Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Vos stratégies Protection contre la perte de données Microsoft Purview (DLP) peuvent être configurées pour générer des alertes lorsque les conditions d’une règle sont vérifiées. Les alertes sont configurées dans les règles de stratégie DLP.
Pour une brève présentation des alertes, consultez :
Cet article comprend les détails sur les licences et les autorisations, ainsi que d’autres informations essentielles dont vous avez besoin lorsque vous utilisez des alertes.
Les alertes DLP peuvent être examinées et gérées dans le tableau de bord Microsoft Defender XDR et dans le portail Microsoft Purview. Le tableau de bord Microsoft Defender XDR est l’emplacement recommandé pour examiner et gérer les alertes DLP. Le portail Microsoft Purview est l’emplacement recommandé pour créer et modifier des stratégies DLP.
Conseil
Commencez à utiliser Microsoft Security Copilot pour découvrir de nouvelles façons de travailler plus intelligemment et plus rapidement à l’aide de la puissance de l’IA. En savoir plus sur Microsoft Security Copilot dans Microsoft Purview.
Types d’alertes DLP
Des alertes peuvent être envoyées chaque fois qu’une activité correspond à une règle ou elles peuvent être agrégées pour réduire le bruit. Il existe deux types d’alertes pouvant être configurés dans les stratégies DLP.
Alertes à événement unique Les alertes à événement unique sont généralement utilisées dans les stratégies qui surveillent les événements hautement sensibles qui se produisent dans un faible volume, comme un seul e-mail avec 10 numéros de carte de crédit clients ou plus envoyé en dehors de votre organisation. Par défaut, lorsque les événements d’une seule règle se produisent dans une fenêtre d’une minute les uns des autres, ils sont agrégés pour la licence E5 et de 15 minutes pour la licence E3. En préversion, les alertes à événement unique peuvent être agrégées par règle et par utilisateur. C’est ce qu’on appelle l’agrégation d’alertes basée sur les utilisateurs et les règles.
Les alertes d’événement agrégé sont généralement utilisées dans les stratégies qui surveillent les événements qui se produisent dans un volume plus élevé sur une période donnée. Par exemple, une alerte agrégée peut être déclenchée lorsque 10 e-mails individuels portant chacun un numéro de carte de crédit client sont envoyés à l’extérieur de votre organisation pendant 48 heures.
Avant de commencer
Avant de commencer, assurez-vous que vous disposez des conditions préalables suivantes :
Licence pour les options de configuration d’alerte
Les exigences de licence suivantes s’appliquent à chaque option de configuration d’alerte :
- Configuration d’une alerte à événement unique : toutes les organisations disposant d’un abonnement DLP (E1, E3, E5, F1, G1, E3, G3, E5, G5) peuvent configurer des stratégies afin de générer une alerte pour chaque fois qu’une activité de déclenchement se produit.
-
Configuration des alertes agrégées : pour configurer des stratégies d’alertes agrégées basées sur un seuil, vous devez disposer de l’une des configurations suivantes :
- Un abonnement A5
- Un abonnement E5 ou G5
- Un abonnement E1, F1 ou G1 ou un abonnement E3 ou G3 incluant l’une des fonctionnalités suivantes :
- Office 365 – Protection avancée contre les menaces Plan 2
- Suite Microsoft Purview (anciennement appelée Microsoft 365 E5 Conformité)
- Licence du module complémentaire Microsoft 365 eDiscovery and Audit
Les clients qui utilisent la protection contre la perte de données de point de terminaison et qui sont éligibles à la protection contre la perte de données de Teams verront leurs alertes de stratégie DLP de point de terminaison et leurs alertes de stratégie DLP Teams dans le tableau de bord de gestion des alertes DLP.
Rôles et groupes de rôles
Si vous souhaitez afficher le tableau de bord de gestion des alertes DLP ou modifier les options de configuration des alertes dans une stratégie DLP, vous devez être membre de l’un des groupes de rôles suivants :
- Administrateur de conformité
- Administrateur de conformité des données
- Administrateur de sécurité
- Opérateur de sécurité
- Lecteur de sécurité
- Administrateur Information Protection
- Analyste Information Protection
- Enquêteur Information Protection
Pour en savoir plus sur ces groupes de rôles, consultez Autorisations dans le portail Microsoft Purview
Voici une liste des groupes de rôles applicables. Pour en savoir plus sur ces groupes de rôles, consultez Autorisations dans le portail Microsoft Purview.
- Protection des informations
- Administrateurs Information Protection
- Analystes Information Protection
- Enquêteurs Information Protection
Pour accéder au tableau de bord de gestion des alertes DLP, vous avez besoin du rôle Gérer les alertes et de l’un de ces deux rôles :
- Gestion de la conformité DLP
- View-Only Gestion de la conformité DLP
Pour accéder à la fonctionnalité d’aperçu du contenu et aux fonctionnalités de contenu sensible et de contexte correspondants, vous devez être membre du groupe de rôles Visionneuse de contenu Explorer de contenu, auquel le rôle de visionneuse de contenu de classification des données est préattribué.
