Sophos Endpoint Data Loss Prevention configureren
Sophos Data Loss Prevention (DLP) bewaakt en beperkt de overdracht van bestanden met gevoelige gegevens. Content Control Lists (CCL’s) beschrijven te beschermen gegevens en DLP-regels koppelen voorwaarden aan een actie. De regels worden via afzonderlijke Data Loss Prevention Policies toegewezen: onder Endpoint voor computers en onder Server voor Windows-servers.
Belangrijk: DLP voor computers en Windows-servers is niet hetzelfde als Data Control in Sophos Email. De producten gebruiken afzonderlijke policies en rapportages. Dit artikel behandelt DLP voor computers en Windows-servers, niet Sophos Email.
Snelle route voor een veilige pilot
- Selecteer onder Global Settings > Protection & Remediation > Data Loss Prevention > Content Control Lists een SophosLabs CCL of maak een aangepaste CCL.
- Maak onder Global Settings > Protection & Remediation > Data Loss Prevention > Rules een Content Rule of File Rule en kies aanvankelijk Allow file transfer.
- Maak voor computers onder My Products > Endpoint > Policies een Data Loss Prevention Policy, schakel Use rules for data transfers in, voeg de regel toe en wijs de policy aan een kleine pilotgroep toe. Gebruik voor Windows-servers in plaats daarvan de afzonderlijke serverpolicy-route.
- Test een toegestane en een verboden bedrijfssituatie met het werkelijke bestandstype en overdrachtspad.
- Beoordeel de matches onder Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Ga pas bij voldoende kwaliteit over op gebruikersbevestiging of blokkering.
Zo blijven detectie en handhaving gescheiden en onderbreekt een onnauwkeurige eerste versie geen legitieme werkprocessen.
Een Content Rule of File Rule kiezen
Een Content Rule controleert bestandsinhoud met een of meer CCL’s. SophosLabs levert definities voor veelvoorkomende financiële en persoonsgegevens, zoals creditcardnummers, postadressen, burgerservicenummers of e-mailadressen. Een aangepaste CCL past bij bedrijfsspecifieke termen of patronen.
Een File Rule beslist op basis van de volledige bestandsnaam of het bestandstype. Deze past wanneer de bestandscategorie zelf beschermd moet worden, bijvoorbeeld databasebestanden bij een bepaalde overdrachtsbestemming. Een volledige naam bevat de extensie; gebruik door Sophos ondersteunde wildcards voor meerdere namen of extensies.
Een regel matcht alleen wanneer alle vereiste voorwaarden zijn vervuld. Matcht een bestand met meerdere regels met verschillende acties, dan dwingt Sophos de strengste af:
| Actie | Geschikte uitrolfase |
|---|---|
| Allow file transfer | detectie en Event-baseline valideren |
| Allow transfer if user confirms | gerechtvaardigde uitzonderingen laten bevestigen |
| Block transfer | duidelijk omschreven en geteste overdrachten verhinderen |
Block transfer heeft voorrang op Allow transfer if user confirms, en die weer op Allow file transfer. Bij troubleshooting moeten daarom alle regels in de effectieve policy worden bekeken.
Content Control Lists voorbereiden
Bestaande SophosLabs CCL’s gebruiken
De pagina Content Control Lists kan op regio, bron en type worden gefilterd. SophosLabs CCL’s kunnen niet worden bewerkt. De detailweergave toont wat een definitie detecteert. Sophos kan zelfstandig de in DLP opgenomen bestandstypen bijwerken; een oude testmatrix is dus geen blijvende toezegging voor elk type.
Het filter Recommended toont CCL’s die voor de gekozen regio worden aanbevolen. Deprecated markeert verouderde definities. Policies met een verouderde CCL blijven actief, maar volgens Sophos kan de functionaliteit in de loop van de tijd afnemen. Migreer deze gecontroleerd naar een actuele variant en test opnieuw.
Een aangepaste CCL maken
Voer onder Content Control Lists > Add Custom Content Control List een naam, beschrijving en optionele filtertags in. Kies daarna één geschikte matchmethode:
- Any of these terms matcht zodra een van de ingevoerde termen voorkomt.
- All of these terms vereist alle ingevoerde termen.
- Exactly this phrase zoekt hoofdletterongevoelig naar de exacte woordgroep.
