Sophos Endpoint Data Loss Prevention konfigurieren

Sophos Data Loss Prevention (DLP) überwacht und beschränkt die Übertragung von Dateien mit sensiblen Daten. Content Control Lists (CCLs) beschreiben schützenswerte Daten, DLP-Regeln verbinden Bedingungen mit einer Aktion. Die Regeln werden über getrennte Data Loss Prevention Policies zugewiesen: unter Endpoint für Computer und unter Server für Windows-Server.

Wichtig: DLP für Computer und Windows-Server ist nicht dasselbe wie Data Control in Sophos Email. Die Produkte verwenden getrennte Policies und Auswertungen. Dieser Artikel behandelt DLP für Computer und Windows-Server, nicht Sophos Email.

Schnellweg für einen sicheren Pilot

1. Unter Global Settings > Protection & Remediation > Data Loss Prevention > Content Control Lists eine vorhandene SophosLabs-CCL auswählen oder eine eigene CCL erstellen.
2. Unter Global Settings > Protection & Remediation > Data Loss Prevention > Rules eine Content Rule oder File Rule erstellen und zunächst Allow file transfer wählen.
3. Für Computer unter My Products > Endpoint > Policies eine Data Loss Prevention Policy erstellen, Use rules for data transfers einschalten, die Regel hinzufügen und die Policy einer kleinen Pilotgruppe zuweisen. Für Windows-Server stattdessen den separaten Server-Policy-Weg verwenden.
4. Einen erlaubten und einen unerlaubten Geschäftsfall mit dem echten Dateityp und Übertragungsweg testen.
5. Die Treffer unter Reports > Endpoint & Server Protection Logs > Data Loss Prevention auswerten. Erst danach bei ausreichender Trefferqualität auf Benutzerbestätigung oder Blockierung umstellen.

Damit trennt man die Erkennung von der Durchsetzung. Ein ungenauer erster Entwurf unterbricht so keine legitimen Arbeitsabläufe.

Content Rule oder File Rule wählen

Eine Content Rule prüft Dateiinhalte anhand einer oder mehrerer CCLs. SophosLabs stellt Definitionen für verbreitete Finanz- und Personendaten bereit, etwa Kreditkartennummern, Postadressen, Sozialversicherungsnummern oder E-Mail-Adressen. Eine eigene CCL eignet sich für unternehmensspezifische Begriffe oder Muster.

Eine File Rule entscheidet anhand des vollständigen Dateinamens oder des Dateityps. Sie ist passend, wenn bereits die Dateiart geschützt werden soll, zum Beispiel Datenbankdateien auf einem definierten Übertragungsziel. Beim vollständigen Dateinamen gehört die Erweiterung dazu; für mehrere passende Namen oder Erweiterungen werden die von Sophos unterstützten Wildcards verwendet.

Eine Regel trifft nur, wenn alle darin verlangten Bedingungen erfüllt sind. Passt eine Datei zu mehreren Regeln mit unterschiedlichen Aktionen, setzt Sophos die strengste Aktion durch:

Block transfer hat Vorrang vor Allow transfer if user confirms, und diese Aktion wiederum vor Allow file transfer. Deshalb müssen im Troubleshooting immer alle Regeln der effektiven Policy betrachtet werden.

Content Control Lists vorbereiten

Vorhandene SophosLabs-CCLs verwenden

Die Seite Content Control Lists lässt sich nach Region, Quelle und Typ filtern. SophosLabs-CCLs können nicht bearbeitet werden. Die Detailansicht zeigt, welche Daten eine Definition erkennt. Sophos kann die von DLP berücksichtigten Dateitypen unabhängig aktualisieren; eine alte Testmatrix ist deshalb keine dauerhafte Zusage für jeden Dateityp.

Der Filter Recommended zeigt die für eine gewählte Region empfohlenen CCLs. Deprecated kennzeichnet veraltete Definitionen. Policies mit einer Deprecated-CCL bleiben aktiviert, ihre Funktion kann laut Sophos aber mit der Zeit eingeschränkt werden. Solche Trefferdefinitionen werden deshalb kontrolliert auf eine aktuelle Alternative umgestellt und erneut getestet.

Eigene CCL erstellen

Unter Content Control Lists > Add Custom Content Control List werden Name, Beschreibung und optionale Filter-Tags erfasst. Danach wird genau ein passendes Suchverfahren gewählt:

• Any of these terms trifft, sobald einer der eingetragenen Begriffe vorkommt.
• All of these terms verlangt alle eingetragenen Begriffe.
• Exactly this phrase sucht die exakte Phrase ohne Beachtung der Gross-/Kleinschreibung.
• Advanced Setup verwendet eine Advanced Expression.

Ein Name wie Finance_Project_Terms darf übernommen werden; die eigentlichen Begriffe müssen aus dem eigenen Schutzbedarf stammen. Es ist sicherer, wenige klar begründete Begriffe mit positiven und negativen Beispieldateien zu prüfen, als eine lange, ungetestete Wortliste zu importieren.

