Configurare Sophos Endpoint Data Loss Prevention
Sophos Endpoint Data Loss Prevention (DLP) monitora e limita il trasferimento di file contenenti dati sensibili. La configurazione ha tre livelli: le Content Control Lists (CCL) descrivono i dati da proteggere, le regole DLP collegano le condizioni a un’azione e la Data Loss Prevention Policy assegna le regole a utenti, computer o server Windows.
Importante: Endpoint DLP non equivale a Data Control in Sophos Email. I prodotti usano policy e report separati. Questo articolo riguarda solo la funzione Endpoint.
Percorso rapido per un pilota sicuro
- In Global Settings > Protection & Remediation > Data Loss Prevention > Content Control Lists, selezionare una CCL SophosLabs o crearne una personalizzata.
- In Global Settings > Protection & Remediation > Data Loss Prevention > Rules, creare una Content Rule o File Rule e scegliere inizialmente Allow file transfer.
- In My Products > Endpoint > Policies, creare una Data Loss Prevention Policy, attivare Use rules for data transfers, aggiungere la regola e assegnare la policy a un piccolo gruppo pilota.
- Testare un caso aziendale consentito e uno vietato con il tipo di file e il percorso di trasferimento reali.
- Esaminare le corrispondenze in Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Passare alla conferma utente o al blocco solo quando la qualità è sufficiente.
In questo modo rilevamento e applicazione restano separati e una prima definizione imprecisa non interrompe flussi legittimi.
Scegliere una Content Rule o File Rule
Una Content Rule verifica il contenuto tramite una o più CCL. SophosLabs offre definizioni per dati finanziari e personali comuni, come numeri di carta, indirizzi postali, numeri di previdenza sociale o indirizzi email. Una CCL personalizzata è adatta a termini o modelli specifici dell’organizzazione.
Una File Rule decide in base al nome completo o al tipo di file. È adatta quando va protetta la categoria stessa, ad esempio file di database verso una destinazione definita. Il nome completo comprende l’estensione; per più nomi o estensioni si usano i caratteri jolly supportati da Sophos.
Una regola corrisponde solo se sono soddisfatte tutte le condizioni richieste. Se un file corrisponde a più regole con azioni diverse, Sophos applica la più severa:
| Azione | Fase di distribuzione adatta |
|---|---|
| Allow file transfer | verificare rilevamento e baseline degli Event |
| Allow transfer if user confirms | far confermare eccezioni giustificate |
| Block transfer | impedire trasferimenti definiti e testati |
Block transfer ha priorità su Allow transfer if user confirms, che ha priorità su Allow file transfer. Il troubleshooting deve quindi considerare tutte le regole della policy effettiva.
Preparare le Content Control Lists
Usare CCL SophosLabs esistenti
La pagina Content Control Lists si filtra per area geografica, origine e tipo. Le CCL SophosLabs non sono modificabili. La vista dettagli mostra cosa rileva una definizione. Sophos può aggiornare autonomamente i tipi inclusi in DLP, quindi una vecchia matrice di test non garantisce permanentemente ogni tipo.
Il filtro Recommended mostra le CCL suggerite per l’area scelta. Deprecated identifica definizioni obsolete. Le policy con una CCL deprecata restano attive, ma Sophos indica che la funzionalità può ridursi nel tempo. Occorre migrare in modo controllato a un’alternativa attuale e ripetere i test.
Creare una CCL personalizzata
In Content Control Lists > Add Custom Content Control List, inserire nome, descrizione e tag di filtro facoltativi. Scegliere quindi un metodo di corrispondenza appropriato:
- Any of these terms corrisponde se compare uno dei termini inseriti.
- All of these terms richiede tutti i termini inseriti.
- Exactly this phrase cerca la frase esatta senza distinzione tra maiuscole e minuscole.
- Advanced Setup usa una Advanced Expression.
Si può riutilizzare un nome come Finance_Project_Terms, ma i termini reali devono derivare dai propri requisiti. È più sicuro verificare pochi termini motivati con file positivi e negativi che importare una lunga lista non testata.
Le CCL personalizzate possono poi essere modificate, esportate, clonate o eliminate. Un clone è utile per adattare in modo controllato una definizione testata a un altro caso.
Usare Advanced Expressions solo con un corpus di test
Le Advanced Expressions usano espressioni regolari Perl 5. In Advanced Setup configurare Trigger score, Expression, Score e Max count. Sophos richiede che Score coincida con Trigger score; Max count limita quante volte un’espressione contribuisce al punteggio totale. Aggiungere espressioni amplia l’ambito della CCL.
Sophos Support non assiste nella creazione o nel debug di regole DLP Regex personalizzate e rimanda a Sophos Professional Services. Un’espressione propria richiede quindi un set di test versionato con corrispondenze e non corrispondenze attese. Senza questa evidenza, mantenere Allow file transfer durante il pilota.
Creare e configurare la regola DLP
- In Global Settings > Protection & Remediation > Data Loss Prevention > Rules, fare clic su Create New Rule.
- Scegliere New Content Rule o New File Rule, poi inserire nome e descrizione non ambigui.
