Häufig verwendete Microsoft Defender for Cloud Apps Richtlinien zum Schutz von Informationen

Dieser Artikel zeigt, wie man Defender for Cloud Apps-Datei- und Sitzungsrichtlinien für gängige Informationsschutzszenarien erstellt und konfiguriert. Zu diesen Szenarien gehören die Erkennung externer Weitergabe sensibler Daten, das Verschlüsseln von ruhenden Daten, das Blockieren von Downloads und mehr. Jedes Szenario listet eigene Voraussetzungen auf, wie verbundene Apps oder die Integration von Microsoft Purview Information Protection.

Defender for Cloud Apps kann jeden Dateityp überwachen. Es unterstützt mehr als 20 Metadatenfilter, wie Zugriffslevel und Dateityp. Mehrere der Richtlinien in diesem Artikel verwenden den Data Classification Service (DCS), der Dateiinhalte überprüft, um sensible Informationstypen zu identifizieren. Weitere Informationen finden Sie unter Dateirichtlinien.

Erkennen und Verhindern der externen Freigabe vertraulicher Daten

Erkennen Sie, wenn Dateien mit personenbezogenen Informationen oder anderen vertraulichen Daten in einem Clouddienst gespeichert und für Benutzer außerhalb Ihrer organization freigegeben werden, was gegen die Sicherheitsrichtlinie Ihres Unternehmens verstößt und zu einer potenziellen Complianceverletzung führt.

Einige der Richtlinien in diesem Abschnitt verwenden den Data Classification Service (DCS) als Inspektionsmethode, um sensible Informationen in Ihren Dateien zu identifizieren.

Voraussetzungen

Sie müssen mindestens eine App mit App-Connectors verbunden haben, um Apps zu verbinden.

Schritte

So erstellen Sie eine Dateirichtlinie, die extern freigegebene vertrauliche Daten erkennt:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Legen Sie den Filter Zugriffsebene auf Öffentlich (Internet)/Öffentlich/Extern fest.

3. Wählen Sie unter Inspektionsmethode die Option Datenklassifizierungsdienst (Data Classification Service, DCS) und unter Typ auswählen den Typ der vertraulichen Informationen aus, die VON DCS überprüft werden sollen.

4. Konfigurieren Sie die Governanceaktionen , die ausgeführt werden sollen, wenn eine Warnung ausgelöst wird. Sie können beispielsweise eine Governanceaktion erstellen, die bei erkannten Dateiverstößen in Google Workspace ausgeführt wird, in der Sie die Option Externe Benutzer entfernen und öffentlichen Zugriff entfernen auswählen.

5. Erstellen Sie die Dateirichtlinie.

Erkennen extern freigegebener vertraulicher Daten

Erkennen Sie, wenn Dateien mit dem Titel Confidential in einem Cloud-Dienst mit externen Nutzern geteilt werden. Dieses Teilen verstößt gegen die Unternehmensrichtlinien.

Voraussetzungen

• Mindestens eine App muss über App-Connectors verbunden sein.

• Aktivieren sie Microsoft Purview Information Protection Integration.

Schritte

So erstellen Sie eine Dateirichtlinie, die extern freigegebene vertrauliche Daten erkennt:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Setzen Sie das Filter-Sensitivitätslabel auf Microsoft Purview Information Protection. Wählen Sie das Label Confidential oder das Äquivalent Ihres Unternehmens.

3. Legen Sie den Filter Zugriffsebene auf Öffentlich (Internet)/Öffentlich/Extern fest.

4. Optional: Setzen Sie die Governance-Aktionen für Dateien, wenn ein Verstoß erkannt wird. Die verfügbaren Aktionen variieren zwischen den Diensten.

5. Erstellen Sie die Dateirichtlinie.

Erkennen und Verschlüsseln vertraulicher ruhender Daten

Entdecken Sie Dateien, die persönliche Daten oder andere sensible Daten enthalten, die in einer Cloud-App geteilt werden. Dann setzen Sie Sensitivitätsetiketten an, um den Zugang zu Mitarbeitern in Ihrem Unternehmen zu begrenzen.