Eigene CCLs lassen sich später bearbeiten, exportieren, klonen oder löschen. Ein Klon ist nützlich, wenn eine getestete Definition für einen zweiten Anwendungsfall kontrolliert abgewandelt werden soll.

Advanced Expression nur mit Testkorpus einsetzen

Advanced Expressions verwenden Perl-5-Regular-Expressions. Unter Advanced Setup werden Trigger score, Expression, Score und Max count gesetzt. Sophos verlangt, dass Score und Trigger score übereinstimmen; Max count begrenzt, wie oft ein Ausdruck zur Gesamtpunktzahl beiträgt. Mehrere Ausdrücke erweitern den Umfang der CCL.

Sophos Support unterstützt die Erstellung oder Fehlersuche kundenspezifischer Regex-DLP-Regeln nicht und verweist dafür auf Sophos Professional Services. Vor dem Einsatz braucht eine eigene Expression daher einen versionierten Testsatz mit erwarteten Treffern und Nichttreffern. Ohne diesen Nachweis bleibt die Regel im Pilot bei Allow file transfer.

DLP-Regel erstellen und konfigurieren

1. Unter Global Settings > Protection & Remediation > Data Loss Prevention > Rules auf Create New Rule klicken.
2. New Content Rule oder New File Rule wählen und einen eindeutigen Namen sowie eine Beschreibung erfassen.
3. Optional Send me email alerts einschalten. Diese E-Mail erzeugt laut Sophos keinen zusätzlichen Alert in Sophos Fusion.
4. Bei einer File Rule zwischen Dateiname und Dateityp wählen. Bei einer Content Rule sind alle vorgegebenen Bedingungstypen erforderlich.
5. Falls nötig, Ausnahmen nach Dateiname oder Dateityp festlegen. Sie gelten nur für diese Regel und sind keine allgemeine Malware-Ausnahme.
6. Zunächst Allow file transfer, später bei freigegebener Trefferqualität eine strengere Aktion auswählen.
7. Mit Next: Rule Configuration die Bedingungen vervollständigen.

Sophos weist darauf hin, dass einzelne Funktionen möglicherweise noch nicht für alle Kunden verfügbar sind. Fehlt eine hier beschriebene Option, wird deshalb zuerst der Rollout-Status des Tenants geklärt, statt einen abweichenden UI-Pfad anzunehmen.

Bei einer Content Rule werden unter File Contains die CCLs und für jede Auswahl die Anzahl der erforderlichen Matches festgelegt. Ein niedriger Wert löst früher aus, ein höherer toleriert mehr Vorkommen, bevor die Regel trifft. Der passende Wert entsteht aus Schutzbedarf und Testfällen, nicht aus einem pauschalen Standard.

Bei einer File Rule werden unter File types die zu überwachenden Typen gewählt oder unter File names vollständige Namen inklusive Erweiterung eingetragen. Danach werden unter Destination is die für den Geschäftsfall relevanten Ziele ausgewählt. Ausnahmen werden anschliessend separat nach Dateityp oder vollständigem Dateinamen konfiguriert.

Microsoft-Office-Dateien benötigen realistische Tests: Sophos prüft CCLs nicht nur im sichtbaren Dokumenttext, sondern auch in Metadaten wie Titel, Tags und Kommentaren sowie in Kopfzeilen, Fusszeilen, Fussnoten und eingebetteten Excel-Diagrammen. Signaturdaten kann DLP dagegen nicht auf CCL-Treffer prüfen.

Policy erstellen und zuweisen

Unter My Products > Endpoint > Policies wird eine Data Loss Prevention Policy angelegt. Auf der Registerkarte Settings muss Use rules for data transfers eingeschaltet sein.

Sophos bietet zwei Wege:

• Create from Template übernimmt nach Auswahl von Region und Vorlage eine vordefinierte Regel. Weitere Regeln können mit Add ergänzt werden.
• Create Custom Policy startet ohne Vorlage. Mit Add wird eine vorhandene Regel ausgewählt oder eine neue erstellt.

Die DLP-Regeln und CCLs sind gemeinsam nutzbar; die Server-Policy wird jedoch separat unter Server verwaltet. Für die Einführung wird eine klar abgegrenzte Pilotgruppe verwendet. Die allgemeine Zielgruppen- und Prioritätslogik erklärt Sophos Fusion Endpoint-Richtlinien richtig aufbauen.

Unter Messages For End Users lassen sich Bestätigungs- und Blockmeldungen ein- oder ausschalten und um eigenen Text ergänzen. Pro Meldung sind maximal 100 Zeichen möglich. Bleibt das Textfeld leer, zeigt Sophos die Standardmeldung. Ein knapper Zusatz nennt idealerweise Zweck und zuständige Stelle, ohne sensible Daten in die Meldung zu kopieren.

