# บันทึกการทำงานกับไฟล์

Canonical: https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/file-tracing/file-operation-records/

Language: th-TH

Updated: 2026-11-15T03:48:18.671968Z

**Flow Trace** ใช้รวบรวมเบาะแสการดำเนินการและการเคลื่อนไหวของไฟล์ เพื่อช่วยตรวจสอบการใช้และการเคลื่อนย้ายบนอุปกรณ์ **File Activity** แสดงบันทึกที่แพลตฟอร์มได้รับและผู้ดูแลระบบปัจจุบันมีสิทธิ์ดู คำอธิบายเงื่อนไขการเก็บข้อมูลนี้ใช้อุปกรณ์ Windows เป็นตัวอย่าง ส่วนแพลตฟอร์มและวิธีดำเนินการอื่นต้องทดสอบแยกกัน

การติดตามและการควบคุมความปลอดภัยของไฟล์มีวัตถุประสงค์ต่างกัน การเปิดติดตามไม่เท่ากับปิดกั้นการส่งออกโดยอัตโนมัติ และไม่รับประกันว่าจะสร้างลำดับการกระทำทั้งหมดกลับมาได้ ผลค้นหาว่างไม่ได้หมายความว่าการดำเนินการไม่เกิดขึ้น

ดูการตั้งค่าทั้งหมดใน [นโยบายติดตามกิจกรรมไฟล์](https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/file-tracing/flow-tracing-policy/)

หากเพียงค้นหาบันทึกที่มีอยู่ ให้ใช้บัญชีที่มีสิทธิ์ดูที่เหมาะสมและไปยังขั้นตอนค้นหาด้านล่างได้โดยตรง ไม่จำเป็นต้องสร้างนโยบายหรือเหตุการณ์ทดสอบเพื่อการค้นหา หากต้องการตรวจสอบบันทึกใหม่ ให้ตรวจสอบนโยบายที่มีผลอยู่ก่อน และให้ผู้มีสิทธิ์จัดการนโยบายปรับเฉพาะเมื่อจำเป็นก่อนทดสอบนำร่อง

## การเตรียมการ

-   การดูและส่งออกบันทึกต้องมีสิทธิ์ดูข้อมูลตรวจสอบและสิทธิ์ส่งออกตามลำดับ การเปลี่ยนนโยบายต้องใช้ผู้มีสิทธิ์จัดการนโยบายป้องกันข้อมูลรั่วไหล เมื่อตรวจบันทึกใหม่ให้ตรวจการเชื่อมต่อและสิทธิ์ใช้งานของอุปกรณ์
-   เมื่อต้องการตรวจบันทึกใหม่ กำหนดอุปกรณ์ Windows นำร่องและการดำเนินการที่จะทดสอบ เช่น คัดลอกหรือย้ายไฟล์ทดสอบที่ไม่มีข้อมูลอ่อนไหว หากเกี่ยวข้องหลายอุปกรณ์ให้ตรวจสอบไคลเอนต์และขอบเขตนโยบายของแต่ละเครื่อง
-   เส้นทางไฟล์ บัญชี และบันทึกอาจมีข้อมูลอ่อนไหว จึงต้องกำหนดวัตถุประสงค์ สิทธิ์ดู ที่เก็บ และระยะเวลาเก็บรักษาตามข้อกำหนดองค์กรก่อน

## เปิดการติดตาม

เมื่อต้องการตรวจบันทึกใหม่ ให้ตรวจอุปกรณ์ที่นโยบายครอบคลุม เวลาเริ่มมีผล และสวิตช์ **Flow Trace** ในหน้านโยบาย **DLP** ก่อน หากการตั้งค่าเดิมเหมาะสมให้ใช้ซ้ำ เฉพาะเมื่อจำเป็นให้ผู้มีสิทธิ์ปรับและบันทึก แล้วรอให้อุปกรณ์รับและใช้นโยบาย สวิตช์นี้ไม่ทดแทนกฎปิดกั้นเพื่อความปลอดภัยของไฟล์ ดูขั้นตอนทั้งหมดใน[นโยบายติดตาม](https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/file-tracing/flow-tracing-policy/)

## ทดสอบการเก็บข้อมูลและค้นหา

หากค้นหาบันทึกที่มีอยู่ ให้เริ่มที่ขั้นตอน 2 ขั้นตอน 1 ใช้เฉพาะการตรวจบันทึกใหม่

1.  หากต้องการตรวจบันทึกใหม่: ตรวจสอบว่าอุปกรณ์นำร่องออนไลน์ ไคลเอนต์ทำงาน และได้รับนโยบายแล้ว ใช้ไฟล์ทดสอบดำเนินการคัดลอกหรือย้ายที่องค์กรอนุญาตหนึ่งครั้ง จดเวลา อุปกรณ์ ต้นทางและปลายทาง
2.  เมื่อตรวจบันทึกใหม่ ให้รออุปกรณ์ประมวลผลและรายงานก่อน เปิด **File Activity** ใน **DLP** เลือกช่วงวันที่และคำค้นตามต้องการ ตรวจสอบช่วงโดยอ้างอิงเวลาเหตุการณ์และเขตเวลาขององค์กร
3.  จำกัดผลด้วยตัวกรองที่มี เช่น กลุ่ม อุปกรณ์ เส้นทางต้นทาง เส้นทางปลายทาง ชนิดการดำเนินการ ชนิดสื่อจัดเก็บแบบถอดได้ หรือขนาดไฟล์ วิธีจับคู่ให้ยึดคำแนะนำในหน้า
4.  ตรวจสอบข้อมูลที่มี เช่น อุปกรณ์ บัญชี การดำเนินการ เส้นทาง ขนาดไฟล์และเวลา และเปลี่ยนหน้าตามจำเป็น เปรียบเทียบผลกับการดำเนินการที่ตรวจสอบหรือการทดสอบและหลักฐานอื่น

