Prise en main de la collecte de fichiers qui correspondent aux stratégies de protection contre la perte de données à partir d’appareils

Cet article vous guide tout au long des prérequis et des étapes de configuration pour la collecte de preuves pour les activités de fichiers sur les appareils et présente comment afficher les éléments copiés et enregistrés.

Voici les étapes générales de configuration et d’utilisation de la collecte de preuves pour les activités de fichiers sur les appareils.

1. Intégrer des appareils
2. Comprendre vos besoins
3. Créer votre compte de stockage Azure managé
4. Ajouter un objet blob de stockage Azure à votre compte
5. Activer et configurer la collecte de preuves sur un compte de stockage géré par Microsoft
6. Configurer votre stratégie DLP
7. Afficher l’utilisation du stockage géré par Microsoft

Avant de commencer

Avant de commencer ces procédures, vous devez consulter En savoir plus sur la collecte de preuves pour les activités de fichiers sur les appareils.

Exigences en matière d’autorisation pour la collecte d’éléments de preuve

Pour plus d’informations sur les licences, consultez

• Plans Microsoft 365 Entreprise
• Descriptions des services Microsoft 365

Consultez les conditions préalables à la licence requise pour les Microsoft Entra ID P1 ou P2 nécessaires pour créer un contrôle d’accès en fonction du rôle (RBAC) personnalisé.

Autorisations

Standard Protection contre la perte de données Microsoft Purview autorisations (DLP) sont requises. Pour plus d’informations, voir Autorisations.

Autorisations pour l’aperçu ou le téléchargement des preuves

Lorsque vous souhaitez afficher un aperçu ou télécharger les preuves, le compte utilisé doit avoir les rôles suivants :

• Aperçu des données probantes : Visionneuse de contenu de classification des données
• Télécharger les données probantes : Contenu de classification des données Télécharger

Le rôle de téléchargement de contenu de classification des données est préaffecté à ces groupes de rôles intégrés :

• Gestion de la sécurité des données
• Protection des informations
• Enquêteurs Information Protection

Si vous devez gérer les utilisateurs, les rôles et les groupes de rôles, consultez Autorisations dans le portail Microsoft Purview.

Intégration des appareils

Avant de pouvoir utiliser des éléments correspondant à la copie, vous devez intégrer des appareils Windows 10/11 ou des appareils macOS (préversion) dans Purview, consultez Présentation de l’intégration d’appareils Windows dans Microsoft 365.

Comprendre vos besoins

Vous devez avoir les réponses à la question suivante avant de configurer votre stockage Azure et d’étendre la fonctionnalité aux utilisateurs.

Avez-vous besoin de compartimenter les éléments et d’accéder en fonction des rôles ou des services ?

Par exemple, si votre organisation souhaite disposer d’un ensemble d’administrateurs ou d’enquêteurs d’événements DLP pouvant afficher les fichiers enregistrés de vos cadres supérieurs et d’un autre groupe d’administrateurs ou d’enquêteurs d’événements DLP pour les éléments enregistrés des ressources humaines, vous devez créer un compte de stockage Azure pour la direction de votre organisation et un autre pour le service des ressources humaines. Cela garantit que les administrateurs de Stockage Azure ou les enquêteurs d’événements DLP ne peuvent voir que les éléments qui correspondent aux stratégies DLP de leurs groupes respectifs.

Voulez-vous utiliser des conteneurs pour organiser les éléments enregistrés ?

Vous pouvez créer plusieurs conteneurs de preuves dans le même compte de stockage pour trier les fichiers enregistrés. Par exemple, une pour les fichiers enregistrés par le service RH et une autre pour ceux du service informatique.

Quelle est votre stratégie de protection contre la suppression ou la modification des éléments enregistrés ?

Dans Stockage Azure, la protection des données fait référence à la fois aux stratégies de protection du compte de stockage et des données qu’il contient contre la suppression ou la modification et à la restauration des données après leur suppression ou leur modification. Le stockage Azure offre également des options de récupération d’urgence, notamment plusieurs niveaux de redondance, pour protéger vos données contre les pannes de service dues à des problèmes matériels ou à des catastrophes naturelles. Il peut également protéger vos données à l’aide d’un basculement géré par le client si le centre de données de la région primaire devient indisponible. Pour plus d’informations, voir Vue d’ensemble de la protection des données.

