Ваши данные украдены 😳 Отслеживайте каждую загрузку файла (скрытый метод)
Файлы покидают офисные компьютеры незаметно — загрузка в облако, вложения веб-почты, синхронизация папок. В этом руководстве настраивается честное отслеживание загрузок на машинах, которые вы администрируете: сначала письменная политика, затем отслеживание файлов конечной точки, журналы брандмауэра, журналы DNS и записи прокси, поэтому каждая загрузка оставляет запись, которую вы можете проверить.
📑Главы
<ол класс="главы">📋 Обзор и пошаговое руководство
Напишите политику, прежде чем что-либо смотреть
Мониторинг без письменной политики приводит к тому, что администратор оказывается в споре вместо того, чтобы его решить. Содержите политику на одной странице: машины компании, данные компании, что регистрируется, кто может читать журналы и как долго они хранятся.
Сообщите персоналу — на собрании и в письменном виде — до начала регистрации, а не после первого инцидента, и сохраните подписанную политику вместе с файлами журналов. Если журнал когда-либо будет подвергнут сомнению, ответом будет политика.
Включить отслеживание файлов конечной точки
Конечная точка — единственный уровень, который видит сам файл. Платформы управления конечными точками класса DLP могут записывать операции с файлами: какой файл, каким пользователем загружен, в какое время и в какое место назначения. Эта запись представляет собой разницу между «2 ГБ осталось на этом компьютере» и «прайс-лист покинул этот компьютер».
Убедитесь, что агент установлен и сообщает отчеты на каждом компьютере, который вы собираетесь охватить — компьютер без агента невидим для всего этого уровня. Включите отслеживание файлов или аудит активности файлов для загрузок, папок облачной синхронизации и съемных носителей.
Отправляйте записи на центральную консоль или в защищенную папку журналов, а не только на сам компьютер — журналы, находящиеся на проверяемой машине, можно удалить с этой машины.
Включить журнал брандмауэра Windows
На каждом ПК с Windows уже есть журнал подключений, ожидающий включения. В журнале брандмауэра не указываются имена файлов, но он показывает, с какими внешними адресами обращался компьютер, по каким портам и когда — подтверждающие данные для всего остального.
В брандмауэре Защитника Windows в режиме повышенной безопасности откройте свойства профиля и настройте ведение журнала для записи успешных подключений. Или установите его из командной строки с повышенными правами:
netsh advfirewall set allprofiles logging logallowedconnections enableThe log lands here — raise its size limit so a busy week does not overwrite the evidence:
%systemroot%\system32\LogFiles\Firewall\pfirewall.logСобрать записи DNS и прокси на шлюзе
Прежде чем компьютер куда-либо загрузит данные, он запрашивает у DNS адрес — и этот вопрос регистрируется. Если ваш веб-трафик проходит через прокси-сервер или маршрутизатор регистрации, вы также получаете имя хоста и количество байтов каждого сеанса загрузки.
Включите ведение журнала запросов на своем DNS-сервере или используйте маршрутизатор или брандмауэр, который записывает DNS-запросы для каждого устройства. Если вы используете веб-прокси, убедитесь, что он регистрирует байты, отправленные на каждый хост. Самый полезный номер оповещения, которым вы владеете, — объем загрузки по месту назначения.
Поначалу проверяйте места назначения для загрузки еженедельно: облачное хранилище, сайты обмена файлами и веб-почта должны быть коротким и объяснимым списком.
Установите одно действительно важное оповещение
Записывать все и ни о чем не предупреждать — это картотека, а не система наблюдения. Одно хорошее предупреждение лучше пятидесяти проигнорированных.
Предупреждайте о больших загрузках в места назначения, не входящие в ваш одобренный список. Начните щедро и снизьте нагрузку, когда узнаете, что в вашем офисе все в порядке. Будьте готовы к ложным тревогам: резервные копии в облаке, загрузка с камер видеонаблюдения и видеозвонки — все это передает реальные данные, поэтому изучите обычные сигнатуры, прежде чем рассматривать какое-либо оповещение как случай.
Закрывайте каждое оповещение, указав причину в одну строку. Оповещение без записанного результата никого ничему не учит.
Проверяйте как аудитор, а не как шпион
Цель этой системы состоит в том, чтобы данные перестали ускользать, а не в том, чтобы вы собирали досье на своих коллег. Пусть рутина будет скучной, регулярной и документированной.
Прежде чем делать какие-либо выводы, сравните уровни: запись файла конечной точки, место назначения брандмауэра и имя DNS должны рассказывать одну и ту же историю. Одна строка журнала — это вопрос, а не вердикт. Поговорите с пользователем, проверьте, есть ли у него рабочая причина, и запишите то, что нашли.
Перепроверяйте политику каждые несколько месяцев: новые инструменты, новые облачные сервисы, новый персонал — список наблюдения должен соответствовать тому офису, который у вас есть на самом деле.
🏷️Topic Search Variables & Keywords
🎙️ Полная расшифровка — нажмите, чтобы развернуть
Пошаговое руководство по устранению неполадок и решениям — ОСТАНОВИТЕ КРАЖУ ДАННЫХ В ОФИСЕ ОТСЛЕЖИВАЙТЕ КАЖДЫЙ ФАЙЛ, ЗАГРУЖАЕМЫЙ ПОЛЬЗОВАТЕЛЯМИ. Экранная демонстрация от Технического Аншу.
Файлы бесшумно покидают офисные компьютеры — загрузка в облако, вложения веб-почты, синхронизация папок. Настройте честное отслеживание загрузок на машинах, которыми вы управляете: журналы брандмауэра, журналы DNS, записи прокси-серверов и отслеживание файлов конечных точек, предварительно записав политику.
(расшифровка заканчивается здесь, на исходной странице)
❓ Часто задаваемые вопросы (на английском языке)
Является ли это руководство абсолютно бесплатным?
Да! Во всех руководствах и методах, продемонстрированных Tech Anshu, используются бесплатные легальные и образовательные ресурсы.
Могут ли новички следовать этому руководству?
Абсолютно! Каждый шаг демонстрируется на экране с подробными инструкциями, поэтому каждый может легко следовать им.
Где я могу задать вопросы, если застряну?
Оставьте комментарий прямо под видео на YouTube, и наше сообщество и технический специалист Anshu помогут вам.
🚀 Посмотрите полное руководство на YouTube
🚀 Посмотрите полное пошаговое видеоруководство на YouTube: https://www.youtube.com/watch?v=fDypNIqh1PU
Подпишитесь на техническую поддержку Anshu для ИТ-поддержки, устранения неполадок Windows и управления сервером.
▶️ Посмотреть полное видео