Enregistrements des opérations sur les fichiers

Flow Trace collecte des indices sur les opérations et les mouvements de fichiers pour aider à enquêter sur leur utilisation et leur circulation sur les terminaux. File Activity affiche les enregistrements reçus par la plateforme et visibles par l'administrateur actuel. Les conditions de collecte sont décrites ici en prenant les terminaux Windows comme exemple ; les autres plateformes et modes opératoires doivent être testés séparément.

Le suivi et le contrôle de sécurité des fichiers ont des objectifs différents. L'activation du suivi ne bloque pas automatiquement les transferts externes et ne garantit pas la reconstitution complète des opérations. Une recherche vide ne prouve pas qu'une opération n'a pas eu lieu.

Les procédures utilisent les libellés anglais de la console d'administration.

Pour la configuration complète, consultez la stratégie de suivi des activités des fichiers.

Pour consulter des enregistrements existants, utilisez un compte doté du droit de consultation approprié et passez directement aux étapes de recherche ci-dessous. Il n’est pas nécessaire de créer une stratégie ni de produire des événements de test pour la seule consultation. Pour vérifier de nouveaux enregistrements, contrôlez d’abord la stratégie applicable existante ; seule une personne autorisée à gérer les stratégies la modifie si nécessaire avant le test pilote.

Préparer la configuration

• La consultation des enregistrements et leur export exigent les droits correspondants. Modifier une politique nécessite les droits de gestion DLP. Pour vérifier de nouveaux enregistrements, contrôlez la connexion et la licence des terminaux.
• Pour vérifier de nouveaux enregistrements, définissez les terminaux Windows pilotes et l'opération à vérifier, par exemple la copie ou le déplacement d'un fichier de test non sensible. Pour plusieurs terminaux, contrôlez séparément le client et le périmètre de la politique.
• Les chemins, comptes et enregistrements peuvent contenir des informations sensibles. Définissez au préalable l'objectif de collecte, les droits de consultation, le lieu de stockage et la durée de conservation selon les exigences de l'organisation.

Activer le suivi

Pour vérifier un nouvel enregistrement, contrôlez d’abord les terminaux concernés, la période d’effet et le commutateur Flow Trace dans les politiques DLP. Réutilisez une configuration adaptée ; seule une personne habilitée la modifie et l’enregistre si nécessaire, puis attend sa réception et son application. Ce commutateur ne remplace pas les règles de blocage des fichiers. Voir la politique de suivi pour les étapes complètes.

Vérifier la collecte et rechercher

Pour consulter les enregistrements existants, commencez à l’étape 2 ; l’étape 1 sert uniquement à vérifier de nouveaux enregistrements.

1. Pour vérifier un nouvel enregistrement : Vérifiez que le terminal pilote est en ligne, que son client fonctionne et qu'il a reçu la politique. Copiez ou déplacez un fichier de test dans le cadre autorisé par l'organisation et notez l'heure, le terminal, la source et la destination.
2. Pour un nouvel enregistrement, attendez d’abord le traitement et la transmission. Ouvrez File Activity sous DLP. Sélectionnez la période et saisissez si nécessaire des mots-clés ; vérifiez les limites selon l'heure de l'événement et le fuseau horaire de l'organisation.
3. Réduisez les résultats avec les filtres disponibles : groupe, terminal, chemin source, chemin de destination, type d'opération, type de stockage amovible ou taille du fichier. Suivez les indications de l'interface pour les modalités de correspondance.
4. Vérifiez les champs disponibles concernant terminal, compte, opération, chemins, taille et heure ; changez de page si nécessaire. Recoupez les résultats avec l’opération examinée ou testée et d’autres éléments de preuve.

Pour rechercher une copie vers un stockage amovible, sélectionnez par exemple la période et le terminal, puis combinez type d'opération, chemins et critères de stockage. Les résultats ne montrent que les enregistrements collectés et visibles par le compte actuel ; ils ne prouvent pas à eux seuls une fuite ni la totalité du parcours.

Consulter les détails et le suivi

Ouvrez les détails d'un enregistrement et vérifiez les informations sur l'opération et le terminal. Si l'interface propose une vue de suivi des flux, examinez les indices que le système peut relier et utilisez les vues disponibles pour contrôler les nœuds.

Un suivi complet n'est pas garanti pour chaque enregistrement : informations de liaison absentes, enregistrements indisponibles ou échec de recherche peuvent produire une vue vide ou un message. Pour une enquête sur plusieurs terminaux, vérifiez séparément client, politique et transmission de chacun et considérez d'autres preuves.

Consulter File Activity pour un terminal : recherchez le terminal dans la liste, ouvrez Apps dans ses détails, choisissez Open window sur Audit records, puis File Activity. Vérifiez terminal, date, mot-clé et pages. La fenêtre couvre initialement aujourd’hui et les 29 jours précédents, ce qui peut différer de la page fonctionnelle. Cette entrée n’active pas la collecte ; un échec de requête peut aussi vider la liste. Vérifiez droits, réseau et remontée ; une liste vide ne prouve pas l’absence d’activité. Le bouton d’export de cette fenêtre n’exporte pas les enregistrements ; obtenez les documents nécessaires séparément selon la procédure de l’organisation.

Export et dépannage

Un administrateur disposant du droit d'export peut utiliser l'action de la liste. L'export utilise la période, les mots-clés et les filtres actuels et ne se limite pas à la page affichée. Vérifiez le périmètre et le contenu du fichier et protégez les informations de compte, terminal et chemin.

Un export prend en charge au maximum 50,000 enregistrements. Au-delà, il échoue et n’est pas automatiquement fractionné. Réduisez la période ou les filtres et exportez par lots ; vérifiez les limites temporelles et le contenu de chaque lot afin d’éviter les omissions et doublons.

• Liste vide : vérifiez le suivi, le périmètre, la réception de la politique et la transmission, puis la période, les filtres, le périmètre administré et les messages. Une erreur de recherche peut aussi produire une liste vide.
• Enregistrement ou suivi incomplet : vérifiez les informations de liaison et la disponibilité des terminaux et données concernés ; une chaîne vide ne prouve pas l'absence d'opérations ultérieures.
• Blocage d'un transfert externe requis : le suivi n'est pas une règle de blocage ; configurez séparément les contrôles appropriés et vérifiez leur effet réel.
• Nombre exporté différent de la page : vérifiez les conditions et le périmètre ; l'export n'est pas limité à la pagination courante.