Vous pouvez également configurer des stratégies d’immuabilité pour vos données blob afin de les protéger contre le remplacement ou la suppression des éléments enregistrés. Pour plus d’informations, consultez Stocker les données d’objets blob critiques pour l’entreprise avec un stockage immuable

Types de fichiers pris en charge pour le stockage et la prévisualisation des preuves

Le tableau suivant indique les types de fichiers qui peuvent être stockés et affichés en tant que preuves.

Enregistrez les articles correspondants dans votre stockage préféré

Pour enregistrer les preuves que Microsoft Purview détecte lorsque vos stratégies de protection contre la perte de données sont appliquées, vous devez configurer le stockage. Il existe deux façons de configurer le stockage pour la collecte de preuves :

1. Créer un stockage géré par le client
2. Créer un stockage géré par Microsoft

Pour plus d’informations et une comparaison de ces deux types de stockage, voir Stockage des preuves lorsque des informations sensibles sont détectées.

Créer un stockage géré par le client

Les procédures de configuration de votre compte de stockage Azure, de votre conteneur et de vos objets blob sont documentées dans la documentation de Stockage Blob Azure. Voici des liens vers des articles pertinents que vous pouvez consulter pour vous aider à démarrer :

1. Présentation du stockage Blob Azure
2. Créer un compte de stockage
3. Utiliser par défaut et autoriser l’accès aux objets blob à l’aide de Microsoft Entra ID
4. Gérer les conteneurs d’objets blob à l’aide du portail Azure
5. Gérer les objets blob de blocs avec PowerShell

Assurez-vous d’enregistrer le nom et l’URL du conteneur d’objets blob Azure. Pour afficher l’URL, ouvrez le portail > de stockage Azure Accueil> Comptes >de stockagePropriétés du conteneur>

Le format de l’URL du conteneur d’objets blob Azure est le suivant :https://storageAccountName.blob.core.windows.net/containerName

Ajouter un objet blob de stockage Azure à votre compte

Il existe plusieurs façons d’ajouter un objet blob de stockage Azure à votre compte. Choisissez l’une des méthodes ci-dessous.

1. Connectez-vous au portail Microsoft Purview et choisissez l’engrenage Paramètres dans la barre de menus.
2. Choisissez Protection contre la perte de données.
3. Sélectionnez les paramètres de protection contre la perte de données du point de terminaison.
4. Développez Configurer la collecte de preuves pour les activités de fichiers sur les appareils.
5. Désactivez le bouton bascule de désactivé à activé.
6. Dans le champ Définir le cache de preuves sur l’appareil , sélectionnez la durée pendant laquelle les preuves doivent être enregistrées localement lorsque l’appareil est hors ligne. Vous pouvez choisir 7, 30 ou 60 jours.
7. Sélectionnez un type de stockage (magasin géré par le client ou magasin géré par Microsoft), puis sélectionnez + Ajouter du stockage.
   1. Pour le stockage géré par le client :
      1. Choisissez Magasin géré par le client : puis choisissez + Ajouter de l’espace de stockage.
      2. Entrée, donnez un nom au compte et entrez l’URL de l’objet blob de stockage.
      3. Cliquez sur Enregistrer.
   2. Pour le stockage géré par Microsoft :
      1. Choisissez Magasin géré Microsoft

Pour ajouter un stockage d’objets blob Azure à l’aide du flux de travail de création de stratégie DLP dans le portail Microsoft Purview :

