ภาพรวม Data Loss Analysis (XDLA): หลักการทำงาน ส่วนประกอบของ Policy และลำดับการเริ่มใช้งาน

Data Loss Analysis คือความสามารถขั้นพื้นฐานของ Sangfor Athena SASE สำหรับควบคุมการส่งข้อมูลสำคัญออกนอกองค์กร ซึ่งมาพร้อมกับ Omnipoint Secure Client และใช้ Console เดียวกับ ZTNA และ SWG โดยทำงานผ่าน Component ชื่อ XDLA (Extended Data Loss Analysis) บนเครื่องผู้ใช้ บทความนี้สำหรับผู้ดูแลระบบที่กำลังจะเริ่มใช้ Data Loss Analysis เพื่อให้เห็นภาพรวมก่อนลงมือตั้งค่า ว่าระบบทำงานอย่างไร ดูแลช่องทางใดบ้าง มีส่วนประกอบของ Policy อะไร ต้องเตรียมอะไร และควรตั้งค่าตามลำดับใด

หลักการทำงาน

• SWG ตรวจ Traffic ของผู้ใช้ที่ PoP ส่วน XDLA ทำงานบนเครื่องผู้ใช้ และติดตามตัวไฟล์ตั้งแต่ดาวน์โหลดจนถึงตอนส่งออก จึงดูแลช่องทางที่ไม่ได้ผ่าน SWG ได้ด้วย เช่น USB และเครื่องพิมพ์
• XDLA ตรวจเนื้อหาที่เป็นข้อความในไฟล์เอกสาร เช่น ไฟล์ Office ไฟล์ข้อความ และ PDF ที่มีข้อความ (Text) รวมถึงไฟล์บีบอัด และข้อความที่คัดลอกไปวาง (Clipboard text) บน Windows แล้วเทียบกับ Sensitive Data ที่ผู้ดูแลระบบกำหนดไว้
• ผลการ Audit และการบล็อกทั้งหมดส่งกลับมาที่ Console เดียวกัน ดูได้ที่ Logs › Critical Feature Logs › File Audit และหน้าวิเคราะห์ใน Core Features › Data Loss Analysis
• Policy ที่สร้างหรือแก้ไขจะถูกส่งไปที่เครื่องผู้ใช้ภายใน 2 ถึง 5 นาที (ตามข้อความในหน้า Policy)

ช่องทางที่ Data Loss Analysis ดูแล

Policy มี 2 แบบหลัก คือ Audit Policies (บันทึก) และ Data Loss Control (บล็อกหรืออนุญาต) แต่ละแบบเลือกช่องทางได้ดังนี้

Log การส่งอีเมลออก (แท็บ Outgoing Emails ใน File Audit) มาจาก SWG ที่ทำงานร่วมกับ XDLA ส่วนการดูแลอุปกรณ์ต่อพ่วง ซอฟต์แวร์บนเครื่อง และลายน้ำบนหน้าจอ อยู่ในเมนู Platform Management › Endpoints (Endpoint Control และ Software Control)

เมนูและส่วนประกอบของ Policy

เมนูอยู่ที่ Core Features › Data Loss Analysis แบ่งเป็น 3 ส่วน

ส่วน Policies มี 4 เรื่องหลักที่ใช้ร่วมกัน ควรตั้งค่าตามลำดับนี้ เพราะ Policy และ Rule ต้องอ้างถึง Sensitive Data ที่กำหนดไว้ก่อน

1. Sensitive Object Definition บอกระบบว่าข้อมูลแบบไหนสำคัญ ด้วย DLA Dictionaries (Keyword หรือ Regular Expression) ที่มาของไฟล์ (File Sources) และปลายทาง (Recipient Profiles) ดูวิธีตั้งค่าที่ Sensitive Object Definition
2. Audit Policies บันทึกการส่งไฟล์ออก และเก็บสำเนาไฟล์ไว้ตรวจสอบย้อนหลังได้ ดูที่ Audit Policies
3. Data Loss Control บล็อก อนุญาต หรือให้ผู้ใช้ระบุเหตุผลก่อนส่ง ตามช่องทาง Sensitive Data และช่วงเวลา ดูที่ Data Loss Control
4. DLA Rules เปลี่ยน Log ให้เป็นเหตุการณ์ความเสี่ยง (Incident) พร้อม Risk Score สำหรับติดตามผู้ใช้ที่มีพฤติกรรมเสี่ยง ดูที่ DLA Rules

ส่วน Advanced Settings ใช้กำหนดที่เก็บสำเนาไฟล์ ขนาดไฟล์ที่ส่งขึ้นมาเก็บ และการส่งอีเมลแจ้งเตือนผู้ดูแลระบบ ดูที่ Dashboard, Outbound Data, Data Loss Search และ Advanced Settings

