Richtlinie zur Dateiaktivitätsverfolgung
Flow Trace erfasst Hinweise zu Dateioperationen und Dateibewegungen und unterstützt die Untersuchung der Nutzung und Weitergabe von Dateien auf Endpunkten. File Activity zeigt zugehörige Aufzeichnungen, die die Plattform empfangen hat und die der aktuelle Administrator sehen darf. Die Erfassungsbedingungen werden hier am Beispiel von Windows-Endpunkten beschrieben. Andere Plattformen und konkrete Operationen müssen separat geprüft werden.
Nachverfolgung und Durchsetzung der Dateisicherheit haben unterschiedliche Zwecke. Die Aktivierung der Nachverfolgung blockiert externe Übertragungen nicht automatisch und garantiert keine vollständige Rekonstruktion aller Vorgänge. Ein leeres Suchergebnis beweist nicht, dass die betreffenden Vorgänge nicht stattgefunden haben.
Die folgenden Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole.
Vor der Konfiguration
- Verwenden Sie ein Konto mit Verwaltungsberechtigung für DLP-Richtlinien. Für die Anzeige zugehöriger Aufzeichnungen ist die entsprechende Leseberechtigung erforderlich; eine entsprechend berechtigte Person kann sie prüfen. Prüfen Sie Anbindung und Lizenz der Testendpunkte; für den Export ist eine entsprechende Berechtigung erforderlich.
- Legen Sie Windows-Testendpunkte und die zu prüfende Operation fest, etwa das Kopieren oder Verschieben einer Testdatei ohne sensible Inhalte. Prüfen Sie bei mehreren Endpunkten jeweils den Client und den Geltungsbereich der Richtlinie.
- Dateipfade, Konten und Aktivitätsdaten können sensible Informationen enthalten. Legen Sie Erfassungszweck, Zugriffsrechte, Speicherort und Aufbewahrungsdauer vorab nach den Vorgaben Ihrer Organisation fest.
Flow Trace aktivieren
- Wechseln Sie in der Konsole zu DLP, öffnen Sie die Richtlinien und erstellen oder bearbeiten Sie die Zielrichtlinie.
- Prüfen Sie Richtlinienname, Gültigkeitszeit und Zielendpunkte, Endpunktgruppen oder Tags. Beginnen Sie mit wenigen Testendpunkten und erweitern Sie den Bereich nach dem Änderungsverfahren Ihrer Organisation.
- Aktivieren Sie Flow Trace in den Richtlinieneinstellungen. Die Funktion erfasst Hinweise zum Dateifluss und ersetzt keine separat zu konfigurierenden Dateisicherheitsbeschränkungen oder Blockierregeln.
- Speichern Sie die gesamte Richtlinie und prüfen Sie Status und Zielbereich in der Liste. Warten Sie auf Empfang und Anwendung am Endpunkt. Das Speichern in der Konsole bedeutet weder, dass die Erfassung begonnen hat, noch dass Aufzeichnungen bereits übertragen wurden.
Prüfen und Fehler beheben
- Bestätigen Sie den Empfang der geltenden Richtlinie am Pilotendpunkt. Kopieren oder verschieben Sie eine nicht vertrauliche Testdatei einmal im genehmigten Rahmen und notieren Sie Endpunkt, Zeit sowie Quell- und Zielort. Prüfen Sie unterschiedliche Ausführungsmethoden und Endpunktplattformen separat.
- Warten Sie auf Verarbeitung und Meldung. Öffnen Sie mit Audit-Leserecht File Activity in DLP und suchen und vergleichen Sie den Testdatensatz anhand von Zeit, Endpunkt und Pfad. Einzelheiten zur Abfrage und Nachverfolgung stehen unter Dateioperationsdatensätze.
- Fehlt der Datensatz, prüfen Sie Aktivierung, Umfang und Geltungszeit der Richtlinie, Empfang und Meldung am Endpunkt sowie Sichtbereich, Datum und Filter der Administration. Eine leere Liste beweist weder das Ausbleiben der Aktion noch die Wirksamkeit der Richtlinie. Eine Blockierung erfordert separate Dateisicherheitsregeln und deren Prüfung.
Aktualisiert