Introducción a la recolección de archivos de dispositivos que cumplen las directivas de prevención de pérdida de datos

Este artículo le guía a través de los requisitos previos y los pasos de configuración para la recopilación de evidencia para las actividades de archivo en dispositivos y presenta cómo ver los elementos que se copian y guardan.

Estos son los pasos de alto nivel para configurar y usar la recopilación de evidencia para las actividades de archivo en dispositivos.

1. Incorporar dispositivos
2. Comprenda sus requisitos
3. Cree su cuenta de almacenamiento de Azure administrada
4. Agregar un blob de almacenamiento de Azure a su cuenta
5. Habilitar y configurar la recolección de evidencia en una cuenta de almacenamiento administrada por Microsoft
6. Configurar la directiva DLP
7. Ver el uso del almacenamiento administrado de Microsoft

Antes de empezar

Antes de iniciar estos procedimientos, debe revisar Obtener información sobre la recopilación de pruebas para actividades de archivos en dispositivos.

Requisitos de licencia para la recopilación de pruebas

Para obtener información sobre las licencias, consulte

• Planes de Microsoft 365 Enterprise
• Descripciones de servicio de Microsoft 365

Consulte los requisitos previos y los requisitos de licencia para Microsoft Entra ID P1 o P2 necesarios para crear un control de acceso basado en roles (RBAC) personalizado.

Permissions

Standard Prevención de pérdida de datos de Microsoft Purview (DLP). Para más información, consulte Permisos.

Permisos para la vista previa o descarga de pruebas

Cuando quiera obtener una vista previa o descargar la evidencia, la cuenta usada debe estar en estos roles:

• Vista previa de la evidencia: Visor de contenido de clasificación de datos
• Descargar la evidencia: Contenido de clasificación de datos Descargar

El rol de Descarga de contenido de clasificación de datos está preasignado a estos grupos de roles integrados:

• Administración de la seguridad de los datos
• Protección de la información
• Investigadores de Information Protection

Si necesita administrar usuarios, roles y grupos de roles, consulte Permisos en el portal de Microsoft Purview.

Incorporar dispositivos

Para poder usar la copia de elementos coincidentes, debe incorporar dispositivos de Windows 10/11 o dispositivos macOS (versión preliminar) a Purview. Consulte Información general sobre la incorporación de dispositivos Windows en Microsoft 365.

Comprenda sus requisitos

Debe tener respuestas a la siguiente pregunta antes de configurar el almacenamiento de Azure y limitar el ámbito de la característica a los usuarios.

¿Necesita compartimentar elementos y acceder a lo largo de líneas de rol o departamento?

Por ejemplo, si su organización desea tener un conjunto de administradores o investigadores de eventos de DLP que puedan ver los archivos guardados de la alta dirección y otro conjunto de administradores o investigadores de eventos de DLP para los elementos guardados de recursos humanos, debe crear una cuenta de almacenamiento de Azure para la alta dirección de su organización y otra para el departamento de Recursos humanos. Esto garantiza que los administradores de almacenamiento de Azure o los investigadores de eventos DLP solo puedan ver los elementos que coincidan con las directivas DLP de sus respectivos grupos.

¿Desea utilizar contenedores para organizar los elementos guardados?

Puede crear varios contenedores de evidencia dentro de la misma cuenta de almacenamiento para ordenar los archivos guardados. Por ejemplo, uno para los archivos guardados desde el departamento de RRHH y otro para los del departamento de TI.

¿Cuál es su estrategia para protegerse contra la eliminación o modificación de elementos guardados?

En el almacenamiento de Azure, la protección de datos se refiere tanto a las estrategias para proteger la cuenta de almacenamiento y los datos que contiene de la eliminación o modificación como a la restauración de los datos tras eliminarlos o modificarlos. El almacenamiento de Azure también ofrece opciones de recuperación ante desastres, incluidos varios niveles de redundancia, para proteger los datos de interrupciones del servicio causadas por problemas de hardware o desastres naturales. También puede proteger sus datos mediante la conmutación por error administrada por el cliente si el centro de datos de la región primaria deja de estar disponible. Para obtener más información, consulte Introducción a la protección de datos.

También puede configurar directivas de inmutabilidad para los datos blob que protegen frente a la sobrescritura o eliminación de los elementos guardados. Para obtener más información, consulte Almacenamiento de datos blob críticos para la empresa con almacenamiento inmutable

Tipos de archivo admitidos para almacenar y obtener una vista previa de la evidencia

En la tabla siguiente se muestra qué tipos de archivo se pueden almacenar y previsualizar como prueba.

Guardar los elementos coincidentes en el almacenamiento preferido

Para guardar las pruebas que Microsoft Purview detecta cuando se aplican las directivas de prevención de pérdida de datos, debe configurar el almacenamiento. Hay dos formas de configurar el almacenamiento para la recopilación de pruebas:

1. Crear almacenamiento administrado por el cliente
2. Crear almacenamiento administrado por Microsoft

Para obtener más información y una comparación de estos dos tipos de almacenamiento, consulte Almacenar evidencia cuando se detecta información confidencial.

