Data Loss Prevention(DLP)

이번 시간에는 데이터 손실 방지인 Data Loss Prevention(DLP)에 대한 실습을 진행해보도록 하겠습니다.

 

 

 

[DLP 기본 메뉴]

 

Sophos Central의 DLP 기능은 특정 매체 또는 대상을 통해 유출되는 특정 파일 형식, 파일명, 파일 내용으로 제어가 가능합니다. 해당 정책 생성 시 파일 전송 허용, 사용자 확인 시 전송 허용, 전송 차단 중 조치 방식을 선택할 수 있습니다.

 

1. 조치 방법

 

 

파일 전송 허용의 경우, 파일은 사용자 PC에 설치된 Sophos Agent에 기록이 남으며 파일은 그대로 복사 또는 이동이 가능합니다.

 

 

사용자 확인 시 전송 허용의 경우, 정책을 통해 이동되는 파일에 대해서 복사 및 이동 여부를 사용자가 결정할 수 있게 됩니다.

 

 

전송 차단의 경우, 정책에 따른 파일은 복사 또는 이동이 불가능 해집니다.

 

2. 파일 유출 방지 대상 및 매체

 

 

유출을 방지할 파일에 대해 특정 매체 또는 대상을 선택할 수 있습니다. Storage를 선택할 경우 USB를 통한 파일 복사 방지가 가능합니다.

 

3. 사용자 알림

 

“최종 사용자를 위한 메시지” 버튼을 활성화하여 파일이 차단되거나 사용자에게 전송 확인을 요청할 때 알림 창에 추가 메시지를 입력할 수 있습니다.

 

 

"최종 사용자를 위한 메시지" 버튼을 활성화 해주세요.

 

 

최종 사용자를 위한 메시지를 클릭하여 파일이 차단되거나 사용자에게 전송 확인을 요청할 때 알림 창에 추가 메시지를 입력할 수 있습니다.

 

 

차단 알림과 함께 최종 사용자를 위한 메시지를 확인할 수 있습니다.

 

 

 

[파일 콘텐츠(내용) 규칙으로 파일 유출 방지]

 

1. 단순 콘텐츠

 

파일 안 특정 문자열에 대한 제어 방법입니다.

 

상기 과정에서는 "대외비"라는 단어가 들어간 콘텐츠에 대해 전송을 차단해보겠습니다.

 

Sophos Central 내부 화면에서 왼쪽 하단의 “Endpoint Protection”을 클릭해주세요.

 

 

“Endpoint Protection”에서 “정책”을 클릭해주세요.

 

 

“정책”에서 “데이터 손실 방지”를 클릭해주세요.

 

 

설정 탭으로 들어가서 "데이터 전송에 대한 규칙 사용" 버튼을 눌러 활성화 합니다. 활성화 한 다음 “고객 정책 만들기” 버튼을 클릭해주세요.

 

 

정책 설정에는 “새 콘텐츠 규칙”, “새 파일 규칙” 두 가지가 존재합니다. 상위 “새 콘텐츠 규칙”을 클릭해주세요.

 

 

콘텐츠 규칙의 이름과 설명, 조치 방법을 위와 같이 작성한 후 "다음: 규칙 구성" 버튼을 클릭해주세요.

 

 

조건의 파일 내용 중 “사용자 지정”을 클릭합니다.

 

 

오른쪽 상단의 "사용자 지정 콘텐츠 제어 목록 추가" 버튼을 클릭해 세부 내용 설정을 진행해줍니다.

 

"대외비" 또는 "중요문서" 또는 "[대외비]"라는 단어가 문서 안에 포함되었을 경우 해당 콘텐츠에 대한 전송을 차단하도록 설정했습니다.

 

 

이후 원하시는 대상 및 매체를 선택해주시면 됩니다. 상기 과정에서는 Storage를 선택했습니다.

 

 

생성된 규칙을 확인한 후에 "저장" 버튼을 클릭해주세요.

 

 

"대외비"와 "중요문서"와 "[대외비]"라는 단어가 포함된 "Sophos 문서.docx"를 통해 실습을 진행해보겠습니다.

 

 

사용자 PC에서 USB로 파일을 복사하려고 하자, 전송이 차단되었다는 Sophos Agent의 알림이 뜨게 됩니다.

 

차단 알림이 발생하면서 USB로 파일이 복사되지 않았음을 확인할 수 있습니다.

 

 

Sophos Agent에서도 차단과 관련된 이벤트를 확인할 수 있습니다.

 

2. 정규 표현식을 이용한 값 변경

 

파일 내용(콘텐츠)로 파일을 제어할 경우 단순 글자, 문자, 숫자뿐 아니라 필요한 경우 정규 표현식을 통해 주민등록번호 형식, 계좌번호 형식을 통제할 수 있습니다.

 

주민등록번호 형식의 정규 표현식은 아래와 같습니다.

 

\d{6}[-][1-4]\d{6}

 

\d{6}: 6자리의 정수

[-]: 1개의 하이픈 사용

[1-4]: 1~4 사이의 정수 중 하나

\d{6}: 6자리의 정수

 

 

정규 표현식의 경우 위에서 진행한 단순 콘텐츠 방식과 유사하며, "사용자 지정 콘텐츠 제어 목록 추가"의 세부 내용 설정만 변경해주면 됩니다.

 

 

일치하는 조건을 "고급 설정"으로 지정해주고, 아래 식 값에 주민등록번호의 정규 표현식을 입력하여 주민등록번호가 문서 안에 포함되었을 경우 해당 콘텐츠에 대한 전송을 차단하도록 설정했습니다.

