DataSecurity Plus
در بسیاری از رخدادهای امنیتی سؤال اصلی ساده است: چه کسی به این فایل دسترسی داشت و دقیقاً چه کاری انجام داد؟ پاسخ‌دادن به این سؤال با لاگ‌های پراکنده File Server دشوار می‌شود، مخصوصاً وقتی چند Share، چند Server و تعداد زیادی کاربر داریم.
ممیزی دسترسی به فایل‌ها با DataSecurity Plus برای ایجاد دید متمرکز روی دسترسی، تغییر، حذف، کپی و Permission طراحی شده است تا بررسی رخداد به حدس و جست‌وجوی دستی وابسته نباشد.
چه چیزی باید ثبت شود؟
برای یک Audit قابل استفاده، فقط نام کاربر کافی نیست. باید بتوانید زمان، فایل، مسیر، نوع عملیات و مبدأ را کنار هم ببینید.
| اطلاعات | کاربرد |
|---|---|
| نام کاربر | شناسایی انجام‌دهنده عملیات |
| نام و مسیر فایل | تعیین Asset درگیر |
| نوع عملیات | خواندن، تغییر، حذف یا کپی |
| زمان | ساخت Timeline |
| مبدأ دسترسی | تحلیل Device یا Workstation |
بازشدن فایل با تغییر فایل یکی نیست
در بررسی Incident باید تفاوت میان Read، Modify، Delete و Permission Change روشن باشد. دیدن یک فایل حساس الزاماً به معنی نشت داده نیست، اما حذف یا تغییر گسترده در یک بازه کوتاه می‌تواند اهمیت بیشتری داشته باشد.
کپی و انتقال فایل را فراموش نکنید
یکی از نقاط مهم در DataSecurity Plus، Audit عملیات Copy/Paste است. اگر کاربر فایل حساس را از File Server به Workstation یا مسیر دیگری منتقل کند، این رویداد می‌تواند در Timeline بررسی شود.
Permission Audit چه کمکی می‌کند؟
گاهی مسئله اصلی عملیات انجام‌شده نیست؛ مسئله این است که چه کسانی اساساً اجازه دسترسی دارند. DataSecurity Plus قابلیت Audit روی NTFS و File Share Permission را ارائه می‌کند تا بتوانید ببینید چه کاربری به چه فایل یا پوشه‌ای دسترسی دارد.
سناریو: فایل قرارداد حذف شده است
فرض کنید یک قرارداد مهم از Share مالی حذف شده است. در مدل سنتی، تیم IT ممکن است فقط Backup را Restore کند. اما از منظر امنیتی باید بدانیم چه کسی حذف کرده، از کدام سیستم، در چه زمانی و آیا قبل یا بعد از آن فایل دیگری نیز تغییر کرده است.
اگر تعداد زیادی فایل در مدت کوتاه تغییر کرده باشند، موضوع می‌تواند به سناریوی باج‌افزار نزدیک شود. مقاله تشخیص باج‌افزار با DataSecurity Plus این حالت را پوشش می‌دهد.
هشدارها را روی رفتار مهم متمرکز کنید
اگر برای هر File Open هشدار بسازید، تیم امنیت خیلی زود دچار خستگی هشدار می‌شود. Alert باید برای عملیات حساس‌تر طراحی شود؛ مانند حذف فایل حیاتی، تغییر Permission، افزایش غیرعادی عملیات یا دسترسی به مسیرهای بسیار حساس.
File Integrity Monitoring کجا کاربرد دارد؟
برای فایل‌های پیکربندی، Scriptهای مهم یا اسناد حیاتی، تغییر غیرمجاز باید سریع دیده شود. File Integrity Monitoring به تشخیص تغییر روی فایل‌های حساس کمک می‌کند و می‌تواند مکمل Audit عادی باشد.
چه گزارش‌هایی برای ممیزی مفیدند؟
- پرکارترین کاربران روی فایل‌های حساس؛
- فایل‌های حذف‌شده؛
- Permissionهای تغییرکرده؛
- عملیات خارج از ساعت کاری؛
- تغییرات گسترده در مدت کوتاه؛
- دسترسی به فایل‌های حساس توسط کاربران غیرمنتظره.
محدوده را مرحله‌ای گسترش دهید
بهتر است از Shareهای حیاتی شروع کنید: مالی، منابع انسانی، قراردادها و اطلاعات مشتری. بعد از تنظیم Noise و Policy، دامنه را به File Serverهای دیگر گسترش دهید.
منابع رسمی
سخن پایانی
ممیزی فایل زمانی ارزش دارد که بتوانید از یک سؤال ساده مثل «چه کسی این فایل را حذف کرد؟» به Timeline کامل برسید. DataSecurity Plus این دید را از عملیات فایل تا Permission و رفتار مشکوک یکپارچه می‌کند.
مدانت خدمات لایسنس، استقرار، تنظیم File Audit، طراحی Alert، گزارش‌دهی و پشتیبانی DataSecurity Plus ارائه می‌کند. برای بررسی محصول به مرکز تخصصی DataSecurity Plus مراجعه کنید.