Crear almacenamiento administrado por el cliente

Los procedimientos para configurar la cuenta de almacenamiento de Azure, el contenedor y los blobs están documentados en la documentación Azure Blob Storage. Estos son vínculos a artículos relevantes que puede consultar para ayudarle a empezar:

1. Introducción a Azure Blob Storage
2. Crear una cuenta de almacenamiento
3. Valor predeterminado y autorización del acceso a blobs con Microsoft Entra ID
4. Administración de contenedores de blobs mediante el Azure Portal
5. Administración de blobs en bloques con PowerShell

Asegúrese de guardar el nombre y la dirección URL del contenedor de blobs de Azure. Para ver la dirección URL, abra el portal > de almacenamiento de AzureCuenta de almacenamientoprincipal>Propiedades>de contenedor>

El formato de la dirección URL del contenedor de blobs de Azure es:https://storageAccountName.blob.core.windows.net/containerName.

Agregar un blob de almacenamiento de Azure a su cuenta

Hay varias maneras de agregar un blob de almacenamiento de Azure a su cuenta. Elija uno de los métodos siguientes.

1. Inicia sesión en el portal de Microsoft Purview y elige el engranaje de Configuración en la barra de menús.
2. Elija Prevención de pérdida de datos.
3. Seleccione Configuración de DLP de punto de conexión.
4. Expanda Configurar la recopilación de evidencias para actividades de archivo en dispositivos.
5. Cambia el botón de alternancia de Desactivado a Activado.
6. En el campo Establecer caché de evidencia en dispositivo, seleccione la cantidad de tiempo que la evidencia debe guardarse localmente cuando el dispositivo está sin conexión. Puede elegir 7, 30 o 60 días.
7. Seleccione un tipo de almacenamiento (Tienda administrada por el cliente o Tienda administrada por Microsoft) y, a continuación, seleccione + Agregar almacenamiento.
   1. Para el almacenamiento administrado por el cliente:
      1. Elija Tienda administrada por el cliente: y, a continuación, elija + Agregar almacenamiento.
      2. Entrar, asigne un nombre a la cuenta y escriba la dirección URL del blob de almacenamiento.
      3. Seleccione Guardar.
   2. Para el almacenamiento administrado por Microsoft:
      1. Elegir tienda administrada de Microsoft

Para agregar Azure Blob Storage mediante el flujo de trabajo de creación de directivas DLP en el portal de Microsoft Purview:

1. Inicie sesión en el portal de Microsoft Purview y elija Prevención de pérdida de datos.
2. Siga los pasos para crear una nueva directiva.
3. En el paso Ubicaciones , asegúrese de que solo está seleccionada la ubicación de los dispositivos y, a continuación, elija Siguiente.
4. En el paso de configuración de directiva, seleccione Crear o personalizar reglas DLP avanzadas.
5. Seleccione +Crear regla y agregue Condiciones, Acciones, Notificaciones de usuario e invalidaciones de usuario con los valores que elija.
6. En la sección Informes de incidentes , el botón de alternancia Enviar una alerta a los administradores cuando se produzca una coincidencia de reglas debe estar activado de forma predeterminada. (Si no lo está, actívela).
7. Active la casilla situada junto a Recopilar archivo original como prueba para todas las actividades de archivo seleccionadas en el punto de conexión.
8. Seleccione las actividades para las que desea recopilar pruebas.
9. Selecciona Agregar almacenamiento junto al elemento de casilla de verificación.
10. En la página de configuración de DLP de punto de conexión, expanda Configurar la recopilación de evidencia para actividades de archivo en dispositivos y asegúrese de que la opción esté activada.

Establecimiento de permisos en Azure Blob Storage

Con la autorización de Microsoft Entra, debe configurar dos conjuntos de permisos (grupos de roles) en los blobs:

1. Uno para los administradores e investigadores para que puedan ver y administrar las pruebas
2. Uno para los usuarios que necesitan cargar elementos en Azure desde sus dispositivos

La práctica recomendada es aplicar privilegios mínimos para todos los usuarios, independientemente del rol. Al aplicar los privilegios mínimos, se garantiza que los permisos de usuario se limiten solo a los permisos necesarios para su rol. Para configurar los permisos de usuario, cree roles y grupos de roles en Microsoft Defender para Office 365 y Microsoft Purview.

Permisos en el blob de Azure para administradores e investigadores

Una vez que haya creado el grupo de roles para los investigadores de incidentes de DLP, debe configurar los permisos descritos en las secciones Acciones del investigador y Acciones de datos del investigador que siguen.

Para obtener más información sobre cómo configurar el acceso a blobs, consulte estos artículos:

• Cómo autorizar el acceso a datos blob en Azure Portal
• Asigne permisos de nivel de recurso compartido.

Acciones del investigador

Configure estos permisos de objeto y acción para el rol de investigador:

Acciones de datos del investigador

Asigne las siguientes acciones de datos al rol de investigador.

