En savoir plus sur les points de terminaison de protection contre la perte de données

Vous pouvez utiliser la Protection contre la perte de données Microsoft Purview (DLP) pour surveiller les actions en cours d’exécution sur les éléments que vous avez déterminés comme étant sensibles et pour empêcher le partage involontaire de ces éléments.

La protection contre la perte de données de point de terminaison (Endpoint DLP) étend les fonctionnalités de surveillance et de protection d’activité de DLP à Windows 10/11, aux appareils macOS (les trois dernières versions majeures publiées) et à certaines versions de serveur Windows. Une fois les appareils intégrés aux solutions Microsoft Purview, les informations sur ce que les utilisateurs font avec les éléments sensibles sont rendues visibles dans l’Explorateur d’activités. Vous pouvez ensuite appliquer des actions de protection sur ces éléments via des stratégies DLP.

Quand les fichiers sont-ils classés par point de terminaison DLP ?

Le point de terminaison DLP classe les fichiers dans les conditions suivantes :

• Création ou modification : Chaque fois qu’un fichier est créé ou modifié, il est entièrement analysé pour rechercher les types d’informations sensibles (SIT) et les étiquettes. Le fichier est ensuite évalué pour déterminer les correspondances par rapport aux stratégies et règles DLP.
• Lecture d’un fichier déjà classifié : Lorsqu’un fichier déjà classé est lu, Endpoint DLP vérifie les modifications apportées aux stratégies, aux règles ou aux SIT. En cas de modification de la configuration DLP, il réévalue les stratégies et les règles, mais il n’extrait pas de nouveau le texte.

Protection contre la perte de données de point de terminaison Prise en charge de Windows 10/11 et macOS

La protection contre la perte de données de point de terminaison vous permet d’intégrer des appareils exécutant Windows Server 2019 et les versions ultérieures.

Par défaut, Endpoint DLP n’est pas activé pour les serveurs Windows lors de leur intégration initiale. Avant de pouvoir voir les événements DLP de point de terminaison pour vos serveurs dans l’Explorateur d’activités, vous devez d’abord activer Microsoft Endpoint DLP pour les serveurs Windows.

Une fois correctement configurées, les mêmes stratégies de protection contre la perte de données peuvent être automatiquement appliquées aux PC Windows et aux serveurs Windows.

Définition de l’étendue des stratégies DLP pour les points de terminaison

Les stratégies de protection contre la perte de données Microsoft Purview (DLP) peuvent être appliquées à plusieurs emplacements, y compris les appareils de point de terminaison. Lorsqu’une stratégie DLP inclut l’emplacement des appareils , la stratégie peut être étendue à la fois aux utilisateurs et aux appareils. Pour qu’une stratégie DLP soit appliquée à un point de terminaison, l’utilisateur et l’appareil doivent être inclus dans l’étendue de la stratégie.

Cela permet des contrôles de protection des données plus précis en fonction de la personne qui accède aux données et à partir de quel appareil. Pour plus d’informations, consultez Étendue des appareils.

Pour plus d’informations sur l’implémentation, consultez Créer une stratégie à l’aide de l’étendue des appareils.

Autres paramètres

Activités de point de terminaison que vous pouvez surveiller et sur lesquels vous pouvez agir

La protection contre la perte de données de point de terminaison vous permet d’auditer et de gérer les types d’activités suivants que les utilisateurs prennent sur les éléments sensibles qui sont stockés physiquement sur des appareils Windows 10, Windows 11 ou macOS.

Comportement de copie dans le Presse-papiers

Lorsque vous configurez une règle sur Bloquer ou Bloquer avec remplacement Lorsqu’un utilisateur tente d’effectuer l’activité Copier dans le presse-papiers sur le contenu d’un fichier qui correspond à la stratégie, les utilisateurs finaux voient ce comportement avec ces configurations :

• Le fichier Word 123 contient des informations sensibles qui correspondent à la règle de blocage de copie dans le presse-papiers.

