Informazioni sulla prevenzione della perdita di dati degli endpoint

È possibile usare Prevenzione della perdita dei dati Microsoft Purview (DLP) per monitorare le azioni eseguite sugli elementi che sono stati determinati come sensibili e per impedire la condivisione involontaria di tali elementi.

La prevenzione della perdita dei dati degli endpoint estende le funzionalità di monitoraggio e protezione delle attività della prevenzione della perdita dei dati agli elementi sensibili archiviati fisicamente nei dispositivi Windows 10/11, macOS (le tre versioni principali rilasciate più recenti) e in alcune versioni di server di Windows. Dopo l'onboarding dei dispositivi nelle soluzioni Microsoft Purview, le informazioni sulle operazioni eseguite dagli utenti con gli elementi sensibili vengono rese visibili in Esplora attività. È quindi possibile applicare azioni di protezione su tali elementi tramite criteri DLP.

Supporto di Endpoint DLP Windows 10/11 e macOS

Endpoint DLP consente di eseguire l'onboarding dei dispositivi che eseguono le versioni seguenti di Windows Server:

• Windows Server 2019 (14 novembre 2023 — KB5032196 (build del sistema operativo 17763.5122) - supporto tecnico Microsoft)

• Windows Server 2022 (aggiornamento della sicurezza del 14 novembre 2023 (KB5032198) - supporto tecnico Microsoft)

Per impostazione predefinita, la prevenzione della perdita dei dati degli endpoint non è abilitata per i server Windows quando viene inizialmente eseguito l'onboarding. Prima di visualizzare gli eventi di prevenzione della perdita dei dati degli endpoint per i server in Esplora attività, è necessario abilitare la prevenzione della perdita dei dati degli endpoint per i server Windows.

Una volta configurati correttamente, gli stessi criteri di protezione dalla perdita di dati possono essere applicati automaticamente sia ai PC Windows che ai server Windows.

Altre impostazioni

Attività endpoint che è possibile monitorare e su cui si può intervenire

La prevenzione della perdita di dati degli endpoint consente di controllare e gestire i seguenti tipi di attività che gli utenti intraprenderanno su elementi sensibili archiviati fisicamente nei dispositivi Windows 10, Windows 11 o macOS.

Comportamento copia negli Appunti

Quando si configura una regola su Blocca o Blocca con override quando un utente tenta l'attività Copia negli Appunti sul contenuto di un file corrispondente ai criteri, gli utenti finali vedono questo comportamento con queste configurazioni:

• Word file 123 contiene informazioni riservate che corrispondono alla regola di blocco della copia negli Appunti.

• Il file di Excel 123 contiene informazioni riservate che corrispondono alla regola di blocco della copia negli Appunti.

• Il file di PowerPoint 123 contiene informazioni riservate che corrispondono alla regola di blocco della copia negli Appunti.

• Word file 789 non contiene informazioni riservate.

• Il file di Excel 789 non contiene informazioni riservate.

• Il file di PowerPoint 789 non contiene informazioni riservate.

• Il blocco note (o qualsiasi app o processo non basato su Microsoft Office) XYZ contiene informazioni riservate che corrispondono alla regola di blocco della copia negli Appunti.

• Il blocco note (o qualsiasi app o processo non basato su Microsoft Office) ABC non contiene informazioni riservate.

Procedura consigliata per i criteri di prevenzione della perdita dei dati (DLP) degli endpoint

Si supponga di voler impedire a tutti gli elementi che contengono numeri di carta di credito di lasciare gli endpoint degli utenti del reparto Contabilità. Microsoft consiglia:

• Creare un criterio e assegnarne l'ambito agli endpoint e a tale gruppo di utenti.
• Creare una regola nei criteri che rilevi il tipo di informazioni da proteggere. In questo caso, impostare il contenuto contiene su Tipo di informazioni riservate* e selezionare Carta di credito.
• Impostare le azioni per ogni attività su Blocca.

Per altre informazioni sulla progettazione dei criteri di prevenzione della perdita dei dati, vedere Progettare criteri di prevenzione della perdita dei dati .