1. Connectez-vous au portail Microsoft Purview et choisissez Protection contre la perte de données.
2. Suivez les étapes pour créer une nouvelle stratégie.
3. À l’étape Emplacements , assurez-vous que seul l’emplacement Appareils est sélectionné, puis choisissez Suivant.
4. À l’étape Paramètres de stratégie, sélectionnez Créer ou personnaliser des règles DLP avancées.
5. Sélectionnez +Créer une règle et ajoutez des conditions, des actions, des notifications utilisateur et des remplacements d’utilisateur avec les valeurs de votre choix.
6. Dans la section Rapport d’incident , le bouton bascule Envoyer une alerte aux administrateurs lorsqu’une correspondance de règle se produit doit être Activé par défaut. (Si ce n’est pas le cas, activez cette option).
7. Cochez la case en regard de Collecter le fichier d’origine comme preuve pour toutes les activités de fichier sélectionnées sur le point de terminaison.
8. Sélectionnez les activités pour lesquelles vous souhaitez recueillir des preuves.
9. Sélectionnez Ajouter un espace de stockage à côté de l’élément de case à cocher.
10. Dans la page Paramètres de point de terminaison DLP , développez Configurer la collecte de preuves pour les activités de fichiers sur les appareils et assurez-vous que l’option est définie sur Activé.

Définir des autorisations sur le stockage d’objets blob Azure

À l’aide de l’autorisation Microsoft Entra, vous devez configurer deux ensembles d’autorisations (groupes de rôles) sur les objets blob :

1. Un pour les administrateurs et les enquêteurs afin qu’ils puissent consulter et gérer les preuves
2. Un pour les utilisateurs qui doivent charger des éléments vers Azure à partir de leurs appareils

La meilleure pratique consiste à appliquer les privilèges minimum pour tous les utilisateurs, quel que soit leur rôle. En appliquant le moindre privilège, vous vous assurez que les autorisations utilisateur sont limitées aux seules autorisations nécessaires à leur rôle. Pour configurer les autorisations des utilisateurs, créez des rôles et des groupes de rôles dans Microsoft Defender pour Office 365 et Microsoft Purview.

Autorisations sur l’objet blob Azure pour les administrateurs et les enquêteurs

Une fois que vous avez créé le groupe de rôles pour les enquêteurs d’incidents DLP, vous devez configurer les autorisations décrites dans les sections Actions de l’enquêteur et Actions de données de l’enquêteur qui suivent.

Pour plus d’informations sur la configuration de l’accès au BLOB, consultez les articles suivants :

• Comment autoriser l’accès aux données d’objets blob dans le portail Azure
• Attribuez des autorisations au niveau du partage.

Actions de l’enquêteur

Configurez ces autorisations d’objet et d’action pour le rôle investigateur :

Actions sur les données de l’investigateur

Attribuez les actions de données suivantes au rôle d’enquêteur.

Votre JSON pour le groupe de rôle investigateur doit ressembler à ceci :

"permissions": [
            {
                "actions": [
                 "Microsoft.Storage/storageAccounts/blobServices/read",
                 "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
                ],
                "notDataActions": []
            }
        ]

Autorisations sur l’objet blob Azure pour les utilisateurs

Attribuez ces autorisations d’objet et d’action à l’objet blob Azure pour le rôle d’utilisateur :

Actions de l’utilisateur

Attribuez les autorisations d’objet et d’action suivantes au rôle d’utilisateur.

Actions relatives aux données utilisateur

Attribuez les actions de données suivantes au rôle d’utilisateur.

Le JSON du groupe de rôles utilisateur doit ressembler à ceci :

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

Activer et configurer la collecte de preuves sur un compte de stockage géré par Microsoft

Pour activer et configurer la collecte de preuves sur un compte de stockage géré par Microsoft à partir du portail Microsoft Purview :

1. Connectez-vous au portail> Microsoft PurviewEngrenage Paramètres dans la barre de menus.
2. Choisissez Protection contre la perte de données.
3. Sélectionnez les paramètres de protection contre la perte de données du point de terminaison.
4. Développez Configurer la collecte de preuves pour les activités de fichiers sur les appareils et définissez le bouton bascule sur Activé.
5. Sous Sélectionner un type de stockage, choisissez Stockage géré par Microsoft.

Configurer votre stratégie DLP

Créez une stratégie DLP comme vous le feriez normalement. Pour obtenir des exemples de configuration de stratégie, consultez Créer et déployer des stratégies de protection contre la perte de données.

