Vaše data jsou odcizena 😳 Sledujte každé nahrání souboru (skrytá metoda)

Než se na něco podíváte, napište si zásady

Sledování bez písemných zásad je způsob, jakým správce skončí ve sporu, místo aby jej vyřešil. Udržujte zásady na jedné stránce: firemní stroje, firemní data, co je protokolováno, kdo může protokoly číst a jak dlouho jsou uchovávány.

Řekněte to personálu – na schůzce i písemně – před zahájením protokolování, nikoli po prvním incidentu, a podepsanou zásadu si uschovejte se soubory protokolu. Pokud je protokol někdy zpochybněn, odpovědí je zásada.

Zapněte trasování souborů koncového bodu

Koncový bod je jediná vrstva, která vidí samotný soubor. Platformy pro správu koncových bodů ve třídě DLP mohou zaznamenávat operace se soubory: který soubor, který uživatel nahrál, v jakém čase, do kterého cíle. Tento záznam je rozdíl mezi „2 GB opustil tento počítač“ a „ceník opustil tento počítač“.

Potvrďte, že je nainstalován agent a podává hlášení o každém počítači, který chcete pokrýt – počítač bez agenta je pro celou tuto vrstvu neviditelný. Povolte sledování souborů nebo auditování aktivity souborů pro nahrávání, synchronizační složky v cloudu a vyměnitelná média.

Odešlete záznamy do centrální konzoly nebo do chráněné složky protokolů, nejen do samotného PC – protokoly, které jsou na kontrolovaném počítači, lze z tohoto počítače odstranit.

Zapněte protokol brány Windows Firewall

Každý počítač se systémem Windows již má protokol připojení čekající na povolení. Protokol brány firewall nebude jmenovat soubory, ale dokazuje, se kterými vnějšími adresami počítač mluvil, na kterých portech a kdy – potvrzující důkazy pro všechno ostatní.

V bráně Windows Defender Firewall s pokročilým zabezpečením otevřete vlastnosti profilu a nastavte protokolování tak, aby zaznamenávalo úspěšná připojení. Nebo jej nastavte ze zvýšeného příkazového řádku:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Shromažďování záznamů DNS a proxy na bráně

Než počítač kamkoli nahraje, požádá DNS o adresu – a tato otázka se zaprotokoluje. Pokud váš webový provoz prochází přes proxy nebo protokolovací router, získáte také název hostitele a počet bajtů každé relace nahrávání.

Povolte protokolování dotazů na serveru DNS nebo použijte směrovač či bránu firewall, které zaznamenávají požadavky DNS na zařízení. Pokud používáte webový proxy server, potvrďte, že zaznamenává bajty odeslané na hostitele – objem nahrávání podle cíle je nejužitečnější číslo výstrahy, které vlastníte.

Zprvu týdně kontrolujte cíle nahrávání: cloudové úložiště, weby pro sdílení souborů a webová pošta by měl být krátký a srozumitelný seznam.

Nastavte jedno upozornění, na kterém skutečně záleží

Zaznamenání všeho a upozornění na nic je kartotéka, nikoli systém sledování. Jedno dobré upozornění překoná padesát ignorovaných.

Upozorňujte na velká nahrávání do destinací mimo váš schválený seznam – začněte velkoryse a nalaďte se, až se naučíte, jak je vaše kancelář normální. Očekávejte falešné poplachy: cloudové zálohy, nahrávání CCTV a videohovory vytlačují skutečná data ven, takže se naučte normální signatury, než budete jakékoli upozornění považovat za případ.

Uzavřete každé upozornění jednořádkovým písemným důvodem. Upozornění bez zaznamenaného výsledku nikoho nic nenaučí.

Recenze jako auditor, ne špión

Cílem tohoto systému je, aby se data přestala unášet – ne to, že vybudujete dokumentaci na svých kolezích. Udržujte rutinu nudnou, pravidelnou a zdokumentovanou.

Než něco uzavřete, porovnejte vrstvy: záznam souboru koncového bodu, cíl brány firewall a název DNS by měly vyprávět stejný příběh. Jeden řádek protokolu je otázka, nikdy ne verdikt – promluvte si s uživatelem, zkontrolujte pracovní důvod a zapište si, co jste našli.

Každých pár měsíců znovu zkontrolujte zásady: nové nástroje, nové cloudové služby, noví zaměstnanci – seznam sledovaných musí odpovídat kanceláři, kterou skutečně máte.