عرض انتقال الملفات ومخاطر التخزين القابل للإزالة

تلخص صفحة Mobile Storage استخدام وحدات التخزين القابلة للإزالة وعمليات الملفات وأدلة المخاطر للأجهزة التي يراها المسؤول، للمساعدة في التحقيق في ملكية الوحدات وانتقال الملفات. يعتمد العرض على السجلات ومعلومات الربط المتاحة؛ ولا تثبت القائمة الفارغة أو الأعداد الصفرية عدم استخدام الوحدة، ولا تحدد بمفردها وقوع تسرب.

تختلف هذه الصفحة عن التحكم في الأجهزة وإثبات ملكية وحدة التخزين في إدارة الأجهزة الطرفية الموحدة، وعن تشفير التخزين في منع فقدان البيانات. لا يعني عرض المخاطر أو تسجيل الوحدة حظر الوصول إليها أو تشفيرها.

إذا أردت الاستعلام عن النتائج الموجودة فقط، فيمكن لمن يملك صلاحية العرض الانتقال مباشرة إلى خطوات الاستعلام أدناه دون إنشاء سياسة أو تعديلها أو توليد عملية اختبار لمجرد البحث. للتحقق من قرائن جديدة، راجع الإعدادات المنطبقة الموجودة وأعد استخدامها إن كانت مناسبة. لا ينفذ تغييرات السياسة أدناه إلا مخول عند الحاجة، ثم تستمر عملية التحقق المضبوطة.

إعداد البيانات والسياسة

1. يتطلب عرض النتائج الموجودة صلاحية العرض المناسبة؛ وعند الحاجة إلى تعديل السياسة ينفذ ذلك شخص يملك صلاحية إدارتها. للتحقق من مؤشرات جديدة، تأكد من اتصال أجهزة Windows التجريبية وترخيصها وظهورها ضمن نطاق الحساب. حدد غرض جمع بيانات عمليات الملفات والأجهزة ونطاق الوصول وفق متطلبات المؤسسة.
2. لجمع دلائل عمليات الملفات، تحقق في Data Loss Prevention > Policy من وقت السياسة المطبقة على الجهاز التجريبي ونطاقها ومفتاح تتبع الملفات. أعد استخدام إعداد مناسب؛ لا يعدّله ويحفظه مسؤول مخوّل إلا عند الحاجة وفق سياسة تتبع الملفات. تأكد من تلقي الجهاز لها وتطبيقها؛ لا يثبت الحفظ إنشاء سجلات. اسم بطاقة السياسة في الواجهة هو Flow Trace.
3. استخدم ملف اختبار غير حساس لإجراء نسخ مصرح بين الجهاز ووحدة التخزين التجريبية، وسجل الوقت وموقعي المصدر والوجهة. بعد الإبلاغ تحقق من الأدلة في تدقيق عمليات الملفات؛ يجب اختبار تغطية كل منصة وطريقة تشغيل على حدة.
4. لتدقيق المحتوى الحساس أو معالجته، تحقق أولاً من قواعد الحساسية المطبقة والكائنات والعمليات وإجراء التدقيق أو الإجراءات الأخرى في إعدادات أمن الملفات. عند الحاجة يعدّلها شخص مخوّل ويحفظها وفق سياسة أمن الملفات، ثم يتحقق منها على الجهاز التجريبي. لا يحل تتبع الملفات محل كشف المحتوى الحساس أو حظره.
5. تحقق من سجلات اتصال الوحدة وملكية الأصل؛ يمكن إدارة إثبات الملكية والحالة في صفحة التخزين بإدارة الأجهزة الطرفية الموحدة. حالة الوحدة معلومة إدارية ولا تثبت بمفردها أن الجهاز الطرفي حظر الوصول.

