Introducción a las alertas de prevención de pérdida de datos

Las directivas de Prevención de pérdida de datos de Microsoft Purview (DLP) se pueden configurar para generar alertas cuando coincidan las condiciones de una regla. Las alertas se configuran en reglas de directivas DLP.

Para obtener una breve descripción general de las alertas, consulte:

• DLP Alerts
• Informes de incidentes

En este artículo se incluyen los detalles de licencias y permisos, así como otra información crucial que necesitará cuando trabaje con alertas.

Las alertas DLP se pueden investigar y administrar en el panel de Microsoft Defender XDR y en el portal de Microsoft Purview. El panel de Microsoft Defender XDR es la ubicación recomendada para investigar y administrar alertas DLP. El portal de Microsoft Purview es la ubicación recomendada para crear y editar directivas DLP.

Tipos de alertas DLP

Se pueden enviar alertas cada vez que una actividad coincide con una regla o se pueden agregar para reducir el ruido. Hay dos tipos de alertas que se pueden configurar en las directivas DLP.

Alertas de evento único Las alertas de evento único se usan normalmente en directivas que supervisan eventos altamente confidenciales que se producen en un volumen bajo, como un único correo electrónico con 10 o más números de tarjeta de crédito de clientes enviados fuera de su organización. De forma predeterminada, cuando los eventos de una sola regla se producen en una ventana de un minuto entre sí, se agregan para la licencia E5 y 15 minutos para la licencia E3. En la versión preliminar, las alertas de evento único se pueden agregar por regla por usuario. Esto se denomina agregación de alertas basada en reglas y usuarios.

Las alertas de eventos agregados se usan normalmente en directivas que supervisan los eventos que se producen en un mayor volumen durante un período de tiempo. Por ejemplo, se puede desencadenar una alerta agregada cuando se envían 10 correos electrónicos individuales, cada uno con un número de tarjeta de crédito de cliente, fuera de su organización durante 48 horas.

Antes de empezar

Antes de comenzar, asegúrate de que cumples estos requisitos previos:

Licencias para las opciones de configuración de alertas

Los siguientes requisitos de licencia se aplican a cada opción de configuración de alerta:

• Configuración de alerta de evento único: Todas las organizaciones con una suscripción DLP (E1, E3, E5, F1, G1, E3, G3, E5, G5) pueden configurar directivas para generar una alerta cada vez que se produzca una actividad desencadenante.
• Configuración de alertas agregadas: Para configurar directivas de alertas agregadas basadas en un umbral, debe tener cualquiera de las siguientes configuraciones:
  • Una suscripción A5
  • Una suscripción E5 o G5
  • Una suscripción E1, F1 o G1 o una suscripción E3 o G3 que incluya una de las siguientes características:
    • Protección contra amenazas avanzada de Office 365 (plan 2)
    • Microsoft Purview Suite (anteriormente conocido como Cumplimiento de Microsoft 365 E5)
    • Licencia de complemento de Microsoft 365 eDiscovery y auditoría

Los clientes que usen DLP de punto de conexión y que sean aptos para DLP de Teams verán sus alertas de directivas DLP de punto de conexión y alertas de directivas DLP de Teams en el panel de administración de alertas DLP.

Roles y grupos de roles

Si desea ver el panel de administración de alertas DLP o editar las opciones de configuración de alertas en una directiva DLP, debe ser miembro de uno de estos grupos de roles:

• Administrador de cumplimiento
• Administrador de datos de cumplimiento
• Administrador de seguridad
• Operador de seguridad
• Lector de seguridad
• Administrador de Information Protection
• Analista de Information Protection
• Investigador de protección de información

Para obtener más información sobre estos grupos de roles, consulte Permisos en el portal Microsoft Purview

Esta es una lista de los grupos de roles aplicables. Para obtener más información sobre estos grupos de roles, consulte Permisos en el portal Microsoft Purview.

• Protección de la información
• Administradores de Information Protection
• Analistas de Information Protection
• Investigadores de Information Protection

Para acceder al panel de administración de alertas DLP, necesita el rol Administrar alertas y cualquiera de estos dos roles:

• Administración de cumplimiento de DLP
• Administración de cumplimiento de DLP de solo vista

Para acceder a la característica de vista previa de contenido y a las características de contexto y contenido confidencial coincidente, debe ser miembro del grupo de rol Visor de contenido de Explorador de contenido , que tiene preasignado el rol de visor de contenido de clasificación de datos .

Configuración de alertas DLP

Para obtener información sobre cómo configurar una alerta en la directiva DLP, consulte Creación e implementación de directivas de prevención de pérdida de datos. Existen diferentes experiencias de configuración de alertas en función de las licencias.

Configuración de alerta de evento agregada

Si tiene licencia para las opciones de configuración de alertas agregadas, verá opciones para generar alertas para cada coincidencia de reglas, cuando se cumplen los umbrales y dentro de un período de tiempo definido al crear o editar una directiva DLP.

Esta configuración le permite configurar una directiva para generar una alerta:

• Cada vez que una actividad coincide con las condiciones de una regla de agregación predeterminada basada en una regla o de agregación basada en usuarios y reglas.
• cuando se alcanza o supera el umbral definido en función del número de coincidencias o del volumen de datos exfiltrados
• para actividades que cumplen los criterios definidos dentro de un período de tiempo específico

Configuración de alerta de evento único

Si tiene licencia para las opciones de configuración de alerta de evento único, verá la configuración de alerta de evento único al crear o editar una directiva DLP. Use esta opción para crear una alerta que se genere cada vez que se produzca una coincidencia de regla DLP.

Agregación de alertas basada en reglas y usuarios (versión preliminar)

Cuando se habilita la agregación de alertas basada en usuario en la configuración DLP a nivel de inquilino, las alertas de eventos únicos se agregan en función de los usuarios. Los eventos de coincidencia de reglas deben producirse dentro de la ventana de tiempo configurable (15, 30, 45 y 60 minutos). Las alertas se generan por evento de coincidencia de regla por usuario.

Comparar las opciones de agregación de alertas

Tipos de eventos de alerta DLP

Estos son algunos de los eventos asociados a una alerta. En el panel de alertas, puede elegir un evento determinado para ver sus detalles.

Revisar los detalles del evento

En la tabla siguiente se describen los detalles que se muestran para los eventos de alerta.

Revisar las entidades afectadas en una alerta

En la tabla siguiente se enumeran las entidades que se pueden asociar con un evento de alerta DLP.

Revisar los detalles de la directiva para una alerta

En la tabla siguiente se describen los detalles relacionados con la directiva disponibles para los eventos de alerta.

Vea también

• Alertas en directivas DLP: describe las alertas en el contexto de una directiva DLP.
• Introducción a las alertas de prevención de pérdida de datos: abarca las licencias, los permisos y los requisitos previos necesarios para las alertas DLP y los detalles de referencia de alertas.
• Crear e implementar directivas de prevención de pérdida de datos: incluye instrucciones sobre la configuración de alertas en el contexto de la creación de una directiva DLP.
• Obtenga información sobre la investigación de alertas de prevención de pérdida de datos: cubre los distintos métodos para investigar las alertas DLP.
• Investigar incidentes de pérdida de datos con Microsoft Defender XDR: cómo investigar alertas DLP en el portal de Microsoft Defender.