Ваші дані викрадають 😳 Відстежуйте кожне завантаження файлу (прихований метод)

Напишіть політику, перш ніж щось дивитися

Моніторинг без письмової політики — це те, що адміністратор закінчує суперечкою замість того, щоб її вирішити. Зберігайте політику на одній сторінці: комп’ютери компанії, дані компанії, що реєструється, хто може читати журнали та як довго вони зберігаються.

Повідомте персонал — на зустрічі та письмово — до початку реєстрації, а не після першого інциденту, і зберігайте підписану політику разом із файлами журналу. Якщо журнал коли-небудь ставиться під сумнів, політика є вашою відповіддю.

Увімкніть трасування файлів кінцевої точки

Кінцева точка — це єдиний рівень, який бачить сам файл. Платформи керування кінцевими точками в класі DLP можуть записувати файлові операції: який файл, завантажений яким користувачем, у який час, до якого пункту призначення. Цей запис є різницею між «2 ГБ залишилося на цьому ПК» і «прайс-лист залишився на цьому ПК».

Підтвердьте, що агент встановлено та звітує про кожен ПК, який ви збираєтеся охопити — ПК без агента невидимий для всього цього рівня. Увімкніть відстеження файлів або аудит активності файлів для завантажень, папок хмарної синхронізації та знімних носіїв.

Надсилайте записи на центральну консоль або в захищену папку журналів, а не лише на сам ПК — журнали, які зберігаються на машині, що перевіряється, можна видалити з цієї машини.

Увімкніть журнал брандмауера Windows

На кожному ПК з ОС Windows уже є журнал підключень, який очікує на ввімкнення. Журнал брандмауера не містить імен файлів, але він доводить, з якими зовнішніми адресами спілкувався комп’ютер, на яких портах і коли — підтверджуючі докази для всього іншого.

У брандмауері Windows Defender із розширеною безпекою відкрийте Властивості профілю та встановіть журнал для запису успішних з’єднань. Або встановіть його з командного рядка з підвищеними правами:

netsh advfirewall set allprofiles logging logallowedconnections enable

The log lands here — raise its size limit so a busy week does not overwrite the evidence:

%systemroot%\system32\LogFiles\Firewall\pfirewall.log

Збирайте записи DNS і проксі на шлюзі

Перед тим, як комп’ютер кудись завантажуватиме дані, він запитує DNS-адресу — і це запитання реєструється. Якщо ваш веб-трафік проходить через проксі-сервер або маршрутизатор журналу, ви також отримуєте ім’я хоста та кількість байтів кожного сеансу завантаження.

Увімкніть реєстрацію запитів на вашому DNS-сервері або скористайтеся маршрутизатором або брандмауером, який записує запити DNS для кожного пристрою. Якщо ви використовуєте веб-проксі, переконайтеся, що він реєструє кількість байтів, надісланих на хост — обсяг завантажень за призначенням є найкориснішим номером сповіщення, яким ви володієте.

Переглядайте місця призначення для завантаження щотижня: хмарне сховище, сайти для обміну файлами та веб-пошта мають бути коротким, зрозумілим списком.

Установіть одне сповіщення, яке насправді має значення

Реєструвати все й ні про що не сповіщати — це картотека, а не система спостереження. Одне хороше сповіщення перевершує п’ятдесят проігнорованих.

Сповіщення про великі завантаження в місця призначення за межами вашого схваленого списку — почніть бути щедрими та припиніть, коли дізнаєтеся, що ваш офіс нормальний. Очікуйте помилкових тривог: резервне копіювання в хмарі, завантаження з камер відеоспостереження та відеодзвінки видають реальні дані, тому вивчіть звичайні сигнатури, перш ніж розглядати будь-яке сповіщення як випадок.

Закрийте кожне сповіщення письмовою причиною в один рядок. Сповіщення без записаного результату нікого нічого не вчить.

Переглядайте як аудитор, а не як шпигун

Мета цієї системи полягає в тому, щоб дані припинили дрейфувати, а не в тому, щоб ви створювали досьє на своїх колег. Нехай рутина буде нудною, регулярною та задокументованою.

Порівняйте рівні, перш ніж робити будь-які висновки: запис файлу кінцевої точки, призначення брандмауера та ім’я DNS мають бути однаковими. Один рядок журналу — це питання, а не вирок — поговоріть з користувачем, перевірте причину роботи та запишіть те, що ви знайшли.

Перевіряйте політику кожні кілька місяців: нові інструменти, нові хмарні сервіси, новий персонал — список спостереження має відповідати офісу, який ви фактично маєте.