Obtener información sobre la Prevención de pérdida de datos en punto de conexión

Puedes usar la Prevención de pérdida de datos de Microsoft Purview (DLP) para supervisar las acciones que se llevan a cabo en los elementos que has determinado que son confidenciales y para ayudar a evitar que se compartan de forma involuntaria dichos elementos.

La prevención de pérdida de datos de Endpoint (DLP de Endpoint) amplía las capacidades de supervisión y protección de la actividad de DLP a dispositivos de Windows 10/11, macOS (las tres versiones principales publicadas más recientes) y determinadas versiones de servidor de Windows. Una vez que los dispositivos se incorporan a las soluciones de Microsoft Purview, la información sobre lo que los usuarios están haciendo con los elementos confidenciales se hace visible en el explorador de actividades. Después, puede aplicar acciones de protección en esos elementos a través de directivas DLP.

¿Cuándo se clasifican los archivos por DLP de punto de conexión?

DLP de punto de conexión clasifica los archivos en las siguientes condiciones:

• Creación o modificación: Cada vez que se crea o modifica un archivo, se examina por completo en busca de tipos de información confidencial (SIT) y etiquetas. A continuación, el archivo se evalúa para comprobar si coincide con las directivas y reglas de DLP.
• Lectura de un archivo ya clasificado: Cuando se lee un archivo ya clasificado, DLP de punto de conexión comprueba si hay cambios en las directivas, reglas o SIT. Si hay un cambio en la configuración de DLP, vuelve a evaluar las directivas y reglas, pero no volverá a extraer el texto.

DLP de punto de conexión Compatibilidad con Windows 10/11 y macOS

DLP de punto de conexión le permite incorporar dispositivos que ejecutan Windows Server 2019 y versiones posteriores.

De forma predeterminada, DLP de punto de conexión no está habilitado para los servidores Windows cuando se incorporan inicialmente. Para poder ver eventos DLP de punto de conexión para los servidores en el Explorador de actividades, primero debe habilitar DLP de punto de conexión para servidores Windows.

Una vez configuradas correctamente, las mismas directivas de protección contra la pérdida de datos se pueden aplicar automáticamente tanto a los PC Windows como a los servidores Windows.

Especificar el ámbito de las directivas DLP para puntos de conexión

Las directivas de Prevención de pérdida de datos de Microsoft Purview (DLP) se pueden aplicar en varias ubicaciones, incluidos los dispositivos de punto de conexión. Cuando una directiva DLP incluye la ubicación de los dispositivos , tanto los usuarios como los dispositivos pueden especificar el ámbito de la directiva. Para que se aplique una directiva DLP en un punto de conexión, tanto el usuario como el dispositivo deben estar incluidos en el ámbito de directiva.

Esto permite controles de protección de datos más precisos en función de quién accede a los datos y desde qué dispositivo. Para obtener más información, consulte Ámbito de dispositivo.

Para obtener más información sobre la implementación, consulte Crear una directiva usando el ámbito de dispositivo.

Otras opciones de configuración

Actividades en punto de conexión que puede supervisar y sobre las que puede tomar medidas

DLP en punto de conexión permite auditar y administrar los siguientes tipos de actividades que los usuarios realizan en elementos confidenciales almacenados físicamente en dispositivos Windows 10, Windows 11 y macOS.

Comportamiento de copia al portapapeles

Al configurar una regla para bloquear o bloquear con invalidación cuando un usuario intenta la actividad de copia en el portapapeles en el contenido de un archivo que coincide con la directiva, los usuarios finales ven este comportamiento con estas configuraciones:

• El archivo de Word 123 contiene información confidencial que coincide con la regla de bloqueo de copia en el portapapeles.

• El archivo 123 de Excel contiene información confidencial que coincide con la regla de bloqueo de copiar al portapapeles.

• El archivo 123 de PowerPoint contiene información confidencial que coincide con la regla de bloqueo de copia al portapapeles.

• El archivo de Word 789 no contiene información confidencial.

• El archivo de Excel 789 no contiene información confidencial.

• El archivo 789 de PowerPoint no contiene información confidencial.

• El archivo XYZ del Bloc de notas (o cualquier aplicación o proceso que no sea de Microsoft Office) contiene información confidencial que coincide con la regla de bloqueo de copia al portapapeles.

• Bloc de notas (o cualquier aplicación o proceso que no sea Microsoft Office) El ABC no contiene información confidencial.

DLP de punto de conexión y Files no guardados

Si los datos nunca se guardan en un archivo en el dispositivo local, DLP de punto de conexión no puede analizarlos ni clasificarlos. Por ejemplo, si un usuario abre un documento en Word y lo guarda directamente en un dispositivo USB sin almacenarlo primero localmente, DLP de punto de conexión no puede inspeccionar ni bloquear esa acción.

