Always-On-Diagnose für Endpunkt-DLP

Das Always-On-Diagnose-Feature in Microsoft Purview ermöglicht eine kontinuierliche, automatisierte Ablaufverfolgungsprotokollierung für die Verhinderung von Endpunkt Datenverlust (Data Loss Prevention, DLP). Diese Funktionalität reduziert den Verwaltungsaufwand erheblich, da die manuelle Protokollkonfiguration und die Reproduktion von Problemen entfällt.

Wenn eine Supportanfrage bei Microsoft eröffnet wird, sind häufig Diagnoseprotokolle erforderlich, um die Ursachenanalyse zu unterstützen. Mit aktivierter Always-on-Diagnose ist bereits umfassende Telemetrie verfügbar, sodass Administratoren herkömmliche Schritte der Datensammlung umgehen können. Dies beschleunigt nicht nur den Support-Workflow, sondern verbessert auch die Genauigkeit bei der Identifizierung und Lösung von Problemen.

Diagnoseprotokolle können sicher direkt an den Microsoft-Support hochgeladen werden, wodurch die Falleinreichung optimiert und die Zeit bis zur Lösung verkürzt wird. Dieser Ansatz der proaktiven Protokollierung verbessert die betriebliche Effizienz und verbessert die Reaktionsfähigkeit des Supports.

Ablaufverfolgungsprotokolle

Wenn ein Administrator die Always-on-Diagnose aktiviert, wird das Feature auf allen integrierten Windows-Geräten, einschließlich Servern, und allen integrierten macOS-Geräten aktiviert. Wenn sich eine Endpunkt-DLP-Richtlinie für einen in-Gültigkeitsbereich betreffenden Benutzer oder Gerät nicht wie erwartet verhält, eröffnet der Kunde einen Microsoft-Supportfall. Um die Problembehandlung zu beschleunigen, fordert der Microsoft-Support Diagnoseablaufverfolgungsprotokolle an, die der Kundenadministrator mithilfe dokumentierter Verfahren von dem betroffenen Gerät sammelt. Die gesammelten Daten werden von Microsoft durch eingeschränkte Zugriffskontrollen und ein proprietäres Protokollformat geschützt.

Grundlegendes zum Upload-Verhalten und zu betrieblichen Einschränkungen

Trace-Uploads erfolgen in der Regel innerhalb eines 24-Stunden-Abruffensters und erfordern, dass das Gerät online bleibt, um den Upload abzuschließen. Pro Gerät wird jeweils nur eine aktive Sammlungsanforderung unterstützt, und zusätzliche Anforderungen können nur initiiert werden, nachdem die vorherige Anforderung abgeschlossen wurde, fehlgeschlagen ist oder gelöscht wurde. Die Neustart-basierte Upload-Beschleunigung wird unterstützt, aber ein Neustart des Geräts ist nicht erforderlich, um einen Upload abzuschließen. Es soll nur den Prozess beschleunigen. Sammlungsanforderungen können ausstehend bleiben, wenn das Gerät offline, gelöscht, neu abgebildet, neu zugewiesen oder anderweitig nicht reagieren kann.

Administratoren sind dafür verantwortlich, den Status von Sammlungsanforderungen zu überwachen und Maßnahmen zu ergreifen, wenn Fehler auftreten. Wenn eine Anforderung fehlschlägt, müssen Administratoren die Anforderung nach Bedarf erneut versuchen oder neu initiieren, um eine erfolgreiche Datenerfassung sicherzustellen.

Grundlegendes zu Protokollzugriff, Sicherheit und Datenspeicher-Compliance

Protokolle können von Administratoren nicht direkt heruntergeladen werden und werden in einem proprietären Microsoft-internen Format gespeichert, das nur mit Microsoft-Tools decodiert werden kann. Der Zugriff auf Protokolle ist auf Microsoft-Mitarbeiter beschränkt, die Mitglieder bestimmter Zugriffsgruppen sind, und alle diese Zugriffe werden vollständig überwacht, um Verantwortlichkeit und Sicherheit sicherzustellen.

Protokolle werden im von Microsoft verwalteten Azure Blob Storage gespeichert und entsprechen den Sicherheits- und Datenschutzstandards von Microsoft, einschließlich der DSGVO. Die Daten verbleiben im Datenaufbewahrungsbereich des Mandanten und werden 180 Tage lang aufbewahrt, sofern sie nicht zuvor manuell gelöscht wurden. Nach Ablauf des Aufbewahrungszeitraums werden Protokolle automatisch gelöscht und können nicht wiederhergestellt werden. Es wird keine Sicherung oder erweiterte Aufbewahrung unterstützt.

Erforderliche Berechtigungen für Always-On-Diagnosen

Erforderliche Rollen zum Anzeigen und Erstellen von Protokollsammlungsanforderungen

Es gibt mehrere Rollen, mit denen Sie Protokollsammlungsanforderungen anzeigen und erstellen können. Das Konto, das Sie verwenden, muss Mitglied einer von ihnen sein.

Microsoft Entra-Rollen

• Complianceadministrator
• Sicherheitsadministrator
• Globaler Administrator

Purview-Rollen zum Anzeigen und Erstellen von Protokollsammlungsanforderungen

Muss auf Mandantenebene zugewiesen werden; Bereichrige Administratoren werden nicht unterstützt:

• OrganizationConfiguration
• Warnungen verwalten
• ViewOnlyManageAlerts
• InformationProtectionAdmin
• InformationProtectionAnalyst
• InformationProtectionInvestigator

Erforderliche Rollen zum Aktivieren des Features

Das Konto, das Sie verwenden, muss einer der folgenden Rollen angehören, um die Always-On-Diagnose aktivieren zu können.

