Tietosi varastetaan 😳 Seuraa jokaista tiedoston latausta (piilotettu menetelmä)

Kirjoita käytäntö ennen kuin katsot mitään

Seuranta ilman kirjallista käytäntöä on sitä, kuinka järjestelmänvalvoja päätyy riitaan sen ratkaisemisen sijaan. Pidä käytäntö yhdelle sivulle: yrityksen koneet, yrityksen tiedot, mitä kirjataan, kuka voi lukea lokit ja kuinka kauan niitä säilytetään.

Kerro henkilökunnalle – kokouksessa ja kirjallisesti – ennen kirjaamisen aloittamista, ei ensimmäisen tapahtuman jälkeen, ja säilytä allekirjoitettu käytäntö lokitiedostojen kanssa. Jos lokia kyseenalaistetaan, käytäntö on vastaus.

Ota Päätepistetiedoston jäljitys käyttöön

Päätepiste on ainoa taso, joka näkee itse tiedoston. DLP-luokan päätepisteiden hallintaympäristöt voivat tallentaa tiedostooperaatioita: mikä tiedosto, jonka käyttäjä on ladannut, mihin aikaan, mihin kohteeseen. Tämä tietue on ero "2 Gt jäljellä tästä tietokoneesta" ja "hinnasto jätti tämän PC:n" välillä.

Varmista, että agentti on asennettu ja raportoitu jokaisessa tietokoneessa, jonka aiot peittää – tietokone ilman agenttia on näkymätön tälle koko tasolle. Ota käyttöön tiedostojen jäljitys tai tiedostotoiminnan tarkastus latauksille, pilvisynkronointikansioille ja irrotettavalle medialle.

Lähetä tietueet keskuskonsoliin tai suojattuun lokikansioon, ei vain itse tietokoneeseen – tarkasteltavassa koneessa olevat lokit voidaan poistaa kyseiseltä koneelta.

Ota Windowsin palomuuriloki käyttöön

Jokaisessa Windows-tietokoneessa on jo yhteysloki, joka odottaa ottamista käyttöön. Palomuuriloki ei nimeä tiedostoja, mutta se todistaa, mihin ulkopuolisiin osoitteisiin tietokone on puhunut, missä porteissa ja milloin – kaiken muun vahvistavana todisteena.

Avaa Windows Defenderin palomuurissa, jossa on lisäsuojaus, profiilin Ominaisuudet ja tallenna onnistuneet yhteydet määrittämällä loki. Tai aseta se korotetusta komentokehotteesta:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Kerää DNS- ja välityspalvelintietueet yhdyskäytävässä

Ennen kuin tietokone lataa minne tahansa, se kysyy DNS:ltä osoitetta – ja kysymys kirjataan lokiin. Jos verkkoliikenne kulkee välityspalvelimen tai lokireitittimen kautta, saat myös jokaisen latausistunnon isäntänimen ja tavumäärän.

Ota kyselyloki käyttöön DNS-palvelimellasi tai käytä reititintä tai palomuuria, joka tallentaa DNS-pyynnöt laitekohtaisesti. Jos käytät verkkovälityspalvelinta, varmista, että se kirjaa lokiin isäntäkohtaisesti lähetetyt tavut – lähetysmäärä kohteen mukaan on hyödyllisin omistamasi hälytysnumero.

Tarkista latauskohteet aluksi viikoittain: pilvitallennus, tiedostonjakosivustot ja verkkosähköpostin tulee olla lyhyt, selitettävissä oleva luettelo.

Aseta yksi hälytys, jolla on todella merkitystä

Kaiken kirjaaminen ja mistään hälyttäminen on arkistokaappi, ei kellojärjestelmä. Yksi hyvä hälytys voittaa viisikymmentä huomiotta jätettyä.

Varoita suurista latauksista hyväksyttyjen luettelosi ulkopuolisiin kohteisiin – aloita antelias ja viritä alas, kun opit toimistosi normaalin. Odota vääriä hälytyksiä: pilvivarmuuskopiot, CCTV-lataukset ja videopuhelut työntävät todellista dataa ulos, joten opi normaalit allekirjoitukset ennen kuin käsittelet hälytyksiä tapauksena.

Sulje jokainen ilmoitus yksirivisellä syyllä. Hälytys ilman kirjattua tulosta ei opeta kenellekään mitään.

Arvostele kuin tilintarkastaja, ei vakooja

Tämän järjestelmän tavoitteena on, että tiedot lakkaavat ajautumasta – ei se, että rakennat aineistoa kollegoidesi pohjalta. Pidä rutiini tylsänä, säännöllisenä ja dokumentoituna.

Vertaa tasoja ennen kuin päätät mitään: päätepistetiedostotietueen, palomuurikohteen ja DNS-nimen pitäisi kertoa sama tarina. Yksi lokirivi on kysymys, ei koskaan tuomio – keskustele käyttäjän kanssa, tarkista työn syy ja kirjoita löytämäsi.

Tarkista käytäntö muutaman kuukauden välein: uudet työkalut, uudet pilvipalvelut, uusi henkilökunta – tarkkailulistan on vastattava todellista toimistoasi.