- Advanced Setup gebruikt een Advanced Expression.
Een naam als Finance_Project_Terms kan worden overgenomen, maar de werkelijke termen moeten uit de eigen beschermingsbehoefte komen. Enkele onderbouwde termen valideren met positieve en negatieve testbestanden is veiliger dan een lange, ongeteste woordenlijst importeren.
Aangepaste CCL’s kunnen later worden bewerkt, geëxporteerd, gekloond of verwijderd. Een kloon is handig wanneer een geteste definitie gecontroleerd voor een andere toepassing moet worden aangepast.
Advanced Expressions alleen met een testcorpus gebruiken
Advanced Expressions gebruiken reguliere expressies van Perl 5. Configureer onder Advanced Setup de velden Trigger score, Expression, Score en Max count. Sophos vereist dat Score gelijk is aan Trigger score; Max count beperkt hoe vaak een expressie aan de totaalscore bijdraagt. Extra expressies verbreden het bereik van de CCL.
Sophos Support helpt niet bij het maken of debuggen van aangepaste regex-DLP-regels en verwijst naar Sophos Professional Services. Een eigen expressie vereist daarom een geversioneerde testset met verwachte matches en non-matches. Zonder dit bewijs blijft de regel tijdens de pilot op Allow file transfer.
De DLP-regel maken en configureren
- Klik onder Global Settings > Protection & Remediation > Data Loss Prevention > Rules op Create New Rule.
- Kies New Content Rule of New File Rule en voer een eenduidige naam en beschrijving in.
- Schakel desgewenst Send me email alerts in. Volgens Sophos maakt deze e-mail geen extra alert in Sophos Fusion.
- Kies bij een File Rule een bestandsnaam of bestandstype. Bij een Content Rule zijn alle vooraf gedefinieerde voorwaardetypen verplicht.
- Configureer zo nodig uitzonderingen op naam of type. Ze gelden alleen voor deze regel en zijn geen algemene malware-uitzonderingen.
- Kies eerst Allow file transfer en selecteer later na goedkeuring van de kwaliteit een strengere actie.
- Voltooi de voorwaarden met Next: Rule Configuration.
Sophos vermeldt dat sommige functies mogelijk nog niet voor alle klanten beschikbaar zijn. Ontbreekt een hier beschreven optie, controleer dan eerst de uitrolstatus van de tenant in plaats van een ander UI-pad te veronderstellen.
Selecteer voor een Content Rule onder File Contains de CCL’s en stel per selectie het vereiste aantal matches in. Een lagere waarde activeert eerder; een hogere tolereert meer voorkomens. De juiste waarde volgt uit de beschermingsbehoefte en tests, niet uit een universele standaard.
Kies voor een File Rule bewaakte typen onder File types of voer onder File names volledige namen met extensie in. Selecteer daarna onder Destination is de relevante bestemmingen. Configureer uitzonderingen apart per type of volledige naam.
Microsoft Office-bestanden vereisen realistische tests: Sophos controleert CCL’s niet alleen in zichtbare tekst, maar ook in metadata zoals titels, tags en opmerkingen, en in kopteksten, voetteksten, voetnoten en ingesloten Excel-grafieken. DLP kan handtekeninggegevens niet op CCL-matches controleren.
De policy maken en toewijzen
Maak onder My Products > Endpoint > Policies een Data Loss Prevention policy. Op het tabblad Settings moet Use rules for data transfers ingeschakeld zijn.
Sophos biedt twee routes:
- Create from Template voegt na keuze van regio en sjabloon een vooraf gedefinieerde regel toe. Voeg meer regels toe met Add.
- Create Custom Policy begint zonder sjabloon. Kies met Add een bestaande regel of maak een nieuwe.
De DLP-regels en CCL’s kunnen gezamenlijk worden gebruikt, maar de serverpolicy wordt afzonderlijk onder Server beheerd. Gebruik voor de uitrol een duidelijk begrensde pilotgroep. Sophos Fusion Endpoint-policies correct opbouwen beschrijft het algemene model voor doelen en prioriteit.
Onder Messages For End Users kunnen bevestigings- en blokkeermeldingen worden in- of uitgeschakeld en met eigen tekst worden aangevuld. Elke melding heeft maximaal 100 tekens. Bij een leeg tekstveld toont Sophos de standaardmelding. Een korte toevoeging noemt doel en verantwoordelijk team zonder gevoelige gegevens te kopiëren.