Procedimiento recomendado para directivas DLP de punto de conexión

Supongamos que quiere bloquear todos los elementos que contengan números de tarjetas de crédito para que no salgan de los puntos de conexión de los usuarios del departamento de finanzas. Se recomienda lo siguiente:

• Cree una directiva y aplíquela a los puntos finales y a ese grupo de usuarios.
• Cree una regla en la directiva que detecte el tipo de información que desea proteger. En este caso, establezca el contenido que contiene en Tipo de información confidencial* y seleccione Tarjeta de crédito.
• Establezca las acciones de cada actividad en Bloquear.

Para obtener más información sobre cómo diseñar las directivas DLP, consulte Diseñar una directiva de prevención de pérdida de datos .

Archivos supervisados

Files supervisados mediante directiva

DLP del punto de conexión supervisa estos tipos de archivo directiva en Windows 10, 11:

DLP de punto de conexión supervisa estos tipos de archivos en las tres últimas versiones principales de macOS:

Estos tipos de archivo se pueden supervisar a través de la configuración de directivas en dispositivos con Windows 10, 11 y macOS, si OCR está habilitado:

.jpg, .png, .tif, .tiff, .bmp, .jpeg

DLP de punto de conexión examina los archivos con las extensiones especificadas enumeradas anteriormente. Si necesita proteger o supervisar archivos que no aparecen en la lista, utilice la característica "Aplicar restricciones solo a extensiones de archivo no admitidas". Las diferencias clave entre esta característica y la condición Extensión de archivo son las siguientes:

• DLP de punto de conexión examina el contenido en busca de la condición La extensión de archivo es , lo que le permite ver los valores de tipo de información confidencial en eventos o alertas. En cambio, la característica Aplicar restricciones solo a extensiones de archivo no admitidas no analiza el contenido del archivo.
• La condición Extensión de archivo desencadena el examen de contenido, que puede consumir recursos más altos del equipo, como CPU y memoria, lo que puede causar problemas de rendimiento para algunos tipos de archivo. Para obtener más información sobre la característica Aplicar restricciones solo a extensiones de archivo no admitidas , consulte los siguientes recursos:
• Ayudar a proteger los archivos que la prevención de pérdida de datos de Endpoint no examina
• Ayudar a protegerse contra el uso compartido de un conjunto definido de archivos no compatibles

Files auditados independientemente de la coincidencia de directivas

Las actividades se pueden auditar en estos tipos de archivo en Windows 10, 11 y en las tres últimas versiones principales de macOS, incluso si no existe ninguna coincidencia de directiva:

Si solo quiere supervisar los datos de las coincidencias de directivas, puede desactivar Auditar siempre la actividad de archivos para dispositivos en la configuración > de Prevención de pérdida de datosConfiguración de punto de conexión.

Si la opción Auditar siempre la actividad de archivo para dispositivos está activada, las actividades en cualquier archivo Word, PowerPoint, Excel, PDF y .csv siempre se auditan, incluso si el dispositivo no está de destino en ninguna directiva.

Para asegurarse de que las actividades se auditan para todos los tipos de archivo admitidos, cree una directiva DLP personalizada.

DLP de punto de conexión supervisa la actividad en función del tipo MIME, por lo que las actividades se capturan, incluso si se cambia la extensión de archivo, para estos tipos de archivos:

Después de cambiar la extensión a cualquier otra extensión de archivo:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Si la extensión solo se cambia a las extensiones de archivo admitidas:

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

Tipos de archivo no admitidos

DLP de punto de conexión no admite la supervisión de los siguientes tipos de archivo:

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

¿Qué es diferente en DLP en punto de conexión?

Debe tener en cuenta algunos conceptos adicionales antes de profundizar en DLP en punto de conexión.

Habilitar la administración de dispositivos

La administración de dispositivos es la funcionalidad que permite la colección de telemetría desde dispositivos y la incluye en las soluciones de cumplimiento de Microsoft Purview como DLP en punto de conexión y la administración de riesgos internos. Debe incorporar todos los dispositivos que desea usar como ubicaciones en las directivas DLP.

La incorporación y la retirada se controlan mediante scripts que se descargan del centro de administración de dispositivos. El centro de administración de dispositivos tiene scripts personalizados para cada uno de los siguientes métodos de implementación:

• Script local (hasta 10 equipos)
• Directiva de grupo
• System Center Configuration Manager (versión 1610 o posterior)
• Administración de dispositivos móviles/Microsoft Intune
• Scripts de incorporación de VDI para equipos no persistentes

Use los procedimientos descritos en Introducción a DLP en punto de conexión de Microsoft 365 para incorporar dispositivos.

La incorporación de dispositivos a Defender también los incorpora a DLP. Por lo tanto, si ha incorporado dispositivos a través de Microsoft Defender para punto de conexión, esos dispositivos se mostrarán automáticamente en la lista de dispositivos. Solo tiene que activar la supervisión de dispositivos para usar DLP de punto de conexión.

Visualizar datos de DLP en punto de conexión

Puede ver alertas relacionadas con directivas DLP aplicadas en dispositivos de punto de conexión yendo al Panel de administración de alertas DLP e Investigar incidentes de pérdida de datos con Microsoft Defender XDR.

