Din data blir stulen 😳 Spåra varje filuppladdning (dold metod)

Skriv policyn innan du tittar på något

Övervakning utan en skriftlig policy är hur en administratör hamnar i en tvist istället för att lösa en. Håll policyn på en sida: företagsmaskiner, företagsdata, vad som loggas, vem som kan läsa loggarna och hur länge de sparas.

Berätta för personalen – i ett möte och skriftligt – innan loggningen startar, inte efter den första incidenten, och behåll den undertecknade policyn med loggfilerna. Om en logg någonsin ifrågasätts är policyn ditt svar.

Aktivera ändpunktsfilspårning

Slutpunkten är det enda lagret som ser själva filen. Endpoint management-plattformar i DLP-klassen kan registrera filoperationer: vilken fil, uppladdad av vilken användare, vid vilken tidpunkt, till vilken destination. Det rekordet är skillnaden mellan "2 GB kvar den här datorn" och "prislistan lämnade den här datorn".

Bekräfta att en agent är installerad och rapporterar på varje dator du tänker täcka — en dator utan agent är osynlig för hela detta lager. Aktivera filspårning eller filaktivitetsgranskning för uppladdningar, molnsynkroniseringsmappar och flyttbara media.

Skicka posterna till centralkonsolen eller en skyddad loggmapp, inte bara till själva datorn – loggar som finns på den granskade maskinen kan raderas från den maskinen.

Slå på Windows-brandväggsloggen

Alla Windows-datorer har redan en anslutningslogg som väntar på att aktiveras. Brandväggsloggen kommer inte att namnge filer, men den bevisar vilka externa adresser en dator pratade med, på vilka portar och när - det bekräftande beviset för allt annat.

I Windows Defender-brandväggen med avancerad säkerhet öppnar du profilen Egenskaper och ställer in Loggning för att registrera lyckade anslutningar. Eller ställ in det från en förhöjd kommandotolk:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Samla DNS- och proxyposter vid gatewayen

Innan en dator laddar upp någonstans, frågar den DNS om adressen – och den frågan loggas. Om din webbtrafik passerar genom en proxy- eller loggningsrouter får du också värdnamnet och antalet byte för varje uppladdningssession.

Aktivera frågeloggning på din DNS-server eller använd en router eller brandvägg som registrerar DNS-förfrågningar per enhet. Om du kör en webbproxy, bekräfta att den loggar byte som skickas per värd – uppladdningsvolym per destination är det mest användbara varningsnumret du äger.

Granska först uppladdningsdestinationer varje vecka: molnlagring, fildelningssajter och webbmail bör vara en kort lista som kan förklaras.

Ställ in en varning som verkligen betyder något

Att logga allt och varna om ingenting är ett arkivskåp, inte ett bevakningssystem. En bra varning slår femtio ignorerade.

Varna om stora uppladdningar till destinationer utanför din godkända lista – börja generöst och trimma ner när du lär dig ditt kontors normala. Räkna med falska larm: molnsäkerhetskopior, CCTV-uppladdningar och videosamtal skjuter ut riktig data, så lär dig de normala signaturerna innan du behandlar en varning som ett fall.

Stäng varje varning med ett skriftligt skäl på en rad. En varning utan registrerat resultat lär ingen någonting.

Recension som en revisor, inte en spion

Målet med det här systemet är att data slutar glida – inte att du bygger ett underlag på dina kollegor. Håll rutinen tråkig, regelbunden och dokumenterad.

Jämför lager innan du drar slutsatsen: ändpunktsfilposten, brandväggsdestinationen och DNS-namnet bör alla berätta samma historia. En loggrad är en fråga, aldrig en dom – prata med användaren, kontrollera om det finns en arbetsorsak och skriv ner vad du hittade.

Kontrollera policyn igen varannan månad: nya verktyg, nya molntjänster, ny personal – bevakningslistan måste matcha det kontor du faktiskt har.