파일 활동 추적 정책
Flow Trace는 파일 작업과 이동 단서를 수집하여 엔드포인트에서 파일이 사용되고 이동된 상황을 조사하는 데 도움을 줍니다. File Activity에는 플랫폼이 수신했고 현재 관리자에게 조회 권한이 있는 관련 기록이 표시됩니다. 이 문서에서는 Windows 엔드포인트를 예로 수집 조건을 설명합니다. 다른 플랫폼과 구체적인 작업 방식은 별도로 검증해야 합니다.
이동 추적과 파일 보안 통제는 목적이 다릅니다. 추적을 활성화해도 외부 전송이 자동으로 차단되거나 모든 작업이 완전하게 복원되는 것은 아닙니다. 검색 결과가 없다는 사실만으로 관련 작업이 없었다고 판단할 수도 없습니다.
구성 전 준비
- 데이터 유출 방지 정책 관리 권한이 있는 계정으로 정책을 설정합니다. 관련 기록을 조회하려면 해당 조회 권한이 필요하며, 그 권한이 있는 담당자가 확인할 수 있습니다. 시범 엔드포인트의 연결과 라이선스를 확인합니다. 내보내기에는 해당 권한이 필요합니다.
- 시범 Windows 엔드포인트와 검증할 작업을 정합니다. 예를 들어 민감 정보가 없는 테스트 파일을 복사하거나 이동할 수 있습니다. 여러 엔드포인트가 관련된 경우 각각의 클라이언트와 정책 적용 범위를 확인합니다.
- 파일 경로, 계정 및 작업 기록에는 민감 정보가 포함될 수 있으므로 수집 목적, 조회 권한, 저장 위치와 보존 기간을 조직의 기준에 따라 정합니다.
이동 추적 활성화
- 콘솔에서 DLP으로 전환하고 정책 화면에서 대상 정책을 생성하거나 편집합니다.
- 일반 설정에서 정책 이름, 적용 시간, 대상 엔드포인트, 그룹 또는 태그를 확인합니다. 소수의 시범 대상으로 먼저 검증한 뒤 조직 절차에 따라 확대합니다.
- 정책 설정에서 Flow Trace를 활성화합니다. 이 설정은 이동 단서 기록을 위한 것으로, 별도로 설정해야 하는 파일 보안 제한이나 차단 규칙을 대체하지 않습니다.
- 전체 정책을 저장하고 목록에서 상태와 대상 범위를 확인합니다. 엔드포인트가 정책을 수신하고 적용할 때까지 기다립니다. 콘솔 저장은 수집 시작이나 기록 보고를 보장하지 않습니다.
검증 및 문제 해결
- 시험 단말이 적용 정책을 수신했는지 확인합니다. 민감하지 않은 시험 파일로 승인된 복사 또는 이동을 한 번 수행하고 단말, 시간, 원본 및 대상 위치를 기록합니다. 작업 방식과 단말 플랫폼이 다르면 각각 검증합니다.
- 처리와 보고를 기다립니다. 감사 조회 권한이 있는 계정으로 DLP에서 File Activity를 열고 시간, 단말과 경로로 시험 기록을 찾아 대조합니다. 자세한 조회 및 추적 단계는 파일 작업 기록을 참조합니다.
- 기록이 없으면 정책 활성 상태, 적용 범위와 시간, 단말 수신 및 보고를 확인한 뒤 관리자 가시 범위, 날짜와 필터를 확인합니다. 빈 목록은 작업이 없었거나 정책이 적용되었다는 증거가 아닙니다. 차단이 필요한 경우 별도의 파일 보안 규칙을 구성하고 검증해야 합니다.
수정일