Konfiguracja Sophos Endpoint Data Loss Prevention
Sophos Data Loss Prevention (DLP) monitoruje i ogranicza przesyłanie plików zawierających poufne dane. Content Control Lists (CCL) opisują dane wymagające ochrony, a reguły DLP łączą warunki z akcją. Reguły przypisuje się przez odrębne Data Loss Prevention Policies: w sekcji Endpoint dla komputerów oraz w sekcji Server dla serwerów Windows.
Ważne: DLP dla komputerów i serwerów Windows nie jest tym samym co Data Control w Sophos Email. Produkty używają oddzielnych Policy i raportów. Artykuł dotyczy DLP dla komputerów i serwerów Windows, a nie Sophos Email.
Szybka ścieżka bezpiecznego pilotażu
- W Global Settings > Protection & Remediation > Data Loss Prevention > Content Control Lists wybrać CCL SophosLabs lub utworzyć własną CCL.
- W Global Settings > Protection & Remediation > Data Loss Prevention > Rules utworzyć Content Rule lub File Rule i początkowo wybrać Allow file transfer.
- Dla komputerów w My Products > Endpoint > Policies utworzyć Data Loss Prevention Policy, włączyć Use rules for data transfers, dodać regułę i przypisać Policy do małej grupy pilotażowej. Dla serwerów Windows skorzystać zamiast tego z oddzielnej ścieżki Server Policy.
- Przetestować dozwolony i zabroniony przypadek biznesowy z rzeczywistym typem pliku i drogą transferu.
- Ocenić trafienia w Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Dopiero przy odpowiedniej jakości przejść do potwierdzania przez użytkownika lub blokowania.
Oddziela to wykrywanie od egzekwowania, dzięki czemu nieprecyzyjna pierwsza wersja nie przerywa legalnych procesów.
Wybór Content Rule lub File Rule
Content Rule sprawdza zawartość przy użyciu jednej lub kilku CCL. SophosLabs oferuje definicje typowych danych finansowych i osobowych, takich jak numery kart, adresy pocztowe, numery ubezpieczenia społecznego czy adresy e-mail. Własna CCL nadaje się do terminów lub wzorców organizacji.
File Rule ocenia pełną nazwę lub typ pliku. Jest odpowiednia, gdy ochrony wymaga sama kategoria, np. pliki baz danych przesyłane do określonego celu. Pełna nazwa obejmuje rozszerzenie; wiele nazw lub rozszerzeń dopasowuje się za pomocą symboli wieloznacznych obsługiwanych przez Sophos.
Reguła pasuje tylko po spełnieniu wszystkich wymaganych warunków. Gdy plik pasuje do kilku reguł z różnymi akcjami, Sophos stosuje najsurowszą:
| Akcja | Odpowiednia faza wdrożenia |
|---|---|
| Allow file transfer | walidacja wykrywania i baseline Events |
| Allow transfer if user confirms | potwierdzanie uzasadnionych wyjątków przez użytkownika |
| Block transfer | zatrzymanie jasno zdefiniowanych i przetestowanych transferów |
Block transfer ma pierwszeństwo przed Allow transfer if user confirms, a ta przed Allow file transfer. Diagnostyka musi więc obejmować wszystkie reguły efektywnej Policy.
Przygotowanie Content Control Lists
Użycie istniejących CCL SophosLabs
Stronę Content Control Lists można filtrować według regionu, źródła i typu. CCL SophosLabs nie można edytować. Widok szczegółów pokazuje zakres wykrywania. Sophos może niezależnie zmieniać typy plików objęte DLP, dlatego stara macierz testów nie jest trwałą gwarancją dla każdego typu.
Filtr Recommended pokazuje CCL zalecane dla wybranego regionu. Deprecated oznacza przestarzałe definicje. Policy z przestarzałą CCL pozostaje aktywna, ale według Sophos funkcjonalność może z czasem maleć. Należy kontrolowanie przejść na aktualną alternatywę i powtórzyć testy.
Utworzenie własnej CCL
W Content Control Lists > Add Custom Content Control List podać nazwę, opis i opcjonalne tagi filtrujące. Następnie wybrać odpowiednią metodę dopasowania:
- Any of these terms pasuje po wystąpieniu dowolnego wpisanego terminu.
- All of these terms wymaga wszystkich wpisanych terminów.