Configurez votre stratégie à l’aide des paramètres suivants :

• Assurez-vous que Appareils est le seul emplacement sélectionné.
• Dans les rapports d’incident, basculez Envoyer une alerte aux administrateurs lorsqu’une correspondance de règle se produit sur Activé.
• Dans Rapport d’incident, sélectionnez Collecter le fichier d’origine comme preuve pour toutes les activités de fichier sélectionnées sur le point de terminaison.
• Sélectionnez le compte de stockage souhaité.
• Sélectionnez les activités pour lesquelles vous souhaitez copier les éléments correspondants vers le stockage Azure, telles que :
  • Accès par des applications restreintes (préversion)
  • Coller dans les navigateurs pris en charge
  • Charger vers des domaines de service cloud ou accéder à des navigateurs non autorisés
  • Copiez la mise à jour sur un périphérique USB amovible
  • Copier sur un partage réseau
  • Print
  • Copier ou déplacer à l’aide d’une application Bluetooth non autorisée
  • Copier ou déplacer à l’aide du protocole RDP
  • Transferts FTP et SFTP

Afficher l’utilisation du stockage géré par Microsoft

Vous pouvez afficher et exporter l’utilisation quotidienne des 6 derniers mois pour le stockage géré par Microsoft.

1. Connectez-vous au portail> Microsoft PurviewEngrenage Paramètres dans la barre de menus.
2. Choisissez Protection contre la perte de données.
3. Sélectionnez les paramètres de protection contre la perte de données du point de terminaison.
4. Développez Configurer la collecte de preuves pour les activités de fichiers sur les appareils.
5. Cliquez sur le bouton Afficher l’utilisation , un panneau s’ouvrira. Ici, vous pouvez voir un graphique mensuel de l’utilisation quotidienne et également exporter les données d’utilisation.

Prévisualiser et télécharger les preuves

Il existe différentes façons de prévisualiser vos preuves, selon le type de stockage que vous choisissez.

Aperçu des preuves via l’Explorateur d’activités

Procédez comme suit pour afficher un aperçu des preuves dans l’Explorateur d’activités.

1. Connectez-vous au portail >Microsoft PurviewProtection contre> la perte de donnéesExplorateur d’activités.
2. Sélectionnez les dates de début et de fin de la période qui vous intéresse à l’aide de la liste déroulante Date.
3. Dans la liste des résultats, double-cliquez sur la ligne de l’activité que vous souhaitez examiner.
4. Dans le volet volant, le lien vers l’objet blob Azure dans lequel la preuve est stockée s’affiche sous Fichier de preuve.
5. Sélectionnez le lien Stockage Blob Azure pour afficher le fichier correspondant.

Aperçu des preuves via la page des alertes du portail Purview

Utilisez les étapes suivantes pour prévisualiser les preuves à partir de la page Alertes du portail Microsoft Purview.

1. Connectez-vous au portail> Microsoft PurviewAlertesde protection contre> la perte de données.
2. Sélectionnez les dates de début et de fin de la période qui vous intéresse à l’aide de la liste déroulante Date.
3. Dans la liste des résultats, double-cliquez sur la ligne de l’activité que vous souhaitez examiner.
4. Dans le volet volant, sélectionnez Afficher les détails.
5. Sélectionnez l’onglet Événements .
6. Dans le volet Détails , sélectionnez l’onglet Source. Le fichier correspondant s’affiche.

Problèmes connus

• La taille maximale des fichiers pouvant être téléchargés à partir d’un appareil est de 500 Mo.
• Si la protection juste-à-temps est déclenchée sur un fichier analysé OU si le fichier est stocké sur un partage réseau, le fichier de preuve n’est pas collecté.
• Lorsque plusieurs fichiers sont ouverts dans le même processus (applications non-Office) et que l’un des fichiers correspondant à une stratégie est supprimé, des événements DLP sont déclenchés pour tous les fichiers. Aucune preuve n’est saisie.
• Si plusieurs règles de stratégie sont détectées dans un seul fichier, le fichier de preuve est stocké uniquement si la règle de stratégie la plus restrictive est configurée pour collecter des preuves.