Voraussetzungen

• Mindestens eine App muss über App-Connectors verbunden sein.

• Aktivieren sie Microsoft Purview Information Protection Integration.

Schritte

Diese Richtlinie verwendet den Data Classification Service (DCS), der Dateiinhalte auf sensible Informationstypen prüft.

Verwenden Sie die folgenden Schritte, um die Richtlinie zu erstellen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Wählen Sie unter der Inspektionsmethode den Data Classification Service (DCS) aus. Wählen Sie unter Typ auswählen die Art der sensiblen Daten, die DCS prüfen soll.

3. Unter Governance-Maßnahmen aktivieren Sie das Etikett "Sensitivität anwenden". Wählen Sie das Label, das Ihr Unternehmen verwendet, um den Zugriff auf Mitarbeiter zu beschränken.

   Hinweis

   Die Möglichkeit, eine Vertraulichkeitsbezeichnung direkt in Defender for Cloud Apps anzuwenden, wird derzeit nur für Box, Google Workspace, SharePoint Online und OneDrive for Business unterstützt.

4. Erstellen Sie die Dateirichtlinie.

Erkennen des Datenzugriffs von einem nicht autorisierten Speicherort

Erkennen Sie, wann von einem nicht autorisierten Speicherort aus auf Dateien zugegriffen wird, basierend auf den gängigen Speicherorten Ihrer organization, um ein potenzielles Datenleck oder böswilligen Zugriff zu identifizieren.

Voraussetzungen

Sie müssen mindestens eine App mit App-Connectors verbunden haben, um Apps zu verbinden.

Schritte

Führen Sie die folgenden Schritte aus, um die Aktivitätsrichtlinie zu erstellen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Aktivitätsrichtlinie.

2. Legen Sie den Filter Aktivitätstyp auf die Datei- und Ordneraktivitäten fest, die Sie interessieren, z. B. Anzeigen, Herunterladen, Zugriff und Ändern.

3. Legen Sie den Filter Standort auf „ist ungleich“ fest, und geben Sie dann die Länder/Regionen ein, aus denen Ihre Organisation Aktivitäten erwartet.

   • Optional: Sie können auch den umgekehrten Ansatz wählen und den Filter auf Standort = festlegen, wenn Ihre Organisation den Zugriff aus bestimmten Ländern/Regionen blockiert.

4. Optional: Erstellen Sie Governanceaktionen , die auf erkannte Verstöße angewendet werden sollen (Verfügbarkeit variiert je nach Dienst), z. B. Benutzer anhalten.

5. Erstellen Sie die Aktivitätsrichtlinie.

Erkennen und Schützen vertraulicher Datenspeicher auf einer nicht kompatiblen SharePoint-Website

Erkennt Dateien, die als vertraulich bezeichnet sind und auf einer nicht konformen SharePoint-Website gespeichert sind.

Voraussetzungen

Vertraulichkeitsbezeichnungen werden innerhalb der Organisation konfiguriert und verwendet.

Schritte

Führen Sie die folgenden Schritte aus, um vertrauliche Daten auf einer nicht kompatiblen SharePoint Website zu erkennen und zu schützen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Legen Sie den Filter Vertraulichkeitsbezeichnung auf Microsoft Purview Information Protection fest, der der Bezeichnung Vertraulich oder der entsprechenden Bezeichnung Ihres Unternehmens entspricht.

3. Setzen Sie einen Negativfilter auf Übergeordneter Ordner, und wählen Sie dann unter Ordner auswählen alle kompatiblen Ordner in Ihrer Organisation aus.

4. Wählen Sie unter Warnungen die Option Warnung für jede übereinstimmende Datei erstellen aus.

5. Optional: Legen Sie die Governanceaktionen fest, die für Dateien ausgeführt werden sollen, wenn ein Verstoß erkannt wird. Die verfügbaren Governanceaktionen variieren je nach Dienst. Setzen Sie z. B. Box auf Übersicht der Richtlinienübereinstimmungen an Dateibesitzer senden und Unter Administratorquarantäne stellen.