Conseil
Si l’administrateur a besoin d’accéder aux alertes, mais pas aux informations contextuelles/sensibles, vous pouvez créer et attribuer un rôle personnalisé qui n’inclut pas l’autorisation Visionneuse de contenu de classification des données.
Configurer les alertes DLP
Pour savoir comment configurer une alerte dans votre stratégie DLP, consultez Créer et déployer des stratégies de protection contre la perte de données. Il existe différentes expériences de configuration des alertes en fonction de votre licence.
Remarque
La génération d’alertes peut prendre jusqu’à 3 heures après avoir configuré ou modifié des alertes existantes dans une stratégie DLP.
Un e-mail d’alerte, un e-mail de rapport d’incident et une notification utilisateur ne seront envoyés qu’une seule fois par document. Si un document assorti de la condition Le contenu est partagé est partagé deux fois, il n’y aura toujours qu’une seule notification.
Configuration de l’alerte d’événement agrégé
Si vous disposez d’une licence pour les options de configuration d’alertes agrégées, vous verrez des options pour générer des alertes pour chaque correspondance de règle, lorsque les seuils sont atteints et dans une fenêtre de temps définie lorsque vous créez ou modifiez une stratégie DLP.
Cette configuration vous permet de configurer une stratégie pour générer une alerte :
- Chaque fois qu’une activité correspond aux conditions d’une règle pour l’agrégation par défaut basée sur une règle ou de l’agrégation basée sur l’utilisateur et la règle.
- lorsque le seuil défini est atteint ou dépassé en fonction du nombre de correspondances ou du volume de ou du volume de données exfiltrées
- pour les activités qui répondent aux critères que vous définissez dans une fenêtre de temps spécifiée
Configuration d’une alerte d’événement unique
Si vous disposez d’une licence pour les options de configuration d’alerte à événement unique, vous verrez les paramètres d’alerte à événement unique lorsque vous créez ou modifiez une stratégie DLP. Utilisez cette option pour créer une alerte qui est déclenchée chaque fois qu’une correspondance de règle DLP se produit.
Agrégation d’alertes basée sur les utilisateurs et les règles (préversion)
Lorsque vous activez l’aggration d’alertes basée sur l’utilisateur dans le paramètre DLP au niveau du locataire, les alertes d’événement unique sont agrégées en fonction des utilisateurs. Les événements de correspondance de règle doivent se produire dans la fenêtre de temps configurable (15, 30, 45 et 60 minutes). Les alertes sont générées par événement de correspondance de règle par utilisateur.
Comparer les options d’agrégation d’alertes
| Je veux que DLP... | Fenêtre de temps | Type d’agrégation | Notes |
|---|---|---|---|
| ... Générer une alerte unique lorsqu’un e-mail contenant des informations de carte de crédit est envoyé par un nombre quelconque d’utilisateurs. | Ces fenêtres ne peuvent pas être configurées par l’administrateur-E5 : 60 secondes-E3 : 15 minutes |
- L’agrégation des alertes basées sur l’utilisateur est définie sur Désactivé au niveau du locataire. - L’agrégation d’alertes à événement unique est configurée au niveau de la règle et est disponible si la correspondance se produit dans la fenêtre de temps. - Regroupez les correspondances de règles DLP de plusieurs utilisateurs dans une seule alerte. |
- S’applique à plusieurs utilisateurs pour une règle. |
| ... Générez une alerte pour chaque expéditeur de courriel lorsqu’un courriel contenant des informations de carte de crédit est envoyé. | Cette fenêtre de temps est configurable par l’administrateur au niveau du locataire. - 15 à 60 minutes |
- L’agrégation des alertes basées sur l’utilisateur est définie sur On au niveau du locataire.
- L’agrégation d’alertes à événement unique est configurée au niveau de la règle. - Agréger les correspondances de règles DLP par utilisateur unique en une seule alerte. |
- Pour un seul utilisateur par règle.
- Attendez-vous à une augmentation du volume d’alertes. - Si l’alerte est fermée dans la fenêtre de temps d’agrégation et qu’une nouvelle correspondance se produit pour le même utilisateur et la même règle, la nouvelle correspondance de règle est regroupée dans la même alerte. |
| ... Pour générer une alerte lorsque plus de 100 fichiers sensibles sont consultés par plusieurs utilisateurs dans un délai de 60 minutes. | - Configuré au niveau de la règle, 60-999 minutes. | - Agrégation basée sur un seuil : regroupez les correspondances de règle DLP en fonction du nombre de correspondances. - L’agrégation des alertes basée sur l’utilisateur ne s’applique pas. |
- pivots sur les règles - Utilisez cette option pour plusieurs utilisateurs pour une règle. - Fonctionne uniquement pour l’option Tous les utilisateurs . |
| ... pour générer une alerte lorsque plus de 25 Mo de données sont exfiltrées par plusieurs utilisateurs dans un délai de 60 minutes. | Configuré au niveau de la règle, 60-999 minutes. | -Agrégation basée sur le seuil en fonction du volume de données. - L’agrégation des alertes basée sur l’utilisateur ne s’applique pas. |
- pivots sur les règles - Utilisez cette option pour plusieurs utilisateurs pour une règle. - Fonctionne uniquement pour l’option Tous les utilisateurs . |
Types d’événements d’alerte DLP
Voici quelques-uns des événements associés à une alerte. Dans le tableau de bord Alerte, vous pouvez choisir un événement particulier pour afficher ses détails.