- Attivare facoltativamente Send me email alerts. Secondo Sophos, l’email non crea un alert aggiuntivo in Sophos Central.
- Per una File Rule, scegliere nome o tipo. Per una Content Rule, tutti i tipi di condizione predefiniti sono obbligatori.
- Se necessario, configurare esclusioni per nome o tipo. Valgono solo per questa regola e non sono esclusioni malware generali.
- Scegliere inizialmente Allow file transfer e passare a un’azione più severa dopo l’approvazione della qualità.
- Completare le condizioni con Next: Rule Configuration.
Sophos segnala che alcune funzioni potrebbero non essere ancora disponibili per tutti i clienti. Se manca un’opzione descritta qui, verificare prima lo stato di distribuzione del tenant anziché presumere un percorso UI diverso.
Per una Content Rule, selezionare le CCL in File Contains e impostare il numero di corrispondenze richiesto per ciascuna. Un valore basso attiva prima; uno alto tollera più occorrenze. Il valore corretto deriva dal requisito e dai test, non da un’impostazione universale.
Per una File Rule, scegliere i tipi monitorati in File types oppure inserire nomi completi con estensione in File names. Selezionare poi in Destination is le destinazioni pertinenti. Configurare separatamente le esclusioni per tipo o nome completo.
I file Microsoft Office richiedono test realistici: Sophos verifica le CCL nel testo visibile ma anche in metadati come titoli, tag e commenti, oltre che in intestazioni, piè di pagina, note e grafici Excel incorporati. DLP non può cercare corrispondenze CCL nei dati di firma.
Creare e assegnare la policy
Creare una policy Data Loss Prevention in My Products > Endpoint > Policies. Nella scheda Settings, Use rules for data transfers deve essere attivo.
Sophos offre due percorsi:
- Create from Template aggiunge una regola predefinita dopo la scelta di area e modello. Aggiungere altre regole con Add.
- Create Custom Policy parte senza modello. Con Add si sceglie una regola esistente o se ne crea una nuova.
La policy può essere assegnata a utenti, computer e server Windows. Per la distribuzione usare un gruppo pilota ben delimitato. Strutturare correttamente le policy Sophos Central Endpoint spiega il modello generale di destinazione e priorità.
In Messages For End Users, i messaggi di conferma e blocco possono essere attivati, disattivati e integrati. Ogni messaggio è limitato a 100 caratteri. Se il campo è vuoto, Sophos mostra la notifica standard. Un’aggiunta concisa indica scopo e team responsabile senza copiare dati sensibili.
Verificare deliberatamente prestazioni e pilota
Le Content Rules esaminano l’intero contenuto, quindi il tempo aumenta con la dimensione. Le File Rules controllano solo nome o tipo e non dipendono allo stesso modo dalla dimensione. Sophos verifica le regole in sequenza per ogni file; più regole aumentano il lavoro.
Il pilota include quindi più di un file artificiale. Per ogni destinazione necessaria in produzione, testare un caso consentito e uno vietato con tipo, applicazione e percorso abituali. Registrare risultato, messaggio e durata percepita. Introdurre in pratica le Sophos Endpoint Control Policies descrive l’approccio condiviso.
Esaminare gli Event DLP
In Reports > Endpoint & Server Protection Logs > Data Loss Prevention, l’Event Log mostra data e ora, utente, dispositivo, regola, azione, file e tipo di destinazione. È possibile cercare per utente, dispositivo o regola e filtrare per regola e tipo. Il periodo massimo è 90 giorni; ogni esportazione CSV o PDF è limitata a 5.000 Event.
Un computer Endpoint può inviare al massimo 50 Data Control Event all’ora a Sophos Central. Tutti gli Event sono registrati anche localmente. Durante un incidente ad alto volume, un report Central che si appiattisce non dimostra che non vi siano stati altri eventi.
Prima dell’approvazione verificare separatamente tre risultati:
- La regola prevista appare nell’Event Log con nome file e tipo di destinazione corretti.
- L’azione corrisponde alla regola effettiva più severa.
- La notifica di conferma o blocco e l’email facoltativa si comportano come configurato.
Risolvere i problemi senza un’esclusione prematura
Non appare alcun Event: verificare policy effettiva e assegnazione, Use rules for data transfers, condizioni, nome completo ed estensione, tipo, CCL, numero di corrispondenze e destinazione. Ripetere con un file positivo noto.
Corrispondono troppi file: per le Content Rules verificare termini, espressione e numero con esempi negativi. Per le File Rules restringere nomi, caratteri jolly e tipi. Un’esclusione ampia ridurrebbe il controllo per tutti i trasferimenti corrispondenti della regola.
L’azione attesa non viene applicata: cercare altre regole corrispondenti nella stessa policy. Appena corrisponde una regola più severa, questa prevale sull’azione più lieve esaminata inizialmente.
La distribuzione rallenta sensibilmente i trasferimenti: confrontare numero di regole, dimensioni e soprattutto Content Rules nel pilota. Modificare un elemento alla volta e rimisurare lo stesso set per attribuire causa ed effetto.