File monitorati

File monitorati tramite criteri

Endpoint DLP monitora questi tipi di file tramite criteri in Windows 10, 11 e nelle ultime tre versioni principali di macOS:

File controllati indipendentemente dalla corrispondenza dei criteri

Le attività possono essere controllate su questi tipi di file in Windows 10, 11 e nelle ultime tre versioni principali di macOS, anche se non esiste alcuna corrispondenza con i criteri:

Se si desidera monitorare solo i dati dalle corrispondenze dei criteri, è possibile disattivare l'attività File di controllo sempre per i dispositivi nelle impostazioni di prevenzione della perdita dei dati Impostazioni>endpoint.

Se l'impostazione Attività file di controllo sempre per i dispositivi è attiva, le attività in qualsiasi file Word, PowerPoint, Excel, PDF e .csv vengono sempre controllate, anche se il dispositivo non è destinato a criteri.

Per verificare che le attività siano controllate per tutti i tipi di file supportati, creare criteri di prevenzione della perdita dei dati personalizzati.

La prevenzione della perdita dei dati degli endpoint monitora l'attività in base al tipo MIME, quindi le attività vengono acquisite, anche se l'estensione del file viene modificata, per questi tipi di file:

Dopo che l'estensione è stata modificata in qualsiasi altra estensione di file:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Se l'estensione viene modificata solo in estensioni di file supportate:

• .txt
• .Msg
• .rtf
• .c
• .cpp
• .h
• .Cs
• .Giava
• .tsv

File analizzati per il contenuto

È possibile usare uno o più tipi di file come condizioni nei criteri DLP:

Cosa distingue Endpoint DLP

Ci sono alcuni concetti aggiuntivi che è necessario conoscere prima di approfondire l'utilizzo di Endpoint DLP.

Abilitare la gestione dei dispositivi

La gestione dei dispositivi è la funzionalità che consente la raccolta di dati di telemetria dai dispositivi e la introduce nelle soluzioni Microsoft Purview, come Endpoint DLP e Gestione dei rischi Insider. È necessario eseguire l'onboarding di tutti i dispositivi che si desidera usare come posizioni nei criteri di prevenzione della perdita dei dati.

L'onboarding e l'offboarding vengono gestiti tramite script scaricati dal Centro gestione dispositivi. Il Centro gestione dispositivi dispone di script personalizzati per ognuno dei metodi di distribuzione seguenti:

• Script locale (per un massimo di 10 computer)
• Criteri di gruppo
• System Center Configuration Manager (versione 1610 o successiva)
• Gestione dispositivi mobili/Microsoft Intune
• Script di onboarding VDI per dispositivi non persistenti

Seguire le procedure in Introduzione a Microsoft 365 Endpoint DLP per l'onboarding dei dispositivi.

L'onboarding dei dispositivi in Defender li esegue anche nell'onboarding in DLP. Pertanto, se sono stati caricati i dispositivi tramite Microsoft Defender per endpoint, tali dispositivi vengono visualizzati automaticamente nell'elenco dei dispositivi. È necessario attivare solo il monitoraggio del dispositivo per usare la prevenzione della perdita dei dati degli endpoint.

Visualizzazione dei dati di Endpoint DLP

È possibile visualizzare gli avvisi correlati ai criteri DLP applicati ai dispositivi endpoint passando al dashboard di gestione degli avvisi DLP e analizzare gli eventi imprevisti di perdita dei dati con Microsoft Defender XDR.

È anche possibile visualizzare i dettagli dell'evento associato, con metadati avanzati, nello stesso dashboard

Dopo l'onboarding di un dispositivo, le informazioni sulle attività controllate fluiscono in Esplora attività anche prima che vengano configurati e distribuiti criteri di prevenzione della perdita dei dati che usano dispositivi come posizione.

Endpoint DLP raccoglie informazioni complete sulle attività controllate.

Ad esempio, se un file viene copiato in un supporto USB rimovibile, nei dettagli attività vengono visualizzati questi attributi:

• tipo di attività
• IP client
• percorso file di destinazione
• timestamp dell'attività
• nome del file
• utente
• estensione del file
• dimensioni del file
• tipo di informazioni sensibili (se applicabile)
• valore SHA1
• valore SHA256
• nome file precedente
• posizione
• padre
• percorso file
• tipo di percorso di origine
• piattaforma
• nome dispositivo
• tipo di percorso di destinazione
• applicazione che ha eseguito la copia
• ID dispositivo di Microsoft Defender per endpoint (se applicabile)
• produttore del dispositivo multimediale rimovibile
• modello di dispositivo multimediale rimovibile
• numero di serie del dispositivo multimediale rimovibile

Endpoint DLP e dispositivi offline

Quando un dispositivo endpoint Windows è offline, i criteri esistenti continuano a essere applicati ai file esistenti. Inoltre, con la protezione ji-in-time abilitata e in modalità "blocco", quando viene creato un nuovo file in un dispositivo offline, al file viene comunque impedito di essere condiviso fino al completamento della connessione del dispositivo al servizio di classificazione dei dati e al completamento della valutazione. Se nel server viene creato un nuovo criterio o se viene modificato un criterio esistente, tali modifiche vengono aggiornate nel dispositivo dopo la riconnessione a Internet.