Vérifier les détails de l’événement
Le tableau suivant décrit les détails de l’événement affichés pour les événements d’alerte.
| Nom de la propriété | Description | Types d’événements |
|---|---|---|
| ID | ID unique associé à l’événement | Tous les événements |
| Lieu | Charge de travail où l’événement a été détecté | Tous les événements |
| Heure de l’activité | heure de l’activité de l’utilisateur correspondant aux critères de la stratégie DLP |
Examiner les entités affectées dans une alerte
Le tableau suivant répertorie les entités qui peuvent être associées à un événement d’alerte DLP.
| Nom de la propriété | Description | Types d’événements |
|---|---|---|
| user | L’utilisateur ayant effectué l’action à l’origine de la correspondance de stratégie | Tous les événements |
| hostname (Nom d’hôte) | nom d’hôte de l’ordinateur sur lequel la correspondance de stratégie DLP s’est produite | Événements d’appareil |
| Adresse IP | Adresse IP de l’ordinateur sur lequel la correspondance de stratégie DLP s’est produite | Événements d’appareil |
| SHA1 | Hachage SHA-1 du fichier | Événements d’appareil |
| SHA256 | Hachage SHA-256 du fichier | Événements d’appareil |
| ID d’appareil MDATP | ID MDATP d’appareil de point de terminaison | |
| taille du fichier | Taille du fichier | Événements SharePoint, OneDrive et appareil |
| chemin d’accès du fichier | chemin d’accès absolu de l’élément impliqué dans la correspondance de stratégie DLP | Événements SharePoint, OneDrive et appareils |
| destinataires de l’e-mail | si un e-mail était l’élément sensible correspondant à la stratégie DLP, ce champ inclut les destinataires de cet e-mail | Événements Exchange |
| Objet du message électronique | Objet de l’e-mail correspondant à la stratégie DLP | Événements Exchange |
| Pièces jointes | noms des pièces jointes dans l’e-mail correspondant à la stratégie DLP | Événements Exchange |
| propriétaire du site | Nom du propriétaire du site | Événements SharePoint et OneDrive |
| URL du site | Plein l’URL du site SharePoint ou OneDrive où la correspondance de stratégie DLP s’est produite | Événements SharePoint et OneDrive |
| fichier créé | heure de création du fichier correspondant à la stratégie DLP | Événements SharePoint et OneDrive |
| Dernière modification du fichier | la dernière modification du fichier correspondant à la stratégie DLP | Événements SharePoint et OneDrive |
| taille du fichier | Taille du fichier correspondant à la stratégie DLP | Événements SharePoint et OneDrive |
| Propriétaire du fichier | propriétaire du fichier correspondant à la stratégie DLP | Événements SharePoint et OneDrive |
Vérifier les détails de la stratégie pour une alerte
Le tableau suivant décrit les détails relatifs à la stratégie disponibles pour les événements d’alerte.
| Nom de la propriété | Description | Types d’événements |
|---|---|---|
| Stratégie DLP correspondant | nom de la stratégie DLP correspondante | Tous les événements |
| correspondant à la règle | nom de la règle de stratégie DLP correspondante | Tous les événements |
| Types d’informations sensibles (SIT) détectés | SIT détectés dans le cadre de la correspondance de stratégie DLP | Tous les événements |
| actions prises | actions effectuées à l’origine de la correspondance de stratégie DLP | Tous les événements |
| Violation de l’action | Action sur l’appareil de point de terminaison qui a déclenché l’alerte DLP | Événements d’appareil |
| L’utilisateur remplace la stratégie | L’utilisateur a-t-il remplacé la stratégie via un conseil de stratégie | Tous les événements |
| Utiliser la justification de remplacement | Texte du motif fourni par l’utilisateur pour le remplacement | Tous les événements |
Importante
La configuration de la stratégie de rétention du journal d’audit de votre organisation détermine la durée pendant laquelle une alerte reste visible dans la console. Pour plus d’informations, voir gérer les stratégies de rétention du journal d’audit.
Voir aussi
- Alertes dans les stratégies DLP : décrit les alertes dans le contexte d’une stratégie DLP.
- Prise en main des alertes de protection contre la perte de données : couvre les licences, autorisations et conditions préalables nécessaires pour les alertes DLP et les détails de référence des alertes.
- Créer et déployer des stratégies de protection contre la perte de données : comprend des conseils sur la configuration des alertes dans le contexte de la création d’une stratégie DLP.
- En savoir plus sur l’examen des alertes de protection contre la perte de données : Couvre les différentes méthodes d’examen des alertes DLP.
- Examinez les incidents de perte de données avec Microsoft Defender XDR : Comment examiner les alertes DLP dans le portail Microsoft Defender.