAQ
Acronis DeviceLock ha rilevato dati SSN incollati su Pastebin e Google Translate ispezionando i corpi HTTP POST. ManageEngine DLP Plus non ispeziona l'incolla dagli appunti. Abilitare la modalità "Consenti nelle applicazioni attendibili" chiude indirettamente questa lacuna limitando quali applicazioni possono aprire file sensibili.
No. Entrambi i prodotti proteggono contro arresto servizio, uccisione processo e tentativi di disinstallazione da parte di utenti standard. Tutti e tre i test di manomissione sono stati superati su entrambi. Per la difesa contro account di amministratore locale, Acronis offre l'elenco DeviceLock Administrators per limitare chi può disinstallare, fermare o modificare l'agente. ManageEngine non ha un meccanismo equivalente a livello di prodotto, quindi i diritti di amministratore devono essere controllati tramite Active Directory.
Acronis ha rilevato SSN con spazi, punti e senza separatori. ManageEngine ha rilevato solo il formato standard con trattini (XXX-XX-XXXX).
Disponibilità prova vendor. ManageEngine e Acronis DeviceLock DLP hanno fornito prove funzionanti su Windows Server 2022 entro la nostra finestra di ricerca. Gli altri quattro prodotti (Netwrix, Sophos, Teramind, Trellix) richiedevano approvazioni demo guidate dalle vendite che non sono state completate in tempo, quindi ci affidiamo alle precedenti recensioni delle funzionalità per questi. Man mano che nuove prove diventano disponibili, eseguiremo nuovamente il benchmark completo a 28 scenari su quei prodotti e aggiorneremo le scoperte sottostanti.
Cita questo benchmark
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{sari2026,
author = {Sarı, Ekrem},
title = {{Confronto Benchmark Software DLP}},
year = {2026},
month = apr,
howpublished = {\url{https://aimultiple.com/dlp-review}},
note = {AIMultiple. Consultato il 30 Aprile 2026}
}Collegamenti di riferimento
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.