6. Erstellen Sie die Dateirichtlinie.

Erkennen von extern freigegebenem Quellcode

Erkennen Sie, wann Dateien, die Inhalte enthalten, die möglicherweise Quellcode enthalten, öffentlich oder für Benutzer außerhalb Ihrer organization freigegeben werden.

Voraussetzungen

Mindestens eine App muss über App-Connectors verbunden sein.

Schritte

Führen Sie die folgenden Schritte aus, um die Richtlinie aus der Vorlage zu erstellen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Wählen Sie die Richtlinienvorlage aus, und wenden Sie den extern freigegebenen Quellcode an.

3. Optional: Passen Sie die Liste der Dateierweiterungen an die Dateierweiterungen des Quellcodes Ihrer Organisation an.

4. Optional: Legen Sie die Governanceaktionen fest, die für Dateien ausgeführt werden sollen, wenn ein Verstoß erkannt wird. Die verfügbaren Governanceaktionen variieren je nach Dienst. In Box gibt es zum Beispiel Übersicht der Richtlinienübereinstimmungen an Dateibesitzer senden und Unter Administratorquarantäne stellen.

5. Erstellen Sie die Dateirichtlinie.

Erkennen eines nicht autorisierten Zugriffs auf Gruppendaten

Erkennen Sie, wenn ein Benutzer, der nicht Teil der Gruppe ist, übermäßig auf bestimmte Dateien zugreift, die zu einer bestimmten Benutzergruppe gehören, was eine potenzielle Insider-Bedrohung darstellen könnte.

Voraussetzungen

Mindestens eine App muss über App-Connectors verbunden sein.

Schritte

Führen Sie die folgenden Schritte aus, um nicht autorisierten Zugriff auf Gruppendaten zu erkennen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Aktivitätsrichtlinie.

2. Wählen Sie unter Aktion beiWiederholte Aktivität aus, passen Sie die Mindestanzahl wiederholter Aktivitäten an, und legen Sie einen Zeitraum fest, um die Richtlinie Ihrer Organisation einzuhalten.

3. Legen Sie den Filter Aktivitätstyp auf die Datei- und Ordneraktivitäten fest, die Sie interessieren, z. B. Anzeigen, Herunterladen, Zugriff und Ändern.

4. Legen Sie den Filter Benutzer auf Aus Gruppe gleich fest und wählen Sie dann die relevanten Benutzergruppen aus.

   Hinweis

   Benutzergruppen können manuell aus unterstützten Apps importiert werden.

5. Legen Sie den Filter Dateien und Ordner auf Bestimmte Dateien oder Ordner gleich fest, und wählen Sie dann die Dateien und Ordner aus, die zur überwachten Benutzergruppe gehören.

6. Legen Sie die Governanceaktionen fest, die für Dateien ausgeführt werden sollen, wenn ein Verstoß erkannt wird. Die verfügbaren Governanceaktionen variieren je nach Dienst. Zum Beispiel können Sie Benutzer sperren auswählen.

7. Erstellen Sie die Dateirichtlinie.

Öffentlich zugängliche S3-Buckets erkennen

Erkennen und Schützen vor potenziellen Datenlecks aus AWS S3-Buckets.

Voraussetzungen

Sie müssen über eine AWS-instance verfügen, die über App-Connectors verbunden ist.

Schritte

Führen Sie die folgenden Schritte aus, um öffentlich zugängliche S3-Buckets zu erkennen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Wählen Sie die Richtlinienvorlage Öffentlich zugängliche S3-Buckets (AWS) aus, und wenden Sie sie an.

3. Legen Sie die Governanceaktionen fest, die für Dateien ausgeführt werden sollen, wenn ein Verstoß erkannt wird. Die verfügbaren Governanceaktionen variieren je nach Dienst. Legen Sie z. B. AWS auf Als privat festlegen fest, wodurch die S3-Buckets privat werden.

