如何設置網絡防止數據丟失

周兵峰

數據對于人們來說無處不在，盡管許多數據對其他人是無用的，但每個組織都擁有網絡攻擊者或其他競爭對手希望獲取的關鍵數據資產。

組織的數據可以通過多種方式對外泄露或公開。在全球互聯網出現之前，很多組織將文件存儲到存儲設備中保存。現在，數據竊取者或網絡攻擊者可以利用云計算服務竊取大量文件。網絡攻擊者通常會壓縮文件，以便在傳輸文件時不會引起網絡流量監控注意。

組織有哪些選擇可以保護自己免受數據丟失的影響？很多關鍵措施是采用數據丟失防護（DLP）技術來阻止或跟蹤數據的移動，或者放置在文件移動時觸發警報。組織還需要防范內部威脅和外部攻擊。

內部數據丟失威脅的基礎知識

數據丟失通常是人力資源問題。如果組織的有些員工心懷不滿，有可能從內部竊取文件或泄露數據。首先，組織需要確保其員工了解不應共享或公開哪些數據，創建簽名的員工手冊以指導員工。另外，請確保在組織中正確識別和分層數據并相應地對其進行保護。

例如在美國的斯諾登泄密事件中，大量敏感文件被竊或對外泄露，是因為他有權訪問或獲得它們。這就是組織需要基于安全來定義基本文件訪問的原因，組織可以設置NTFS文件和文件夾權限，以便只允許有實際需要的用戶訪問。

啟用文件審核和網絡監控

始終啟用對文件和文件夾的審核，以跟蹤員工對文件的訪問和使用，除非組織設置了要監控的審核，否則將無法確認誰有權訪問哪些內容，從組策略開始，然后啟用對文件共享位置的審核。

接下來，使用工具根據分層來保護數據，并在重要或壓縮文件在網絡中移動時設置警報。對于本地文件服務器來說，可以使用文件服務器資源管理器識別和移動包含敏感信息的文件。甚至可以使用文件服務器資源管理器根據分類和文件來加密敏感數據。

然后查看防火墻中有哪些選項。組織可以輕松地設置網絡過濾器來阻止文件共享網站或特定的匿名器位置，以便用戶無法使用在線方式將文件移出網絡。組織可以設置SMTP/S掃描規則來阻止傳出的zip文件或其他壓縮文件格式。

在工作站安裝監視軟件以跟蹤用戶操作，并在發生不當操作時使用系統進行標記。如果使用Exchange 2013或更高版本或Office 365，則可以設置數據泄密防護（DLP）策略以防止組織的數據泄露。Exchange 2013允許用戶設置傳輸規則，以基于電子郵件中包含的信息限制數據傳輸。用戶可以基于關鍵字、詞典或正則表達式將數據和文件的分類設置為敏感或不敏感，從而確定電子郵件是否違反任何數據泄密防護（DLP）策略。

在Office 365中設置數據訪問權限

合規性是Office 365高級數據治理的一部分。這是Office 365 E5/A5/G5許可證、Microsoft 365 E5/A5/G5許可證、Microsoft 365 E5/A5/G5合規許可證和Office 365 Advanced Compliance的一部分。

信息權限管理可用于包含Azure信息保護高級計劃的Office 365計劃或包含權限管理的Office 365計劃。例如，如果組織有Office 365 E3或Office 365 E5的計劃，則包括信息權限管理。

通過以下步驟啟用信息權限管理：轉到“管理中心”；前往設置”；轉到“服務”；轉到“Microsoft Azure信息保護”；轉到“管理Microsoft Azure信息保護設置”；在權限管理頁面上，單擊“激活”；當看到消息“是否要激活權限管理？”時，單擊“激活”。

現在，應該看到權限管理已激活，并且可以選擇禁用它。

用戶可以設置Azure信息保護，每位用戶需支付2美元，以自動檢測文檔或電子郵件中使用的敏感數據的時間，并根據策略設置自動應用限制。客戶端安裝在工作站上以強制執行設置。

最后，別忘了以物理方式阻止文件泄露。配置系統BIOS設置以阻止USB端口的使用，以便用戶無法使用閃存驅動器從辦公室中刪除敏感信息。用戶可以使用制造商的BIOS軟件或組策略設置來設置策略。

數據可以通過多種方式對外泄露，因此組織需要確保已經評估了保護數據免受外部攻擊者和內部風險的最佳方法。