สิ่งที่ต้องเตรียม

1. Subscription ตรวจที่ Platform Management › System › Licensing › Subscriptions ว่าองค์กรมี Subscription ที่รวม Data Loss Analysis และมี License เพียงพอกับจำนวนผู้ใช้

2. ผู้ใช้ Login เข้า Omnipoint Secure Client ด้วย Account ขององค์กร เพื่อให้ Log ระบุตัวผู้ใช้และ Department ได้ หากใช้ Microsoft AD สามารถตั้ง SSO ให้ SWG และ XDLA Login อัตโนมัติด้วย Domain Account ที่ใช้ Login Windows ได้ ดูที่ การตั้งค่า SSO ด้วย Microsoft AD สำหรับ SWG และ XDLA

3. Client มี Component XDLA Package มาตรฐานที่ Platform Management › Endpoints › Client Deployment › Download Center แสดง Components Contained รวม Extended Data Loss Analysis ไว้แล้ว หากต้องการ Package เฉพาะกลุ่มให้สร้าง Template ที่ Manage Templates

   

4. เครื่องที่ติดตั้ง Client ไว้แล้ว ให้เพิ่ม Component อัตโนมัติได้ที่ Platform Management › Endpoints › Client Settings แท็บ Deployment หัวข้อ "Scenario 1: Add client components after the client is installed" เปิด XDLA แล้วกำหนด Applicable Scope (ใช้กับ Client เวอร์ชัน 2.6.10 ขึ้นไป ตามข้อความในหน้า) Component จะถูกติดตั้งเมื่อผู้ใช้ Login

5. ระบบปฏิบัติการ XDLA ทำงานบน Windows และ macOS (Download Center ระบุ Windows 7 SP1, Windows 10, Windows 11 และ macOS 10.15 ขึ้นไป) ตัวเลือกบางข้อในฟอร์ม Policy มีป้าย (Windows only) กำกับไว้

6. macOS ผู้ใช้ต้องให้สิทธิ์ระบบกับ Client ก่อน ตั้งการเตือนผู้ใช้ได้ที่ Client Settings › General › Client Permissions

ลำดับการเริ่มใช้งานที่แนะนำ

1. เลือกผู้ใช้กลุ่มทดสอบ (เช่น หนึ่ง Department) แล้วตรวจว่าเครื่องของกลุ่มนี้มี XDLA ทำงานปกติ
2. กำหนด Sensitive Data จากข้อมูลที่ชัดเจนก่อน เช่น เลขบัตรประชาชน หรือไฟล์ที่ดาวน์โหลดจากระบบ HR
3. สร้าง Audit Policy ให้กลุ่มทดสอบ แล้วดูที่ File Audit ว่าไฟล์ออกไปทางไหน และ Sensitive Data Match กับไฟล์งานจริงตามที่คาดไว้หรือไม่
4. เมื่อผล Audit ตรงตามต้องการ จึงสร้าง Data Loss Control แบบ Block กับกลุ่มทดสอบ สำหรับงานที่ต้องส่งข้อมูลเป็นครั้งคราว ให้ใช้ Action แบบ Allow after approval
5. สร้าง DLA Rules (Copy จาก Rule สำเร็จรูปแล้วปรับ) และตั้ง Data Loss Alert Settings ให้ผู้ดูแลระบบได้รับอีเมลเมื่อมีเหตุการณ์
6. ขยาย Applicable Scope ไปยังกลุ่มอื่น และทบทวน Dashboard XDLA กับ Rule-based Analysis เป็นประจำ

ตรวจสอบว่าเครื่องผู้ใช้พร้อม

1. ไปที่ Platform Management › Endpoints › Endpoint Assets ค้นหาเครื่องของผู้ใช้ แล้วดูคอลัมน์ Client Component Status ซึ่งต้องมี XDLA และเมื่อวางเมาส์บน Chip ต้องแสดงสถานะ XDLA: Normal

   

2. สถานะอื่นของ Component ตามคำอธิบายในหน้า: Pending Installation (ส่งงานติดตั้งแล้ว) · Abnormal (ติดตั้งแล้วแต่ทำงานไม่ปกติ) · Installation Failed (ติดตั้งไม่สำเร็จ) · Not Installed (ยังไม่มีงานติดตั้ง)

3. ที่ Core Features › Data Loss Analysis › Dashboard › XDLA ช่อง Audited Users แสดงจำนวนผู้ใช้ที่มี XDLA และจำนวนผู้ใช้ที่มีความเสี่ยง (Risky / Total)

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ปัญหาที่พบบ่อย