4. Erstellen Sie die Dateirichtlinie.

Erkennen und Schützen von DSGVO-bezogenen Daten über Dateispeicher-Apps hinweg

Erkennen Sie Dateien in Cloud-Speicher-Apps, die persönliche Daten oder andere sensible Daten enthalten, die der DSGVO unterliegen. Dann werden Empfindlichkeitsetiketten angebracht, um den Zugang für autorisiertes Personal zu begrenzen.

Voraussetzungen

• Mindestens eine App muss über App-Connectors verbunden sein.

• Microsoft Purview Information Protection Integration ist aktiviert, und die DSGVO-Bezeichnung ist in Microsoft Purview konfiguriert.

Schritte

Führen Sie die folgenden Schritte aus, um die DSGVO-bezogene Datenschutzrichtlinie zu erstellen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Dateirichtlinie.

2. Wählen Sie unter der Inspektionsmethode den Data Classification Service (DCS) aus. Wählen Sie unter Typ auswählen einen oder mehrere DSGVO-bezogenen Informationstypen aus. Beispiele sind die EU-Debitkartennummer, die EU-Führerscheinnummer, die EU-Nationale/Regionalidentifikationsnummer, die EU-Passnummer, die EU-Sozialversicherungsnummer und die EU-Steueridentifikationsnummer.

3. Stellen Sie die Governance-Aktionen für Dateien fest, wenn ein Verstoß erkannt wird. Wählen Sie für jede unterstützte App Sensitivitätsetikett anwenden .

   Hinweis

   Derzeit wird Vertraulichkeitsbezeichnung anwenden nur für Box, Google Workspace, SharePoint Online und OneDrive for Business unterstützt.

4. Erstellen Sie die Dateirichtlinie.

Blockieren von Downloads für externe Benutzer in Echtzeit

Verhindern Sie, dass Unternehmensdaten von externen Benutzern exfiltriert werden, indem Sie Dateidownloads in Echtzeit blockieren und die Defender for Cloud Apps Sitzungssteuerelemente verwenden.

Voraussetzungen

Stellen Sie sicher, dass es sich bei Ihrer App um eine SAML-basierte App handelt, die Microsoft Entra-ID für einmaliges Anmelden verwendet oder in Defender for Cloud Apps für die App-Steuerung für bedingten Zugriff integriert ist.

Weitere Informationen zu unterstützten Apps finden Sie unter Unterstützte Apps und Clients.

Schritte

Führen Sie die folgenden Schritte aus, um Downloads für externe Benutzer in Echtzeit zu blockieren:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Sitzungsrichtlinie.

2. Wählen Sie unter Sitzungssteuerungstypdie Option Dateidownload steuern (mit Überprüfung) aus.

3. Wählen Sie unter AktivitätsfilterBenutzer aus und setzen Sie dies auf Aus Gruppe gleich externe Benutzer.

   Hinweis

   Sie müssen keine App-Filter festlegen, damit diese Richtlinie für alle Apps gilt.

4. Sie können den Dateifilter verwenden, um den Dateityp anzupassen. Dadurch können Sie genauer steuern, welche Dateitypen die Sitzungsrichtlinie steuert.

5. Wählen Sie unter Aktionen die Option Blockieren aus. Sie können Blocknachricht anpassen auswählen, um eine benutzerdefinierte Nachricht festzulegen, die an Ihre Benutzer gesendet werden soll, damit diese verstehen, warum der Inhalt blockiert wird und wie sie ihn aktivieren können, indem sie die richtige Vertraulichkeitsbezeichnung anwenden.

6. Wählen Sie Erstellen aus.

Erzwingen des schreibgeschützten Modus für externe Benutzer*innen in Echtzeit

Verhindern Sie, dass Unternehmensdaten von externen Benutzern exfiltriert werden, indem Sie Druck- und Kopier-/Einfügeaktivitäten in Echtzeit blockieren und die Defender for Cloud Apps Sitzungssteuerelemente verwenden.

