Configurer Sophos Endpoint Data Loss Prevention

Sophos Data Loss Prevention (DLP) surveille et limite le transfert de fichiers contenant des données sensibles. Les Content Control Lists (CCL) décrivent les données à protéger et les règles DLP associent des conditions à une action. Les règles sont affectées au moyen de Data Loss Prevention Policies distinctes : sous Endpoint pour les ordinateurs et sous Server pour les serveurs Windows.

Important : La DLP pour les ordinateurs et les serveurs Windows n’est pas identique à Data Control dans Sophos Email. Ces produits utilisent des stratégies et rapports distincts. Cet article traite de la DLP pour les ordinateurs et les serveurs Windows, et non de Sophos Email.

Parcours rapide pour un pilote sûr

1. Sous Global Settings > Protection & Remediation > Data Loss Prevention > Content Control Lists, sélectionner une CCL SophosLabs ou créer une CCL personnalisée.
2. Sous Global Settings > Protection & Remediation > Data Loss Prevention > Rules, créer une Content Rule ou File Rule et choisir d’abord Allow file transfer.
3. Pour les ordinateurs, sous My Products > Endpoint > Policies, créer une Data Loss Prevention Policy, activer Use rules for data transfers, ajouter la règle et affecter la stratégie à un petit groupe pilote. Pour les serveurs Windows, suivre plutôt la procédure distincte pour la stratégie Server.
4. Tester un cas métier autorisé et un interdit avec le type de fichier et le chemin de transfert réels.
5. Examiner les correspondances sous Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Ne passer à la confirmation utilisateur ou au blocage que si la qualité est suffisante.

La détection est ainsi séparée de l’application. Une première définition imprécise n’interrompt donc pas les flux légitimes.

Choisir une Content Rule ou File Rule

Une Content Rule vérifie le contenu des fichiers avec une ou plusieurs CCL. SophosLabs fournit des définitions pour les données financières et personnelles courantes, comme les numéros de carte, adresses postales, numéros de sécurité sociale ou adresses e-mail. Une CCL personnalisée convient aux termes ou motifs propres à l’organisation.

Une File Rule décide selon le nom complet ou le type du fichier. Elle convient lorsque la catégorie de fichier doit elle-même être protégée, par exemple les fichiers de base de données vers une destination définie. Le nom complet comprend l’extension ; les caractères génériques pris en charge par Sophos servent à couvrir plusieurs noms ou extensions.

Une règle ne correspond que si toutes ses conditions obligatoires sont remplies. Si un fichier correspond à plusieurs règles ayant des actions différentes, Sophos applique la plus stricte :

Block transfer prime sur Allow transfer if user confirms, qui prime sur Allow file transfer. Le dépannage doit donc examiner toutes les règles de la stratégie effective.

Préparer les Content Control Lists

Utiliser les CCL SophosLabs existantes

La page Content Control Lists se filtre par région, source et type. Les CCL SophosLabs ne sont pas modifiables. La vue détaillée indique ce que détecte une définition. Sophos peut actualiser indépendamment les types de fichiers inclus dans DLP ; une ancienne matrice de test ne garantit donc pas durablement chaque type.

Le filtre Recommended affiche les CCL conseillées pour la région choisie. Deprecated signale les définitions obsolètes. Les stratégies utilisant une CCL obsolète restent actives, mais Sophos indique que les fonctionnalités peuvent diminuer avec le temps. Il faut migrer méthodiquement vers une alternative actuelle et refaire les tests.

Créer une CCL personnalisée

Sous Content Control Lists > Add Custom Content Control List, saisir le nom, la description et des balises de filtre facultatives. Choisir ensuite une méthode de correspondance adaptée :

• Any of these terms correspond dès qu’un terme saisi est présent.
• All of these terms exige tous les termes saisis.
• Exactly this phrase recherche la phrase exacte sans tenir compte de la casse.
• Advanced Setup utilise une Advanced Expression.

