Data Loss Prevention Endpoint 常见问题 11.x

技术文章 ID: KB84085
上次修改时间: 2022-12-01 12:33:06 Etc/GMT

环境

Data Loss Prevention （DLP）端点 11.x

摘要

此文章是常见问题与解答的综合列表。本文旨在面向是产品的新用户，但所有用户都可以使用。

本文的最近更新

日期	更新
2022 年 2 月 14 日	在 "兼容性常见问题" 部分中添加了新内容。

单击以展开要查看的部分：

一般常见问题

有哪些类型的 DLP Endpoint 配置和授权选项可用？
DLP Endpoint 有两种配置：

Device Control
DLP Endpoint （完整 DLP Endpoint）

每种配置均可使用两种许可选项：

90天试用版
无限制许可证

默认安装是 McAfee Device Control 90 天的许可证。在安装时，将激活 McAfee Device Control 配置。在 ePO 控制台中的 DLP 设置中升级许可证密钥会将更改为全功能配置。 DLP Endpoint

中包含哪些功能？
完整的 DLP Endpoint 许可证具有设备控制许可证的所有功能。此外，完整的 DLP Endpoint 软件包括以下内容：

通用保护，可通过最广泛的数据丢失通道防止数据丢失。例如，可移动设备、电子邮件（包括附件）、web 发布、打印和文件系统。
持久的内容感知数据保护，可防止数据丢失，无论数据存储或操作的格式如何。它强制数据丢失防护，而不会中断合法用户活动。
保护可防止从台式机和笔记本电脑传输敏感数据，无论它们是否连接到企业网络。

哪些许可证可用于 DLP？
DLP 是一套产品，其中每个产品都可以保护您网络中不同类型的数据。可用许可证类型：

Data Loss Prevention Endpoint-检查并控制端点上的内容和用户操作。
Device Control-控制在端点上使用可移动介质。
Data Loss Prevention Discover-扫描文件存储库以识别和保护敏感数据。
Data Loss Prevention Prevent-与您的 web 代理或 MTA 服务器配合使用，以保护 web 和电子邮件流量。

注意: 不再支持针对移动电子邮件的 Data Loss Prevention Prevent。此产品用于与 MobileIron 一起监控 Microsoft Exchange ActiveSync 或 Microsoft Office 365 ActiveSync 请求

所有许可证均具有试用版和永久版本。试用版使用90天许可证密钥。

我可以在哪里找到我的许可证密钥？
您可以在 "Notes" 部分下的 产品下载 页面，以及产品说明下的 ePO 软件管理器 页面上找到许可密钥文本。

如果您仅有 ePO 扩展或 endpoint 软件，则没有该文本文件。从 产品下载 "页面下载完整包。有关详细信息，请参阅 KB56057-如何下载 Enterprise 产品更新和文档。
如果您有试用包，但没有文本文件，请联系您的销售代表或销售工程师，以获取有关下载软件的帮助。

许可证保持活动状态的时间有多长？
试用许可证在到期前的90天内保持活动状态。90天后，您的策略将不会应用。永久许可证不会到期。

在哪里可以找到有关使用 "数据丢失防护" 的最佳做法建议或白皮书？

什么是扫描程序和索引器？
扫描程序和索引器是用于对要进行扫描的文件进行迭代的应用程序，例如：

防病毒软件
备份应用程序
Windows 搜索

索引器和扫描程序会扫描整个硬盘驱动器并访问许多文件。当扫描程序/索引器访问标记的文件时，DLP Endpoint Agent 会将所有标记内容的指纹加载到内存中。要使它们不会将这些内存加载到系统中，索引器和扫描程序必须设置为使用 受信任的应用程序策略。在配置 DLP Endpoint 时，此设置被视为最佳做法。原因是因为不需要 DLP Endpoint Agent 来跟踪所有文件。它还显著提高了系统性能。

如何配置受信任的应用程序策略策略？
应用程序策略在 " 应用程序模板 " 页面上的 DLP 策略管理器、定义中设置。使用内置的模板，或创建自定义的模板。

注意: 您无法在内置模板中编辑策略。您可以在 DLP 策略、"设置"、"应用程序策略 " 页面上创建替代。视需要创建并删除覆盖以对策略进行微调。

必要时更改策略，以优化性能。例如，对编辑器应用程序接收的高级别的观察与频繁处理备份软件的情况并不一致。性能损失很高，因此来自此类应用程序的数据泄露风险很低。因此，我们建议您不要将受信任的策略与这些应用程序配合使用。
您还可以为应用程序创建一个以上的模板并为其分配一个以上的策略。要在不同的上下文中获得不同的结果，请使用不同分类和规则中的不同模板。在规则集内分配此类模板时务必小心谨慎，以避免发生冲突。DLP 根据以下层次结构解决潜在冲突： archiver, trusted, explorer, editor 。即，编辑器的层级最低。如果应用程序是一个模板中的编辑器以及同一规则集中另一个模板中的其他内容，则 DLP 不会将该应用程序视为编辑器。
有关更多详细信息，请参阅 " 数据丢失防护 11.4.x " 产品手册。

