Diagnostics continus pour point de terminaison DLP

La fonctionnalité de diagnostics continus de Microsoft Purview permet une journalisation continue et automatisée des suivis pour la protection contre la perte de données (DLP) de point de terminaison. Cette fonctionnalité réduit considérablement la charge administrative en éliminant la nécessité de configurer manuellement les journaux et de reproduire les problèmes.

Lorsqu’un cas de support est ouvert auprès de Microsoft, les journaux de diagnostic sont souvent nécessaires pour aider à l’analyse de la cause racine. Avec les diagnostics permanents activés, une télémétrie complète est déjà disponible, ce qui permet aux administrateurs de contourner les étapes traditionnelles de collecte de données. Cela permet non seulement d’accélérer le flux de travail de support, mais aussi d’améliorer la précision de l’identification et de la résolution des problèmes.

Les journaux de diagnostic peuvent être téléchargés en toute sécurité directement dans Support Microsoft, ce qui simplifie la soumission des cas et accélère le délai de résolution. Cette approche de journalisation proactive améliore l’efficacité opérationnelle et améliore la réactivité du support.

Journaux de suivi

Lorsqu’un administrateur active les diagnostics Always-On, la fonctionnalité est activée sur tous les appareils Windows intégrés, y compris les serveurs, et tous les appareils macOS intégrés. Lorsqu’une stratégie DLP de point de terminaison ne se comporte pas comme prévu pour un utilisateur ou un appareil dans l’étendue, le client ouvre un cas de support Microsoft. Pour accélérer la résolution des problèmes, le Support Microsoft demande des journaux de suivi de diagnostic, que l’administrateur du client collecte sur l’appareil affecté à l’aide de procédures documentées. Les données collectées sont protégées par Microsoft via des contrôles d’accès restreint et un format de journal propriétaire.

Comprendre le comportement de chargement et les contraintes opérationnelles

Les chargements de suivi se produisent généralement dans une fenêtre d’interrogation de 24 heures et nécessitent que l’appareil reste en ligne pour que le chargement se termine. Une seule demande de collecte active est prise en charge par appareil à la fois, et des demandes supplémentaires ne peuvent être lancées qu’une fois la demande précédente terminée, a échoué ou a été supprimée. L’accélération du chargement basée sur le redémarrage est prise en charge, mais le redémarrage de l’appareil n’est pas nécessaire pour effectuer un téléchargement. Il ne vise qu’à accélérer le processus. Les demandes de recouvrement peuvent rester en attente si l’appareil est hors connexion, réinitialisé, réimagé, réaffecté ou incapable de répondre.

Les administrateurs sont chargés de surveiller le status des demandes de recouvrement et de prendre des mesures en cas d’échec. Si une demande échoue, les administrateurs doivent réessayer ou relancer la demande si nécessaire pour garantir la réussite de la collecte de données.

Présentation de la conformité de l’accès aux journaux, de la sécurité et du stockage des données

Les journaux ne peuvent pas être téléchargés directement par les administrateurs et sont stockés dans un format interne propriétaire Microsoft qui ne peut être décodé qu’à l’aide des outils Microsoft. L’accès aux journaux est limité au personnel Microsoft qui est membre de groupes d’accès désignés, et tous ces accès sont entièrement audités pour garantir la responsabilité et la sécurité.

Les journaux sont stockés dans un stockage Blob Azure géré par Microsoft et sont conformes aux normes de sécurité et de confidentialité Microsoft, notamment le RGPD. Les données restent dans la zone de résidence des données du client et sont conservées pendant 180 jours, sauf si elles sont supprimées manuellement plus tôt. Après la période de rétention, les journaux sont automatiquement purgés et ne peuvent pas être récupérés, et aucune sauvegarde ou rétention étendue n’est prise en charge.

Autorisations requises pour les diagnostics en continu

Rôles requis pour afficher et créer des demandes de collecte de journaux

Il existe plusieurs rôles qui vous permettent d’afficher et de créer des demandes de collecte de journaux. Le compte que vous utilisez doit être membre de l’un d’entre eux.

Rôles Microsoft Entra

• Administrateur de conformité
• Administrateur de sécurité
• Administrateur général

Rôles de portée pour l’affichage et la création de demandes de collecte de journaux

Doit être attribué au niveau du locataire ; Les administrateurs étendus ne sont pas pris en charge :

• OrganizationConfiguration
• Gérer les alertes
• ViewOnlyManageAlerts
• InformationProtectionAdmin
• InformationProtectionAnalyst
• InformationProtectionInvestigator

Rôles requis pour activer la fonctionnalité

Le compte que vous utilisez doit être membre de l’un des rôles suivants pour activer les diagnostics Always-On.

