Forcepoint DLP

Merhaba,

Aslında kurulum öncesinde management server domaine dahil edildikten sonra forcepoint kurulumuna geçiliyor ki, kurulum esnasında ve sonraki müdahalelerde sıkıntı yaşanmasın. Domaine dahil etmek zorunda değilsiniz benim tercihim dahil edilmesi yönündedir. Yoksa zaten dlp, mail ve web tarafında hepsi ldap ile kullanıcıları çekebiliyorlar.

İyi günler.

Hasan Bey Merhaba,

Firma security manager ın kurulu olduğu sunucunun domaine dahil edilmesini istiyor bende ldap entegrasyonu varsa ne gerek var dedim.

Sunucu zaten local admin olacağı için domaine dahil edilmemesinde ne gibi sorunlar çıkabilir?

Bu biraz tecrübeden kaynaklanan bir durum veya best practice bunu gerektiriyor olabilir. Çünkü forcepoint panelinde yer alan bladeler üzerinden şunları yapabiliyorsunuz.

Active directory entegrasyonu yapabilir ve forcepoint için yetkili kullanıcıların yetkilerini buradan ayarlayabilirsiniz. Yani log in için domain kullanıcı adı şifrenizi kullanıyorsunuz ama bu diğer web, mail ve data yı etkilemiyor. Her blade için gidip ortamda yer alan primary, secondary gibi domainleri ekleyip kullanıcıları ve grupları çekiyorsunuz.

DLP için ise Installation Guide üzerinden aldığım bilgiyi seninle paylaşıyorum. 

7. Create a local administrator to be used as a service account. If the deployment includes more than one Forcepoint DLP server, use a domain account (preferred), or the use same local user name and password on each machine. Do not change the service account.

Installation Guide - http://www.websense.com/content/support/library/data/v84/install/install_dlp.pdf

Forcepoint - 8.4 Installation: DLP - https://youtu.be/sx7dGK734J0?t=155

Forcepoint - 8.4 Installation: FP Manager Framework - https://www.youtube.com/watch?v=7YbT_98CNDs

Domain considerations ●

The servers running Forcepoint DLP software can be set as part of a domain or as a separate workgroup. If there are multiple servers, or if the system will be configured to run commands on file servers in response to discovery, it is best practice to make the servers part of a domain.

Do not install Forcepoint DLP on a domain controller machine.

● Strict GPOs may interfere with Forcepoint DLP and affect system performance, or even cause the system to halt. To avoid this issue, when adding Forcepoint DLP servers to a domain, make them part of an organizational unit that does not enforce strict GPOs.

● Certain real-time antivirus scanning can downgrade system efficiency. This problem can be reduced by excluding some directories from that scanning (see Antivirus, page 3). Please contact Forcepoint Technical Support for more information on enhancing performance.

Installing the Management Server Domain admin privileges To ensure that Forcepoint DLP components can communicate across the network and access network directory services and database servers, log on to the management server machine with domain admin privileges to perform the installation.

Demek şart değil ama firma öyle istiyorsa suyundan gitmekte fayda var. Olmuyor değil oluyor ama saha tecrübesi bunu gerektiriyorsa uygulamakta fayda var. Dağınık ve büyük yapılarda tercih meselesi görünüyor. Örneğin sql farklı bir sunucu üzerindedir ve domain accountu ile set ediyorsunuzdur. Birden fazla DLP Server vardır. Directory servisi bunun için gerekiyordur. Ayrıca direkt olarak admin hesabı ile değil de domainde bir tane forcepoint için kullanıcı oluşturun ve bunu kullanın. 

Bu arada DLP sormuşsunuz ama web ve emaili kullanıyor musunuz? 

Hasan Bey, bilgilendirme için teşekkürler gayet detaylı yazmışsınız.

Dediğiniz gibi şart değil büyük ve dağınık yapı varsa, birden fazla dlp sunucu ve sql farklı makinedeyse domaine almak mantıklı görünüyor.

Küçük ölçekli firmayız sadece 1 adet dlp sunucu olacak ve sql de aynı makinede olacak domaine almak mantıklı gelmiyor fakat yine de ileride problem yaşanmaması açısından düşünülebilir.

Teşekkürler.

Rica ederim. İyi çalışmalar.