# ตรวจสอบการเคลื่อนไหวของไฟล์และความเสี่ยงในสื่อจัดเก็บแบบถอดได้

Canonical: https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/portable-storage/mobile-storage-insights/

Language: th-TH

Updated: 2026-11-15T03:48:10.479557Z

หน้า **Mobile Storage** สรุปการใช้สื่อจัดเก็บแบบถอดได้ การดำเนินการกับไฟล์และเบาะแสความเสี่ยงของอุปกรณ์ที่ผู้ดูแลมองเห็น เพื่อช่วยตรวจสอบความเป็นเจ้าของอุปกรณ์และการเคลื่อนไหวของไฟล์ การแสดงผลอาศัยบันทึกและข้อมูลเชื่อมโยงที่มีอยู่ รายการว่างหรือจำนวนเป็นศูนย์ไม่พิสูจน์ว่าไม่มีการใช้อุปกรณ์ และไม่สามารถสรุปการรั่วไหลได้โดยตรง

หน้านี้ต่างจากการควบคุมและรับรองความเป็นเจ้าของอุปกรณ์ในระบบจัดการอุปกรณ์ปลายทาง และต่างจากการเข้ารหัสสื่อแบบถอดได้ในระบบป้องกันข้อมูลรั่วไหล การดูความเสี่ยงหรือบันทึกอุปกรณ์ไม่ได้หมายความว่าการเข้าถึงถูกปิดกั้นหรืออุปกรณ์ถูกเข้ารหัสแล้ว

หากค้นหาผลที่มีอยู่ ผู้มีสิทธิ์ดูสามารถไปยังขั้นตอนค้นหาด้านล่างได้โดยตรง โดยไม่ต้องสร้างหรือแก้นโยบายหรือสร้างการทดสอบเพียงเพื่อค้นหา หากต้องตรวจข้อมูลใหม่ ให้ตรวจการตั้งค่าเดิมที่ใช้ได้และใช้ซ้ำหากเหมาะสม ให้ผู้มีสิทธิ์แก้นโยบายตามขั้นตอนด้านล่างเฉพาะเมื่อจำเป็น และดำเนินการตรวจสอบแบบควบคุมต่อไป

## เตรียมข้อมูลและนโยบาย

1.  การดูผลที่มีอยู่ต้องมีสิทธิ์ดูที่เกี่ยวข้อง ส่วนการแก้ไขนโยบายต้องดำเนินการโดยผู้มีสิทธิ์จัดการนโยบาย เมื่อตรวจสอบเบาะแสใหม่ ให้ยืนยันว่าอุปกรณ์ Windows นำร่องเชื่อมต่อ มีสิทธิ์ใช้งานที่เกี่ยวข้อง และอยู่ในขอบเขตที่บัญชีมองเห็น กำหนดวัตถุประสงค์และขอบเขตเข้าถึงข้อมูลการดำเนินการกับไฟล์และอุปกรณ์ตามข้อกำหนดองค์กร
2.  หากต้องเก็บข้อมูลการดำเนินการไฟล์ ให้ตรวจสอบเวลา ขอบเขตและสวิตช์ติดตามไฟล์ของนโยบายที่ใช้กับอุปกรณ์ทดลองใน **Data Loss Prevention > Policy** ใช้การตั้งค่าที่เหมาะสมซ้ำได้ หากจำเป็นให้ผู้ดูแลที่มีสิทธิ์ปรับและบันทึกตาม [นโยบายติดตามไฟล์](https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/file-tracing/flow-tracing-policy/) ยืนยันว่าอุปกรณ์ได้รับและใช้นโยบายแล้ว การบันทึกสำเร็จไม่ได้ยืนยันว่ามีบันทึก ชื่อการ์ดนโยบายบนหน้าจอคือ **Flow Trace**
3.  ใช้ไฟล์ทดสอบที่ไม่มีข้อมูลอ่อนไหวคัดลอกระหว่างอุปกรณ์และสื่อนำร่องตามที่ได้รับอนุญาต จดเวลา ต้นทางและปลายทาง หลังรายงานสามารถตรวจสอบเบาะแสใน [การตรวจสอบการดำเนินการกับไฟล์](https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/file-tracing/) ขอบเขตของแต่ละแพลตฟอร์มและวิธีดำเนินการต้องทดสอบแยกกัน
4.  หากต้องตรวจสอบหรือจัดการเนื้อหาอ่อนไหว ให้ตรวจสอบกฎอ่อนไหวที่ใช้ รวมถึงวัตถุ การดำเนินการ และการตรวจสอบหรือการกระทำอื่นในการตั้งค่าความปลอดภัยไฟล์ก่อน หากจำเป็นให้ผู้มีสิทธิ์ปรับและบันทึกตาม [นโยบายความปลอดภัยไฟล์](https://www.nsecsoft.com/th/docs/ping64-data-security/dlp/file-security/policy/) แล้วตรวจสอบบนอุปกรณ์ทดลอง การติดตามไฟล์ไม่ทดแทนการตรวจจับหรือบล็อกเนื้อหาอ่อนไหว
5.  ตรวจสอบบันทึกการเชื่อมต่อและเจ้าของทรัพย์สิน การรับรองความเป็นเจ้าของและสถานะอุปกรณ์จัดการได้ในหน้าสื่อจัดเก็บของระบบจัดการอุปกรณ์ปลายทาง สถานะเป็นข้อมูลบริหาร ไม่พิสูจน์เพียงลำพังว่าอุปกรณ์ปลายทางปิดกั้นการเข้าถึงแล้ว

