บันทึกการทำงานกับไฟล์
Flow Trace ใช้รวบรวมเบาะแสการดำเนินการและการเคลื่อนไหวของไฟล์ เพื่อช่วยตรวจสอบการใช้และการเคลื่อนย้ายบนอุปกรณ์ File Activity แสดงบันทึกที่แพลตฟอร์มได้รับและผู้ดูแลระบบปัจจุบันมีสิทธิ์ดู คำอธิบายเงื่อนไขการเก็บข้อมูลนี้ใช้อุปกรณ์ Windows เป็นตัวอย่าง ส่วนแพลตฟอร์มและวิธีดำเนินการอื่นต้องทดสอบแยกกัน
การติดตามและการควบคุมความปลอดภัยของไฟล์มีวัตถุประสงค์ต่างกัน การเปิดติดตามไม่เท่ากับปิดกั้นการส่งออกโดยอัตโนมัติ และไม่รับประกันว่าจะสร้างลำดับการกระทำทั้งหมดกลับมาได้ ผลค้นหาว่างไม่ได้หมายความว่าการดำเนินการไม่เกิดขึ้น
ดูการตั้งค่าทั้งหมดใน นโยบายติดตามกิจกรรมไฟล์
หากเพียงค้นหาบันทึกที่มีอยู่ ให้ใช้บัญชีที่มีสิทธิ์ดูที่เหมาะสมและไปยังขั้นตอนค้นหาด้านล่างได้โดยตรง ไม่จำเป็นต้องสร้างนโยบายหรือเหตุการณ์ทดสอบเพื่อการค้นหา หากต้องการตรวจสอบบันทึกใหม่ ให้ตรวจสอบนโยบายที่มีผลอยู่ก่อน และให้ผู้มีสิทธิ์จัดการนโยบายปรับเฉพาะเมื่อจำเป็นก่อนทดสอบนำร่อง
การเตรียมการ
- การดูและส่งออกบันทึกต้องมีสิทธิ์ดูข้อมูลตรวจสอบและสิทธิ์ส่งออกตามลำดับ การเปลี่ยนนโยบายต้องใช้ผู้มีสิทธิ์จัดการนโยบายป้องกันข้อมูลรั่วไหล เมื่อตรวจบันทึกใหม่ให้ตรวจการเชื่อมต่อและสิทธิ์ใช้งานของอุปกรณ์
- เมื่อต้องการตรวจบันทึกใหม่ กำหนดอุปกรณ์ Windows นำร่องและการดำเนินการที่จะทดสอบ เช่น คัดลอกหรือย้ายไฟล์ทดสอบที่ไม่มีข้อมูลอ่อนไหว หากเกี่ยวข้องหลายอุปกรณ์ให้ตรวจสอบไคลเอนต์และขอบเขตนโยบายของแต่ละเครื่อง
- เส้นทางไฟล์ บัญชี และบันทึกอาจมีข้อมูลอ่อนไหว จึงต้องกำหนดวัตถุประสงค์ สิทธิ์ดู ที่เก็บ และระยะเวลาเก็บรักษาตามข้อกำหนดองค์กรก่อน
เปิดการติดตาม
เมื่อต้องการตรวจบันทึกใหม่ ให้ตรวจอุปกรณ์ที่นโยบายครอบคลุม เวลาเริ่มมีผล และสวิตช์ Flow Trace ในหน้านโยบาย DLP ก่อน หากการตั้งค่าเดิมเหมาะสมให้ใช้ซ้ำ เฉพาะเมื่อจำเป็นให้ผู้มีสิทธิ์ปรับและบันทึก แล้วรอให้อุปกรณ์รับและใช้นโยบาย สวิตช์นี้ไม่ทดแทนกฎปิดกั้นเพื่อความปลอดภัยของไฟล์ ดูขั้นตอนทั้งหมดในนโยบายติดตาม
ทดสอบการเก็บข้อมูลและค้นหา
หากค้นหาบันทึกที่มีอยู่ ให้เริ่มที่ขั้นตอน 2 ขั้นตอน 1 ใช้เฉพาะการตรวจบันทึกใหม่
- หากต้องการตรวจบันทึกใหม่: ตรวจสอบว่าอุปกรณ์นำร่องออนไลน์ ไคลเอนต์ทำงาน และได้รับนโยบายแล้ว ใช้ไฟล์ทดสอบดำเนินการคัดลอกหรือย้ายที่องค์กรอนุญาตหนึ่งครั้ง จดเวลา อุปกรณ์ ต้นทางและปลายทาง
- เมื่อตรวจบันทึกใหม่ ให้รออุปกรณ์ประมวลผลและรายงานก่อน เปิด File Activity ใน DLP เลือกช่วงวันที่และคำค้นตามต้องการ ตรวจสอบช่วงโดยอ้างอิงเวลาเหตุการณ์และเขตเวลาขององค์กร
- จำกัดผลด้วยตัวกรองที่มี เช่น กลุ่ม อุปกรณ์ เส้นทางต้นทาง เส้นทางปลายทาง ชนิดการดำเนินการ ชนิดสื่อจัดเก็บแบบถอดได้ หรือขนาดไฟล์ วิธีจับคู่ให้ยึดคำแนะนำในหน้า