• Le fichier Excel 123 contient des informations sensibles qui correspondent à la règle de blocage de copie dans le presse-papiers.

• Le fichier PowerPoint 123 contient des informations sensibles qui correspondent à la copie dans la règle de blocage du presse-papiers.

• Le fichier Word 789 ne contient pas d’informations sensibles.

• Le fichier Excel 789 ne contient pas d’informations sensibles.

• Le fichier PowerPoint 789 ne contient pas d’informations sensibles.

• Le fichier Bloc-notes (ou toute application ou processus non basé sur Microsoft Office) contient des informations sensibles qui correspondent à la règle de blocage de copie dans le presse-papiers.

• Fichier Bloc-notes (ou toute application ou processus non basé sur Microsoft Office) ne contient pas d’informations sensibles.

Protection contre la perte de données des points de terminaison et Files non enregistrés

Si les données ne sont jamais enregistrées dans un fichier sur l’appareil local, Endpoint DLP ne peut pas les analyser ou les classer. Par exemple, si un utilisateur ouvre un document dans Word et l’enregistre directement sur un périphérique USB sans le stocker localement, Endpoint DLP ne peut pas inspecter ou bloquer cette action.

Meilleure pratique pour les stratégies DLP de point de terminaison

Supposons que vous souhaitiez empêcher tous les éléments qui contiennent des numéros de carte de crédit de quitter les points de terminaison des utilisateurs du service Financier. Nous vous recommandons :

• Créez une stratégie et étendez-la aux points de terminaison et à ce groupe d’utilisateurs.
• Créez une règle dans la stratégie qui détecte le type d’informations que vous souhaitez protéger. Dans ce cas, définissez le contenu surType d’informations sensibles*, puis sélectionnez Carte de crédit.
• Définissez les actions de chaque activité sur Bloquer.

Pour plus d’informations sur la conception de vos stratégies DLP, consultez Concevoir une stratégie de protection contre la perte de données .

Fichiers analysées

Files surveillés via la stratégie

Endpoint DLP surveille la stratégie de ces types de fichiers dans Windows 10, 11 :

Endpoint DLP surveille ces types de fichiers stratégie dans les trois dernières versions principales de macOS :

Ces types de fichiers peuvent être surveillés par le biais de paramètres de stratégie dans les appareils Windows 10, 11 et macOS, si l’OCR est activé :

.jpg, .png, .tif, .tiff, .bmp, .jpeg

Microsoft Endpoint DLP analyse les fichiers avec les extensions spécifiées répertoriées ci-dessus. Si vous avez besoin de protéger ou de surveiller des fichiers non répertoriés, utilisez la fonctionnalité « Appliquer des restrictions uniquement aux extensions de fichier non prises en charge ». Les principales différences entre cette fonctionnalité et la condition d’extension de fichier sont les suivantes :

• La protection contre la perte de données analyse le contenu du point de terminaison à la recherche de l’extension de fichier est la condition, ce qui vous permet de voir les valeurs de type d’informations sensibles dans les événements ou les alertes. En revanche, la fonctionnalité Appliquer des restrictions uniquement aux extensions de fichier non prises en charge n’analyse pas le contenu des fichiers.
• L’extension de fichier est la condition déclenche l’analyse du contenu, qui peut consommer des ressources d’ordinateur plus élevées, telles que le processeur et la mémoire, ce qui peut entraîner des problèmes de performances pour certains types de fichiers. Pour plus d’informations sur la fonctionnalité Appliquer des restrictions uniquement aux extensions de fichier non prises en charge , reportez-vous aux ressources suivantes :
• Aider à protéger les fichiers que Endpoint Data Loss Prevention n’analyse pas
• Aide à la protection contre le partage d’un ensemble défini de fichiers non pris en charge

Files audités quelle que soit la correspondance de stratégie

Les activités peuvent être auditées sur ces types de fichiers dans Windows 10, 11 et dans les trois dernières versions majeures de macOS, même s’il n’existe aucune correspondance de stratégie :

Si vous souhaitez uniquement surveiller les données des correspondances de stratégie, vous pouvez désactiver lesparamètres de point de terminaison des paramètres> Toujours auditer l’activité des fichiers pour les appareils dans les paramètres de protection contre la perte de données.