## ดูภาพรวมและการดำเนินการกับไฟล์

1.  เปิด **Mobile Storage** ใน **DLP** และเลือกวันที่ค้นหา เมื่อเปิดครั้งแรกช่วงเริ่มต้นคือวันนี้และหกวันก่อนหน้า หากตรวจสอบเหตุการณ์เก่าให้ปรับช่วง
2.  ดูเหตุการณ์เสี่ยง การดำเนินการกับไฟล์อ่อนไหว ไฟล์ที่ส่งออก อุปกรณ์ที่เกี่ยวข้อง ปริมาณส่งรวม การกระจายความเสี่ยงและอันดับอุปกรณ์ใน **Overview** (ภาพรวม) ตัวชี้วัดอาศัยข้อมูลที่มีในช่วงเวลาที่เลือกและอุปกรณ์ที่ผู้ดูแลปัจจุบันมองเห็น ไม่ใช่กิจกรรมทั้งหมดขององค์กร
3.  เลือก **File Operations** (การดำเนินการกับไฟล์) กรองด้วยคำค้นหรือทิศทาง แล้วตรวจสอบเวลา ผู้ใช้ เส้นทางต้นทาง ปลายทางและข้อมูลอุปกรณ์ ทิศทางมีอุปกรณ์ปลายทางไป USB, USB ไปอุปกรณ์ปลายทาง, USB ไป USB และไม่ทราบ ไม่ควรตีความทิศทางที่ไม่ทราบว่าเป็นการส่งออกโดยตรง
4.  เปลี่ยนหน้าตามต้องการ หากหาไฟล์ไม่พบให้ตรวจวันที่ คำค้น ทิศทาง การรายงานของอุปกรณ์และขอบเขตผู้ดูแล หากจำเป็นให้ตรวจร่วมกับเส้นทางต้นทางและปลายทางในบันทึกการดำเนินการกับไฟล์

จำนวนส่งออกและปริมาณส่งรวมเป็นผลรวมจากบันทึกการดำเนินการที่มี ไม่ใช่การวัดข้อมูลหรือการส่งทั้งหมดของอุปกรณ์ ตัวกรองแต่ละแท็บอาจต่างกัน จึงต้องตรวจวันที่และเงื่อนไขก่อนเปรียบเทียบ