Si considerino i casi d'uso seguenti.

1. I criteri di cui è stato eseguito il push in un dispositivo continueranno a essere applicati ai file già classificati come sensibili anche dopo che il dispositivo passa alla modalità offline.
2. I criteri aggiornati nel portale di conformità mentre un dispositivo è offline non verranno sottoposti a push nel dispositivo. Analogamente, tali criteri non verranno applicati su tale dispositivo, fino a quando il dispositivo non sarà di nuovo online. Tuttavia, i criteri obsoleti esistenti nel dispositivo offline verranno comunque applicati. Protezione ji-in-time

Se le notifiche sono configurate per la visualizzazione, vengono sempre visualizzate quando vengono attivati i criteri di prevenzione della perdita dei dati, indipendentemente dal fatto che il dispositivo sia online o meno.

I criteri DLP si sincronizzano regolarmente con i dispositivi endpoint. Se un dispositivo è offline, i criteri non possono essere sincronizzati. In questo caso, l'elenco Dispositivi indica che il dispositivo non è sincronizzato con i criteri in nel server.

Protezione ji-in-time

La protezione JIR blocca tutte le attività in uscita nei file monitorati seguenti fino al completamento della valutazione dei criteri:

• Elementi che non sono mai stati valutati.
• Elementi su cui la valutazione non è più aggiornata. Si tratta di elementi valutati in precedenza che non sono stati rivalutati dalle versioni cloud aggiornate correnti dei criteri.

Prima di distribuire la protezione ji-in-time, è necessario distribuire antimalware client versione 4.18.23080 o successiva.

Per abilitare la protezione JIR nel portale di conformità di Microsoft Purview, selezionare Impostazioni nel riquadro di spostamento sinistro, scegliere Protezione ji-in-time e configurare le impostazioni desiderate.

Scegliere le posizioni da monitorare:

• Selezionare Dispositivi.
• Scegliere Modifica.
• Nel riquadro a comparsa selezionare l'ambito degli account e dei gruppi di distribuzione a cui si vuole applicare la protezione ji-in-time. Tenere presente che, durante l'elaborazione della valutazione dei criteri, endpoint DLP bloccherà tutte le attività in uscita per ogni utente il cui account si trova nell'ambito selezionato. La prevenzione della perdita dei dati degli endpoint controlla le attività in uscita per tutti gli account utente che sono stati esclusi in modo specifico (tramite l'impostazione Escludi) o che altrimenti non sono inclusi nell'ambito.

In anteprima la protezione ji-in-time è supportata nei dispositivi macOS che eseguono le tre versioni principali più recenti.

• Azione di fallback in caso di errore: questa configurazione specifica la modalità di imposizione che la prevenzione della perdita dei dati deve applicare quando la valutazione dei criteri non viene completata. Indipendentemente dal valore selezionato, i dati di telemetria pertinenti verranno visualizzati in Esplora attività.

Per altre informazioni, vedere Introduzione alla protezione ji-in-time.

Passaggi successivi

Dopo avere acquisito familiarità con Endpoint DLP, è possibile proseguire con questi argomenti:

1. Panoramica dell'onboarding dei dispositivi Windows 10 o Windows 11 in Microsoft Purview
2. Panoramica dell'onboarding dei dispositivi macOS in Microsoft Purview
3. Configurare le impostazioni di prevenzione della perdita dei dati degli endpoint
4. Uso di Prevenzione della perdita di dati degli endpoint

Vedere anche

• Introduzione alla prevenzione della perdita di dati degli endpoint Microsoft
• Uso della prevenzione della perdita di dati degli endpoint Microsoft
• Informazioni sulla prevenzione della perdita di dati
• Creare e distribuire criteri di prevenzione della perdita dei dati
• Introduzione a Esplora attività
• Microsoft Defender ATP
• Gestione dei rischi Insider