También puede ver los detalles del evento asociado, con metadatos enriquecidos, en el mismo panel

Una vez que se incorpora un dispositivo, la información sobre las actividades auditadas fluye al explorador de actividad, incluso antes de que configure e implemente las directivas DLP que tienen dispositivos como ubicación.

DLP en punto de conexión recopila información exhaustiva sobre la actividad auditada.

Por ejemplo, si se copia un archivo a un medio USB extraíble, vería estos atributos en los detalles de actividad:

• tipo de actividad
• IP del cliente
• ruta de acceso del archivo de destino
• ocurrió una marca de tiempo
• nombre de archivo
• usuario
• extensión de archivo
• tamaño de archivo
• tipo de información confidencial (si corresponde)
• valor sha1
• valor sha256
• nombre de archivo anterior
• ubicación
• primario
• ruta de acceso al archivo
• tipo de ubicación de origen
• plataforma
• nombre de dispositivo
• tipo de ubicación de destino
• aplicación que realizó la copia
• Id. de dispositivo de Microsoft Defender para punto de conexión (si corresponde)
• fabricante del dispositivo multimedia extraíble
• modelo del dispositivo multimedia extraíble
• número de serie del dispositivo multimedia extraíble

¿Por qué todas las directivas de punto de conexión están en todos los dispositivos incorporados?

Un dispositivo puede admitir varias cuentas de usuario. Dado que las directivas de punto de conexión se aplican al ámbito de los usuarios, los distintos usuarios del dispositivo pueden tener diferentes directivas en el ámbito de ellos. Por lo tanto, el dispositivo debe tener acceso a todas las directivas DLP de punto de conexión para poder evaluar los elementos. Todos los dispositivos incorporados a Purview se examinan independientemente de si el usuario está en el ámbito.

DLP de punto de conexión y dispositivos sin conexión

Cuando un dispositivo de punto de conexión de Windows está sin conexión, las directivas existentes se siguen aplicando en los archivos existentes. Además, con la protección Just-In-Time habilitada y en modo "bloqueo", cuando se crea un nuevo archivo en un dispositivo sin conexión, se impide que el archivo se comparta hasta que el dispositivo se conecte al servicio de clasificación de datos y se complete la evaluación. Si se crea una nueva directiva en el servidor o se modifica una directiva existente, esos cambios se actualizarán en el dispositivo una vez que se vuelva a conectar a Internet.

Considere los siguientes casos de uso.

1. Las directivas que se han insertado en un dispositivo se seguirán aplicando a los archivos ya clasificados como confidenciales, incluso después de que el dispositivo se desconecte.
2. Las directivas que se actualicen mientras un dispositivo esté sin conexión no se enviarán a ese dispositivo. Del mismo modo, estas directivas no se aplicarán en ese dispositivo hasta que el dispositivo vuelva a estar en línea. Sin embargo, se seguirá aplicando la directiva obsoleta que existe en el dispositivo sin conexión. Protección Just-In-Time

Si se configura que las notificaciones se muestren, siempre se mostrarán cuando se desencadenen directivas DLP, independientemente de si el dispositivo está conectado o no.

Las directivas DLP se sincronizan periódicamente con los dispositivos de punto de conexión. Si un dispositivo está sin conexión, las directivas no se pueden sincronizar. En este caso, la lista Dispositivos refleja que el dispositivo no está sincronizado con las directivas del servidor.

Protección Just-In-Time

La protección Just-In-Time bloquea las actividades de salida en estos archivos supervisados hasta que la evaluación de la directiva se complete correctamente:

• Elementos que nunca se han evaluado.
• Elementos en los que la evaluación se ha quedado obsoleta. Se trata de elementos evaluados previamente que no se han vuelto a evaluar en las versiones en la nube actuales y actualizadas de las directivas.

Para obtener más información sobre cómo funciona la protección Just-In-Time, consulte Más información sobre la protección Just-In-Time y Empiece a usar la protección Just-In-Time de Prevención de pérdida de datos de Microsoft Purview.

Pasos siguientes

Ahora que ya conoce DLP en punto de conexión, estos son los pasos siguientes:

1. Introducción a la incorporación de dispositivos Windows 10 y Windows 11 a Microsoft Purview
2. introducción a la incorporación de dispositivos macOS a Microsoft Purview
3. Configuración de la prevención de pérdida de datos de punto de conexión
4. Uso de la prevención de pérdida de datos en punto de conexión

Consulte también

• Introducción a la prevención de pérdida de datos en punto de conexión de Microsoft
• Uso de la prevención de pérdida de datos en punto de conexión de Microsoft
• Obtenga más información acerca de la prevención contra la pérdida de datos
• Investigar las evidencias de DLP del punto de conexión en las investigaciones de seguridad de datos (versión preliminar)
• Crear e implementar directivas de prevención de pérdida de datos
• Introducción al explorador de actividad
• Microsoft Defender para punto de conexión
• Administración de riesgos internos