En savoir plus sur les points de terminaison de protection contre la perte de données

Vous pouvez utiliser Protection contre la perte de données Microsoft Purview (DLP) pour surveiller les actions effectuées sur les éléments que vous avez déterminés comme sensibles et pour empêcher le partage involontaire de ces éléments.

La protection contre la perte de données de point de terminaison (DLP de point de terminaison) étend les fonctionnalités de surveillance et de protection des activités de DLP aux éléments sensibles qui sont physiquement stockés sur les appareils Windows 10/11, macOS (les trois dernières versions majeures publiées) et Certaines versions de serveur Windows. Une fois que les appareils sont intégrés aux solutions Microsoft Purview, les informations sur ce que les utilisateurs font avec les éléments sensibles sont rendues visibles dans l’Explorateur d’activités. Vous pouvez ensuite appliquer des actions de protection sur ces éléments via des stratégies DLP.

Prise en charge du point de terminaison DLP Windows 10/11 et macOS

La DLP de point de terminaison vous permet d’intégrer des appareils exécutant les versions suivantes de Windows Server :

• Windows Server 2019 (14 novembre 2023 – KB5032196 (build du système d’exploitation 17763.5122) - Support Microsoft)

• Windows Server 2022 (Mise à jour de sécurité du 14 novembre 2023 (KB5032198) - Support Microsoft)

Par défaut, endpoint DLP n’est pas activé pour les serveurs Windows lorsqu’ils sont initialement intégrés. Avant de voir les événements DLP de point de terminaison pour vos serveurs dans l’Explorer d’activité, vous devez d’abord activer la protection contre la perte de données de point de terminaison pour les serveurs Windows.

Une fois correctement configurées, les mêmes stratégies de protection contre la perte de données peuvent être appliquées automatiquement aux PC Windows et aux serveurs Windows.

Autres paramètres

Activités de point de terminaison que vous pouvez surveiller et sur lesquels vous pouvez agir

La protection contre la perte de données de point de terminaison vous permet d’auditer et de gérer les types d’activités suivants que les utilisateurs prennent sur les éléments sensibles qui sont stockés physiquement sur des appareils Windows 10, Windows 11 ou macOS.

Comportement de copie dans le Presse-papiers

Quand vous configurez une règle pour bloquer ou bloquer avec remplacement lorsqu’un utilisateur tente l’activité Copier dans le Presse-papiers sur le contenu d’un fichier qui correspond à la stratégie, les utilisateurs finaux voient ce comportement avec ces configurations :

• Word fichier 123 contient des informations sensibles qui correspondent à la règle de blocage de copie dans le Presse-papiers.

• Le fichier Excel 123 contient des informations sensibles qui correspondent à la règle de blocage de copie dans le Presse-papiers.

• Le fichier PowerPoint 123 contient des informations sensibles qui correspondent à la règle de blocage de copie dans le Presse-papiers.

• Word fichier 789 ne contient pas d’informations sensibles.

• Le fichier Excel 789 ne contient pas d’informations sensibles.

• Le fichier PowerPoint 789 ne contient pas d’informations sensibles.

• Le bloc-notes (ou tout fichier d’application ou de processus non basé sur Microsoft Office) XYZ contient des informations sensibles qui correspondent à la règle de blocage de copie dans le Presse-papiers.

• Le fichier ABC du Bloc-notes (ou tout autre processus ou application non basé sur Microsoft Office) ne contient pas d’informations sensibles.

Meilleure pratique pour les stratégies DLP de point de terminaison

Supposons que vous souhaitiez empêcher tous les éléments qui contiennent des numéros de carte de crédit de quitter les points de terminaison des utilisateurs du service Financier. Nous vous recommandons :

• Créez une stratégie et étendez-la aux points de terminaison et à ce groupe d’utilisateurs.
• Créez une règle dans la stratégie qui détecte le type d’informations que vous souhaitez protéger. Dans ce cas, définissez le contenu surType d’informations sensibles*, puis sélectionnez Carte de crédit.
• Définissez les actions de chaque activité sur Bloquer.

Pour plus d’informations sur la conception de vos stratégies DLP, consultez Concevoir une stratégie de protection contre la perte de données .