Windows-servers afzonderlijk toewijzen en controleren
Volgens Sophos is de Server Data Loss Prevention Policy alleen beschikbaar voor Windows-servers. Een toewijzing van een Endpoint-policy bewijst niet dat servers beschermd zijn:
- Maak onder My Products > Server > Policies een Data Loss Prevention policy, schakel op het tabblad Settings Use rules for data transfers in en voeg de benodigde gedeelde DLP-regels toe. CCL’s en regels blijven gedefinieerd onder Global Settings > Protection & Remediation > Data Loss Prevention.
- Wijs de policy gericht toe aan de beoogde Windows-servers of een afgebakende servergroep en activeer deze. Als meerdere policies van toepassing zijn, geldt de bovenste toepasselijke policy; anders geldt de Base Policy. Instellingen uit meerdere policies worden niet gecombineerd.
- Open onder My Products > Server > Servers de pilotserver en controleer op Policies welke DLP-policy daadwerkelijk wordt toegepast, inclusief de ingeschakelde overdrachtsregels en instellingen. Alleen een groepstoewijzing is niet voldoende. Voer daarna de gezamenlijke pilottests uit met overdrachten vanaf de Windows-server en controleer de Events en acties. Zonder toegang tot de tenant en de testserver is de daadwerkelijke handhaving niet aangetoond.
Prestaties en pilot bewust valideren
Content Rules onderzoeken de volledige inhoud, zodat de inspectietijd met de bestandsgrootte stijgt. File Rules controleren alleen naam of type en zijn niet op dezelfde manier afhankelijk van de grootte. Sophos controleert regels per bestand opeenvolgend; meer regels betekenen dus ook meer werk.
De pilot omvat daarom meer dan een kunstmatig matchbestand. Test voor elke productievereiste bestemming een toegestane en een verboden situatie met het werkelijke type, de applicatie en de gebruikelijke route. Leg resultaat, gebruikersmelding en waargenomen duur vast. Sophos Endpoint Control Policies praktisch invoeren beschrijft de gedeelde aanpak.
DLP Events beoordelen
Onder Reports > Endpoint & Server Protection Logs > Data Loss Prevention toont het Event Log datum en tijd, gebruiker, apparaat, regel, actie, bestand en bestemmingstype. Er kan op gebruiker, apparaat of regel worden gezocht en op regel en bestandstype worden gefilterd. De periode is maximaal 90 dagen; elke CSV- of PDF-export is beperkt tot 5.000 Events.
Een Endpoint-computer kan maximaal 50 Data Control Events per uur naar Sophos Fusion sturen. Alle Events worden ook lokaal geregistreerd. Bij een omvangrijk incident bewijst een afvlakkend Sophos-Fusion-rapport dus niet dat er geen verdere gebeurtenissen waren.
Valideer voor goedkeuring drie resultaten afzonderlijk:
- De bedoelde regel verschijnt met juiste bestandsnaam en bestemmingstype in het Event Log.
- De actie komt overeen met de effectieve, strengste regel.
- Bevestigings- of blokkeermelding en optionele e-mail gedragen zich zoals geconfigureerd.
Troubleshooting zonder voortijdige uitzondering
Er verschijnt geen Event: Controleer effectieve policy en toewijzing, Use rules for data transfers, voorwaarden, volledige naam en extensie, type, gekozen CCL, aantal matches en bestemming. Herhaal met een bekend positief bestand.
Te veel bestanden matchen: Controleer voor Content Rules termen, expressie en matchaantal tegen negatieve voorbeelden. Beperk voor File Rules namen, wildcards en typen. Een brede uitzondering verlaagt de controle voor alle passende overdrachten van die regel.
De verwachte actie wordt niet afgedwongen: Zoek naar andere passende regels in dezelfde policy. Zodra een strengere regel matcht, wint deze van de mildere actie die eerst werd onderzocht.
De uitrol vertraagt overdrachten merkbaar: Vergelijk in de pilot het aantal regels, bestandsgroottes en vooral Content Rules. Wijzig één onderdeel per keer en meet dezelfde testset opnieuw om oorzaak en gevolg te kunnen koppelen.