Microsoft Entra-Rollen zum Aktivieren der Always-On-Diagnose

• Complianceadministrator
• Sicherheitsadministrator
• Globaler Administrator

Purview-Rollen (nur auf Mandantenebene)

Die folgenden Purview-Rollen auf Mandantenebene können Always-on-Diagnosen aktivieren:

• OrganizationConfiguration
• ComplianceAdmin
• SecurityAdmin
• DLPComplianceManagement
• InformationProtectionAdmin

Voraussetzungen

Das Gerät muss in Microsoft Purview eingebunden sein und mit aktivierter Always-on-Diagnose aktiv berichten. Es muss eine kontinuierliche Netzwerkverbindung aufrechterhalten und Microsoft-Upload-Endpunkte erreichen können, einschließlich *.blob.core.windows.net. Ausgehender HTTPS-Datenverkehr zu Microsoft-Diensten darf nicht durch Firewalls, Proxys oder Sicherheitsrichtlinien blockiert werden, und jede Proxykonfiguration muss ausgehenden HTTPS-Datenverkehr ohne Abfangen oder Ändern zulassen, die Uploads verhindern würden.

Wenn Sie Windows Server verwenden, müssen Sie Endpunkt-DLP für Windows Server aktivieren, bevor Sie die Always-On-Diagnose aktivieren, da Endpunkt-DLP unter Windows Server standardmäßig deaktiviert ist.

Wenn Sie macOS verwenden, muss das Gerät über Intune, JAMF Pro oder eine andere MDM-Lösung in Microsoft Purview integriert werden. Weitere Informationen finden Sie unter Onboarding von macOS-Geräten in Microsoft Purview.

Unterstützte Windows-Betriebssysteme

In der folgenden Tabelle sind die unterstützten Windows-Client- und Serverversionen für die Always-on-Diagnose aufgeführt.

Unterstützte macOS-Versionen

Die Always-on-Diagnose wird auf integrierten macOS-Geräten unterstützt, auf denen eine der drei neuesten veröffentlichten Versionen ausgeführt wird. Die Always-On-Diagnose erfordert Build 101.26042.xxxx oder höher.

Unterstützte Prozessoren

macOS-Geräte mit x64 und M1-, M2- und M3-Prozessoren (ARM64) werden unterstützt.

Aktivieren der Always-On-Diagnose und Aktivieren des Uploads

Führen Sie die folgenden Schritte aus, um die Always-On-Diagnose zu aktivieren und den Protokollupload zu aktivieren. Diese Einstellungen gelten sowohl für Windows- als auch für macOS-Geräte.

1. Melden Sie sich beim Microsoft Purview-Portal an.
2. Navigieren Sie zu Einstellungen> Verhinderung >von DatenverlustAlways-On-Diagnose (Vorschau).
3. Wählen Sie "Ein" aus.
4. Legen Sie den Zeitraum für die Cachespeicherung fest. Eine Cachespeicherdauer von 90 Tagen wird empfohlen.
5. Legen Sie den maximalen Speicherplatz für das Gerät fest. Der Wert muss zwischen 500 und 1.500 MB liegen.
6. Klicken Sie auf Speichern.
7. Um den Upload zu aktivieren, wählen Sie unter Geräteprotokolle automatisch hochladen die Option Diagnose mit Microsoft teilen aus.

Geräteprotokolle anfordern

Wenn Sie ein Problem identifizieren und eine Supportanfrage bei Microsoft eröffnen, können Sie anfordern, dass die Protokolldateien an den Microsoft-Support gesendet werden. Das Verfahren ist für Windows- und macOS-Geräte identisch.

1. Wählen Sie in Purview einen der Speicherorte aus, um eine Anforderung nach Protokolldateien zu initiieren.
   1. Wählen Sie unter Einstellungen > Geräte-Onboarding >Geräte ein Gerät aus der Liste aus.
   2. Wählen Sie aus den Ereignissen der Verhinderung von > Datenverlust >ein Ereignis aus der Liste aus.
   3. Wählen Sie im Aktivitäts-Explorer der Data Loss Prevention-Explorer >>eine Warnung aus der Liste aus.
2. Wählen Sie für den ausgewählten Standort unter "Always-on-Diagnose" die Option "Geräteprotokoll anfordern" aus.
3. Wählen Sie den Datumsbereich aus, und geben Sie eine kurze Beschreibung ein.
4. Wählen Sie Inkassoanforderung übermitteln aus.
5. Nachdem Sie die Anforderung übermittelt haben, müssen Sie warten, bis die Anforderung abgeschlossen ist. Navigieren Sie zu Einstellungen> Verhinderung >von DatenverlustAlways-On-Diagnose (Vorschau).
6. Identifizieren Sie das untersuchte Gerät aus der Liste. Wenn der Status abgeschlossen ist, geben Sie die zugeordnete Anforderungsnummer an den Microsoft-Support an.

Siehe auch

Selbsthilfe-Diagnose für Microsoft Purview
Sammeln von DLP-Diagnoseprotokollen für Endpunkte
Analysieren der DLP-Diagnoseprotokolle des Endpunkts