Windows-Server separat zuweisen und prüfen

Die Server Data Loss Prevention Policy ist laut Sophos nur für Windows-Server verfügbar. Eine Endpoint-Policy-Zuweisung ist kein Nachweis für Serversicherheit:

1. Unter My Products > Server > Policies eine Data Loss Prevention Policy erstellen, auf Settings Use rules for data transfers einschalten und die benötigten gemeinsamen DLP-Regeln hinzufügen. CCLs und Regeln bleiben unter Global Settings > Protection & Remediation > Data Loss Prevention definiert.
2. Die Policy gezielt den vorgesehenen Windows-Servern oder einer abgegrenzten Servergruppe zuweisen und aktivieren. Bei mehreren passenden Policies gilt die oberste zutreffende Policy, sonst die Base Policy; Einstellungen werden nicht aus mehreren Policies zusammengesetzt.
3. Unter My Products > Server > Servers den Pilotserver öffnen und auf Policies die tatsächlich angewendete DLP-Policy samt aktivierten Transferregeln und Einstellungen prüfen. Eine Gruppenzuweisung allein genügt nicht. Danach die gemeinsamen Pilottests mit Transfers vom Windows-Server und die Event- und Aktionsprüfung durchführen. Ohne Tenant- und Testserverzugriff ist die tatsächliche Durchsetzung nicht belegt.

Leistung und Pilot gezielt prüfen

Content Rules untersuchen den gesamten Dateiinhalt; mit der Dateigrösse steigt deshalb die Prüfzeit. File Rules prüfen nur Namen oder Typ und sind nicht auf dieselbe Weise von der Dateigrösse abhängig. Da Sophos die Regeln pro Datei nacheinander prüft, erhöht auch eine grössere Regelanzahl den Aufwand.

Der Pilot umfasst daher nicht nur eine künstliche Trefferdatei. Für jedes produktiv benötigte Ziel werden mindestens ein erlaubter und ein unerlaubter Geschäftsfall mit dem tatsächlichen Dateityp, der echten Anwendung und dem üblichen Übertragungsweg geprüft. Dabei werden Resultat, Benutzermeldung und wahrgenommene Übertragungsdauer dokumentiert. Das gemeinsame Vorgehen für Kontrollrichtlinien beschreibt Sophos Endpoint Control Policies praxisnah einführen.

DLP Events auswerten

Unter Reports > Endpoint & Server Protection Logs > Data Loss Prevention zeigt das Event Log Datum und Uhrzeit, Benutzer, Gerät, Regelname, Regelaktion, Dateiname und Zieltyp. Es kann nach Benutzer, Gerät oder Regel gesucht sowie nach Regelname und Dateityp gefiltert werden. Der betrachtete Zeitraum darf höchstens 90 Tage umfassen; CSV- und PDF-Exporte sind auf 5'000 Events pro Export begrenzt.

Ein Endpoint-Computer sendet höchstens 50 Data-Control-Events pro Stunde an Sophos Fusion. Alle Events werden zusätzlich lokal auf dem Computer protokolliert. Bei sehr vielen Treffern beweist eine abflachende Sophos-Fusion-Auswertung daher nicht, dass keine weiteren Ereignisse stattgefunden haben.

Für die Freigabe werden drei Ergebnisse getrennt geprüft:

1. Die beabsichtigte Regel erscheint mit korrektem Dateinamen und Zieltyp im Event Log.
2. Die Aktion entspricht der wirksamen, strengsten Regel.
3. Bestätigungs- oder Blockmeldung und optionale E-Mail verhalten sich wie konfiguriert.

Troubleshooting ohne vorschnelle Ausnahme

Es erscheint kein Event: Zuerst effektive Policy und Zuweisung, Use rules for data transfers, Regelbedingungen, vollständigen Dateinamen samt Erweiterung, Dateityp, ausgewählte CCL, Match-Anzahl und Ziel prüfen. Danach denselben Test mit einer bekannten Positivdatei wiederholen.

Zu viele Dateien treffen: Bei Content Rules zuerst Begriffe, Expression und Match-Anzahl gegen Negativbeispiele prüfen. Bei File Rules Namen, Wildcards und Typauswahl eingrenzen. Eine pauschale Dateiausnahme würde die Kontrolle für alle passenden Transfers dieser Regel reduzieren.

Die erwartete Aktion wird nicht ausgeführt: Nach weiteren passenden Regeln in derselben Policy suchen. Sobald eine strengere Regel trifft, gewinnt sie unabhängig von der milderen Aktion der zuerst betrachteten Regel.

Die Einführung macht Dateiübertragungen spürbar langsamer: Anzahl der Regeln, Dateigrössen und insbesondere Content Rules im Pilot vergleichen. Änderungen einzeln vornehmen und denselben Testsatz erneut messen, damit Ursache und Wirkung zugeordnet bleiben.

Häufige Fragen