Fichiers analysées

Fichiers surveillés par le biais d’une stratégie

La DLP de point de terminaison surveille ces types de fichiers via une stratégie dans Windows 10, 11 et dans les trois dernières versions majeures de macOS :

Fichiers audités indépendamment de la correspondance de stratégie

Les activités peuvent être auditées sur ces types de fichiers dans Windows 10, 11 et dans les trois dernières versions majeures de macOS, même s’il n’existe aucune correspondance de stratégie :

Si vous souhaitez uniquement surveiller les données des correspondances de stratégie, vous pouvez désactiver l’activité toujours auditer les fichiers pour les appareils dans les paramètres> de protection contre la perte de donnéesParamètres de point de terminaison.

Si le paramètre Toujours auditer l’activité des fichiers pour les appareils est activé, les activités sur les fichiers Word, PowerPoint, Excel, PDF et .csv sont toujours auditées, même si l’appareil n’est ciblé par aucune stratégie.

Pour vous assurer que les activités sont auditées pour tous les types de fichiers pris en charge, créez une stratégie DLP personnalisée.

La DLP de point de terminaison surveille l’activité basée sur le type MIME, de sorte que les activités sont capturées, même si l’extension de fichier est modifiée, pour ces types de fichiers :

Une fois l’extension remplacée par une autre extension de fichier :

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Si l’extension est remplacée uniquement par les extensions de fichier prises en charge :

• .txt
• .Msg
• .rtf
• .c
• .Rpc
• .h
• .Cs
• .Java
• .tsv

Fichiers analysés à la recherche de contenu

Vous pouvez utiliser un ou plusieurs types de fichiers comme conditions dans vos stratégies DLP :

Différences avec Endpoint DLP

Vous devez tenir compte d’un certain nombre de concepts supplémentaires avant d’approfondir le point de terminaison DLP.

Activation de la gestion des appareils

La gestion des appareils est une fonctionnalité qui permet d’assembler la télémétrie à partir d’appareils et de l’intégrer à des solutions de conformité Microsoft Purview telles que la DLP de point de terminaison et la gestion des risques internes. Vous devez intégrer tous les appareils que vous souhaitez utiliser comme emplacements dans vos stratégies DLP.

L’intégration et la désintégration sont gérées par le biais de scripts que vous téléchargez à partir du centre de gestion des appareils. Le centre de gestion des appareils dispose de scripts personnalisés pour chacune des méthodes de déploiement suivantes :

• Script local (jusqu’à 10 ordinateurs)
• Stratégie de groupe
• System Center Configuration Manager, Version 1610 ou ultérieure
• Gestion des périphériques mobiles/Microsoft Intune
• Scripts d’intégration VDI pour les machines non persistantes

Utilisez les procédures décrites dans Prise en main des points de terminaison Microsoft 365 DLP vers les appareils intégrés.

L’intégration d’appareils à Defender les intègre également à DLP. Par conséquent, si vous avez intégré des appareils via Microsoft Defender pour point de terminaison, ces appareils s’affichent automatiquement dans la liste des appareils. Il vous suffit d’activer la surveillance des appareils pour utiliser la protection contre la perte de données (DLP) du point de terminaison.

Affichage des données DLP de point de terminaison

Vous pouvez afficher les alertes liées aux stratégies DLP appliquées sur les appareils de point de terminaison en accédant au tableau de bord de gestion des alertes DLP et Examiner les incidents de perte de données avec Microsoft Defender XDR.

Vous pouvez également afficher les détails de l’événement associé, avec des métadonnées enrichies, dans le même tableau de bord

Une fois qu’un appareil est intégré, les informations relatives aux activités auditées sont transmises dans l’Explorateur d’activités, même avant de configurer et déployer des stratégies DLP qui ont des périphériques comme emplacement.

Point de terminaison DLP recueille de nombreuses informations sur l’activité auditée.

Par exemple, si un fichier est copié sur un support USB amovible, les attributs suivants apparaissent dans les détails de l’activité :

• type d’activité
• IP Client
• Chemin d’accès du fichier
• horodatage arrivé
• nom du fichier
• utilisateur
• extension du fichier
• taille du fichier
• type d’informations sensibles (le cas échéant)
• valeur SHA1
• valeur SHA256
• nom de fichier précédent
• emplacement
• parent
• chemin d’accès
• type d’emplacement source
• platform
• nom du périphérique
• type d’emplacement de destination
• application ayant effectué la copie
• ID de l’appareil Microsoft Defender pour point de terminaison (le cas échéant)
• fabricant de l’appareil multimédia amovible
• modèle d’appareil multimédia amovible
• numéro de série de l’appareil multimédia amovible

Appareils DLP et hors connexion de point de terminaison

Lorsqu’un appareil de point de terminaison Windows est hors connexion, les stratégies existantes continuent d’être appliquées sur les fichiers existants. En outre, avec la protection juste-à-temps activée et en mode « bloquer », lorsqu’un fichier est créé sur un appareil hors connexion, le fichier est toujours empêché d’être partagé tant que l’appareil ne se connecte pas au service de classification des données et que l’évaluation n’est pas terminée. Si une stratégie est créée sur le serveur ou si une stratégie existante est modifiée, ces modifications sont mises à jour sur l’appareil une fois qu’il se reconnecte à Internet.

