Automatische doeldetectie

In de modus Mixed Observation past Data Loss Prevention verschillende regels toe, afhankelijk van de bestemming van de gedetecteerde datatransfer, intern of extern. De logica voor het bepalen of een bestemming als intern wordt beschouwd, wordt hieronder beschreven. Alle overige bestemmingen worden als extern aangemerkt.

Voor elke onderschepte datatransfer detecteert Data Loss Prevention automatisch of de doelserver (HTTP, FTP of SMB) intern is door een DNS-verzoek uit te voeren en de FQDN-namen te vergelijken van de machine waarop de Data Loss Prevention-agent draait en de externe server. Als het DNS-verzoek mislukt, controleert de agent daarnaast of de beveiligde workload en de externe server zich in hetzelfde netwerk bevinden. Servers die dezelfde domeinnaam hebben (of zich in hetzelfde subnet bevinden) als de machine waarop de Data Loss Prevention-agent draait, worden als intern beschouwd.

Voor e-mailcommunicatie beschouwt Data Loss Prevention alle e-mails als interne transfers wanneer deze worden verzonden vanaf een zakelijke e-mail­adres via de bedrijfs-mailserver, mits de ontvanger een e-mailadres heeft binnen hetzelfde domein als de afzender en de naam van de ontvanger-mailserver gelijk is.

Niet-zakelijke e-mails worden behandeld als externe communicatie, tenzij het account van de ontvanger bekend is. Bekende e-mailadressen worden bijgewerkt wanneer Data Loss Prevention de gebruikersactiviteit op het netwerk controleert en de database aan de back-end bijwerkt met gegevens voor e-mailadressen die zijn gekoppeld aan de gebruiker.

Communicatie via chats wordt behandeld als externe communicatie, tenzij het account van de ontvanger bekend is. Bekende accounts worden bijgewerkt wanneer Data Loss Prevention de gebruikersactiviteit op het netwerk controleert en de database aan de back-end bijwerkt met gegevens voor accounts die zijn gekoppeld aan de gebruiker.