Konfigurera Sophos Endpoint Data Loss Prevention
Sophos Data Loss Prevention (DLP) övervakar och begränsar överföring av filer med känsliga data. Content Control Lists (CCL:er) beskriver data som ska skyddas och DLP-regler kopplar villkor till en åtgärd. Reglerna tilldelas genom separata Data Loss Prevention Policies: under Endpoint för datorer och under Server för Windows-servrar.
Viktigt: DLP för datorer och Windows-servrar är inte samma sak som Data Control i Sophos Email. Produkterna använder separata Policies och rapporter. Artikeln behandlar DLP för datorer och Windows-servrar, inte Sophos Email.
Snabb väg till en säker pilot
- Välj en SophosLabs CCL eller skapa en egen under Global Settings > Protection & Remediation > Data Loss Prevention > Content Control Lists.
- Skapa en Content Rule eller File Rule under Global Settings > Protection & Remediation > Data Loss Prevention > Rules och välj först Allow file transfer.
- Skapa för datorer en Data Loss Prevention Policy under My Products > Endpoint > Policies, aktivera Use rules for data transfers, lägg till regeln och tilldela en liten pilotgrupp. Använd i stället den separata vägen för serverpolicyn för Windows-servrar.
- Testa ett tillåtet och ett förbjudet verksamhetsfall med verklig filtyp och överföringsväg.
- Granska Matches under Reports > Endpoint & Server Protection Logs > Data Loss Prevention. Gå först därefter över till användarbekräftelse eller blockering när kvaliteten är tillräcklig.
Det separerar detektering från verkställighet, så ett oprecist första utkast inte avbryter legitima arbetsflöden.
Välj en Content Rule eller File Rule
En Content Rule kontrollerar filinnehåll mot en eller flera CCL:er. SophosLabs tillhandahåller definitioner för vanliga finansiella data och personuppgifter, till exempel kortnummer, postadresser, personnummer och e-postadresser. En egen CCL passar organisationsspecifika termer eller mönster.
En File Rule avgör efter fullständigt filnamn eller filtyp. Den passar när själva kategorin ska skyddas, exempelvis databasfiler vid en definierad destination. Ett fullständigt namn inkluderar filändelsen; använd wildcards som stöds av Sophos för flera namn eller ändelser.
En regel matchar bara när alla obligatoriska villkor är uppfyllda. Om en fil matchar flera regler med olika åtgärder verkställer Sophos den striktaste:
| Åtgärd | Lämplig utrullningsfas |
|---|---|
| Allow file transfer | validera detektering och Event-baseline |
| Allow transfer if user confirms | låta användare bekräfta motiverade undantag |
| Block transfer | förhindra tydligt definierade och testade överföringar |
Block transfer har företräde framför Allow transfer if user confirms, som har företräde framför Allow file transfer. Felsökning måste därför omfatta alla regler i effektiv Policy.
Förbered Content Control Lists
Använd befintliga SophosLabs CCL:er
Sidan Content Control Lists kan filtreras efter region, källa och typ. SophosLabs CCL:er kan inte redigeras. Detaljvyn visar vad en definition detekterar. Sophos kan självständigt uppdatera filtyperna som ingår i DLP, så en gammal testmatris är ingen permanent utfästelse för varje typ.
Filtret Recommended visar CCL:er som rekommenderas för vald region. Deprecated markerar föråldrade definitioner. Policies med en föråldrad CCL förblir aktiva, men enligt Sophos kan funktionaliteten minska med tiden. Migrera kontrollerat till ett aktuellt alternativ och testa igen.
Skapa en egen CCL
Ange namn, beskrivning och valfria filtertaggar under Content Control Lists > Add Custom Content Control List. Välj sedan en lämplig matchningsmetod:
- Any of these terms matchar när någon angiven term förekommer.
- All of these terms kräver alla angivna termer.
- Exactly this phrase söker efter den exakta frasen utan hänsyn till skiftläge.
- Advanced Setup använder en Advanced Expression.
Ett namn som Finance_Project_Terms kan återanvändas, men de faktiska termerna måste komma från det egna skyddsbehovet. Det är säkrare att validera några motiverade termer med positiva och negativa testfiler än att importera en lång, oprövad ordlista.
Egna CCL:er kan senare redigeras, exporteras, klonas eller tas bort. En klon är användbar när en testad definition ska anpassas kontrollerat för ett annat användningsfall.
Använd Advanced Expressions endast med ett testkorpus
Advanced Expressions använder reguljära uttryck enligt Perl 5. Under Advanced Setup konfigureras Trigger score, Expression, Score och Max count. Sophos kräver att Score överensstämmer med Trigger score; Max count begränsar hur många gånger ett uttryck bidrar till totalpoängen. Fler uttryck utökar CCL:ens omfång.
Sophos Support hjälper inte till att skapa eller felsöka egna Regex-DLP-regler utan hänvisar till Sophos Professional Services. Ett eget uttryck behöver därför en versionshanterad testmängd med förväntade Matches och Non-matches. Utan detta underlag behålls Allow file transfer under piloten.
Skapa och konfigurera DLP-regeln
- Klicka på Create New Rule under Global Settings > Protection & Remediation > Data Loss Prevention > Rules.
- Välj New Content Rule eller New File Rule och ange ett entydigt namn och en beskrivning.
- Aktivera valfritt Send me email alerts. Enligt Sophos skapar e-postmeddelandet inget ytterligare Alert i Sophos Fusion.
- För en File Rule väljs filnamn eller filtyp. För en Content Rule krävs alla fördefinierade villkorstyper.
- Konfigurera vid behov undantag för namn eller typ. De gäller bara denna regel och är inga allmänna Malware-undantag.
- Välj först Allow file transfer och välj en striktare åtgärd efter att kvaliteten godkänts.
