Bien démarrer avec Protection contre la perte de données Microsoft Purview protection juste-à-temps

Utilisez la protection juste-à-temps (JIT ) de point de terminaison de la protection contre la perte de données (DLP) pour détecter et bloquer les activités de sortie sur les fichiers surveillés pendant la fin de l’évaluation de la stratégie.

S’applique à

La protection JIT pour endpoint DLP prend en charge ces appareils :

  • Windows 10
  • Windows 11
  • macOS (les trois versions les plus récentes)

Bonne pratique pour le déploiement de la protection juste-à-temps

Remarque

Autorisez au moins une heure pour que les mises à jour des paramètres JIT, y compris la désactivation de JIT, soient envoyées (push) aux appareils clients.

Étape 1 : Préparer votre environnement

Avant de pouvoir déployer la protection juste-à-temps, vous devez d’abord déployer le client anti-programme malveillant version 4.18.23080 ou ultérieure. L’expérience utilisateur de protection juste-à-temps est améliorée dans la version 4.18.25080 ou ultérieure.

Conseil

Pour optimiser la productivité des utilisateurs, configurez et déployez vos stratégies DLP de point de terminaison sur vos appareils avant d’activer la protection juste-à-temps. Cette approche empêche le blocage inutile de l’activité utilisateur pendant l’évaluation de la stratégie.

Capture d’écran de la page d’intégration de la protection juste-à-temps montrant la version du client anti-programme malveillant Defender

Remarque

Pour les machines avec une version obsolète du client anti-programme malveillant, désactivez la protection juste-à-temps en installant l’une des bases de connaissances suivantes :

  1. Pour savoir quels appareils disposent du client anti-programme malveillant nécessaire, accédez à Enquête du portail> de sécurité& réponse>Repérage avancé, puis exécutez cette requête.
`DeviceRegistryEvents`
| where InitiatingProcessVersionInfoInternalFileName == "MsMpEng.exe" and Timestamp >= ago(60d)
| summarize arg_max(Timestamp, *) by DeviceId
| distinct DeviceName, DeviceId, vTimeStamp = Timestamp, AntiMalwareClientVersion = InitiatingProcessVersionInfoProductVersion
| extend Meet_Minimum_JIT_Version = strcmp(AntiMalwareClientVersion, "4.18.23080") // whether the device has required minimum JIT version
| extend Meet_Latest_JIT_Version = strcmp(AntiMalwareClientVersion, "4.18.25080") // whether the device has latest JIT improvement
| project DeviceId, Meet_Latest_JIT_Version, Meet_Minimum_JIT_Version, AntiMalwareClientVersion
| summarize dcount(DeviceId) by AntiMalwareClientVersion // distribution of AntiMalwareClientVersion
// | summarize dcount(DeviceId) by Meet_Minimum_JIT_Version //how many devices meet minimum JIT version
// | summarize dcount(DeviceId) by Meet_Latest_JIT_Version //how many devices meet latst JIT improvements
| order by dcount_DeviceId desc

Voici un exemple de sortie de la requête.

Capture d’écran de la sortie de la requête de repérage avancé montrant la liste du nombre d’appareils disposant de chaque version du client anti-programme malveillant

Vous pouvez également accéder à lapage Diagnostics de protection contre la> perte de données et sélectionner Endpoint DLP qui ne fonctionne pas carte pour case activée si un appareil spécifique répond aux conditions préalables JIT.

Capture d’écran du menu volant de révision diagnostics montrant la version du client anti-programme malveillant pour l’appareil sélectionné

Étape 2 : Déployer la protection JIT

  1. Connectez-vous au portail Microsoft Purview.

  2. Sélectionnez Paramètres> Protectionjuste-à-temps contrela> perte de données.

  3. Sous Choisir les emplacements à surveiller, cochez la case en regard de Appareils.

  4. Sous Action de secours en cas d’échec, sélectionnez Autoriser les utilisateurs à effectuer des actions. Cette option permet à l’utilisateur d’effectuer l’action en cas d’échec de la classification.

Attention

Ne choisissez pas l’option Empêcher les utilisateurs d’effectuer des actions tant que vous n’avez pas pleinement compris l’impact de cette fonctionnalité.

Sélectionner Autoriser les utilisateurs à effectuer des actions ou Empêcher les utilisateurs d’effectuer des actions ne change pas si le blocage JIT est déclenché. Le blocage par JIT est appliqué si l’utilisateur est dans l’étendue. Le paramètre Autoriser les utilisateurs à effectuer des actions ou Empêcher les utilisateurs d’effectuer des actions contrôle l’application DLP de point de terminaison en cas d’échec de la classification.

