Dataene dine blir stjålet 😳 Spor hver filopplasting (skjult metode)

Skriv retningslinjene før du ser noe

Overvåking uten en skriftlig policy er hvordan en administrator havner i en tvist i stedet for å løse en. Hold policyen på én side: bedriftsmaskiner, firmadata, hva som er logget, hvem som kan lese loggene og hvor lenge de oppbevares.

Fortell personalet – i et møte og skriftlig – før loggingen starter, ikke etter den første hendelsen, og behold den signerte policyen med loggfilene. Hvis det noen gang stilles spørsmål ved en logg, er retningslinjene svaret.

Slå på endepunktfilsporing

Endepunktet er det eneste laget som ser selve filen. Endpoint management-plattformer i DLP-klassen kan registrere filoperasjoner: hvilken fil, lastet opp av hvilken bruker, til hvilken tid, til hvilken destinasjon. Den posten er forskjellen mellom "2 GB igjen denne PCen" og "prislisten forlot denne PCen".

Bekreft at en agent er installert og rapporterer på hver PC du har tenkt å dekke – en PC uten agent er usynlig for hele dette laget. Aktiver filsporing eller filaktivitetsrevisjon for opplastinger, skysynkroniseringsmapper og flyttbare medier.

Send postene til sentralkonsollen eller en beskyttet loggmappe, ikke bare til selve PC-en – logger som finnes på maskinen som vurderes, kan slettes fra den maskinen.

Slå på Windows-brannmurloggen

Alle Windows-PCer har allerede en tilkoblingslogg som venter på å bli aktivert. Brannmurloggen vil ikke navngi filer, men den beviser hvilke ytre adresser en PC snakket med, på hvilke porter og når - det bekreftende beviset for alt annet.

I Windows Defender-brannmur med avansert sikkerhet åpner du profilen Egenskaper og setter Logging til å registrere vellykkede tilkoblinger. Eller angi det fra en forhøyet ledetekst:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Samle DNS- og proxy-poster ved gatewayen

Før en PC laster opp hvor som helst, ber den DNS om adressen – og det spørsmålet logges. Hvis nettrafikken din går gjennom en proxy- eller loggingsruter, får du også vertsnavnet og bytetallet for hver opplastingsøkt.

Aktiver spørringslogging på DNS-serveren din, eller bruk en ruter eller brannmur som registrerer DNS-forespørsler per enhet. Hvis du kjører en nettproxy, bekreft at den logger byte sendt per vert – opplastingsvolum etter destinasjon er det mest nyttige varselnummeret du eier.

Vurder først opplastingsdestinasjoner ukentlig: skylagring, fildelingsnettsteder og nettpost bør være en kort, forklarlig liste.

Angi ett varsel som faktisk betyr noe

Å logge alt og varsle om ingenting er et arkivskap, ikke et vaktsystem. Ett godt varsel slår femti ignorerte.

Varsel ved store opplastinger til destinasjoner utenfor den godkjente listen din – begynn sjenerøst og still deg ned mens du lærer kontorets normale funksjoner. Forvent falske alarmer: skysikkerhetskopiering, CCTV-opplastinger og videosamtaler sender alle ekte data ut, så lær deg de vanlige signaturene før du behandler et varsel som et tilfelle.

Avslutt hvert varsel med en én-linjes skriftlig grunn. Et varsel uten registrert utfall lærer ingen noe.

Gjennomgå som en revisor, ikke en spion

Målet med dette systemet er at data slutter å drive – ikke at du bygger en dossier på kollegene dine. Hold rutinen kjedelig, regelmessig og dokumentert.

Sammenlign lag før du konkluderer med noe: endepunktfilposten, brannmurdestinasjonen og DNS-navnet skal alle fortelle den samme historien. Én logglinje er et spørsmål, aldri en dom – snakk med brukeren, se etter en arbeidsårsak, og skriv ned det du fant.

Sjekk retningslinjene på nytt med noen måneders mellomrom: nye verktøy, nye skytjenester, nytt personale – overvåkningslisten må samsvare med kontoret du faktisk har.