Software für Überwachung von Dateibewegung

[Gu4rdi4n 62]

Hi,

 

bei uns wurde diskutiert, ob und wie man Datendiebstahl verhindern/aufdecken kann.

 

Dazu kam in die Diskussion

- USB Ports sperren 

- Cloud Storage verbieten

 

Beides ist bei uns nicht praktikabel. 

 

Dann kam die Frage auf, ob es irgendwie möglich ist Dateibewegungen zu überwachen.

 

Kennt jemand eine Software, die es erfasst, wenn Viele/Große/Wichtige Daten kopiert/gelöscht/verschoben werden?

Benötigt wird das auf Windows Server >=2012R2

 

Gefunden habe ich sowas wie FileSystemWatcher und die Überwachungsrichtlinie,

 

aber ich glaube nicht, das das genau das ist, was ich suche.

 

Jemand eine Idee/Erfahrungen?

[NilsK 2.968]

Moin,

 

wie immer übersehen solche Fragen zwei Dinge:

• wie soll ein System feststellen, was erlaubt ist und was nicht?
• wie bringt man die dafür technisch nötige Überwachung in Einklang mit der Rechtslage?

Am Ende wird man schnell dazu kommen, dass man "alles" technisch überwachen müsste und das dann jemand auswerten muss, weil man keine ausreichend trennscharfe Systematik dafür findet.

 

Fragen wir doch mal von der anderen Seite her: Was ist denn das Ziel?

 

Gruß, NIls

 

[Gu4rdi4n 62]

Da bin ich voll deiner Meinung.

 

Das Ziel soll laut Geschäftsführung sein, dass man Datendiebstahl "nachvollziehen" oder sogar verhindern kann.

 

Wir haben beispielsweise Dateien, die nicht kopiert werden müssen. 

Diese werden nur geöffnet und bearbeitet.

 

Interessant wäre es hier beispielsweise, wenn diese Dateien eine art "trigger" hätten, wenn sie kopiert oder mit speichern unter auf ein anderes Medium übertragen werden.

 

Ein beispiel: CAD Daten. Diese müssen nur erstellt und bearbeitet werden. Kopieren ist hier nicht nötig.

Hier wäre ein System schön, welches eine Meldung schickt, wenn Kopiervorgänge stattfinden.

Das würde natürlich mit den Mitarbeitern abgeklärt werden, dass sowas getrackt wird. 

bearbeitet 18. September 2019 von Gu4rdi4n

[Nobbyaushb 1.484]

Total OT: Novell Netware konnte damals sowas... OT aus

 

Ich werde öfter mal nach solchen Features gefragt...

bearbeitet 18. September 2019 von Nobbyaushb

[lefg 276]

vor 18 Minuten schrieb Gu4rdi4n:

Wir haben beispielsweise Dateien, die nicht kopiert werden müssen. 

Diese werden nur geöffnet und bearbeitet.

 

Wird "eine vorhandene Word-Datei" geöffnet, steht dem Benutzer eine Arbeitskopie zur Verfügung, nicht das Original.

vor 54 Minuten schrieb Gu4rdi4n:

Gefunden habe ich sowas wie FileSystemWatcher und die Überwachungsrichtlinie,

 

aber ich glaube nicht, das das genau das ist, was ich suche.

 

Dann teste es doch und berichte bitte!

[magheinz 110]

Dateien Kopieren kann man auf der Quelle nicht abfangen. Im Zweifel öffnet man die und kopiert den Inhalt in eine neue. Das Anlegen neuer Dateien ist ja erlaubt. 

Das Abspeichern kann man abfangen. 

Hast du jetzt also eine Datenbereich in dem definitiv keine CAD-Daten liegen sollen, könnte man die Dateiendung verbieten. Logischerweise kann man aber immer noch die datei mit einer anderen Endung speicher. 

 

Da wurde ich eher Geld in vertrauenswürdiges Personal stecken. 

 

[SandyB 9]

vor 3 Stunden schrieb Gu4rdi4n:

 

 

Jemand eine Idee/Erfahrungen?

Gegen Data Leakage führen einige Bereiche bei uns den "digital guardian" als Pilot ein. Damit soll verdächtiges Verschieben und Kopieren von Daten erkannt werden. 