Si le paramètre Toujours auditer l’activité des fichiers pour les appareils est activé, les activités sur les fichiers Word, PowerPoint, Excel, PDF et .csv sont toujours auditées, même si l’appareil n’est ciblé par aucune stratégie.

Pour vous assurer que les activités sont auditées pour tous les types de fichiers pris en charge, créez une stratégie DLP personnalisée.

Endpoint DLP surveille l’activité en fonction du type MIME, de sorte que les activités sont capturées, même si l’extension de fichier est modifiée, pour ces types de fichiers :

Une fois l’extension remplacée par une autre extension de fichier :

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Si l’extension est remplacée uniquement par les extensions de fichier prises en charge :

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

Types de fichiers non pris en charge

Endpoint DLP ne prend pas en charge la surveillance pour les types de fichiers suivants :

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

Différences avec Endpoint DLP

Vous devez tenir compte d’un certain nombre de concepts supplémentaires avant d’approfondir le point de terminaison DLP.

Activation de la gestion des appareils

La gestion des appareils est une fonctionnalité qui permet d’assembler la télémétrie à partir d’appareils et de l’intégrer à des solutions de conformité Microsoft Purview telles que la DLP de point de terminaison et la gestion des risques internes. Vous devez intégrer tous les appareils que vous souhaitez utiliser comme emplacements dans vos stratégies DLP.

L’intégration et le débarquement sont gérés via des scripts que vous téléchargez à partir du centre de gestion des appareils. Le centre de gestion des appareils dispose de scripts personnalisés pour chacune des méthodes de déploiement suivantes :

• Script local (jusqu’à 10 ordinateurs)
• Stratégie de groupe
• System Center Configuration Manager, Version 1610 ou ultérieure
• Gestion des périphériques mobiles/Microsoft Intune
• Scripts d’intégration VDI pour les machines non persistantes

Utilisez les procédures décrites dans Prise en main des points de terminaison Microsoft 365 DLP vers les appareils intégrés.

L’intégration des appareils dans Defender les intègre également à la protection contre la perte de données. Par conséquent, si vous avez intégré des appareils via Microsoft Defender pour point de terminaison, ces appareils s’affichent automatiquement dans la liste des appareils. Il vous suffit d’activer la surveillance de l’appareil pour utiliser le point de terminaison DLP.

Affichage des données DLP de point de terminaison

Vous pouvez afficher les alertes liées aux stratégies DLP appliquées sur les appareils de point de terminaison en accédant au tableau de bord de gestion des alertes DLP et Enquêter sur les incidents de perte de données avec Microsoft Defender XDR.

Vous pouvez également afficher les détails de l’événement associé, avec des métadonnées enrichies, dans le même tableau de bord

Une fois qu’un appareil est intégré, les informations relatives aux activités auditées sont transmises dans l’Explorateur d’activités, même avant de configurer et déployer des stratégies DLP qui ont des périphériques comme emplacement.

Point de terminaison DLP recueille de nombreuses informations sur l’activité auditée.

Par exemple, si un fichier est copié sur un support USB amovible, les attributs suivants apparaissent dans les détails de l’activité :

• type d’activité
• IP Client
• Chemin d’accès du fichier
• horodatage arrivé
• nom du fichier
• utilisateur
• extension du fichier
• taille du fichier
• type d’informations sensibles (le cas échéant)
• valeur SHA1
• valeur SHA256
• nom de fichier précédent
• emplacement
• parent
• chemin d’accès
• type d’emplacement source
• platform
• nom du périphérique
• type d’emplacement de destination
• application ayant effectué la copie
• ID de l’appareil Microsoft Defender pour point de terminaison (le cas échéant)
• fabricant de l’appareil multimédia amovible
• modèle d’appareil multimédia amovible
• numéro de série de l’appareil multimédia amovible

Pourquoi toutes les stratégies de point de terminaison fonctionnent-elles sur tous les appareils intégrés ?