El JSON para el grupo de rol de investigador debe tener el siguiente aspecto:

"permissions": [
            {
                "actions": [
                 "Microsoft.Storage/storageAccounts/blobServices/read",
                 "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
                ],
                "notDataActions": []
            }
        ]

Permisos en el blob de Azure para los usuarios

Asigne estos permisos de objeto y acción al blob de Azure para el rol de usuario:

Acciones del usuario

Asigne los siguientes permisos de objeto y acción al rol de usuario.

Acciones de datos de usuario

Asigne las siguientes acciones de datos al rol de usuario.

El JSON del grupo de roles de usuario debe tener el siguiente aspecto:

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

Habilitar y configurar la recolección de evidencia en una cuenta de almacenamiento administrada por Microsoft

Para habilitar y configurar la recopilación de evidencia en una cuenta de almacenamiento administrada por Microsoft desde el portal Microsoft Purview:

1. Inicia sesión en el engranajede configuración delportal> de Microsoft Purview en la barra de menús.
2. Elija Prevención de pérdida de datos.
3. Seleccione Configuración de DLP de punto de conexión.
4. Expanda Configurar la recopilación de evidencias para las actividades de archivo en dispositivos y establezca el botón de alternancia en Activado.
5. En Seleccionar tipo de almacenamiento, elija Almacenamiento administrado de Microsoft.

Configurar la directiva DLP

Cree una directiva DLP como lo haría normalmente. Para obtener ejemplos de configuración de directivas, consulte Creación e implementación de directivas de prevención de pérdida de datos.

Configure la directiva con estas opciones:

• Asegúrese de que Dispositivos sea la única ubicación seleccionada.
• En los informes de incidentes, cambie la opción Enviar una alerta a los administradores cuando se produzca una coincidencia de reglas a Activado.
• En los informes de incidentes, seleccione Recopilar archivo original como evidencia para todas las actividades de archivo seleccionadas en el extremo.
• Seleccione la cuenta de almacenamiento que desee.
• Seleccione las actividades para las que desea copiar elementos coincidentes en el almacenamiento de Azure, como:
  • Acceso mediante aplicaciones restringidas (versión preliminar)
  • Pegar en exploradores compatibles
  • Cargar en dominios de servicio en la nube o acceder a exploradores no permitidos
  • Copiar a un dispositivo USB extraíble
  • Copiar a un recurso compartido de red
  • Print
  • Copiar o mover usando una aplicación Bluetooth no permitida
  • Copiar o mover con RDP
  • Transferencias FTP y SFTP

Ver el uso del almacenamiento administrado de Microsoft

Puede ver y exportar el uso diario de los últimos 6 meses para el almacenamiento administrado de Microsoft.

1. Inicia sesión en el engranajede configuración delportal> de Microsoft Purview en la barra de menús.
2. Elija Prevención de pérdida de datos.
3. Seleccione Configuración de DLP de punto de conexión.
4. Expanda Configurar la recopilación de evidencias para actividades de archivo en dispositivos.
5. Haga clic en el botón Ver uso , se abrirá un panel. Aquí puede ver un gráfico mensual del uso diario y también exportar los datos de uso.

Vista previa y descarga de las pruebas

Hay diferentes maneras de obtener una vista previa de su evidencia, según el tipo de almacenamiento que seleccione.

Vista previa de evidencia a través del explorador de actividades

Siga estos pasos para obtener una vista previa de las evidencias en el Explorador de actividades.

1. Iniciar sesión en el portal> Microsoft Purview Prevención depérdida> de datosExplorador de actividades.
2. En la lista desplegable Fecha , seleccione las fechas de inicio y finalización para el período que le interese.
3. En la lista de resultados, haga doble clic en el elemento de línea de la actividad que desea investigar.
4. En el panel flotante, el vínculo al blob de Azure donde se almacena la evidencia aparece en Archivo de evidencia.
5. Seleccione el vínculo de almacenamiento de blobs Azure para mostrar el archivo que coincidió.

Vista previa de la evidencia a través de la página de alertas del portal de Purview

Siga estos pasos para obtener una vista previa de las evidencias de la página Alertas del portal Microsoft Purview.

1. Iniciar sesión en el portal >de Microsoft PurviewAlertasde prevención> de pérdida de datos.
2. En la lista desplegable Fecha , seleccione las fechas de inicio y finalización para el período que le interese.
3. En la lista de resultados, haga doble clic en el elemento de línea de la actividad que desea investigar.
4. En el panel flotante, seleccione Ver detalles.
5. Seleccione la pestaña Eventos .
6. En el panel de detalles , seleccione la pestaña Orígenes. Se mostrará el archivo coincidente.

Problemas conocidos

• El tamaño máximo de los archivos que se pueden cargar desde un dispositivo es de 500 MB.
• Si se activa la protección Just-in-Time en un archivo examinado, O si el archivo está almacenado en un recurso compartido de red, el archivo de evidencia no se recopila.
• Cuando se abren varios archivos en el mismo proceso (aplicaciones que no son de Office) y uno de los archivos que coinciden con una directiva sale de él, se desencadenan eventos DLP para todos los archivos. No se captura ninguna evidencia.
• Si se detectan varias reglas de directiva en un único archivo, el archivo de evidencia solo se almacena si se configura la regla de directiva más restrictiva para recopilar evidencia.