E-Mail-Audit

Die E-Mail-Sicherheit legt Aktionen anhand von Bedingungen wie Absender, Empfänger und sensiblem Inhalt fest. Das E-Mail-Audit zeigt zugehörige Aktivitätsaufzeichnungen, die die Plattform empfangen hat. Die folgende Beschreibung verwendet den E-Mail-Versand von Windows-Endpunkten als Beispiel. Andere Plattformen, E-Mail-Clients und Zugriffsarten sind separat zu prüfen.

Ein Sende-, Empfangs- oder Blockierstatus in einer Aufzeichnung beweist nicht allein, dass eine Nachricht beim Empfängerserver angekommen, vom Empfänger gelesen worden oder ein Datenabfluss erfolgt ist. Prüfen Sie das E-Mail-System und den geschäftlichen Kontext zusätzlich.

Die folgenden Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole.

Die vollständige Konfiguration finden Sie unter E-Mail-Sicherheitsrichtlinie.

Für die Abfrage vorhandener Datensätze können Sie mit dem entsprechenden Leserecht direkt zu den Abfrageschritten unten gehen. Sie müssen nicht allein für die Abfrage eine Richtlinie erstellen oder Testereignisse erzeugen. Prüfen Sie für die Validierung neuer Datensätze zuerst die bestehende zutreffende Richtlinie; nur bei Bedarf ändert eine Person mit Richtlinienverwaltungsrecht diese vor dem Pilottest.

E-Mail-Sicherheit konfigurieren

1. Für ein neues Testereignis unter DLP > Policy Lizenz, Zielbereich und Gültigkeitszeit des Pilotgeräts prüfen, Email aktivieren und die Einstellungen öffnen. Geeignete Regeln wiederverwenden; Änderungen erfordern Richtlinienverwaltungsrechte.
2. Absender-, Empfänger- und Inhaltsbedingungen, Regelreihenfolge und Hauptaktion prüfen. Für Einträge Audit, bei Bedarf die Warnaktion wählen. Die Warnaktion wählt auch Audit; beim Abwählen von Audit wird die Warnung entfernt. Vor Sperren die Auswirkungen bewerten; vollständige Regeln stehen im Richtlinienkapitel oben.
3. Änderungen an Regeleinstellungen und gesamter Richtlinie speichern und den Empfang abwarten. Mit freigegebenen nicht vertraulichen Test-E-Mails passende und nicht passende Fälle, Einträge und benötigte Warnungen getrennt prüfen. Speichern beweist weder Ausführung noch Ereignismeldung. Prüfen Sie beim Validieren eines neuen Ergebnisses unabhängig von Änderungen vor dem Test, ob das Pilotendgerät die geltende Richtlinie empfangen hat. Ohne Änderungen ist kein erneutes Speichern nötig.

Aufzeichnungen suchen und prüfen

1. Öffnen Sie mit einem Administratorkonto, das DLP anzeigen und auf die betreffenden Endpunkte zugreifen darf, dort die Ansicht Email.
2. Legen Sie den Datumsbereich fest. Beim ersten Öffnen umfasst der Standardbereich den aktuellen Tag und die beiden vorherigen Tage. Ändern Sie ihn für ältere Aufzeichnungen.
3. Suchen Sie beispielsweise nach Abteilung, Benutzer, Konto, Absender, Empfänger oder Betreff und gleichen Sie das Ergebnis mit E-Mail-Adressen, Betreff, Anzahl sensibler Informationen und Zeit in der Liste ab.
4. Verwenden Sie bei Bedarf erweiterte Filter wie Abteilung, Benutzer, Konto oder Status. Diese wirken auf die aktuell geladene Seite; ein fehlender Treffer dort schließt Treffer auf anderen Seiten nicht aus. Entfernen Sie Filter und wechseln Sie bei Bedarf die Seite.
5. Öffnen Sie die Details und prüfen Sie je nach verfügbaren Daten die Ansichten für E-Mail und sensible Informationen. Anzahl und Trefferinhalt sind nur Untersuchungshinweise; berücksichtigen Sie Nachrichteninhalt, Empfänger und die Regeln Ihrer Organisation.

E-Mail-Adressen, Betreff, Nachrichtentext und sensible Inhalte können personenbezogene Daten oder Geschäftsgeheimnisse enthalten. Klären Sie vor Anzeige oder Weitergabe Untersuchungszweck, Zugriffsberechtigung und die Datenverarbeitungsvorgaben Ihrer Organisation.

Email für einen Endpunkt prüfen: Das Gerät in der Endpunktliste suchen, in den Details Apps öffnen, bei Audit records Open window und dann Email wählen. Endpunkt, Datum, Suchbegriff und Seiten prüfen. Das Fenster umfasst zunächst heute und die vorherigen 29 Tage; dies kann von der Funktionsseite abweichen. Dieser Zugang aktiviert keine Erfassung; auch ein Abfragefehler kann die Liste leeren. Rechte, Netzwerk und Meldung prüfen; eine leere Liste beweist keine fehlende Aktivität. Die Exportschaltfläche dieses Fensters exportiert keine Datensätze. Benötigte Unterlagen gemäß Organisationsverfahren anderweitig beschaffen.

Export und Fehlerbehebung

Die Liste zeigt zwar eine Export-Schaltfläche, diese kann jedoch nicht zum Export der Aufzeichnungen verwendet werden. Fragen Sie für Auditunterlagen Administrator oder technischen Support nach anderen verfügbaren Wegen. Die Aufzeichnungsliste ist auch kein vollständiges Archiv von Nachrichtentexten und Anhängen.

• Zielnachricht wird nicht gefunden: Prüfen Sie Richtlinie, Endpunktbereich, Absender- und Empfängerbedingungen, Regeln für sensible Inhalte und Auditaktion. Bestätigen Sie Richtlinienempfang und Übertragung und prüfen Sie Datum, Filter, Seiten und Sichtbereich.
• Nachrichtentext ist leer oder nicht sichtbar: Prüfen Sie verfügbare Inhalte und Meldungen sowie Erfassung, Speicherung und Berechtigungen. Ein leeres Feld beweist nicht, dass die Nachricht keinen Text hatte.
• Liste sensibler Informationen ist leer: Dies bedeutet nur, dass aktuell keine Treffer im Detail angezeigt werden. Es beweist nicht, dass Nachricht und Anhänge keine sensiblen Informationen enthalten.
• Status weicht vom E-Mail-System ab: Notieren Sie Status, Zeit und Beteiligte und klären Sie die Abweichung mit der Administration des E-Mail-Systems. Die Auditansicht allein ist kein Zustellnachweis.
• Nachricht wurde unerwartet blockiert: Prüfen Sie primäre Aktion, Regelreihenfolge, Beteiligte und Bedingungen für sensible Inhalte. Behandeln Sie die Auswirkungen nach dem Verfahren Ihrer Organisation, bevor Sie die Einstellung ändern und erneut testen.