 

 

생성된 규칙을 확인한 후에 "저장" 버튼을 클릭해주세요.

 

 

주민등록번호가 포함된 "정규.docx"를 통해 실습을 진행해보겠습니다.

 

 

사용자 PC에서 USB로 파일을 복사하려고 하자, 전송이 차단되었다는 Sophos Agent의 알림이 뜨게 됩니다.

 

차단 알림이 발생하면서 USB로 파일이 복사되지 않았음을 확인할 수 있습니다.

 

 

Sophos Agent에서도 차단과 관련된 이벤트를 확인할 수 있습니다.

 

 

 

[파일 형식 및 파일 이름으로 파일 유출 방지]

 

파일 내용뿐 아니라 파일 형식(워드, 엑셀, 파워포인트)과 파일 이름(abc.docx) 등으로 파일 제어가 가능합니다.

 

1. 파일 형식으로 제어

 

엑셀 파일에 대해 모두 전송을 차단하는 실습을 진행해보겠습니다.

 

 

정책 설정에는 “새 콘텐츠 규칙”, “새 파일 규칙” 두 가지가 존재합니다. 이번에는 상위 “새 콘텐츠 규칙”가 아닌 하위 "새 파일 규칙"을 클릭해주세요.

 

 

콘텐츠 규칙의 이름과 설명, 조치 방법을 위와 같이 작성한 후 "다음: 규칙 구성" 버튼을 클릭해주세요.

 

이때, "파일 형식이 일치하는 경우"에 제대로 체크되어있는지 확인해주세요.

 

 

이후 원하시는 파일 형식과 대상 및 매체를 선택해주시면 됩니다. 상기 과정에서는 Spreadsheet와 Storage를 선택했습니다.

 

 

생성된 규칙을 확인한 후에 "저장" 버튼을 클릭해주세요.

 

 

아무런 내용이 없는 "엑셀문서.xlsx"를 통해 실습을 진행해보겠습니다.

 

 

사용자 PC에서 USB로 파일을 복사하려고 하자, 전송이 차단되었다는 Sophos Agent의 알림이 뜨게 됩니다.

 

차단 알림이 발생하면서 USB로 파일이 복사되지 않았음을 확인할 수 있습니다.

 

 

Sophos Agent에서도 차단과 관련된 이벤트를 확인할 수 있습니다.

 

2. 파일 이름으로 제어

 

"국제"라는 파일 명이 들어간 파일에 대해 모두 전송을 차단하는 실습을 진행해보겠습니다.

 

"파일 이름으로 제어"의 경우 위에서 진행한 "파일 형식으로 제어"와 유사하며, "파일 규칙 구성"의 조건만 변경해주면 됩니다.

 

 

콘텐츠 규칙의 이름과 설명, 조치 방법을 위와 같이 작성한 후 "다음: 규칙 구성" 버튼을 클릭해주세요.

 

이때, "파일 이름이 일치하는 경우"에 제대로 체크되어있는지 확인해주세요.

 

 

파일 이름에 원하시는 파일 이름 작성이 가능합니다. 상기 과정에서는 아래와 같이 파일 이름을 작성했습니다.

 

국제*.*    국제로 시작하는 모든 확장자 파일

*국제.*    특정 문자로 시작하며 국제로 끝나는 모든 확장자 파일

*국제*.*   국제가 들어간 모든 확장자 파일 

 

 

이후 원하시는 대상 및 매체를 선택해주시면 됩니다. 상기 과정에서는 Storage를 선택했습니다.

 

 

생성된 규칙을 확인한 후에 "저장" 버튼을 클릭해주세요.

 

 

"국제"라는 파일 명이 들어간 "국제협회.txt", "환경국제.docx", "세계국제현황.pptx" 3개의 파일을 통해 실습을 진행해보겠습니다.

 

 

3개 파일 모두 사용자 PC에서 USB로 파일을 복사하려고 하자, 전송이 차단되었다는 Sophos Agent의 알림이 뜨게 됩니다.

 

차단 알림이 발생하면서 USB로 파일이 복사되지 않았음을 확인할 수 있습니다.

 

 

Sophos Agent에서도 차단과 관련된 이벤트를 확인할 수 있습니다.

 

 

 

[예외 처리]

 

데이터 손실 방지 정책에서 업무에 필요한 부분만 예외처리를 할 경우, 파일 이름과 파일 형식으로 예외처리가 가능합니다.

 

"대외비" 또는 "중요문서" 또는 "[대외비]"라는 단어가 문서 안에 포함되었을 경우 해당 콘텐츠에 대한 전송을 차단하도록 설정했던 "테스트 용 규칙"에 예외처리를 진행해보겠습니다.

 

 

"대외비"와 "중요문서"와 "[대외비]"라는 단어가 포함된 "Sophos 문서.docx"를 "테스트.docx"로 이름을 변경해주세요.

 

 

제외 탭에서 "파일 이름이 일치하는 경우"와 "파일 형식이 다름과 같은 경우"에 체크해주세요.

 

 

파일 이름으로 예외처리 할 경우 파일 이름 항목에 작성하고, 파일 형식으로 예외처리 할 경우 해당 형식만 체크하여 예외처리를 진행하면 됩니다.

 

상기 과정에서는 파일 이름으로 예외처리를 진행하기 위해 파일 이름에 "테스트.docx"를 추가해주었습니다.

 

 

"테스트.docx"를 USB로 복사할 경우 "Sophos 문서.docx"와 달리 파일이 정상적으로 복사되었음을 확인할 수 있습니다.