Examiner les mouvements de fichiers et risques des stockages mobiles

La page Mobile Storage regroupe utilisation, opérations sur les fichiers et indices de risque des stockages mobiles pour les terminaux visibles par l'administrateur. Elle aide à enquêter sur l'appartenance des appareils et les mouvements de fichiers. L'affichage dépend des données existantes et de leurs liens ; une liste vide ou un compteur nul ne prouve pas l'absence d'utilisation et ne détermine pas directement l'existence d'une fuite.

Cette page diffère du contrôle et de l'attribution des appareils dans la gestion unifiée des terminaux, ainsi que du chiffrement des stockages mobiles dans la prévention des pertes de données. Consulter un risque ou enregistrer un appareil ne bloque pas l'accès et ne chiffre pas l'appareil.

Les procédures utilisent les libellés anglais de la console d'administration.

Pour consulter les résultats existants, une personne autorisée peut passer directement aux étapes de recherche ci-dessous, sans créer ou modifier de stratégie ni produire une opération de test pour la seule requête. Pour vérifier de nouveaux indices, contrôlez et réutilisez les réglages existants adaptés. Seule une personne autorisée effectue les modifications de stratégie ci-dessous si nécessaire ; poursuivez ensuite la vérification contrôlée.

Préparer données et politique

1. La consultation des résultats existants nécessite les droits de consultation appropriés ; toute modification de stratégie doit être effectuée par une personne habilitée à la gérer. Pour vérifier de nouveaux indices, confirmez que les terminaux Windows pilotes sont connectés, disposent des licences nécessaires et sont visibles par le compte. Définissez l’objectif de collecte et le périmètre d’accès aux données d’opérations sur les fichiers et aux données des appareils selon les règles de l’organisation.
2. Pour recueillir des indices d’opérations sur les fichiers, vérifiez dans Data Loss Prevention > Policy la stratégie applicable au terminal pilote, sa période, sa portée et l’activation du suivi des fichiers. Réutilisez une configuration adaptée ; si nécessaire, un administrateur autorisé la modifie et l’enregistre selon la stratégie de suivi des fichiers. Confirmez sa réception et son application par le terminal ; l’enregistrement ne prouve pas la création de données. La carte de stratégie porte le libellé Flow Trace.
3. Copiez un fichier de test non sensible entre terminal et stockage pilote dans le cadre autorisé, puis notez heure, source et destination. Après transmission, vérifiez les indices dans l'audit des activités sur les fichiers. Testez séparément plateformes et opérations.
4. Pour auditer ou traiter du contenu sensible, vérifiez d’abord les règles sensibles applicables ainsi que les objets, opérations et actions d’audit ou autres dans les paramètres de sécurité des fichiers. Si nécessaire, une personne autorisée les modifie et les enregistre selon la stratégie de sécurité des fichiers, puis les vérifie sur le terminal pilote. Le suivi ne remplace ni la détection ni le blocage du contenu sensible.
5. Vérifiez les connexions et l'appartenance des appareils. Leur attribution et leur état sont gérés dans le stockage mobile de la gestion unifiée des terminaux. Cet état administratif ne prouve pas à lui seul que le terminal bloque l'accès.

Consulter l'aperçu et les opérations

1. Ouvrez Mobile Storage sous DLP et choisissez la période. À la première ouverture, elle couvre par défaut le jour courant et les six jours précédents ; modifiez-la pour une enquête historique.
2. Dans Overview, examinez les événements à risque, opérations sur fichiers sensibles, fichiers sortants, appareils concernés, volume total, répartition des risques et classement des appareils. Les indicateurs dépendent de la période et des données disponibles des terminaux visibles, et ne représentent pas toute l'activité de l'organisation.
3. Ouvrez File Operations (opérations de fichiers), filtrez par mot-clé ou direction et vérifiez heure, utilisateur, source, destination et appareil. Les directions comprennent terminal vers USB, USB vers terminal, USB vers USB et inconnue. Une direction inconnue ne doit pas être assimilée directement à un transfert externe.
4. Changez de page si nécessaire. Si le fichier attendu manque, vérifiez période, mots-clés, direction, transmission et visibilité. Utilisez au besoin les chemins source et destination de l'audit des fichiers.

Le nombre de fichiers sortants et le volume sont calculés à partir des opérations existantes ; ils ne mesurent pas entièrement les données de l'appareil ni tous les transferts. Les filtres peuvent différer selon les onglets ; vérifiez période et conditions avant comparaison.

Vérifier risques et appareils

1. Ouvrez Risk Events (événements à risque), filtrez par type, niveau ou mot-clé et vérifiez heure et description.
2. Dans Devices (appareils), examinez nom, appartenance, responsable, usage, nombre d'opérations, volume, événements à risque et activité récente. Recherchez et changez de page si nécessaire.
3. Recoupez avec l'attribution de l'appareil et les enregistrements de terminaux de la gestion unifiée, puis enquêtez selon la procédure d'incident. Un niveau ou un titre seul ne prouve pas une violation.

Type de risque	Interprétation
Fichier sensible	Indice fondé sur des enregistrements existants ; vérifiez fichier, règle et opération réelle.
Circulation entre terminaux	Le même appareil apparaît successivement sur différents terminaux dans les 24 heures. Les connexions seules ne prouvent pas un transfert de fichiers entre eux.
Transfert volumineux	Indice fondé sur une opération individuelle d'au moins 1 GiB, et non sur l'addition de plusieurs petits fichiers.
Réapparition d'un appareil gelé	Un appareil signalé comme gelé ou perdu se reconnecte ; vérifiez identité, date de l'état et résultat réel d'accès.

Problèmes courants

• Page vide ou valeurs faibles : vérifiez période, visibilité, connexion et transmission ainsi que l'application des politiques de suivi ou de sécurité des fichiers. Des données manquantes ne prouvent pas l'absence d'activité.
• Appareil attribué mais absent : vérifiez activité et enregistrements disponibles dans la période ainsi que la visibilité du compte. L'inventaire et le périmètre d'activité de cette page diffèrent.
• Fichier sensible non signalé : vérifiez règles, politique, détection, transmission et liens. L'absence de marque ne prouve pas qu'il n'est pas sensible.
• Événement entre terminaux ou volumineux : vérifiez appareil, terminaux, heure, opération individuelle et contexte métier avant de décider d'une enquête complémentaire.
• Blocage d'un appareil ou transfert requis : vérifiez séparément contrôle des appareils et règles de sécurité des fichiers. L'affichage des risques ne bloque pas directement.