ตัวอย่างเช่น เมื่อตรวจสอบว่าไฟล์ถูกคัดลอกไปยังสื่อแบบถอดได้หรือไม่ ให้เลือกเวลาและอุปกรณ์ที่เกี่ยวข้อง แล้วกรองด้วยชนิดการดำเนินการ เส้นทาง และเงื่อนไขสื่อ ผลแสดงเฉพาะบันทึกที่เก็บได้และบัญชีปัจจุบันมองเห็น ไม่สามารถพิสูจน์การรั่วไหลหรือสร้างเหตุการณ์ทั้งหมดกลับมาได้โดยลำพัง

## ดูรายละเอียดและติดตาม

เปิดรายละเอียดของบันทึกเพื่อตรวจสอบการดำเนินการและอุปกรณ์ หากหน้าจอมีการติดตามการเคลื่อนไหว สามารถดูเบาะแสที่ระบบเชื่อมโยงได้และตรวจสอบโหนดในมุมมองที่มี

ไม่ใช่ทุกบันทึกจะมีเส้นทางติดตามครบถ้วน ข้อมูลเชื่อมโยงขาดหาย บันทึกใช้ไม่ได้ หรือการค้นหาล้มเหลวอาจทำให้ผลว่างหรือมีข้อความแจ้ง เมื่อตรวจสอบข้ามอุปกรณ์ให้ตรวจสอบไคลเอนต์ นโยบายและสถานะรายงานของแต่ละเครื่อง และพิจารณาร่วมกับหลักฐานอื่น

**ดู File Activity ของเครื่องเดียว:** ค้นหาเครื่องในรายการ เปิด **Apps** ในรายละเอียด เลือก **Open window** บน **Audit records** แล้วเลือก **File Activity** ตรวจสอบเครื่อง วันที่ คำค้นและหน้ารายการ ช่วงเริ่มต้นของหน้าต่างคือวันนี้และ 29 วันก่อนหน้า ซึ่งอาจต่างจากหน้าฟังก์ชัน ทางเข้านี้ไม่ได้เปิดการเก็บข้อมูล และการค้นหาล้มเหลวอาจทำให้รายการว่าง ตรวจสิทธิ์ เครือข่ายและการรายงาน รายการว่างไม่ได้พิสูจน์ว่าไม่มีกิจกรรม ปุ่มส่งออกในหน้าต่างนี้ไม่ส่งออกบันทึก ให้จัดหาหลักฐานที่ต้องการแยกตามขั้นตอนองค์กร

## ส่งออกและแก้ไขปัญหา

ผู้ดูแลที่มีสิทธิ์ส่งออกสามารถใช้คำสั่งในรายการ การส่งออกใช้วันที่ คำค้น และตัวกรองปัจจุบัน ไม่จำกัดเฉพาะหน้าที่แสดง หลังส่งออกให้ตรวจสอบขอบเขตและเนื้อหา และปกป้องข้อมูลบัญชี อุปกรณ์ และเส้นทางไฟล์

การส่งออกแต่ละครั้งรองรับไม่เกิน `50,000` รายการ หากจำนวนที่ตรงเงื่อนไขเกินขีดจำกัด การส่งออกจะล้มเหลวและไม่แบ่งให้อัตโนมัติ ให้จำกัดช่วงวันที่หรือตัวกรองและส่งออกเป็นชุด พร้อมตรวจสอบขอบเขตเวลาและรายการของแต่ละชุดเพื่อป้องกันการตกหล่นหรือซ้ำ

-   **รายการว่าง:** ตรวจสอบสวิตช์ติดตาม ขอบเขตเป้าหมาย การรับนโยบายและการรายงานของอุปกรณ์ แล้วตรวจสอบวันที่ ตัวกรอง ขอบเขตการจัดการและข้อความแจ้ง การค้นหาผิดพลาดอาจทำให้รายการว่างได้
-   **บันทึกหรือเส้นทางไม่ครบ:** ตรวจสอบข้อมูลเชื่อมโยง อุปกรณ์ที่เกี่ยวข้องและความพร้อมของบันทึก อย่าแปลเส้นทางว่างว่าไม่มีการดำเนินการต่อ
-   **ต้องปิดกั้นการส่งออก:** การติดตามไม่ใช่กฎปิดกั้น ให้ตั้งค่าการควบคุมความปลอดภัยของไฟล์แยกและทดสอบผลจริง
-   **จำนวนที่ส่งออกต่างจากหน้าปัจจุบัน:** ตรวจสอบเงื่อนไขและขอบเขตการส่งออก ซึ่งไม่จำกัดอยู่ที่หน้าปัจจุบัน