## ตรวจสอบเหตุการณ์เสี่ยงและอุปกรณ์

1.  เลือก **Risk Events** (เหตุการณ์เสี่ยง) กรองตามชนิด ระดับหรือคำค้น และตรวจสอบเวลาและคำอธิบาย
2.  เลือก **Devices** (อุปกรณ์) เพื่อดูชื่อ เจ้าของทรัพย์สิน ผู้รับผิดชอบ วัตถุประสงค์ จำนวนการดำเนินการกับไฟล์ ปริมาณส่ง เหตุการณ์เสี่ยงและกิจกรรมล่าสุด ค้นหาและเปลี่ยนหน้าตามต้องการ
3.  ตรวจสอบบริบทร่วมกับการรับรองอุปกรณ์ในระบบจัดการอุปกรณ์ปลายทางและบันทึกของอุปกรณ์ที่เกี่ยวข้อง แล้วสอบสวนตามกระบวนการองค์กร อย่าสรุปว่ามีการกระทำผิดจากระดับหรือชื่อความเสี่ยงเพียงอย่างเดียว

| ชนิดความเสี่ยง | การตีความ |
| --- | --- |
| ไฟล์อ่อนไหว | เป็นเบาะแสจากบันทึกไฟล์อ่อนไหวที่มี ต้องตรวจสอบไฟล์ กฎและการดำเนินการจริง |
| การเคลื่อนไหวข้ามอุปกรณ์ | เป็นเบาะแสว่าสื่อเดียวกันเชื่อมต่อกับอุปกรณ์ต่างกันต่อเนื่องภายใน 24 ชั่วโมง การเชื่อมต่อเพียงอย่างเดียวไม่พิสูจน์ว่ามีการส่งไฟล์ระหว่างอุปกรณ์ |
| การส่งปริมาณมาก | พิจารณาจากบันทึกการดำเนินการกับไฟล์หนึ่งรายการที่มีขนาดตั้งแต่ 1 GiB ขึ้นไป ไม่ใช่การสะสมไฟล์เล็กหลายรายการ |
| อุปกรณ์ที่ถูกระงับปรากฏอีก | เป็นเบาะแสเมื่ออุปกรณ์ที่บันทึกว่าระงับหรือสูญหายเชื่อมต่ออีกครั้ง ยังต้องตรวจตัวตน เวลาเปลี่ยนสถานะและผลเข้าถึงจริง |

## การแก้ไขปัญหา

-   **หน้าว่างหรือตัวเลขต่ำ:** ตรวจวันที่ ขอบเขตผู้ดูแล การเชื่อมต่อและรายงานของอุปกรณ์ รวมทั้งความเหมาะสมของนโยบายติดตามหรือความปลอดภัยไฟล์ ข้อมูลขาดไม่ได้หมายความว่าไม่มีการใช้งาน
-   **รับรองอุปกรณ์แล้วแต่ไม่ปรากฏ:** ตรวจว่ามีกิจกรรมและบันทึกที่ใช้ได้ในช่วงที่เลือกหรือไม่ และตรวจขอบเขตบัญชี ทะเบียนอุปกรณ์กับขอบเขตกิจกรรมในหน้านี้ต่างกัน
-   **ไฟล์อ่อนไหวไม่ถูกทำเครื่องหมาย:** ตรวจสอบกฎอ่อนไหว นโยบาย การตรวจจับ การรายงานและข้อมูลเชื่อมโยง การไม่ทำเครื่องหมายไม่พิสูจน์ว่าไฟล์ไม่อ่อนไหว
-   **พบเหตุการณ์ข้ามอุปกรณ์หรือส่งปริมาณมาก:** ตรวจสอบสื่อ อุปกรณ์ เวลา การดำเนินการไฟล์แต่ละรายการและบริบทธุรกิจก่อนตัดสินใจสอบสวนต่อ
-   **ต้องปิดกั้นอุปกรณ์หรือการส่งไฟล์:** ตรวจสอบการควบคุมอุปกรณ์ในระบบจัดการอุปกรณ์ปลายทางและกฎความปลอดภัยไฟล์ในระบบป้องกันข้อมูลรั่วไหลแยกกัน หน้านี้แสดงความเสี่ยงแต่ไม่ปิดกั้นโดยตรง