파일 작업 기록

Flow Trace는 파일 작업과 이동 단서를 수집하여 엔드포인트에서 파일이 사용되고 이동된 상황을 조사하는 데 도움을 줍니다. File Activity에는 플랫폼이 수신했고 현재 관리자에게 조회 권한이 있는 관련 기록이 표시됩니다. 이 문서에서는 Windows 엔드포인트를 예로 수집 조건을 설명합니다. 다른 플랫폼과 구체적인 작업 방식은 별도로 검증해야 합니다.

이동 추적과 파일 보안 통제는 목적이 다릅니다. 추적을 활성화해도 외부 전송이 자동으로 차단되거나 모든 작업이 완전하게 복원되는 것은 아닙니다. 검색 결과가 없다는 사실만으로 관련 작업이 없었다고 판단할 수도 없습니다.

전체 설정은 파일 활동 추적 정책을 참조하십시오.

기존 기록만 조회한다면 해당 조회 권한이 있는 계정으로 아래 조회 단계에 바로 진행할 수 있습니다. 조회만을 위해 정책을 새로 만들거나 시험 이벤트를 발생시킬 필요는 없습니다. 새 기록을 검증하려면 먼저 기존 적용 정책을 확인하고 필요한 경우에만 정책 관리 권한이 있는 담당자가 수정한 후 시험합니다.

구성 전 준비

• 기록 조회에는 해당 감사 조회 권한이, 내보내기에는 해당 내보내기 권한이 필요합니다. 정책 변경은 데이터 유출 방지 정책 관리 권한이 있는 담당자가 수행합니다. 새 기록을 검증할 때는 단말 연결과 라이선스를 확인합니다.
• 새 기록을 검증할 때는 시범 Windows 엔드포인트와 검증할 작업을 정합니다. 예를 들어 민감 정보가 없는 테스트 파일을 복사하거나 이동할 수 있습니다. 여러 엔드포인트가 관련된 경우 각각의 클라이언트와 정책 적용 범위를 확인합니다.
• 파일 경로, 계정 및 작업 기록에는 민감 정보가 포함될 수 있으므로 수집 목적, 조회 권한, 저장 위치와 보존 기간을 조직의 기준에 따라 정합니다.

이동 추적 활성화

새 기록을 검증하려면 먼저 DLP 정책에서 적용 단말, 유효 시간 및 Flow Trace 스위치를 확인합니다. 기존 설정이 적합하면 재사용하고 필요한 경우에만 권한 있는 담당자가 변경·저장한 뒤 단말의 수신과 적용을 기다립니다. 이 스위치는 파일 보안 차단 규칙을 대체하지 않습니다. 전체 단계는 이동 추적 정책을 참조합니다.

수집 검증 및 조회

기존 기록은 2단계부터 조회합니다. 1단계는 새 기록 검증에만 사용합니다.

1. 새 기록을 검증하려면: 시범 엔드포인트가 온라인이며 클라이언트가 실행 중이고 정책을 수신했는지 확인합니다. 조직에서 허용한 테스트 파일 복사 또는 이동을 한 차례 수행하고 시간, 엔드포인트, 원본 및 대상 위치를 기록합니다.
2. 새 기록을 검증할 때는 먼저 단말의 처리와 보고를 기다립니다. DLP에서 File Activity를 엽니다. 날짜 범위와 필요한 키워드를 지정하고 이벤트 시간과 조직의 시간대를 함께 확인합니다.
3. 그룹, 엔드포인트, 원본 경로, 대상 경로, 작업 유형, 이동식 저장 장치 유형 또는 파일 크기 등 화면에 제공되는 조건으로 범위를 좁힙니다. 구체적인 일치 방식은 화면 안내를 따릅니다.
4. 사용 가능한 엔드포인트, 계정, 작업, 경로, 파일 크기 및 시간 정보를 확인하고 필요한 경우 다음 페이지를 조회합니다. 조사 중인 작업이나 테스트 작업 및 다른 증거와 결과를 대조합니다.

예를 들어 이동식 저장 장치로 복사되었는지 조사할 때 관련 시간과 엔드포인트를 선택한 후 작업 유형, 경로 및 이동식 저장 장치 조건을 결합할 수 있습니다. 결과는 수집되었고 현재 계정에서 볼 수 있는 기록만 나타냅니다. 이것만으로 유출이나 전체 과정을 증명할 수는 없습니다.

상세 정보 및 추적

대상 기록의 상세 정보를 열어 작업과 엔드포인트 정보를 확인합니다. 화면에서 이동 추적을 제공하는 경우 시스템이 연관 지을 수 있는 단서와 사용 가능한 노드 뷰를 확인할 수 있습니다.

모든 기록이 완전한 추적을 형성하는 것은 아닙니다. 연관 정보 부족, 기록 사용 불가 또는 조회 실패로 결과가 없거나 안내가 표시될 수 있습니다. 여러 엔드포인트를 조사할 때는 각 클라이언트, 정책과 보고 상태를 확인하고 다른 증거와 함께 판단하십시오.

단일 단말의 File Activity 조회: 단말 목록에서 대상을 찾아 상세의 Apps를 열고 Audit records에서 Open window를 선택한 다음 File Activity를 선택합니다. 단말, 날짜, 검색어 및 페이지를 확인합니다. 창의 초기 범위는 오늘과 이전 29일로 기능 페이지와 다를 수 있습니다. 이 경로는 수집을 활성화하지 않으며 조회 실패로 목록이 비어 있을 수도 있습니다. 권한, 네트워크 및 보고를 확인하고 빈 목록만으로 활동이 없었다고 판단하지 마세요. 이 창의 내보내기 버튼은 기록을 내보내지 않으므로 필요한 자료는 조직 절차에 따라 별도로 확보합니다.

내보내기 및 문제 해결

내보내기 권한이 있는 관리자는 목록의 내보내기 기능을 사용할 수 있습니다. 내보내기에는 현재 날짜, 키워드 및 필터 조건이 적용되며 현재 표시 페이지에만 한정되지 않습니다. 파일의 범위와 내용을 확인하고 계정, 엔드포인트 및 파일 경로 정보를 보호합니다.

한 번에 최대 50,000개 기록을 내보낼 수 있습니다. 조건에 맞는 기록이 상한을 넘으면 내보내기가 실패하며 자동으로 분할되지 않습니다. 날짜 또는 필터 범위를 좁혀 여러 번 내보내고 각 배치의 시간 경계와 기록 범위를 확인하여 누락과 중복을 방지하십시오.

• 목록이 비어 있는 경우: 추적 스위치, 대상 범위, 엔드포인트의 정책 수신과 보고, 날짜, 필터 및 관리자 관리 범위를 확인합니다. 조회 오류도 원인일 수 있습니다.
• 기록이나 추적이 불완전한 경우: 연관 정보, 관련 엔드포인트 및 기록의 사용 가능 여부를 확인합니다. 빈 연결을 후속 작업이 없었다는 증거로 해석하지 마십시오.
• 외부 전송 차단이 필요한 경우: 추적은 차단 규칙이 아닙니다. 적용 가능한 파일 보안 통제를 별도로 구성하고 효과를 검증합니다.
• 내보낸 건수가 현재 페이지와 다른 경우: 내보내기 조건과 범위를 확인합니다. 현재 페이지로 제한되지 않습니다.