Voraussetzungen

Stellen Sie sicher, dass es sich bei Ihrer App um eine SAML-basierte App handelt, die Microsoft Entra-ID für einmaliges Anmelden verwendet oder in Defender for Cloud Apps für die App-Steuerung für bedingten Zugriff integriert ist.

Weitere Informationen zu unterstützten Apps finden Sie unter Unterstützte Apps und Clients.

Schritte

Führen Sie die folgenden Schritte aus, um den schreibgeschützten Modus für externe Benutzer zu erzwingen:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Sitzungsrichtlinie.

2. Wählen Sie unter Sitzungssteuerungstypdie Option Aktivitäten blockieren aus.

3. Im Filter Aktivitätsquelle:

   1. Wählen Sie Benutzer und setzen Sie Von Gruppe auf Externe Benutzer.

   2. Setzen Sie einen Positivfilter unter Aktivitätstyp auf Drucken und Ausschneiden/Kopieren.

   Hinweis

   Sie müssen keine App-Filter festlegen, damit diese Richtlinie für alle Apps gilt.

4. Optional: Wählen Sie unter Inspektionsmethode den Typ der anzuwendenden Überprüfung aus, und legen Sie die erforderlichen Bedingungen für die DLP-Überprüfung fest.

5. Wählen Sie unter Aktionen die Option Blockieren aus. Sie können Blocknachricht anpassen auswählen, um eine benutzerdefinierte Nachricht festzulegen, die an Ihre Benutzer gesendet werden soll, damit diese verstehen, warum der Inhalt blockiert wird und wie sie ihn aktivieren können, indem sie die richtige Vertraulichkeitsbezeichnung anwenden.

6. Wählen Sie Erstellen aus.

Blockieren des Uploads von nicht klassifizierten Dokumenten in Echtzeit

Verhindern Sie, dass Benutzer ungeschützte Daten in die Cloud hochladen, indem Sie die Defender for Cloud Apps Sitzungssteuerelemente verwenden.

Voraussetzungen

• Stellen Sie sicher, dass es sich bei Ihrer App um eine SAML-basierte App handelt, die Microsoft Entra-ID für einmaliges Anmelden verwendet oder in Defender for Cloud Apps für die App-Steuerung für bedingten Zugriff integriert ist.

Weitere Informationen zu unterstützten Apps finden Sie unter Unterstützte Apps und Clients.

• Vertraulichkeitsbezeichnungen von Microsoft Purview Information Protection müssen innerhalb Ihrer Organisation konfiguriert und verwendet werden.

Schritte

Verwenden Sie das folgende Verfahren, um Uploads nicht klassifizierter Dokumente in Echtzeit zu blockieren:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Richtlinien ->Richtlinienverwaltung. Erstellen Sie eine neue Sitzungsrichtlinie.

2. Wählen Sie unter Sitzungssteuerungstypdie Option Dateiupload steuern (mit Überprüfung) oder Dateidownload steuern (mit Überprüfung) aus.

   Hinweis

   Sie müssen keine Filter festlegen, damit diese Richtlinie für alle Benutzer und Apps gilt.

3. Setzen Sie einen negativen Dateifilter unter Vertraulichkeitsbezeichnung, und wählen Sie dann die Bezeichnungen aus, die Ihr Unternehmen zum Kategorisieren von klassifizierten Dateien verwendet.

4. Optional: Wählen Sie unter Inspektionsmethode den Typ der anzuwendenden Überprüfung aus, und legen Sie die erforderlichen Bedingungen für die DLP-Überprüfung fest.

5. Wählen Sie unter Aktionen die Option Blockieren aus. Sie können Blocknachricht anpassen auswählen, um eine benutzerdefinierte Nachricht festzulegen, die an Ihre Benutzer gesendet werden soll, damit diese verstehen, warum der Inhalt blockiert wird und wie sie ihn aktivieren können, indem sie die richtige Vertraulichkeitsbezeichnung anwenden.

6. Wählen Sie Erstellen aus.

Nächste Schritte

Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.