Leak Tracking konfigurieren und prüfen

Leak Tracking zeigt gemeldete Dateiübertragungsereignisse und verfügbare Zusammenhänge für Untersuchungen. Ein Eintrag beweist keinen Datenabfluss; ein Ablaufdiagramm muss nicht vollständig sein und ersetzt keine Prüfung von Endpunkten und weiteren Belegen. Die folgenden Schritte betreffen Windows-Testendpunkte; andere Plattformen separat prüfen.

Administratoren mit der erforderlichen Leseberechtigung können vorhandene Einträge wie unten beschrieben abfragen, ohne allein für die Suche eine Richtlinie anzulegen oder zu ändern. Für neue Testeinträge zunächst bestehende Richtlinie und Endpunktbereich prüfen, nur bei Bedarf einen Pilot einrichten und kontrolliert testen.

Konfiguration und Vorbereitung

Für vorhandene Aufzeichnungen sind die Richtlinienschritte nicht erforderlich. Prüfen Sie für neue Testdatensätze Dateisicherheitsregel, Auditaktion und Pilotbereich sowie bei benötigten Dateispuren auch Flow Trace. Geeignete Einstellungen können weiterverwendet und getestet werden; nur bei Bedarf führt eine berechtigte Person die Schritte 2 und 3 aus.

1. Für vorhandene Aufzeichnungen ist das entsprechende Leserecht erforderlich; Änderungen erfordern DLP-Richtlinienverwaltungsrechte. Prüfen Sie bei neuen Testdatensätzen Anbindung, Lizenz und Sichtbarkeit der Endpunkte, legen Sie Zweck, Zugriff und Aufbewahrung nach Organisationsregeln fest und verwenden Sie eine nicht vertrauliche Testdatei.
2. Erstellen oder bearbeiten Sie unter Data Loss Prevention > Policies eine Richtlinie für Testendpunkte und prüfen Sie Zeit und Bereich. Aktivieren Sie File Security, fügen Sie eine Regel für Dateityp, Ausgangskanal und nötige sensible Bedingungen hinzu und wählen Sie Hauptaktion sowie Zusatzaktionen wie Audit. Speichern Sie Regel, Einstellungen und gesamte Richtlinie. Siehe Dateisicherheitsregeln.
3. Für zugehörige Dateioperationsspuren aktivieren und speichern Sie Flow Trace in der Richtlinie. Es ersetzt File Security nicht und garantiert keinen vollständigen Verlauf. Warten Sie auf Empfang und Anwendung am Endpunkt und testen Sie kontrolliert; Speichern beweist weder Erzeugung noch Meldung eines Eintrags.

Zugehörige Richtlinie: Richtlinie zur Dateiaktivitätsverfolgung

Suchen und untersuchen

1. Öffnen Sie DLP > Data Leak Tracking. Der anfängliche Zeitraum reicht von zwei Tagen vor heute bis heute; passen Sie ihn an das untersuchte Ereignis an. Für einen neuen Testdatensatz führen Sie zuerst den obigen kontrollierten Pilotvorgang aus, notieren Zeit und Endgerät und warten auf Verarbeitung und Meldung.
2. Grenzen Sie die Serverabfrage mit erweiterten Filtern für Gruppe, Endpunkt, Dateiname oder Risiko ein und prüfen Sie die Seiten. Das obere Schlüsselwort filtert nur die geladene Seite, nicht alle Datensätze; löschen Sie es und ändern Sie Filter oder Seite bei Bedarf. Die englischen Filter heißen Group, Endpoint Name, File Name, risk level.
3. Öffnen Sie einen Eintrag und prüfen Sie verfügbare Ausgangswege, Datei, sensible Informationen und Flow Trace. Ähnliche Ereignisse hängen unter anderem von Berechtigung, Daten und Verarbeitung ab; fehlende Verknüpfungen beweisen keine fehlenden Folgeaktionen. Die englischen Detailregister heißen unter anderem leakage route, File information, sensitive information, Flow Trace, Similar Events.
4. Gleichen Sie Richtlinienbedingungen, aufgezeichnete Aktion, Endpunkt und weitere Belege ab. Eintrag oder Knoten beweisen weder erfolgreiche Übertragung noch Blockierung oder den vollständigen Vorfall.

Leak Tracking für einen Endpunkt prüfen: Für vorhandene Einträge das Gerät in der Endpunktliste suchen, in den Details Apps öffnen, bei Audit records Open window und dann Leak Tracking wählen. Endpunkt, Datum, Suchbegriff und Seiten prüfen. Das Fenster umfasst zunächst heute und die vorherigen 29 Tage; dies kann von der Funktionsseite abweichen. Dieser Zugang aktiviert keine Erfassung; auch ein Abfragefehler kann die Liste leeren. Rechte, Netzwerk und Meldung prüfen; eine leere Liste beweist keine fehlende Aktivität. Die Exportschaltfläche dieses Fensters exportiert keine Datensätze. Benötigte Unterlagen gemäß Organisationsverfahren anderweitig beschaffen.

Grenzen und Fehlerbehebung

• Obwohl ein Exportknopf angezeigt wird, ist er in dieser Version nicht als funktionierender Exportweg zu behandeln. Verwenden Sie einen genehmigten anderen Weg und schützen Sie sensible Untersuchungsmaterialien.
• Fehlen Einträge, prüfen Sie Rechte, Sichtbarkeit, Datum, erweiterte Filter, Schlüsselwort und Seiten sowie Richtlinienbereich, Auditaktion, Empfang, Aktion und Meldung. Auch ein Abfragefehler kann die Liste leeren.
• Bei unvollständigem Verlauf prüfen Sie Flow-Trace-Zuordnung, zugehörige Einträge und Meldungen der Endpunkte. Validieren Sie Anwendungen, Aktionen und Plattformen separat und kontaktieren Sie bei Bedarf den Support mit Testbedingungen.