Un nom tel que Finance_Project_Terms peut être repris, mais les termes réels doivent découler des besoins propres. Il est plus sûr de valider quelques termes justifiés avec des fichiers positifs et négatifs que d’importer une longue liste non testée.

Les CCL personnalisées peuvent ensuite être modifiées, exportées, clonées ou supprimées. Un clone est utile pour adapter de façon contrôlée une définition testée à un autre cas.

N’utiliser les Advanced Expressions qu’avec un corpus de test

Les Advanced Expressions emploient les expressions régulières Perl 5. Sous Advanced Setup, configurer Trigger score, Expression, Score et Max count. Sophos exige que Score corresponde à Trigger score ; Max count limite le nombre de contributions d’une expression au score global. Ajouter des expressions étend la portée de la CCL.

Sophos Support n’aide pas à créer ni déboguer les règles DLP Regex personnalisées et renvoie vers Sophos Professional Services. Une expression propre exige donc un jeu de tests versionné comportant correspondances et non-correspondances attendues. Sans cette preuve, conserver Allow file transfer pendant le pilote.

Créer et configurer la règle DLP

1. Sous Global Settings > Protection & Remediation > Data Loss Prevention > Rules, cliquer sur Create New Rule.
2. Choisir New Content Rule ou New File Rule, puis saisir un nom et une description sans ambiguïté.
3. Activer éventuellement Send me email alerts. Selon Sophos, cet e-mail ne crée pas d’alerte supplémentaire dans Sophos Fusion.
4. Pour une File Rule, choisir le nom ou le type. Pour une Content Rule, tous les types de conditions prédéfinis sont obligatoires.
5. Si nécessaire, configurer les exclusions par nom ou type. Elles ne concernent que cette règle et ne sont pas des exclusions malware générales.
6. Choisir d’abord Allow file transfer, puis une action plus stricte après validation de la qualité.
7. Compléter les conditions avec Next: Rule Configuration.

Sophos précise que certaines fonctions peuvent ne pas encore être disponibles pour tous les clients. Si une option décrite ici manque, vérifier d’abord l’état du déploiement sur le tenant au lieu de supposer un autre chemin d’interface.

Pour une Content Rule, sélectionner les CCL sous File Contains et définir le nombre de correspondances requis pour chacune. Une valeur faible déclenche plus tôt ; une valeur élevée tolère davantage d’occurrences. La valeur correcte découle du besoin et des tests, pas d’un réglage universel.

Pour une File Rule, sélectionner les types surveillés sous File types ou saisir les noms complets avec extension sous File names. Choisir ensuite les destinations utiles sous Destination is. Configurer séparément les exclusions par type ou nom complet.

Les fichiers Microsoft Office nécessitent des tests réalistes : Sophos vérifie les CCL dans le texte visible, mais aussi dans des métadonnées comme titres, balises et commentaires, ainsi que les en-têtes, pieds de page, notes et graphiques Excel intégrés. DLP ne peut pas rechercher de correspondances CCL dans les données de signature.

Créer et affecter la stratégie

Créer une stratégie Data Loss Prevention sous My Products > Endpoint > Policies. Dans l’onglet Settings, Use rules for data transfers doit être activé.

Sophos propose deux méthodes :

• Create from Template ajoute une règle prédéfinie après sélection de la région et du modèle. Ajouter d’autres règles avec Add.
• Create Custom Policy commence sans modèle. Add permet de choisir une règle existante ou d’en créer une.

Les règles DLP et les CCL peuvent être utilisées en commun, mais la stratégie pour les serveurs est gérée séparément sous Server. Utiliser un groupe pilote clairement délimité. Construire correctement les stratégies Sophos Fusion Endpoint explique le modèle général de ciblage et de priorité.

Sous Messages For End Users, les messages de confirmation et blocage peuvent être activés, désactivés et complétés. Chaque message est limité à 100 caractères. Si le champ est vide, Sophos affiche la notification standard. Un ajout concis indique l’objectif et l’équipe responsable sans recopier de données sensibles.

