Realice un seguimiento de cada carga de archivos desde la guía completa de su PC de Office

La supervisión sin una política escrita es la forma en que un administrador termina en una disputa en lugar de resolverla. La política es breve: máquinas de la empresa, datos de la empresa, qué se registra, quién puede leer los registros y durante cuánto tiempo se conservan.

1. Escriba una página: las cargas desde las PC de la empresa se registran para proteger los datos; los registros son leídos únicamente por administradores designados; nada en dispositivos personales está cubierto
2. Informe al personal, en una reunión y por escrito, antes de que comience el registro, no después del primer incidente.
3. Guarde la política firmada con los archivos de registro. Si alguna vez se cuestiona un registro, la política es su respuesta

Esta guía trata únicamente de las máquinas y redes que usted administra. Rastrear una PC sobre la que no tienes ningún derecho no es un trabajo de seguridad, independientemente de lo que prometa la herramienta.

El punto final es la única capa que ve el archivo en sí. Las plataformas de gestión de terminales de la clase DLP pueden registrar operaciones de archivos: qué archivo, cargado por qué usuario, a qué hora, a qué destino. Ese récord es la diferencia entre "2 GB quedaron en esta PC" y "la lista de precios dejó esta PC".

1. Confirme que un agente esté instalado y genere informes en cada PC que desee cubrir: una PC sin un agente es invisible para toda esta capa
2. Habilite el seguimiento de archivos o la auditoría de la actividad de los archivos para cargas, carpetas de sincronización en la nube y medios extraíbles.
3. Envíe los registros a la consola central o a una carpeta de registros protegida, no solo a la propia PC: el sospechoso puede eliminar los registros que se encuentran en la máquina sospechosa.

Cada PC con Windows ya tiene un registro de conexión en espera de ser habilitado. El registro del firewall no nombrará los archivos, pero demuestra con qué direcciones externas habló una PC, en qué puertos y cuándo: la evidencia que corrobora todo lo demás.

1. Abra el Firewall de Windows Defender con seguridad avanzada, abra las Propiedades del perfil y configure el Registro para registrar las conexiones exitosas.
2. El registro llega a %systemroot%\system32\LogFiles\Firewall\pfirewall.log: aumente su límite de tamaño para que una semana ocupada no sobrescriba la evidencia.
3. O configúrelo desde un mensaje elevado con netsh advfirewall set allprofiles logging logallowedconnections enable

Antes de que una PC cargue en cualquier lugar, solicita la dirección DNS y esa pregunta se registra. Si su tráfico web pasa a través de un proxy o un enrutador de registro, también obtendrá el nombre del host y el recuento de bytes de cada sesión de carga.

1. Habilite el registro de consultas en su servidor DNS o utilice un enrutador o firewall que registre las solicitudes de DNS por dispositivo
2. Si ejecuta un proxy web, confirme que registre los bytes enviados por host; el volumen de carga por destino es el número de alerta más útil que posee
3. Al principio, revise los destinos de carga semanalmente: el almacenamiento en la nube, los sitios para compartir archivos y el correo web deben ser una lista breve y explicable.

Registrar todo y alertar sobre nada es un archivador, no un sistema de vigilancia. Una buena alerta supera a cincuenta ignoradas.

1. Alerta sobre cargas grandes a destinos fuera de su lista aprobada: comience con generosidad y baje el tono a medida que aprende lo normal de su oficina.
2. Espere falsas alarmas: las copias de seguridad en la nube, las cargas de CCTV y las videollamadas generan datos reales: conozca las firmas normales antes de tratar cualquier alerta como un caso.
3. Cierre cada alerta con un motivo escrito de una línea. Una alerta sin resultado registrado no le enseña nada a nadie