Si vous sélectionnez Autoriser les utilisateurs à effectuer des actions, endpoint DLP autorise l’activité de sortie en cas d’échec de la classification. Si vous sélectionnez Bloquer les utilisateurs pour effectuer des actions, endpoint DLP bloque l’activité de sortie en cas d’échec de la classification.

Étape 3 : Estimer le nombre d’événements de protection JIT pour votre déploiement

Validez l’étendue de protection JIT et les paramètres d’action de secours après chaque phase de déploiement jusqu’à ce que le nombre d’événements soit stable. Assurez-vous de bien comprendre la taille possible du groupe d’utilisateurs sur lequel vous souhaitez appliquer la stratégie, en fonction des calculs de télémétrie suivants.

Estimez l’impact du déploiement de la protection JIT en effectuant le calcul suivant en fonction des événements dans l’Explorateur d’activités :

  • N = Nombre de machines uniques qui déclenchent des événements JIT.

  • S = Nombre total de machines dans l’étendue de votre déploiement.

N/S génère le pourcentage de machines susceptibles de rencontrer un événement de bloc de protection JIT.

Avec ces informations, vous devez savoir combien de machines seront affectées par l’implémentation du mode de blocage JIT lorsque vous étendez l’étendue, et combien de tickets de support possibles vous pouvez voir. Ensuite, vous pouvez décider d’étendre ou non l’étendue.

Étape 4 : Affiner la protection JIT via d’autres paramètres supplémentaires

En plus du paramètre Action de secours en cas d’échec , vous pouvez également utiliser les paramètres suivants pour affiner la protection JIT :

  • Contrôler la copie dans le Presse-papiers : activez ce paramètre pour empêcher les utilisateurs de copier du contenu dans le Presse-papiers pendant que la protection JIT évalue le fichier.

Remarque

L’activation du contrôle de copie dans le Presse-papiers peut avoir un impact sur la productivité de l’utilisateur. Veillez à tester l’impact sur la productivité avant d’activer ce paramètre.

  • Exclusions d’applications pour Windows : vous pouvez exclure un maximum de 50 applications de la protection JIT sur les appareils Windows.

  • Exclusions d’applications pour Mac : vous pouvez exclure un maximum de 50 applications de la protection JIT sur les appareils Mac.

  • Exclusions d’extensions de fichier : les Files avec les extensions que vous ajoutez ici ne sont pas évaluées par la protection JIT.

  • Exclusions de chemin d’accès de fichier pour Windows : les Files dans ces emplacements ne sont pas évaluées par la protection JIT.

  • Exclusions de chemin d’accès de fichier pour Mac : les Files dans ces emplacements ne sont pas évaluées par la protection JIT.

Si vous souhaitez modifier l’étendue de la protection JIT après avoir paramétré tous ces paramètres, revenez à Paramètres> Protectionjuste-à-temps contrela> perte de données dans le portail Microsoft Purview et mettez à jour les emplacements surveillés.

Exclusions pour la protection juste-à-temps

Les paramètres d’exclusion de chemin d’accès de fichier dans JIT sont différents du paramètre Exclusions de chemin d’accès de fichier pour Windows trouvé via les paramètres de protection contre la> perte de donnéesParamètres>> depoint de terminaisonExclusions de chemin d’accès de fichier pour Windows.

  • Les exclusions de chemin d’accès de fichier dans JIT excluent uniquement des chemins d’accès spécifiques de la protection JIT. Dans tous les autres cas, Microsoft Purview applique toujours la classification et la protection DLP du point de terminaison pour les fichiers de ces dossiers.

  • Le paramètre Exclusions de chemin d’accès de fichier pour Windows empêche Purview d’appliquer la classification et la protection DLP de point de terminaison pour les fichiers sous les dossiers spécifiés.

  • Exclusions d’extension de fichier : les Files avec ces extensions ne sont pas évaluées par la protection JIT.

Étape 5 : Déployer la protection JIT dans « Empêcher les utilisateurs d’effectuer des actions » pour le paramètre « Action de secours en cas d’échec »

L’option Empêcher les utilisateurs d’effectuer des actionspour l’action de secours en cas d’échec contrôle le mode d’application appliqué par DLP en cas d’échec de la classification. Ce paramètre ne contrôle pas le bloc JIT ou l’audit JIT pour les fichiers candidats JIT. Le bloc JIT ou l’audit JIT est contrôlé par la façon dont la stratégie est étendue. Quelle que soit la valeur que vous sélectionnez ici, les données de télémétrie appropriées s’affichent dans l’Explorateur d’activités.

  • Last updated on