Um generell verdächtige Prozesse auf System/ Kernelebene zu erkennen, nutzen wir "Crowdstrike". 

 

Sieh dir trotzdem noch die letzten Version von Microsoft ATA und Windows Defender ATP an. Microsoft rüstet in diesen Bereichen mächtig nach. Wende dich vielleicht an ein Systemhaus, das auf Microsoft Security spezialisiert ist, 

bearbeitet 18. September 2019 von SandyB

[Dukel 457]

Eine Möglichkeit wäre RMS. Man schützt die entsprechenden Dokumente mittels RMS oder Azure RMS und bestimmt, dass diese nicht kopiert werden können.

[magheinz 110]

vor 5 Stunden schrieb SandyB:

Gegen Data Leakage führen einige Bereiche bei uns den "digital guardian" als Pilot ein. Damit soll verdächtiges Verschieben und Kopieren von Daten erkannt werden. 

Um generell verdächtige Prozesse auf System/ Kernelebene zu erkennen, nutzen wir "Crowdstrike". 

 

Sieh dir trotzdem noch die letzten Version von Microsoft ATA und Windows Defender ATP an. Microsoft rüstet in diesen Bereichen mächtig nach. Wende dich vielleicht an ein Systemhaus, das auf Microsoft Security spezialisiert ist, 

Verhindert das System auch das einfache Kopieren der Inhalte von Dateien oder das Speichern unter einem neuen Namen?

Solange ich die Dateien öffnen kann, kann ich sie auch woanders speichern, wenn ich irgendwo Schreibberechtigungen habe, oder eben einfach den Inhalt kopieren.

bearbeitet 18. September 2019 von magheinz

[Gu4rdi4n 62]

Ah danke schon mal für die Infos!

 

Den FSW werde ich bei gelegenheit mal antesten.

Zusätzlich schaue ich mir mal den Digital Guardian an. (https://digitalguardian.com/de/solutions/insider-threat-protection)

Klingt zumindest auf dem Papier nach genau dem was ich suche. Das erkennen verdächtiger Aktivitäten im Netz wie z.B. massenkopieren etc

 

Ganz wird man wohl nicht alles ausmärzen können - wie auch. Man soll ja mit den Daten arbeiten können.

Nur diese Verzweiflungstaten, wenn man nicht viel Zeit hat und dann versucht so viel wie möglich auf einmal abzugreifen.

 

RMS werde ich mir auch ansehen! Mal sehen ob das praktikabel wäre

 

 

[SandyB 9]

Du brauchst ein erfahrenes Systemhaus, das die am Markt verfügbare Schutz-Software kennt. Neue Tools müssen auch in euer Gesamtkonzept passen.

Man kann Datendiebstahl nicht völlig verhindern, aber durch unterschiedliche Schichten wirksam erschweren.

 

bearbeitet 19. September 2019 von SandyB

[Gu4rdi4n 62]

Ja, das würde ich sowieso so machen. Aber die erstinfos kann ich mir auch selbst besorgen. Ich mag es nicht mich völlig unvorbereitet von Systemhäusern vollschwatzen zu lassen. 

 

Hatte es zu oft, dass behauptet wird "ja das geht - kein Problem"

[zahni 558]

https://www.msxfaq.de/signcrypt/rms.htm

 

Könnte in der Tat eine Lösung sein. Aber Achtung: Das muss die jeweilige Anwendung unterstützen. Und ohne Konzept wird das nichts.

Wenn es mal funktioniert, werden Dateien immer verschlüsselt gespeichert und können nur von berechtigten Personen geöffnet werden, egal wo und wie man sie speichert.

[magheinz 110]

Wie wäre es damit die Dateien aus dem Filesystem in ein vernünftiges Dokumentenmanagement zu verlagern. 

Das sollte dann von Zugriffsrechte, Versionierung und im Zweifelsfall auch Zugriffslogging alles können. 

[Gu4rdi4n 62]

Ist nicht machbar bei unseren CAD Daten. 

 

Leider

 

Für andere Daten haben wir bereits ein DMS.

 

Ebenso für Bilder und Videos (ca 180000/1000) ist das DMS nicht brauchbar, da es zu lange dauert und Lösungen wie Canto Cumulus sind viel zu teuer