- Exactly this phrase szuka dokładnej frazy bez rozróżniania wielkości liter.
- Advanced Setup używa Advanced Expression.
Można wykorzystać nazwę Finance_Project_Terms, ale faktyczne terminy muszą wynikać z własnych wymagań ochrony. Bezpieczniej zweryfikować kilka uzasadnionych terminów na plikach pozytywnych i negatywnych niż importować długą, niesprawdzoną listę.
Własne CCL można później edytować, eksportować, klonować i usuwać. Klon pomaga kontrolowanie dostosować przetestowaną definicję do innego przypadku.
Advanced Expressions tylko z korpusem testowym
Advanced Expressions korzystają z wyrażeń regularnych Perl 5. W Advanced Setup konfiguruje się Trigger score, Expression, Score i Max count. Sophos wymaga zgodności Score z Trigger score; Max count ogranicza liczbę wkładów wyrażenia do wyniku ogólnego. Dodawanie wyrażeń rozszerza zakres CCL.
Sophos Support nie pomaga tworzyć ani debugować własnych reguł Regex DLP i odsyła do Sophos Professional Services. Własne wyrażenie wymaga więc wersjonowanego zestawu oczekiwanych trafień i nietrafień. Bez takiego dowodu reguła pozostaje podczas pilotażu na Allow file transfer.
Tworzenie i konfiguracja reguły DLP
- W Global Settings > Protection & Remediation > Data Loss Prevention > Rules kliknąć Create New Rule.
- Wybrać New Content Rule lub New File Rule i podać jednoznaczną nazwę oraz opis.
- Opcjonalnie włączyć Send me email alerts. Według Sophos wiadomość ta nie tworzy dodatkowego Alert w Sophos Fusion.
- Dla File Rule wybrać nazwę lub typ. Dla Content Rule wszystkie predefiniowane typy warunków są wymagane.
- W razie potrzeby skonfigurować wyjątki nazw lub typów. Dotyczą tylko tej reguły i nie są ogólnymi wyjątkami malware.
- Najpierw wybrać Allow file transfer, a surowszą akcję dopiero po zatwierdzeniu jakości.
- Uzupełnić warunki przez Next: Rule Configuration.
Sophos zaznacza, że niektóre funkcje mogą nie być jeszcze dostępne dla wszystkich klientów. Jeśli opisanej opcji brakuje, należy najpierw sprawdzić stan wdrożenia w tenancie, zamiast zakładać inną ścieżkę interfejsu.
Dla Content Rule wybiera się CCL w File Contains i ustala wymaganą liczbę trafień dla każdej z nich. Niższa wartość uruchamia wcześniej, wyższa toleruje więcej wystąpień. Właściwa wartość wynika z wymagania i testów, a nie uniwersalnego standardu.
Dla File Rule wybiera się monitorowane typy w File types albo wpisuje pełne nazwy z rozszerzeniem w File names. Następnie w Destination is wybiera się cele właściwe dla procesu. Wyjątki konfiguruje się osobno według typu lub pełnej nazwy.
Pliki Microsoft Office wymagają realistycznych testów: Sophos sprawdza CCL nie tylko w widocznym tekście, ale także w metadanych, np. tytułach, tagach i komentarzach, oraz w nagłówkach, stopkach, przypisach i osadzonych wykresach Excel. DLP nie potrafi szukać trafień CCL w danych podpisu.
Tworzenie i przypisanie Policy
W My Products > Endpoint > Policies utworzyć Policy Data Loss Prevention. Na karcie Settings musi być włączone Use rules for data transfers.
Sophos oferuje dwie drogi:
- Create from Template dodaje predefiniowaną regułę po wyborze regionu i szablonu. Kolejne dodaje się przez Add.
- Create Custom Policy zaczyna bez szablonu. Przez Add wybiera się istniejącą regułę lub tworzy nową.
Reguły DLP i CCL mogą być używane wspólnie, ale Server Policy jest zarządzana oddzielnie w sekcji Server. Do wdrożenia służy jasno ograniczona grupa pilotażowa. Prawidłowe tworzenie polityk Sophos Fusion Endpoint wyjaśnia ogólny model celów i priorytetów.
W Messages For End Users można włączać lub wyłączać komunikaty potwierdzenia i blokady oraz dodawać własny tekst. Każdy ma maksymalnie 100 znaków. Puste pole powoduje wyświetlenie komunikatu standardowego. Krótki dodatek wskazuje cel i zespół odpowiedzialny bez kopiowania danych poufnych.