扫描程序和索引器是否会影响标记的工作方式？
当访问某个文件时，DLP Endpoint Agent 会对内容进行分析，然后在内存（RAM）中创建并存储其指纹。

DLP Endpoint 标记是否适用于整个文件或文件的内容？
在文件系统级别上，DLP Endpoint 标记存储在文件的扩展文件属性（EA）或备用数据流（ADS）中。访问某个标记的文件时，DLP Endpoint Agent 会跟踪数据转换。此外，它还会始终保持对标记文件敏感内容的分类，而不管其使用方式如何。

标记对内容起作用。因此，如果整个文件只包含标记内容的一部分（例如从其他文档中复制的内容），则只会标记该部分。即使手动标记指示该文件已标记，也只会标记该部件。使用默认代理配置时，需要至少两个块，或大约350个非重复字符，才能识别和跟踪标记的内容。有关详细信息，请参阅 KB53436-有关触发数据丢失防护反应的最小数据集的详细信息。

标记如何从一个文件传播到另一个文件？
标记的工作方式与签名大致相同，并且以与指纹哈希相似的方式生成。这些特征码有助于识别文件的内容是否与原始特征码内容相匹配。

访问标记的文件时，会将标记内容签名加载到内存（RAM）中。此后，如果用户访问并更改另一个文件以在带标记的文件中包含相同的内容，则新文件会在保存时进行标记。结果是类似的，无论您是将文件复制到新文档还是复制现有文档。只有文件的相关部分被标记。

如何复制文件的内容并将其粘贴到电子邮件正文或 web 浏览器表单中？
访问标记的文件时，会将标记内容签名加载到内存（RAM）中。此后，所有保护规则操作均适用于此内容。如果将电子邮件保护规则配置为阻止标记，则会阻止从标记文件中粘贴的内容被阻止。同样的条件也适用于 Web 发布保护规则。

如何将标记存储在文件系统上？
标记技术与主机的 NTFS （新技术文件系统）功能配合使用。与 FAT32 （文件分配表）不同，NTFS 具有额外的分配空间用于存储文件。这一事实可让标记技术独立于文件属性工作。FAT32 的回退方法是 ADS 和 ODB $ （在 FAT32 中）。对于不支持 EA 或 ADS 的文件系统，DLP Endpoint 会将标记信息存储为磁盘上的图元文件。图元文件存储在名为ODB $的隐藏文件夹中。DLP Endpoint agent 会自动创建此文件夹。

注意: 由于标记未直接存储在文件或文件属性中，因此当标记文件时，内容不受影响。

如果标记通过 web post 或通过 FTP 进行传输，它是否可以丢失？
上载的文件未加标签。通过 web post 或 FTP 上载仅处理文件内容本身，而不涉及文件系统中的其他信息。如果已配置 web/网络保护规则，则可以监控或阻止文件上载或传输。

如果我访问的文件未标记，但内容与标记的内容相匹配，是否已标记？
虽然未将内容从标记 FILE_1 复制到 FILE_2，但在保存时 FILE_2 仍会标记。它被标记，因为当访问 FILE_1 时，内容与内存中存储的标记签名相匹配。此方法类似于特征码匹配技术，其中结束文件类似于 fingerprinted 文件的内容。

如何删除内存中的标记？
当用户注销或重新启动系统时，存储在内存中的标记会被删除。

重置标记会从文件的扩展属性中删除标记吗？
是的。如果重置了某个标记，则会更改标记的标识（GUID）。当代理具有最新策略并检测到它无法识别的标记标识时，保存文件时将从扩展属性中删除标记。

允许列表如何对标记进行补充？
禁止标记 "允许列表" 中的内容。通常，"允许列表" 对常见内容（例如免责声明或标准公司模板）很有用。

允许列表是否会影响已驻留在用户端点上的以前标记的文件？
它对新标记的文件或在配置允许列表之前标记的文件起作用。只要内容部分位于允许列表中，就不会对内容应用保护规则。