Considérez les cas d’usage suivants.

1. Les stratégies qui ont été envoyées à un appareil continueront d’être appliquées aux fichiers déjà classés comme sensibles, même après que l’appareil est hors connexion.
2. Les stratégies mises à jour dans le portail de conformité lorsqu’un appareil est hors connexion ne seront pas envoyées à cet appareil. De même, ces stratégies ne seront pas appliquées sur cet appareil tant que l’appareil n’est pas de nouveau en ligne. Toutefois, la stratégie obsolète qui existe sur l’appareil hors connexion est toujours appliquée. Protection juste-à-temps

Si les notifications sont configurées pour s’afficher, elles s’affichent toujours lorsque des stratégies DLP sont déclenchées, que l’appareil soit en ligne ou non.

Les stratégies DLP se synchronisent régulièrement avec les appareils de point de terminaison. Si un appareil est hors connexion, les stratégies ne peuvent pas être synchronisées. Dans ce cas, la liste Appareils indique que l’appareil n’est pas synchronisé avec les stratégies dans sur le serveur.

Protection juste-à-temps

La protection juste-à-temps bloque toutes les activités de sortie sur les fichiers surveillés suivants jusqu’à ce que l’évaluation de la stratégie se termine correctement :

• Éléments qui n’ont jamais été évalués.
• Éléments sur lesquels l’évaluation est devenue obsolète. Il s’agit d’éléments précédemment évalués qui n’ont pas été réévalués par les versions cloud actuelles et mises à jour des stratégies.

Avant de pouvoir déployer la protection juste-à-temps, vous devez d’abord déployer Antimalware Client version 4.18.23080 ou ultérieure.

Pour activer la protection juste-à-temps dans le portail de conformité Microsoft Purview, sélectionnez Paramètres dans le volet de navigation gauche, choisissez Protection juste-à-temps et configurez les paramètres souhaités.

Choisissez les emplacements à surveiller :

• Sélectionnez Appareils.
• Choisissez Modifier.
• Dans le volet volant, sélectionnez l’étendue des comptes et groupes de distribution auxquels vous souhaitez appliquer la protection juste-à-temps. (Gardez à l’esprit que, pendant le traitement de l’évaluation de la stratégie, endpoint DLP bloque toutes les activités de sortie pour chaque utilisateur dont le compte se trouve dans l’étendue sélectionnée. La DLP du point de terminaison audite les activités de sortie pour tous les comptes d’utilisateur qui ont été spécifiquement exclus (via le paramètre Exclure) ou qui ne sont pas dans l’étendue.)

En préversion , la protection juste-à-temps est prise en charge sur les appareils macOS exécutant les trois dernières versions majeures.

• Action de secours en cas d’échec : cette configuration spécifie le mode d’application que DLP doit appliquer lorsque l’évaluation de la stratégie ne se termine pas. Quelle que soit la valeur que vous sélectionnez, les données de télémétrie appropriées s’affichent dans l’Explorateur d’activités.

Pour plus d’informations, consultez Prise en main de la protection juste-à-temps.

Étapes suivantes

Maintenant que vous en savez plus sur les points de terminaison DLP, vos prochaines étapes sont les suivantes :

1. Vue d’ensemble de l’intégration des appareils Windows 10 ou Windows 11 dans Microsoft Purview
2. Intégration des appareils macOS dans la vue d'ensemble de Microsoft Purview (aperçu)
3. Configurer les paramètres de protection contre la perte de données de point de terminaison
4. Utilisation des points de terminaison protection contre la perte de données

Voir aussi

• Prise en main des points de terminaison de protection contre la perte de données Microsoft (préversion)
• Utilisation des points de terminaison de protection contre la perte de données Microsoft (préversion)
• En savoir plus sur la prévention des pertes de données
• Créer et déployer des stratégies de protection contre la perte de données
• Prise en main de l’explorateur d’activités
• Microsoft Defender pour point de terminaison
• Gestion des risques internes