Oddzielne przypisanie i weryfikacja na serwerach Windows
Według Sophos Server Data Loss Prevention Policy jest dostępna tylko dla serwerów Windows. Przypisanie Endpoint Policy nie stanowi dowodu, że serwer jest chroniony:
- W My Products > Server > Policies utworzyć Data Loss Prevention Policy, na karcie Settings włączyć Use rules for data transfers i dodać potrzebne wspólne reguły DLP. CCL i reguły pozostają zdefiniowane w Global Settings > Protection & Remediation > Data Loss Prevention.
- Przypisać i włączyć Policy dla wybranych serwerów Windows lub wydzielonej grupy serwerów. Jeśli pasuje kilka Policy, obowiązuje pierwsza pasująca Policy, a gdy żadna nie pasuje — Base Policy; ustawienia różnych Policy nie są łączone.
- W My Products > Server > Servers otworzyć serwer pilotażowy i na karcie Policies sprawdzić faktycznie zastosowaną DLP Policy, włączone reguły transferu i ustawienia. Samo przypisanie do grupy nie wystarcza. Następnie przeprowadzić wspólne testy pilotażowe z transferami z serwera Windows oraz weryfikację zdarzeń i akcji. Bez dostępu do tenanta i serwera testowego nie można potwierdzić faktycznego egzekwowania reguł.
Świadoma walidacja wydajności i pilotażu
Content Rules sprawdzają całą zawartość, więc czas rośnie wraz z wielkością pliku. File Rules sprawdzają tylko nazwę lub typ i nie zależą od rozmiaru w ten sam sposób. Sophos ocenia reguły kolejno dla każdego pliku; większa liczba również zwiększa nakład.
Pilotaż obejmuje więc więcej niż sztuczny plik. Dla każdego celu potrzebnego produkcyjnie testuje się przypadek dozwolony i zabroniony z rzeczywistym typem, aplikacją i zwykłą drogą. Zapisuje się wynik, komunikat i odczuwalny czas. Praktyczne wdrażanie Sophos Endpoint Control Policies opisuje wspólne podejście.
Analiza DLP Events
W Reports > Endpoint & Server Protection Logs > Data Loss Prevention Event Log pokazuje datę i godzinę, użytkownika, urządzenie, regułę, akcję, plik i typ celu. Można szukać użytkownika, urządzenia lub reguły i filtrować po regule oraz typie. Okres wynosi maksymalnie 90 dni; każdy eksport CSV lub PDF ma limit 5 000 Events.
Komputer Endpoint może wysłać do Sophos Fusion najwyżej 50 Data Control Events na godzinę. Wszystkie Events są też logowane lokalnie. Przy zdarzeniu masowym spłaszczony raport Sophos Fusion nie dowodzi więc braku dalszych zdarzeń.
Przed zatwierdzeniem osobno sprawdza się trzy wyniki:
- Oczekiwana reguła pojawia się w Event Log z właściwą nazwą pliku i typem celu.
- Akcja odpowiada efektywnej, najsurowszej regule.
- Komunikat potwierdzenia lub blokady i opcjonalny e-mail działają zgodnie z konfiguracją.
Diagnostyka bez przedwczesnego wyjątku
Brak Event: sprawdzić efektywną Policy i przypisanie, Use rules for data transfers, warunki, pełną nazwę i rozszerzenie, typ, CCL, liczbę trafień i cel. Powtórzyć test ze znanym plikiem pozytywnym.
Pasuje zbyt wiele plików: dla Content Rules porównać terminy, wyrażenie i liczbę z przykładami negatywnymi. Dla File Rules zawęzić nazwy, symbole wieloznaczne i typy. Szeroki wyjątek ograniczyłby kontrolę wszystkich pasujących transferów tej reguły.
Oczekiwana akcja nie jest wykonywana: poszukać innych pasujących reguł w tej samej Policy. Gdy pasuje surowsza reguła, wygrywa niezależnie od łagodniejszej akcji sprawdzanej początkowo.
Wdrożenie odczuwalnie spowalnia transfer: porównać liczbę reguł, wielkości, a zwłaszcza Content Rules w pilotażu. Zmieniać jeden element i ponownie mierzyć ten sam zestaw, aby zachować związek przyczyny ze skutkiem.