Bản ghi thao tác tệp

Flow Trace thu thập dấu vết thao tác và luân chuyển tệp để hỗ trợ điều tra việc sử dụng, di chuyển tệp trên thiết bị. File Activity hiển thị các bản ghi nền tảng đã nhận mà quản trị viên hiện tại được phép xem. Mô tả điều kiện thu thập ở đây lấy thiết bị Windows làm ví dụ; cần kiểm thử riêng các nền tảng và phương thức thao tác khác.

Truy vết và kiểm soát bảo mật tệp có mục đích khác nhau: bật truy vết không tự động chặn gửi ra ngoài và không bảo đảm khôi phục đầy đủ mọi thao tác. Kết quả rỗng không chứng minh thao tác liên quan chưa xảy ra.

Xem cấu hình đầy đủ tại Chính sách theo dõi hoạt động tệp.

Nếu chỉ tra cứu bản ghi hiện có, hãy dùng tài khoản có quyền xem phù hợp và chuyển trực tiếp đến các bước tra cứu bên dưới. Không cần tạo chính sách hay phát sinh sự kiện thử nghiệm chỉ để tra cứu. Để xác minh bản ghi mới, trước tiên hãy kiểm tra chính sách hiện có đang áp dụng; chỉ người có quyền quản lý chính sách mới điều chỉnh khi cần trước khi thử nghiệm.

Chuẩn bị

• Xem bản ghi cần quyền xem kiểm toán tương ứng; xuất dữ liệu cần quyền xuất. Việc sửa chính sách cần người có quyền quản lý chính sách phòng chống thất thoát dữ liệu. Khi xác minh bản ghi mới, kiểm tra thiết bị đã kết nối và có giấy phép phù hợp.
• Khi xác minh bản ghi mới, chọn thiết bị Windows thử nghiệm và thao tác cần xác minh, chẳng hạn sao chép hoặc di chuyển tệp thử không chứa nội dung nhạy cảm. Nếu liên quan nhiều thiết bị, kiểm tra riêng ứng dụng khách và phạm vi chính sách của từng thiết bị.
• Đường dẫn, tài khoản và bản ghi có thể chứa thông tin nhạy cảm. Cần xác định mục đích thu thập, quyền xem, vị trí và thời hạn lưu giữ theo quy định tổ chức.

Bật truy vết luân chuyển

Khi xác minh bản ghi mới, trước tiên kiểm tra thiết bị áp dụng, thời gian hiệu lực và công tắc Flow Trace trong chính sách DLP. Dùng lại cấu hình phù hợp; chỉ khi cần, người có quyền mới điều chỉnh, lưu và chờ thiết bị nhận và áp dụng. Công tắc này không thay thế quy tắc chặn bảo mật tệp. Xem đầy đủ tại chính sách truy vết luân chuyển.

Kiểm tra thu thập và tra cứu

Để xem bản ghi hiện có, bắt đầu từ bước 2; bước 1 chỉ dùng để xác minh bản ghi mới.

1. Để xác minh bản ghi mới: Xác nhận thiết bị thử nghiệm trực tuyến, ứng dụng khách đang chạy và đã nhận chính sách. Dùng tệp thử thực hiện một lần sao chép hoặc di chuyển được tổ chức cho phép; ghi lại thời gian, thiết bị, vị trí nguồn và đích.
2. Khi xác minh bản ghi mới, trước hết chờ thiết bị xử lý và báo cáo. Mở File Activity trong DLP. Chọn khoảng ngày và nhập từ khóa nếu cần; đối chiếu thời gian sự kiện và múi giờ của tổ chức.
3. Thu hẹp bằng các bộ lọc được cung cấp như nhóm, thiết bị, đường dẫn nguồn, đường dẫn đích, loại thao tác, loại thiết bị lưu trữ di động hoặc kích thước tệp. Phương thức khớp cụ thể theo hướng dẫn trên trang.
4. Kiểm tra các trường có sẵn như thiết bị, tài khoản, thao tác, đường dẫn, kích thước và thời gian; chuyển trang nếu cần. Đối chiếu kết quả với thao tác được điều tra hoặc thao tác thử cùng bằng chứng khác.

Ví dụ, khi điều tra việc sao chép sang thiết bị lưu trữ di động, có thể chọn thời gian và thiết bị rồi kết hợp loại thao tác, đường dẫn và điều kiện thiết bị. Kết quả chỉ phản ánh bản ghi đã thu thập và tài khoản hiện tại nhìn thấy; không thể tự chứng minh rò rỉ hoặc tái dựng toàn bộ quá trình.

Xem chi tiết và truy vết

Mở chi tiết bản ghi để kiểm tra thao tác và thiết bị. Nếu trang cung cấp truy vết luân chuyển, có thể xem các dấu vết hệ thống liên kết được và kiểm tra các nút trong chế độ xem có sẵn.

Không phải bản ghi nào cũng tạo thành đường truy vết đầy đủ: thiếu thông tin liên kết, bản ghi không khả dụng hoặc lỗi truy vấn có thể gây kết quả rỗng hoặc thông báo. Khi điều tra qua nhiều thiết bị, kiểm tra riêng ứng dụng khách, chính sách và trạng thái báo cáo của từng thiết bị, đồng thời đối chiếu bằng chứng khác.

Xem File Activity của một thiết bị: Tìm thiết bị trong danh sách, mở Apps trong chi tiết, chọn Open window trên Audit records, rồi chọn File Activity. Kiểm tra thiết bị, ngày, từ khóa và các trang. Cửa sổ ban đầu bao gồm hôm nay và 29 ngày trước đó, có thể khác trang chức năng. Lối vào này không bật thu thập; lỗi truy vấn cũng có thể làm danh sách trống. Kiểm tra quyền, mạng và việc báo cáo; danh sách trống không chứng minh không có hoạt động. Nút xuất trong cửa sổ này không xuất bản ghi; lấy tài liệu cần thiết riêng theo quy trình của tổ chức.

Xuất và khắc phục sự cố

Quản trị viên có quyền xuất có thể dùng thao tác xuất trong danh sách. Phạm vi xuất áp dụng ngày, từ khóa và bộ lọc hiện tại, không chỉ giới hạn ở trang đang hiển thị. Sau khi xuất, kiểm tra phạm vi và nội dung, đồng thời bảo vệ thông tin tài khoản, thiết bị và đường dẫn.

Mỗi lần xuất hỗ trợ tối đa 50,000 bản ghi. Nếu số bản ghi phù hợp vượt giới hạn, việc xuất sẽ thất bại và không tự chia nhỏ. Hãy thu hẹp khoảng ngày hoặc bộ lọc rồi xuất theo nhiều đợt; kiểm tra ranh giới thời gian và phạm vi mỗi đợt để tránh thiếu hoặc trùng.

• Danh sách rỗng: Kiểm tra công tắc truy vết, phạm vi, việc nhận chính sách và báo cáo, sau đó kiểm tra ngày, bộ lọc, phạm vi quản lý và thông báo. Lỗi truy vấn cũng có thể làm danh sách rỗng.
• Bản ghi hoặc đường truy vết không đầy đủ: Kiểm tra thông tin liên kết, thiết bị liên quan và khả năng sử dụng bản ghi; không diễn giải đường rỗng là không có thao tác tiếp theo.
• Cần chặn gửi ra ngoài: Truy vết không phải quy tắc chặn; cần cấu hình kiểm soát bảo mật tệp riêng và kiểm chứng hiệu quả.
• Số lượng xuất khác trang hiện tại: Kiểm tra điều kiện và phạm vi xuất; kết quả không giới hạn ở trang hiện tại.