- Slutför villkoren med Next: Rule Configuration.
Sophos anger att vissa funktioner kanske ännu inte är tillgängliga för alla kunder. Om ett alternativ som beskrivs här saknas ska tenantens utrullningsstatus först kontrolleras i stället för att anta en annan UI-sökväg.
För en Content Rule väljs CCL:er under File Contains och obligatoriskt antal Matches anges för varje val. Ett lägre värde aktiverar tidigare; ett högre tolererar fler förekomster. Rätt värde kommer från skyddsbehov och tester, inte ett universellt standardvärde.
För en File Rule väljs övervakade typer under File types eller fullständiga namn med ändelse anges under File names. Därefter väljs relevanta destinationer under Destination is. Undantag konfigureras separat efter typ eller fullständigt namn.
Microsoft Office-filer kräver realistiska tester: Sophos söker CCL:er i synlig text men även i metadata som titlar, taggar och kommentarer samt i sidhuvuden, sidfötter, fotnoter och inbäddade Excel-diagram. DLP kan inte söka CCL-Matches i signaturdata.
Skapa och tilldela Policy
Skapa en Data Loss Prevention Policy under My Products > Endpoint > Policies. På fliken Settings måste Use rules for data transfers vara aktiverat.
Sophos erbjuder två vägar:
- Create from Template lägger till en fördefinierad regel efter val av region och mall. Lägg till fler med Add.
- Create Custom Policy börjar utan mall. Med Add väljs en befintlig regel eller skapas en ny.
DLP-reglerna och CCL:erna kan användas gemensamt, men serverpolicyn hanteras separat under Server. Använd en tydligt avgränsad pilotgrupp. Bygg Sophos Fusion Endpoint-policies korrekt förklarar den allmänna modellen för mål och prioritet.
Under Messages For End Users kan bekräftelse- och blockeringsmeddelanden slås av eller på och kompletteras med egen text. Varje meddelande får innehålla högst 100 tecken. Om fältet är tomt visar Sophos standardmeddelandet. Ett kort tillägg anger syfte och ansvarigt team utan att kopiera känsliga data.
Tilldela och kontrollera Windows-servrar separat
Enligt Sophos är Server Data Loss Prevention Policy endast tillgänglig för Windows-servrar. Att en Endpoint-policy har tilldelats är inget bevis för att servrarna är skyddade:
- Skapa en Data Loss Prevention Policy under My Products > Server > Policies, aktivera Use rules for data transfers på fliken Settings och lägg till de gemensamma DLP-regler som behövs. CCL:er och regler definieras fortfarande under Global Settings > Protection & Remediation > Data Loss Prevention.
- Tilldela och aktivera policyn för de avsedda Windows-servrarna eller en avgränsad servergrupp. Om flera Policies matchar gäller den högst prioriterade tillämpliga policyn, annars Base Policy; inställningar kombineras inte från flera Policies.
- Öppna pilotservern under My Products > Server > Servers och kontrollera på fliken Policies vilken DLP-policy som faktiskt tillämpas, inklusive aktiverade överföringsregler och inställningar. Enbart grupptilldelning räcker inte. Genomför därefter de gemensamma pilottesterna med överföringar från Windows-servern och granskningen av Events och åtgärder. Utan åtkomst till tenanten och testservern är det inte belagt att policyn faktiskt verkställs.
Validera prestanda och pilot medvetet
Content Rules undersöker hela innehållet, så kontrolltiden ökar med filstorleken. File Rules kontrollerar bara namn eller typ och påverkas inte på samma sätt av storleken. Sophos kontrollerar regler sekventiellt per fil; fler regler ökar därför också arbetet.
Piloten omfattar därför mer än en konstgjord testfil. För varje produktionsmål testas ett tillåtet och ett förbjudet fall med verklig typ, applikation och vanlig väg. Dokumentera resultat, meddelande och upplevd tid. Inför Sophos Endpoint Control Policies praktiskt beskriver det gemensamma arbetssättet.
Granska DLP Events
Under Reports > Endpoint & Server Protection Logs > Data Loss Prevention visar Event Log datum och tid, användare, enhet, regel, åtgärd, fil och destinationstyp. Sökning kan göras efter användare, enhet eller regel och filtrering efter regel och filtyp. Perioden är högst 90 dagar; varje CSV- eller PDF-export är begränsad till 5 000 Events.
En Endpoint-dator kan skicka högst 50 Data Control Events per timme till Sophos Fusion. Alla Events loggas också lokalt. Vid en händelse med hög volym bevisar en utplanad Sophos Fusion-rapport därför inte att inga fler händelser inträffade.
Validera tre resultat separat före godkännande:
- Avsedd regel visas i Event Log med rätt filnamn och destinationstyp.
- Åtgärden motsvarar den effektiva, striktaste regeln.
- Bekräftelse- eller blockeringsmeddelande och valfri e-post fungerar som konfigurerat.
Felsök utan förhastat undantag
Inget Event visas: kontrollera effektiv Policy och tilldelning, Use rules for data transfers, villkor, fullständigt namn och ändelse, typ, CCL, antal Matches och destination. Upprepa med en känd positiv fil.
För många filer matchar: kontrollera för Content Rules termer, uttryck och antal mot negativa exempel. Begränsa för File Rules namn, wildcards och typer. Ett brett undantag minskar kontrollen för alla matchande överföringar i regeln.
Förväntad åtgärd verkställs inte: sök efter andra matchande regler i samma Policy. Så snart en striktare regel matchar har den företräde framför den mildare åtgärd som granskades först.
Utrullningen gör överföringar märkbart långsammare: jämför antal regler, filstorlekar och särskilt Content Rules i piloten. Ändra en sak åt gången och mät samma testmängd igen för att koppla orsak till verkan.