DLP Endpoint 标记如何与压缩软件配合使用？
如果某个标记文件已压缩，则生成的存档文件也会被标记。管理员必须确保将存档应用程序设置为使用存档应用程序策略。在 DLP Endpoint 中，技术支持包含了一些常用存档应用程序（如 WinZip）的应用程序策略。

返回顶部

兼容性常见问题

支持哪些操作系统？是否支持服务器操作系统？
有关 Data Loss Prevention Endpoint，请参阅 KB68147 支持平台中的 "支持系统" 矩阵。

USB 连接 SCSI （UAS）海量存储设备是否受允许列表中的支持？
不能。如果在 设备管理器中找不到该设备，DLP 将不会读取该设备。DLP 在适配器级别阻止 SCSI，因此在允许列表中不受支持。有关详细信息，请参阅 KB91074-如何阻止 USB 连接的 SCSI （UAS）大容量存储设备。

支持哪些语言？
有关本地化语言支持的详细信息，请参阅 DLP Endpoint 发行说明中的 "支持语言" 部分。

返回顶部

安装常见问题

如何安装 DLP Endpoint？
从产品下载站点下载 DLP Endpoint 扩展。

我们的产品软件、升级、维护版本和文档可在产品下载网站上找到。

注意：您需要提供有效的授权号才能进行访问。请参阅 KB56057-如何下载企业产品更新和文档，以了解有关产品下载网站以及某些产品的备用位置的详细信息。

哪些 DLP Endpoint 应用程序安装在 ePO 中？
以下 DLP Endpoint 应用程序安装在 ePO 中：

DLP Endpoint 策略控制台
DLP 事件管理器和 DLP 操作事件
DLP 事件解析器
DLP 设置
DLP Endpoint 和帮助内容

我是否需要安装 McAfee Agent？
是的。要添加数据丢失保护，您还必须为 McAfee Agent 部署 DLP Endpoint 插件。您可以使用 ePO 基础结构安装插件。

如何安装 DLP Endpoint 扩展、DLP Endpoint 客户端软件？
在适用于您的版本的适用 DLP Endpoint 安装手册的 "安装 McAfee DLP Endpoint 软件" 部分中提供了相关说明。

我如何手动安装 DLP Endpoint 客户端软件？
使用以下步骤手动安装 DLP Endpoint 客户端软件：

解压缩 McAfeeDLP EndpointndpointXXLicensed.zip 到一个临时文件夹。
导航到临时文件夹中的以下内容：

\TAG_AGENT_X_X_XXX_XXX\Signed_Package 其中 X_X 是产品版本编号， XXX_XXX 是更新和内部版本号。

例子： \TAG_AGENT_11_1_400_00\Signed_Package

运行 DLPAgentInstaller.yy.exe （其中 yy 是 x86 或 x64）。

如何从客户端手动卸载 DLP Endpoint？
DLP Endpoint 客户端软件受到保护，无法防止未经授权的删除。使用 Microsoft Windows 添加或删除程序 "选项可进行手动删除。此方法需要一个质询-响应密钥，该密钥是从 DLP Endpoint 管理员处获取的。
使用以下步骤在 DLP 策略中禁用质询-响应提示：

登录到 ePO 控制台。
单击菜单、 数据保护、 DLP 策略。
单击 代理配置中， 编辑全局代理配置。
单击 高级配置 选项卡。
选择以下每个条目，并根据需要配置以启用或禁用质询-响应密钥。然后单击确定：

Show challenge-response on upgrade
Show challenge-response on uninstall

单击应用保存更改。有关详细信息，请参阅您的版本的《 DLP Endpoint 安装手册》 。

返回顶部

配置常见问题

DLP Endpoint 策略管理器的
用途是什么？
通过 DLP Endpoint 策略管理器控制台，管理员可以定义和强制实施其企业信息安全策略。策略管理器用于创建安全策略并管理 DLP Endpoint 组件。它在 ePO 中进行访问。

我可以备份和保存策略吗？
您可以转至 EPO 菜单、DLP 设置、 Backup and Restore 选项卡，将策略另存为备份。选择 备份到文件。此功能对于 DLP 策略备份非常有用。它会创建一个名为的 dlpConfig.backup 文件。
它包含 DLP 策略、分类和定义。

要使用此备份或来自其他 EPO 服务器的备份还原策略，请转到菜单、 DLP Settings, Backup and Restore 选项卡。浏览至 "备份文件位置"，然后单击 "从文件还原"。

注意: DLP 扩展版本必须高于要导入的版本。

如何在 DLP Endpoint 安装后抑制重新启动消息？
在 DLP 11.0.5 之前，升级产品时，端点需要重新启动。但是，在将 DLP 升级到版本 11.0.5. 之后，我们不再需要重新启动，我们建议始终将 dlp 升级到最新的可用版本。