Un appareil peut prendre en charge plusieurs comptes d’utilisateur. Étant donné que les stratégies de point de terminaison sont limitées aux utilisateurs, différents utilisateurs de l’appareil peuvent avoir différentes stratégies étendues aux utilisateurs. Par conséquent, l’appareil doit avoir accès à toutes les stratégies DLP de point de terminaison afin d’évaluer les éléments. Tous les appareils intégrés à Purview sont analysés, que l’utilisateur soit ou non dans le champ.

Protection contre la perte de données des points de terminaison et appareils hors connexion

Lorsqu’un appareil de point de terminaison Windows est hors connexion, les stratégies existantes continuent d’être appliquées sur les fichiers existants. En outre, avec la protection juste-à-temps activée et en mode « bloc », lorsqu’un nouveau fichier est créé sur un appareil hors connexion, le fichier ne peut toujours pas être partagé jusqu’à ce que l’appareil se connecte au service de classification des données et que l’évaluation soit terminée. Si une nouvelle stratégie est créée sur le serveur ou qu’une stratégie existante est modifiée, ces modifications sont mises à jour sur l’appareil une fois qu’il se reconnecte à Internet.

Considérez les cas d’utilisation suivants.

1. Les stratégies qui ont été envoyées à un appareil continueront d’être appliquées aux fichiers déjà classés comme sensibles, même après que l’appareil se déconnecte.
2. Les stratégies mises à jour lorsqu’un appareil est hors connexion ne seront pas envoyées à cet appareil. De même, ces stratégies ne seront pas appliquées sur cet appareil tant que l’appareil ne sera pas de nouveau en ligne. Toutefois, la stratégie obsolète qui existe sur l’appareil hors connexion sera toujours appliquée. Protection juste-à-temps

Si les notifications sont configurées pour s’afficher, elles s’affichent toujours lorsque les stratégies DLP sont déclenchées, que l’appareil soit en ligne ou non.

Les stratégies DLP se synchronisent régulièrement avec les appareils de point de terminaison. Si un appareil est hors ligne, les stratégies ne peuvent pas être synchronisées. Dans ce cas, la liste des appareils indique que l’appareil n’est pas synchronisé avec les stratégies du serveur.

Protection juste-à-temps

La protection juste-à-temps bloque les activités de sortie sur ces fichiers surveillés jusqu’à ce que l’évaluation de la stratégie soit terminée avec succès :

• Les éléments qui n’ont jamais été évalués.
• Les éléments pour lesquels l’évaluation est devenue obsolète. Il s’agit d’éléments précédemment évalués qui n’ont pas été réévalués par les versions cloud actuelles et mises à jour des stratégies.

Pour plus d’informations sur le fonctionnement de la protection juste-à-temps, consultez En savoir plus sur la protection juste à temps et Prise en main de la protection juste-à-temps contre la protection contre la perte de données Microsoft Purview.

Étapes suivantes

Maintenant que vous en savez plus sur les points de terminaison DLP, vos prochaines étapes sont les suivantes :

1. Vue d’ensemble de l’intégration des appareils Windows 10 ou Windows 11 dans Microsoft Purview
2. Intégration des appareils macOS dans la vue d'ensemble de Microsoft Purview (aperçu)
3. Configurer les paramètres de protection contre la perte de données de point de terminaison
4. Utilisation des points de terminaison protection contre la perte de données

Voir aussi

• Prise en main des points de terminaison de protection contre la perte de données Microsoft (préversion)
• Utilisation des points de terminaison de protection contre la perte de données Microsoft (préversion)
• En savoir plus sur la prévention des pertes de données
• Examiner les preuves DLP de point de terminaison dans des Enquêtes sur la sécurité des données (préversion)
• Créer et déployer des stratégies de protection contre la perte de données
• Prise en main de l’explorateur d’activités
• Microsoft Defender pour point de terminaison
• Gestion des risques internes