Configurare Sophos Endpoint Data Loss Prevention
Endpoint Data Loss Prevention controlla se gli utenti possono trasferire contenuti sensibili o determinati file verso destinazioni definite. Le Content Control Lists descrivono i dati sensibili, le DLP Rules collegano condizioni, destinazioni e azioni, mentre la Data Loss Prevention Policy assegna le regole agli Endpoint.
Questa funzione Endpoint è distinta dalle Data Control Policies di Sophos Email. Termini e report dei due prodotti non devono essere mescolati.
Regola per contenuto o per file
Una Content Rule usa una o più Content Control Lists per trovare carte di credito, dati personali o modelli personalizzati. Una File Rule decide in base a nome o tipo di file, ad esempio per bloccare database su supporti rimovibili.
La regola scatta quando tutte le condizioni sono soddisfatte. Se più regole applicano azioni diverse allo stesso file, Sophos esegue la più severa: Block precede la conferma utente, che precede Allow.
| Azione | Fase adatta |
|---|---|
| Allow file transfer | visibilità e baseline degli Event |
| Allow transfer if user confirms | decisione controllata dell’utente |
| Block transfer | divieti chiari e verificati |
Una regola può inviare un’e-mail in caso di violazione. Questa non appare anche come Central Alert, quindi il DLP Event Log resta essenziale.
Content Control Lists
SophosLabs fornisce CCL gestite per dati finanziari e personali comuni. Possono essere filtrate, ma non modificate. Le CCL personalizzate usano termini, una frase esatta o una Advanced Expression.
Le Advanced Expressions sono basate su espressioni regolari Perl 5. Trigger Score, Score e Max Count determinano quando conta una corrispondenza. Sophos Support non crea né esegue il debug di regex personalizzate e rimanda a Professional Services. Testarle sempre con esempi positivi e negativi reali.
Per le Content Rules, il numero di Match definisce quante volte una CCL deve comparire. Un valore basso aumenta i falsi positivi, uno alto può ignorare piccoli set. Le CCL Deprecated continuano a funzionare, ma vanno migrate verso un’alternativa attuale.
Destinazioni ed eccezioni
La regola definisce le destinazioni monitorate e può escludere nomi o tipi di file solo da quella regola. Questa eccezione DLP non è un’eccezione malware generale.
Per i file Microsoft Office, Sophos analizza anche metadati come titolo, commenti, tag, intestazioni, piè di pagina e grafici Excel incorporati. I dati delle firme non vengono analizzati. Il test deve quindi usare lo stesso tipo di documento e percorso di trasferimento del processo reale.
Limiti tecnici dei percorsi di trasferimento
Endpoint DLP non è uno scanner trasparente per qualsiasi operazione sui file. I file inferiori a otto byte non vengono controllati. Dopo l’aggiunta di una destinazione Storage a una regola, Windows richiede logout e nuovo login prima che quel percorso sia monitorato in modo affidabile.
Per i supporti rimovibili, Data Control si aspetta una copia tramite Windows Explorer. Creare direttamente un file sul supporto o usare Save as da un’applicazione può quindi essere bloccato con File transfer method not supported, indipendentemente dalla regola. Salvare prima localmente e poi copiare con Windows Explorer.
Anche i percorsi email e browser dipendono da client e versione. Un normale allegato Outlook può essere rilevato, mentre il drag-and-drop nel corpo usa un altro percorso temporaneo. Web Upload, Webmail, SharePoint, Instant Messaging e Copy-and-paste non sono coperti da un solo test. Verificare ogni applicazione consentita con il suo percorso reale.
⚠️ L’assenza di un Event su un percorso tecnicamente non monitorato non dimostra una corretta decisione di autorizzazione. Verificare prima che Client, azione e destinazione siano supportati da Endpoint DLP.
Creare la policy
Creare prima CCL e regole in Global Settings > Protection & Remediation > Data Loss Prevention, poi una Data Loss Prevention Policy in My Products > Endpoint > Policies, assegnarla ai dispositivi pilota e attivarla.
Tutte le regole vengono valutate in sequenza. Molte regole complesse e file grandi aumentano il carico. Il pilota misura precisione, tempo di copia ed esperienza utente con dimensioni tipiche.
I messaggi utente di conferma o blocco sono limitati a 100 caratteri. Devono comunque indicare scopo e passo successivo, ad esempio il contatto per un’eccezione motivata.
DLP Event Log
In Reports > Endpoint & Server Protection Logs > Data Loss Prevention, Sophos mostra utente, dispositivo, regola, azione, file e destinazione per un massimo di 90 giorni. Ogni export contiene al massimo 5'000 Event.
Un Endpoint può inviare a Sophos Central al massimo 50 Data Control Event all’ora; gli altri restano registrati localmente. Un appiattimento della curva Central durante un evento di massa non prova quindi che l’attività sia terminata.
Strategia di introduzione
Una nuova regola DLP inizia con un piccolo gruppo pilota e l’azione meno severa accettabile. Valutare i risultati con protezione dati, responsabili aziendali e Helpdesk. Solo dopo aver considerato trasferimenti legittimi, account tecnici, archivi e file grandi, passare a conferma o Block.
Non convalidare la policy con un solo modello artificiale. Per ogni destinazione testare almeno un caso aziendale consentito e uno vietato, quindi controllare separatamente Event, messaggio utente ed e-mail.
Troubleshooting
Se mancano risultati, verificare policy effettiva, destinazione, tipo e nome completo del file e numero di Match della CCL. Per troppi falsi positivi, affinare prima la CCL o il numero di Match. Un’eccezione generica per file elimina troppo controllo.
Se un trasferimento sembra riuscire nonostante Block, controllare che sia stata applicata la regola più severa e che il percorso testato appartenga alle destinazioni monitorate. Un record nel report Email Data Control non prova la policy Endpoint DLP.
Se Outlook moderno mostra ancora un allegato al destinatario benché Sophos lo abbia bloccato, non valutare solo la vista di Outlook. Alcune versioni creano un Attachment Header anche se i dati Base64 reali sono vuoti. Sophos Event, dimensione del messaggio e un tentativo controllato di apertura mostrano se i dati sono stati trasferiti.
Più prodotti DLP o Endpoint Security sullo stesso dispositivo possono instrumentare gli stessi processi e operazioni sui file. Conseguenze tipiche sono trasferimenti bloccati indiscriminatamente, azioni Outlook errate o Events mancanti nel sistema di terze parti. Registrare versioni dei prodotti e moduli caricati e verificare il conflitto con le esclusioni specifiche del produttore. Non trasferire senza verifica Registry Workaround di un articolo specifico a un altro prodotto DLP.
Sui dispositivi Windows non uniti a un dominio né gestiti tramite Entra ID, Microsoft Edge dalla versione 129 può enumerare autonomamente i file del desktop. Circa un minuto dopo l’avvio di Edge possono quindi apparire DLP Prompt ed Events anche senza Upload visibile. Un’esclusione Desktop o Browser elimina l’effetto ma riduce notevolmente la copertura DLP. Prima si confermano Process, Join Status e reale tentativo di trasferimento.
Articoli correlati
Il modello comune è spiegato in Introdurre in pratica le Sophos Endpoint Control Policies. Per gruppi target e ordine, vedere Strutturare correttamente le policy Sophos Central Endpoint.