如何同时运行多个 DLP Endpoint 版本（客户端、扩展或两者）？
您可以使用 DLP Endpoint ePO 扩展的最新版本来管理多个 DLP Endpoint 客户端版本。在 DLP Endpoint 策略中配置 向后兼容模式 选项，如下所示：

登录到 ePO 控制台。
单击 菜单、数据保护、DLP 设置。
单击 向后兼容性 旁边的下拉列表，并选择 DLP 及更高版本的最高可用版本
在右下角单击保存。

注意: 每个 ePO 服务器只能安装一个 DLP Endpoint 扩展。

我可以修改或自定义 NDLP 装置吗？
不能。虽然。某些客户希望查看在操作系统（OS）级别上是否可以将任何更改作为安全实施的一部分来应用。例如，SCD 12。
它类似于在 OS 级别应用安全层，以防止风险和影响，从而防止威胁。
NDLP 不提供对任何此类更改的支持。

注意：

使用的是 McAfee Linux OS （MLOS），它是 RHEL 或 CentOS 的强制变体，不允许进行进一步的更改。
数据丢失防护装置（DLP 阻止和 DLP 监视器）装置未设计为支持安装第三方软件。安装第三方软件可能会中断其功能。

返回顶部

功能常见问题

什么是 McAfee Device Control？
McAfee Device Control 可防止未经授权使用可移动媒体设备。McAfee Device Control 提供了持久的内容感知保护，即：

控制可复制到可移动设备的数据
完全阻止设备
使设备只读
阻止从可移动设备运行的应用程序

DLP Endpoint 使用
哪些类型的允许列表？
DLP Endpoint 使用四种类型的允许列表：

Application -允许所需的应用程序，例如加密软件。可以创建允许列表应用程序的定义，以免除应用程序的阻止规则。
内容 -包含定义未标记和受限的内容（通常为样本文本）的文本文件。其目的是通过跳过无需保护的内容来提高标记过程的效率。
即插即用设备 -自动从设备管理中排除，因为某些即插即用设备不能很好地处理设备管理。
打印机 -禁止打印机密数据。DLP Endpoint 将原始打印机驱动程序替换为可截获打印操作并将其传递给原始驱动程序的代理驱动程序。

DLP Endpoint 支持
哪种类型的加密？
DLP Endpoint 通过以下方式支持加密：

提供内置设备定义，可识别可移动媒体设备的 DLP Endpoint 以及使用 File and Removable Media Protection （FRP）软件加密的内容。
将内置设备定义从 FRP 中合并到，以允许创建仅允许将加密内容保存到设备的设备规则。
支持 Adobe LiveCycle 和 Microsoft 权限管理保护的文件内系统发现规则。
根据文档的加密状态（已加密/未加密）提供过滤规则。
通过 Adobe LiveCycle 或 Microsoft 权限管理保护，在文件系统发现、电子邮件存储发现和大部分保护规则中提供过滤。
根据需要提供加密。

当代理确定发生策略违规时会发生什么情况？
代理会生成一个事件并将其发送到 ePO 事件解析器。然后，EPO 管理员便可以在 EPO 中查看 DLP 事件管理器中的这些事件。要查看事件列表，请转到 菜单、数据保护和事件 DLP 事件管理器。

什么是证据，其存储位置是什么？
证据是导致安全事件发布到 DLP 事件管理器的数据副本。DLP Endpoint 将证据存储在客户端代理与服务器之间的通信间隔之间的临时位置。当 McAfee Agent 将信息传递到服务器时，会清除该文件夹。此外，证据存储在 "服务器证据" 文件夹中。您可以指定计算机脱机时本地证据存储的最大大小和保留期限。

证据存储的先决条件
启用证据存储是 DLP 的默认条件。如果您不想保存证据，可以禁用证据服务以提高性能。设置软件时，需要执行以下操作或将其设置为默认值：

证据存储文件夹 -创建一个网络证据存储文件夹，并指定该文件夹的 UNC 路径，这是将策略应用到 ePO 的要求。在 DLP 设置→常规页面上指定默认路径。
证据复制服务 -将默认 UNC 路径复制到策略目录的证据复制服务页面。对于 DLP 发现、DLP 阻止和 DLP 监视器，证据复制服务页面位于服务器配置中。对于 McAfee DLP Endpoint，它位于 Windows 和 Mac OS X 客户端配置中。您可以在配置中指定不同的证据存储文件夹。

