سجلات عمليات الملفات

تجمع وظيفة Flow Trace أدلة عمليات الملفات وانتقالها للمساعدة في التحقيق في استخدامها على الأجهزة. تعرض File Activity السجلات التي تلقتها المنصة ويملك المسؤول الحالي صلاحية عرضها. يستخدم وصف شروط الجمع هنا أجهزة Windows مثالاً؛ ويجب اختبار المنصات وطرق العمليات الأخرى كل على حدة.

يختلف غرض التتبع عن التحكم في أمن الملفات: لا يؤدي تفعيله إلى حظر الإرسال تلقائيا ولا يضمن إعادة بناء كل العمليات. ولا تعني نتيجة الاستعلام الفارغة أن العملية لم تحدث.

لإعداد السياسة كاملاً، راجع سياسة تتبع نشاط الملفات.

للاستعلام عن السجلات الموجودة فقط، استخدم حساباً لديه صلاحية العرض المناسبة وانتقل مباشرة إلى خطوات الاستعلام أدناه. لا يلزم إنشاء سياسة أو توليد أحداث اختبار لمجرد الاستعلام. للتحقق من سجلات جديدة، راجع أولاً السياسة المطبقة الموجودة؛ وعند الحاجة فقط يعدلها شخص لديه صلاحية إدارة السياسات قبل الاختبار التجريبي.

الاستعداد

• يتطلب عرض السجلات وتصديرها صلاحية العرض والتصدير المناسبة لكل منهما. يتطلب تعديل السياسة صلاحية إدارة سياسات منع فقدان البيانات. عند التحقق من سجل جديد، تأكد من اتصال الأجهزة وتوفر الترخيص.
• عند التحقق من سجل جديد، حدد أجهزة Windows التجريبية والعملية المراد اختبارها، مثل نسخ ملف اختبار غير حساس أو نقله. عند شمول أجهزة متعددة تحقق من العميل ونطاق السياسة لكل جهاز.
• قد تتضمن مسارات الملفات والحسابات والسجلات معلومات حساسة؛ حدد غرض الجمع وصلاحيات العرض ومكان الحفظ ومدة الاحتفاظ وفق متطلبات المؤسسة.

تفعيل تتبع الانتقال

للتحقق من سجل جديد، افحص أولاً الأجهزة المنطبقة ووقت السريان ومفتاح Flow Trace في سياسات منع فقدان البيانات. استخدم الإعداد المناسب الموجود؛ وعند الحاجة فقط يعدله شخص مخوّل ويحفظه وينتظر استلام الأجهزة وتطبيقها. لا يحل هذا المفتاح محل قواعد حظر أمن الملفات. راجع سياسة تتبع الانتقال للخطوات الكاملة.

اختبار الجمع والاستعلام

للاستعلام عن السجلات الموجودة، ابدأ بالخطوة 2؛ الخطوة 1 مخصصة للتحقق من سجل جديد فقط.

1. للتحقق من سجل جديد: تأكد من اتصال الجهاز التجريبي وتشغيل العميل واستلام السياسة. انسخ ملف اختبار أو انقله مرة واحدة بما تسمح به المؤسسة، وسجل الوقت والجهاز وموقعي المصدر والوجهة.
2. عند التحقق من سجل جديد، انتظر أولًا معالجة الجهاز وإبلاغه. افتح File Activity في Data Loss Prevention. حدد نطاق التاريخ والكلمات المفتاحية عند الحاجة، وراجع وقت الحدث والمنطقة الزمنية للمؤسسة.
3. ضيق النطاق بالمرشحات المتاحة مثل المجموعة والجهاز ومساري المصدر والوجهة ونوع العملية ونوع وحدة التخزين القابلة للإزالة أو حجم الملف. اتبع إرشادات الصفحة لطريقة المطابقة.
4. راجع الحقول المتاحة مثل الجهاز والحساب والعملية والمسار والحجم والوقت، وانتقل بين الصفحات عند الحاجة. قارن النتائج بالعملية قيد التحقيق أو عملية الاختبار وبالأدلة الأخرى.

مثلا، عند التحقيق في نسخ ملف إلى وحدة تخزين قابلة للإزالة، اختر الوقت والجهاز ثم استخدم نوع العملية والمسار وشروط وحدة التخزين. تعكس النتيجة السجلات التي جُمعت ويستطيع الحساب رؤيتها فقط، ولا تثبت التسرب أو تعيد بناء العملية كاملة بمفردها.

عرض التفاصيل والتتبع

افتح تفاصيل السجل للتحقق من العملية والجهاز. إذا أتاحت الصفحة تتبع الانتقال، فاعرض الأدلة التي استطاع النظام ربطها وافحص العقد في طريقة العرض المتاحة.

لا ينشئ كل سجل مسارا كاملا؛ فقد يؤدي نقص معلومات الربط أو عدم توفر السجل أو فشل الاستعلام إلى نتيجة فارغة أو رسالة. عند التحقيق بين أجهزة متعددة تحقق من العميل والسياسة وحالة الإبلاغ لكل جهاز، واستعن بأدلة أخرى.

مراجعة File Activity لنقطة نهاية واحدة: ابحث عن الجهاز في القائمة وافتح Apps في التفاصيل، ثم اختر Open window من Audit records واختر File Activity. تحقق من الجهاز والتاريخ والكلمة المفتاحية والصفحات. يشمل النطاق الأولي اليوم والأيام الـ 29 السابقة وقد يختلف عن صفحة الوظيفة. لا يفعّل هذا المدخل جمع البيانات، وقد يؤدي فشل الاستعلام إلى قائمة فارغة. تحقق من الصلاحيات والشبكة والإبلاغ؛ ولا تثبت القائمة الفارغة عدم حدوث نشاط. لا يصدّر زر التصدير في هذه النافذة السجلات؛ احصل على المواد المطلوبة بشكل منفصل وفق إجراءات المؤسسة.

التصدير واستكشاف المشكلات

يمكن للمسؤول ذي صلاحية التصدير استخدام أمر التصدير في القائمة. يستخدم التصدير التاريخ والكلمات المفتاحية والمرشحات الحالية، ولا يقتصر على الصفحة المعروضة. بعده تحقق من نطاق الملف ومحتواه واحم معلومات الحسابات والأجهزة والمسارات.

يدعم التصدير الواحد حتى 50,000 سجل. إذا تجاوزت السجلات المطابقة الحد، يفشل التصدير ولا يُقسّم تلقائيًا. ضيّق نطاق التاريخ أو المرشحات وصدّر على دفعات، ثم راجع حدود الوقت ونطاق سجلات كل دفعة لتجنب الفقد أو التكرار.

• القائمة فارغة: تحقق من تفعيل التتبع والنطاق واستلام السياسة والإبلاغ، ثم التاريخ والمرشحات ونطاق الإدارة والرسائل. قد يؤدي خطأ الاستعلام أيضا إلى قائمة فارغة.
• السجل أو المسار غير مكتمل: تحقق من معلومات الربط والأجهزة المعنية وتوفر السجلات؛ لا تفسر المسار الفارغ مباشرة بأنه لا توجد عمليات لاحقة.
• الحاجة إلى حظر الإرسال: التتبع ليس قاعدة حظر؛ أعد التحكم المناسب في أمن الملفات بصورة منفصلة واختبر أثره الفعلي.
• اختلاف عدد التصدير عن الصفحة: تحقق من شروط التصدير ونطاقه؛ لا يقتصر على الصفحة الحالية.