Rôles de Microsoft Entra pour l’activation de diagnostics continus

• Administrateur de conformité
• Administrateur de sécurité
• Administrateur général

Rôles de portée (au niveau du locataire uniquement)

Les rôles Purview au niveau du client suivants peuvent activer les diagnostics continus :

• OrganizationConfiguration
• ComplianceAdmin
• SecurityAdmin
• DLPComplianceManagement
• InformationProtectionAdmin

Configuration requise

L’appareil doit être intégré à Microsoft Purview et créer des rapports actifs avec les diagnostics permanents activés. Il doit maintenir une connectivité réseau continue et être en mesure d’atteindre les points de terminaison de chargement Microsoft, notamment *.blob.core.windows.net. Le trafic HTTPS sortant vers les services Microsoft ne doit pas être bloqué par des pare-feu, des proxys ou des stratégies de sécurité, et toute configuration proxy doit autoriser le trafic HTTPS sortant sans interception ou modification qui empêcherait les téléchargements.

Si vous utilisez Windows Server, vous devez activer la protection contre la perte de données de point de terminaison pour les serveurs Windows avant d’activer les diagnostics permanents, car la protection contre la perte de données de point de terminaison est désactivée par défaut sur Windows Server.

Si vous utilisez macOS, l’appareil doit être intégré à Microsoft Purview via Intune, JAMF Pro ou une autre solution MDM. Pour plus d’informations, consultez Intégrer des appareils macOS dans Microsoft Purview.

Systèmes d’exploitation Windows pris en charge

Le tableau suivant répertorie les versions de client et de serveur Windows prises en charge pour les diagnostics Always-On.

Versions de macOS prises en charge

Les diagnostics en continu sont pris en charge sur les appareils macOS intégrés exécutant l’une des trois dernières versions publiées. Les diagnostics continus nécessitent la build 101.26042.xxxx ou ultérieure.

Processeurs pris en charge

Les appareils macOS avec processeurs x64 et M1, M2 et M3 (ARM64) sont pris en charge.

Activer les diagnostics Always-On et activer le chargement

Effectuez les étapes suivantes pour activer les diagnostics toujours actifs et activer le chargement des journaux. Ces paramètres s’appliquent aux appareils Windows et macOS.

1. Connectez-vous au portail Microsoft Purview.
2. Accédez à Paramètres> Protection contrela perte> de donnéesAlways-On diagnostics (préversion).
3. Sélectionnez Activé.
4. Définissez la période de stockage du cache. Une période de stockage de cache de 90 jours est recommandée.
5. Définissez le stockage maximal pour l’appareil. La valeur doit être comprise entre 500 et 1 500 Mo.
6. Sélectionnez Enregistrer.
7. Pour activer le téléchargement, sous Télécharger automatiquement les journaux d’activité de l’appareil, sélectionnez Partager les diagnostics avec Microsoft.

Demander les journaux d’activité de l’appareil

Lorsque vous identifiez un problème et ouvrez un cas de support auprès de Microsoft, vous pouvez demander que les fichiers journaux soient envoyés à Support Microsoft. La procédure est la même pour les appareils Windows et macOS.

1. Dans Purview, sélectionnez l’un des emplacements pour lancer une demande de fichiers journaux.
   1. Dans Paramètres > Appareils d’intégration d’appareils>, sélectionnez un appareil dans la liste.
   2. Dans Événements d’alertes > de prévention de la perte > de données, sélectionnez un événement dans la liste.
   3. Dans l’Explorateur d’activités de l’Explorateur d’activités de la protection > contre > la perte de données, sélectionnez une alerte dans la liste.
2. En fonction de l’emplacement que vous avez choisi, sous Diagnostics permanents , sélectionnez Demander le journal de l’appareil.
3. Sélectionnez la plage de dates et fournissez une brève description.
4. Sélectionnez Envoyer la demande de collection.
5. Une fois la demande envoyée, vous devez patienter jusqu’à ce qu’elle soit complète. Accédez à Paramètres> Protection contrela perte> de donnéesAlways-On diagnostics (préversion).
6. Dans la liste, identifiez l’appareil examiné. Une fois le status terminé, fournissez le numéro de demande associé au Support Microsoft.

Voir aussi

diagnostics d’auto-assistance pour Microsoft Purview
Collecter les journaux de diagnostic DLP du point de terminaison
Analyser les journaux de diagnostic DLP des points de terminaison