Ihre Daten werden gestohlen 😳 Verfolgen Sie jeden Datei-Upload (versteckte Methode)

Schreiben Sie die Richtlinien, bevor Sie sich etwas ansehen

Überwachung ohne schriftliche Richtlinie führt dazu, dass ein Administrator in einen Streit gerät, anstatt ihn zu lösen. Beschränken Sie die Richtlinie auf eine Seite: Unternehmenscomputer, Unternehmensdaten, was protokolliert wird, wer die Protokolle lesen kann und wie lange sie aufbewahrt werden.

Informieren Sie die Mitarbeiter – in einer Besprechung und schriftlich – vor Beginn der Protokollierung, nicht nach dem ersten Vorfall, und bewahren Sie die unterzeichnete Richtlinie zusammen mit den Protokolldateien auf. Wenn ein Protokoll jemals in Frage gestellt wird, ist die Richtlinie Ihre Antwort.

Endpoint File Tracing aktivieren

Der Endpunkt ist die einzige Ebene, die die Datei selbst sieht. Endpoint-Management-Plattformen der DLP-Klasse können Dateivorgänge aufzeichnen: welche Datei, von welchem ​​Benutzer, zu welcher Zeit, an welches Ziel hochgeladen. Dieser Datensatz ist die Differenz zwischen „2 GB sind noch auf diesem PC übrig“ und „Die Preisliste ist auf diesem PC geblieben“.

Bestätigen Sie, dass auf jedem PC, den Sie abdecken möchten, ein Agent installiert ist und ein Bericht erstellt wird. Ein PC ohne Agent ist für die gesamte Ebene unsichtbar. Aktivieren Sie die Dateiverfolgung oder Dateiaktivitätsüberwachung für Uploads, Cloud-Synchronisierungsordner und Wechselmedien.

Senden Sie die Datensätze an die zentrale Konsole oder einen geschützten Protokollordner, nicht nur an den PC selbst – Protokolle, die auf dem zu überprüfenden Computer gespeichert sind, können von diesem Computer gelöscht werden.

Schalten Sie das Windows-Firewall-Protokoll ein

Jeder Windows-PC verfügt bereits über ein Verbindungsprotokoll, das darauf wartet, aktiviert zu werden. Das Firewall-Protokoll benennt keine Dateien, sondern belegt, mit welchen externen Adressen ein PC wann kommuniziert hat, auf welchen Ports – der bestätigende Beweis für alles andere.

Öffnen Sie in der Windows Defender-Firewall mit erweiterter Sicherheit die Profileigenschaften und legen Sie die Protokollierung so fest, dass erfolgreiche Verbindungen aufgezeichnet werden. Oder legen Sie es über eine Eingabeaufforderung mit erhöhten Rechten fest:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

DNS- und Proxy-Einträge am Gateway sammeln

Bevor ein PC irgendwo etwas hochlädt, fragt er DNS nach der Adresse – und diese Frage wird protokolliert. Wenn Ihr Webverkehr über einen Proxy oder Protokollierungsrouter läuft, erhalten Sie auch den Hostnamen und die Byteanzahl jeder Upload-Sitzung.

Aktivieren Sie die Abfrageprotokollierung auf Ihrem DNS-Server oder verwenden Sie einen Router oder eine Firewall, die DNS-Anfragen pro Gerät aufzeichnet. Wenn Sie einen Web-Proxy betreiben, stellen Sie sicher, dass dieser die pro Host gesendeten Bytes protokolliert – das Upload-Volumen nach Ziel ist die nützlichste Alarmnummer, die Sie besitzen.

Überprüfen Sie zunächst wöchentlich die Upload-Ziele: Cloud-Speicher, Filesharing-Sites und Webmail sollten eine kurze, erklärbare Liste sein.

Legen Sie eine Warnung fest, die wirklich wichtig ist

Alles zu protokollieren und nichts zu melden, ist ein Aktenschrank, kein Überwachungssystem. Eine gute Warnung übertrifft fünfzig ignorierte.

Machen Sie sich auf große Uploads zu Zielen außerhalb Ihrer genehmigten Liste aufmerksam – beginnen Sie großzügig und reduzieren Sie die Geschwindigkeit, wenn Sie feststellen, dass es in Ihrem Büro normal ist. Erwarten Sie Fehlalarme: Cloud-Backups, CCTV-Uploads und Videoanrufe verbreiten alle echte Daten. Machen Sie sich also mit den normalen Signaturen vertraut, bevor Sie einen Alarm als Fall behandeln.

Schließen Sie jede Warnung mit einer einzeiligen schriftlichen Begründung ab. Eine Warnung ohne aufgezeichnetes Ergebnis bringt niemandem etwas bei.

Überprüfen Sie wie ein Wirtschaftsprüfer, nicht wie ein Spion

Das Ziel dieses Systems besteht darin, dass die Daten nicht weiter wandern – und nicht, dass Sie ein Dossier über Ihre Kollegen erstellen. Halten Sie die Routine langweilig, regelmäßig und dokumentiert.

Vergleichen Sie die Ebenen, bevor Sie eine Schlussfolgerung ziehen: Der Endpunktdateieintrag, das Firewall-Ziel und der DNS-Name sollten alle das Gleiche erzählen. Eine Protokollzeile ist eine Frage, niemals ein Urteil – sprechen Sie mit dem Benutzer, suchen Sie nach einem Arbeitsgrund und schreiben Sie auf, was Sie gefunden haben.

Überprüfen Sie die Richtlinie alle paar Monate erneut: neue Tools, neue Cloud-Dienste, neues Personal – die Beobachtungsliste muss mit dem Büro übereinstimmen, das Sie tatsächlich haben.