عرض النظرة العامة وعمليات الملفات

1. افتح Mobile Storage في Data Loss Prevention واختر التاريخ. عند الفتح أول مرة يكون الافتراضي اليوم والأيام الستة السابقة؛ عدله للتحقيق في أحداث أقدم.
2. في Overview (النظرة العامة)، راجع أحداث المخاطر وعمليات الملفات الحساسة والملفات المرسلة والوحدات المعنية وحجم النقل الكلي وتوزيع المخاطر وترتيب الأجهزة. تعتمد المؤشرات على البيانات المتاحة للفترة المختارة والأجهزة التي يراها المسؤول، ولا تمثل كل نشاط المؤسسة.
3. اختر File Operations (عمليات الملفات) ورشح بالكلمة أو الاتجاه، وقارن الوقت والمستخدم ومساري المصدر والوجهة ومعلومات الوحدة. تشمل الاتجاهات من الجهاز الطرفي إلى USB، ومن USB إلى الجهاز، ومن USB إلى USB، واتجاها غير معروف. لا تفسر الاتجاه غير المعروف مباشرة بأنه إرسال للخارج.
4. انتقل بين الصفحات عند الحاجة. إذا لم تجد الملف المتوقع فتحقق من التاريخ والكلمات والاتجاه وإبلاغ الجهاز ونطاق عرض المسؤول؛ واستعن بمساري المصدر والوجهة في تدقيق عمليات الملفات عند الحاجة.

تُجمع أعداد الإرسال وحجم النقل من سجلات العمليات الموجودة، وليست قياسا كاملا لكل بيانات الوحدة أو عمليات نقلها. قد تختلف المرشحات بين التبويبات، لذا تحقق من التاريخ والشروط قبل المقارنة.

فحص أحداث المخاطر والوحدات

1. اختر Risk Events (أحداث المخاطر) ورشح حسب النوع أو المستوى أو الكلمة، وراجع الوقت والوصف.
2. اختر Devices (الأجهزة) لعرض الاسم وملكية الأصل والمسؤول والغرض وعدد عمليات الملفات وحجم النقل وأحداث المخاطر وآخر نشاط، وابحث وانتقل بين الصفحات عند الحاجة.
3. تحقق من السياق باستخدام إثبات الملكية في إدارة الأجهزة الموحدة وسجلات الأجهزة المعنية، ثم اتبع إجراءات التحقيق بالمؤسسة. لا تقرر وقوع مخالفة من مستوى الخطر أو عنوانه وحده.

نوع الخطر	كيفية تفسيره
ملف حساس	دليل مبني على سجلات الملفات الحساسة الموجودة؛ يجب التحقق من الملف والقاعدة والعملية الفعلية.
انتقال عبر أجهزة طرفية	دليل على اتصال الوحدة نفسها بأجهزة مختلفة بالتتابع خلال 24 ساعة؛ لا يثبت الاتصال وحده نقل ملف بينها.
نقل كبير	يستند إلى سجل عملية ملف واحد يبلغ حجمه 1 GiB أو أكثر، وليس تجميع ملفات صغيرة متعددة.
ظهور وحدة مجمدة مجددا	دليل عند إعادة اتصال وحدة مسجلة كمجمدة أو مفقودة؛ يجب التحقق من هويتها ووقت الحالة ونتيجة الوصول الفعلية.

استكشاف المشكلات

• الصفحة فارغة أو القيم منخفضة: تحقق من التاريخ ونطاق المسؤول واتصال الأجهزة وإبلاغها وانطباق سياسة التتبع أو أمن الملفات؛ نقص البيانات لا يعني غياب النشاط.
• وحدة مثبتة الملكية لا تظهر: تحقق من وجود نشاط وسجلات متاحة في الفترة ونطاق الحساب؛ يختلف سجل الأصول عن نطاق نشاط هذه الصفحة.
• ملف حساس غير معلم: تحقق من القواعد والسياسة والكشف على الجهاز وإبلاغ السجلات والربط؛ عدم التعليم لا يثبت أن الملف غير حساس.
• حدث انتقال أو نقل كبير: تحقق من الوحدة والأجهزة والوقت وعملية الملف الواحدة وسياق العمل قبل تقرير مواصلة التحقيق.
• الحاجة إلى حظر الوحدة أو إرسال الملف: راجع التحكم بالأجهزة في الإدارة الموحدة وقواعد أمن الملفات في منع الفقدان كل على حدة؛ لا تنفذ هذه الصفحة الحظر مباشرة.