لا تقوم قواعد حجم ملف DLP للوصول الآمن بدون تصنيف البيانات بإنشاء أحداث المراقبة للملفات النصية

مسألة

لا يقوم نهج DLP الخاص ب Cisco Secure Access على ويب تم تكوينه باستخدام معايير حجم الملف فقط (لا يوجد تصنيف بيانات) بإنشاء أحداث شاشة DLP لتحميل ملفات .txt، بينما يقوم نفس النهج بتشغيل أحداث المراقبة لأنواع الملفات الأخرى مثل ملفات .xlsx و .png و .pdf بشكل صحيح. نهج الإدارة العليا للسياسات المتأثرة - يتم تكوين ويب بواسطة:

• عنصر تحكم ملف بحجم ملف مخصص يتراوح بين 1 كيلوبايت و 49 ميجابايت

• لا توجد معايير لتصنيف البيانات

• مجموعة إجراءات للمراقبة

كشف الفحص ما يلي:

• لا تظهر تحميلات ملف TXT في أحداث DLP عندما يكون الإجراء = جهاز العرض.

• نفس ملفات TXT تولد أحداث DLP بشكل صحيح عندما الإجراء = الكتلة.

• تظهر سجلات النشاط كل تحميلات الملفات بما في ذلك ملفات TXT.

• تنسيقات الملفات الأخرى (PNG، PDF، XLSX) تولد أحداث DLP كما هو متوقع مع عملية الشاشة.

بالإضافة إلى ذلك، عند عدم تكوين تصنيف بيانات في قواعد DLP، تظهر أحداث DLP المسجلة دائما مستوى خطورة متوسط بغض النظر عن إعداد خطورة القاعدة التي تم تكوينها.

البيئة

• Cisco Secure Access (المعروفة سابقا باسم Cisco Umbrella)

• سياسات الويب الخاصة ب DLP (منع فقدان البيانات)

• سياسات الوصول إلى الإنترنت مع تمكين فك تشفير HTTPS

• إختبار تحميل الملفات الذي يتم إجراؤه عبر تطبيقات الويب

قرار

هذا السلوك غير موثق ولكن متوقع من خلال التصميم. يتم تجاوز أنواع MIME مثل النص/السهل من مراقبة DLP عند إستخدام معايير حجم الملف فقط مع إجراء المراقبة لمنع الحمل الزائد للسجل. وأكد فريق التطوير أن هذا السلوك متعمد وغير موثق خارجيا.

خيارات الحل

الخيار 1 (مستحسن): إضافة تصنيف بيانات

قم بإضافة أي معايير تصنيف بيانات واسعة إلى قاعدة DLP مع الاحتفاظ بالإجراء = شاشة.

تقوم هذه باستعادة:

• إنشاء حدث DLP لملف TXT

• معالجة الخطورة الصحيحة استنادا إلى تكوين القاعدة

الخيار 2: تغيير الإجراء إلى حظر

تغيير إجراء القاعدة من "جهاز العرض" إلى "كتلة". يقوم هذا بإنشاء أحداث DLP لملفات TXT، ولكنه يفرض أيضا الحظر الذي لا يمكن أن يكون مطلوبا لرصد حالات الاستخدام فقط.

نتائج إختبار المعمل

أكد الاختبار المعملي الشامل أنماط السلوك.

سيناريو الاختبار 1: قاعدة DLP مع تصنيف البيانات وحجم الملف (1 كيلوبايت-49 ميجابايت)، الإجراء = الكتلة

• ملف TXT مع PII: محظور ومسجل

• ملف PDF: محظور ومسجل

• ملف TXT بدون PII: مسموح به (متوقع)

• PNG مع PII: مسموح به (متوقع استنادا إلى التصنيف)

سيناريو الاختبار 2: قاعدة DLP بحجم الملف فقط (لا يوجد تصنيف للبيانات)، الإجراء = الكتلة

• كل أنواع الملفات (TXT، PDF، PNG): محظور ومسجل

• تظهر الخطورة على أنها متوسطة بالرغم من تكوين القاعدة على أنها منخفضة

سيناريو الاختبار 3: قاعدة DLP بحجم الملف فقط (لا يوجد تصنيف بيانات)، الإجراء = جهاز العرض

• ملفات TXT: مسموح به ولكن غير مسجل في أحداث DLP

• ملفات PDF و PNG: مسموح به وتم تسجيل دخوله إلى أحداث DLP

• تظهر سجلات النشاط كل التحميلات بما في ذلك ملفات TXT

السبب

هذا السلوك متعمد ولكن غير موثق في DLP للوصول الآمن من Cisco. يتجاوز النظام تسجيل أحداث DLP لأنواع MIME النصية/العادية عند إستخدام قواعد حجم الملف فقط مع إجراء المراقبة لمنع إنشاء السجل بشكل زائد. يعتمد السلوك على الإجراء ونوع MIME:

• مراقبة عملية باستخدام معايير حجم الملف فقط: ملفات TXT التي تم تجاوزها من التسجيل

• إجراء حظر باستخدام معايير حجم الملف فقط: ملفات TXT تسجل بشكل طبيعي

• أي إجراء مع تصنيف البيانات موجود: ملفات TXT تسجل بشكل طبيعي

تحدث مشكلة الخطورة لأن أحداث DLP تستمد الخطورة من بيانات تعريف تصنيف البيانات بدلا من إعدادات القاعدة عند التشغيل في وضع مراعاة المحتوى. بدون تصنيف البيانات، يتم تعيين إعدادات النظام الافتراضية على الخطورة "متوسطة" بغض النظر عن خطورة القاعدة التي تم تكوينها.

المحتوى ذي الصلة

• تكوين حجم ملف DLP الآمن من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	29-Oct-2026	الإصدار الأولي