Seus dados estão sendo roubados 😳 Rastreie cada upload de arquivo (método oculto)

Escreva a política antes de assistir qualquer coisa

Monitorar sem uma política escrita é como um administrador acaba em uma disputa em vez de resolvê-la. Mantenha a política em uma página: máquinas da empresa, dados da empresa, o que é registrado, quem pode ler os registros e por quanto tempo eles são mantidos.

Informe a equipe — em uma reunião e por escrito — antes do início do registro, e não após o primeiro incidente, e guarde a política assinada com os arquivos de registro. Se um registro for questionado, a política é a sua resposta.

Ativar rastreamento de arquivo de endpoint

O endpoint é a única camada que vê o próprio arquivo. As plataformas de gerenciamento de endpoints na classe DLP podem registrar operações de arquivo: qual arquivo, carregado por qual usuário, em que horário, para qual destino. Esse registro é a diferença entre "2 GB restantes neste PC" e "a lista de preços saiu deste PC".

Confirme se um agente está instalado e informe todos os PCs que você pretende cobrir — um PC sem agente é invisível para toda essa camada. Ative o rastreamento de arquivos ou a auditoria de atividades de arquivos para uploads, pastas de sincronização na nuvem e mídias removíveis.

Envie os registros para o console central ou para uma pasta de registros protegida, e não apenas para o próprio PC — os registros que residem na máquina em análise podem ser excluídos dessa máquina.

Ativar o registro do Firewall do Windows

Todo PC com Windows já possui um registro de conexão aguardando para ser ativado. O log do firewall não nomeará os arquivos, mas prova com quais endereços externos um PC conversou, em quais portas e quando – a evidência que corrobora todo o resto.

No Firewall do Windows Defender com Segurança Avançada, abra as Propriedades do perfil e defina o Log para registrar conexões bem-sucedidas. Ou configure-o em um prompt de comando elevado:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Defina um alerta que realmente importe

Registrar tudo e alertar sobre nada é um arquivo, não um sistema de vigilância. Um bom alerta supera cinquenta ignorados.

Alerte sobre grandes envios para destinos fora da sua lista aprovada. Comece com generosidade e diminua o ritmo à medida que aprende que seu escritório está normal. Espere alarmes falsos: backups na nuvem, uploads de CCTV e chamadas de vídeo enviam dados reais, portanto, aprenda as assinaturas normais antes de tratar qualquer alerta como um caso.

Feche cada alerta com um motivo escrito em uma linha. Um alerta sem resultado registrado não ensina nada a ninguém.

Revise como um auditor, não como um espião

O objetivo deste sistema é que os dados parem de flutuar — e não que você crie um dossiê sobre seus colegas. Mantenha a rotina chata, regular e documentada.

Compare as camadas antes de concluir qualquer coisa: o registro do arquivo do endpoint, o destino do firewall e o nome DNS devem contar a mesma história. Uma linha de registro é uma pergunta, nunca um veredicto. Fale com o usuário, verifique um motivo de trabalho e anote o que você encontrou.

Verifique novamente a política a cada poucos meses: novas ferramentas, novos serviços em nuvem, nova equipe — a lista de observação deve corresponder ao escritório que você realmente possui.