Affecter et vérifier séparément la stratégie pour les serveurs Windows

Selon Sophos, la Server Data Loss Prevention Policy n’est disponible que pour les serveurs Windows. L’affectation d’une stratégie Endpoint ne prouve pas que les serveurs sont protégés :

1. Sous My Products > Server > Policies, créer une stratégie Data Loss Prevention, activer Use rules for data transfers dans Settings et ajouter les règles DLP communes nécessaires. Les CCL et les règles restent définies sous Global Settings > Protection & Remediation > Data Loss Prevention.
2. Affecter et activer la stratégie pour les serveurs Windows prévus ou pour un groupe de serveurs délimité. Si plusieurs stratégies correspondent, la première stratégie applicable prévaut ; à défaut, c’est la Base Policy. Les paramètres de plusieurs stratégies ne sont pas combinés.
3. Sous My Products > Server > Servers, ouvrir le serveur pilote et vérifier, dans Policies, la stratégie DLP effectivement appliquée ainsi que les règles de transfert activées et leurs paramètres. La seule affectation à un groupe ne suffit pas. Effectuer ensuite les tests pilotes communs avec des transferts depuis le serveur Windows et la vérification des Events et des actions. Sans accès au tenant et à un serveur de test, l’application effective des règles n’est pas démontrée.

Valider délibérément les performances et le pilote

Les Content Rules inspectent tout le contenu ; le temps augmente donc avec la taille du fichier. Les File Rules ne vérifient que nom ou type et ne dépendent pas de la taille de la même façon. Sophos vérifie les règles séquentiellement pour chaque fichier ; davantage de règles augmente aussi la charge.

Le pilote ne se limite donc pas à un fichier artificiel. Pour chaque destination nécessaire en production, tester un cas autorisé et un interdit avec le type, l’application et le chemin habituels. Consigner le résultat, le message et la durée ressentie. Déployer les Control Policies Sophos Endpoint décrit l’approche commune.

Examiner les Events DLP

Sous Reports > Endpoint & Server Protection Logs > Data Loss Prevention, l’Event Log affiche date et heure, utilisateur, appareil, règle, action, fichier et type de destination. La recherche porte sur utilisateur, appareil ou règle ; les filtres couvrent règle et type de fichier. La période maximale est de 90 jours ; chaque export CSV ou PDF est limité à 5 000 Events.

Un ordinateur Endpoint peut envoyer au maximum 50 Data Control Events par heure à Sophos Fusion. Tous les Events sont aussi journalisés localement. Lors d’un incident volumineux, un rapport Sophos Fusion qui se stabilise ne prouve donc pas l’absence d’autres événements.

Valider séparément trois résultats avant approbation :

1. La règle attendue apparaît dans l’Event Log avec le bon fichier et le bon type de destination.
2. L’action correspond à la règle effective la plus stricte.
3. La notification de confirmation ou blocage et l’e-mail facultatif se comportent comme configuré.

Dépanner sans exclusion prématurée

Aucun Event n’apparaît : vérifier stratégie effective et affectation, Use rules for data transfers, conditions, nom complet et extension, type, CCL, nombre de correspondances et destination. Refaire le test avec un fichier positif connu.

Trop de fichiers correspondent : pour les Content Rules, vérifier termes, expression et nombre avec des exemples négatifs. Pour les File Rules, restreindre noms, caractères génériques et types. Une exclusion générale réduirait le contrôle de tous les transferts correspondants de cette règle.

L’action attendue n’est pas appliquée : rechercher d’autres règles correspondantes dans la même stratégie. Dès qu’une règle plus stricte correspond, elle prévaut sur l’action plus souple examinée initialement.

Le déploiement ralentit sensiblement les transferts : comparer nombre de règles, tailles et surtout Content Rules dans le pilote. Modifier un élément à la fois et remesurer le même jeu de tests pour conserver le lien de cause à effet.

Questions fréquentes