- ตรวจสอบข้อมูลที่มี เช่น อุปกรณ์ บัญชี การดำเนินการ เส้นทาง ขนาดไฟล์และเวลา และเปลี่ยนหน้าตามจำเป็น เปรียบเทียบผลกับการดำเนินการที่ตรวจสอบหรือการทดสอบและหลักฐานอื่น
ตัวอย่างเช่น เมื่อตรวจสอบว่าไฟล์ถูกคัดลอกไปยังสื่อแบบถอดได้หรือไม่ ให้เลือกเวลาและอุปกรณ์ที่เกี่ยวข้อง แล้วกรองด้วยชนิดการดำเนินการ เส้นทาง และเงื่อนไขสื่อ ผลแสดงเฉพาะบันทึกที่เก็บได้และบัญชีปัจจุบันมองเห็น ไม่สามารถพิสูจน์การรั่วไหลหรือสร้างเหตุการณ์ทั้งหมดกลับมาได้โดยลำพัง
ดูรายละเอียดและติดตาม
เปิดรายละเอียดของบันทึกเพื่อตรวจสอบการดำเนินการและอุปกรณ์ หากหน้าจอมีการติดตามการเคลื่อนไหว สามารถดูเบาะแสที่ระบบเชื่อมโยงได้และตรวจสอบโหนดในมุมมองที่มี
ไม่ใช่ทุกบันทึกจะมีเส้นทางติดตามครบถ้วน ข้อมูลเชื่อมโยงขาดหาย บันทึกใช้ไม่ได้ หรือการค้นหาล้มเหลวอาจทำให้ผลว่างหรือมีข้อความแจ้ง เมื่อตรวจสอบข้ามอุปกรณ์ให้ตรวจสอบไคลเอนต์ นโยบายและสถานะรายงานของแต่ละเครื่อง และพิจารณาร่วมกับหลักฐานอื่น
ดู File Activity ของเครื่องเดียว: ค้นหาเครื่องในรายการ เปิด Apps ในรายละเอียด เลือก Open window บน Audit records แล้วเลือก File Activity ตรวจสอบเครื่อง วันที่ คำค้นและหน้ารายการ ช่วงเริ่มต้นของหน้าต่างคือวันนี้และ 29 วันก่อนหน้า ซึ่งอาจต่างจากหน้าฟังก์ชัน ทางเข้านี้ไม่ได้เปิดการเก็บข้อมูล และการค้นหาล้มเหลวอาจทำให้รายการว่าง ตรวจสิทธิ์ เครือข่ายและการรายงาน รายการว่างไม่ได้พิสูจน์ว่าไม่มีกิจกรรม ปุ่มส่งออกในหน้าต่างนี้ไม่ส่งออกบันทึก ให้จัดหาหลักฐานที่ต้องการแยกตามขั้นตอนองค์กร
ส่งออกและแก้ไขปัญหา
ผู้ดูแลที่มีสิทธิ์ส่งออกสามารถใช้คำสั่งในรายการ การส่งออกใช้วันที่ คำค้น และตัวกรองปัจจุบัน ไม่จำกัดเฉพาะหน้าที่แสดง หลังส่งออกให้ตรวจสอบขอบเขตและเนื้อหา และปกป้องข้อมูลบัญชี อุปกรณ์ และเส้นทางไฟล์
การส่งออกแต่ละครั้งรองรับไม่เกิน 50,000 รายการ หากจำนวนที่ตรงเงื่อนไขเกินขีดจำกัด การส่งออกจะล้มเหลวและไม่แบ่งให้อัตโนมัติ ให้จำกัดช่วงวันที่หรือตัวกรองและส่งออกเป็นชุด พร้อมตรวจสอบขอบเขตเวลาและรายการของแต่ละชุดเพื่อป้องกันการตกหล่นหรือซ้ำ
- รายการว่าง: ตรวจสอบสวิตช์ติดตาม ขอบเขตเป้าหมาย การรับนโยบายและการรายงานของอุปกรณ์ แล้วตรวจสอบวันที่ ตัวกรอง ขอบเขตการจัดการและข้อความแจ้ง การค้นหาผิดพลาดอาจทำให้รายการว่างได้
- บันทึกหรือเส้นทางไม่ครบ: ตรวจสอบข้อมูลเชื่อมโยง อุปกรณ์ที่เกี่ยวข้องและความพร้อมของบันทึก อย่าแปลเส้นทางว่างว่าไม่มีการดำเนินการต่อ
- ต้องปิดกั้นการส่งออก: การติดตามไม่ใช่กฎปิดกั้น ให้ตั้งค่าการควบคุมความปลอดภัยของไฟล์แยกและทดสอบผลจริง
- จำนวนที่ส่งออกต่างจากหน้าปัจจุบัน: ตรวจสอบเงื่อนไขและขอบเขตการส่งออก ซึ่งไม่จำกัดอยู่ที่หน้าปัจจุบัน
วันที่อัปเดต