注意：如果您的 DLP 装置位于 DMZ 内，则可以在防火墙之外指定证据服务器。请在 DLP 装置管理策略目录的常规页面中进行指定。

报告服务 -适用于 WINDOWS 的 DLP Endpoint，您还必须激活报告服务和证据复制服务选项才能启用证据收集。激活客户端配置的操作模式和模块页面上的选项。

EPolicy Orchestrator （ePO）在信息显示板中生成 DLP Endpoint Agent 状态的情况如何？
信息显示板中的 DLP Endpoint Agent 状态不是实时生成的。在执行 DLP MA 属性报告任务 时，代理状态是代理的一般代表状态。默认情况下，此任务每天执行一次。此任务会将 DLP MA 属性 从 ePO 表复制到 DLP Endpoint 报告表。当端点在代理与服务器之间的通信调用期间发送其属性时，会从 McAfee Agent 中检索DLP MA 属性。默认情况下，通信每60分钟发生一次。

在 ePO 信息显示板上，我注意到某些 Pc 报告了以下 DLP Endpoint Agent 状态：代理正在运行（至少有一个用户会话未受保护）。我应该关心什么问题吗？
通常，显示的状态为正常，不会引起问题。DLP Endpoint 提供多会话支持。默认情况下，DLP Endpoint 仅保护已登录的用户会话。当出现此状态时，可能会出现以下几种情况：

用户已注销系统。由于在用户注销后可能会发生代理与服务器之间的通信，因此 DLP Endpoint 会报告已注销用户会话的代理状态，因为 未运行代理。在系统级别上，DLP Endpoint Agent 仍在运行。
用户已从系统注销，但应用程序仍在该用户 ID 下运行。
信息显示板不是实时生成的，依赖于代理与服务器之间的通信。

在 ePO 信息显示板上，我注意到有一些系统报告以下 DLP Endpoint Agent 状态：代理已启动–无策略。我必须做些什么？
从 ePO 系统树检查系统。您可以执行代理唤醒呼叫以检索最新的属性。在 Data Loss Prevention Endpoint 下，您可以看到最新状态。如果状态为 " 代理已启动"-无策略，则可能由于以下原因之一而无法将策略应用到代理：

代理已安装或已升级并重新启动，但尚未收到最新的策略。要修复此情况，请执行代理唤醒呼叫。
升级后，策略不能正确更新。要确保策略得到升级，请打开并重新保存 DLP 策略和代理配置。
代理可能比 ePO 中的 DLP Endpoint 扩展更旧或更新。如果代理较旧，请确保将向后兼容性配置为支持较旧的代理。如果代理较新，请将 DLP Endpoint 扩展进行升级。

如何从注册表验证 DLP Endpoint Agent 状态？
可以通过转到端点上的注册表项来确定 DLP Agent 状态：

对于已登录的用户会话，请检查以下注册表项：

HKLM\Software\McAfee\DLP\Agent\Properties\ActiveSessions\<username>\Agent\Status

以下是可能的值和描述的列表：

活动/状态	DLP Endpoint 代理状态	描述
0	用户注销	用户注销时。此状态主要是为了与早于版本的代理兼容 9.3.
1	代理正在运行	代理正在运行。
2	代理驱动程序初始化失败	驱动程序未正确安装、未加载驱动程序或 DLP Endpoint 未运行。如果 DLP Endpoint 未加载，则它会尝试修复驱动程序或注册表，否则会出现以下情况：如果失败，则会设置此密钥。
3	已安装代理，正在等待重新启动	安装的代理需要重新启动。此状态仅在安装后显示。
4	代理正在运行，但没有策略	代理正在运行（ fcag 进程正在运行，但尚未发生策略强制实施）。安装 DLP Endpoint 后，计算机已重新启动，但尚未收到该策略。
5	代理安装失败	如果安装程序失败，则会将其写入到注册表中。
6	已删除代理	DLP Endpoint 会为要发送到数据库的 McAfee Agent 创建一个事件。只有 CMA 报告任务可以读取此插件。由于 DLP 插件不再存在，因此 DLP Endpoint 无法将此事实告知 ePO。
7	代理未运行	代理未运行。
8	以完整 DLP 模式运行的代理	代理正在完整 DLP Endpoint 模式下运行。
9	在 RS + 设备控制中运行的代理	代理在可移动存储和设备控制模式下运行。
10	仅在设备控制中运行的代理	代理正在设备控制模式下运行。

返回顶部

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

Data Loss Prevention Endpoint 常见问题 11.x

环境

摘要

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

Data Loss Prevention Endpoint 常见问题 11.x

环境

摘要

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title