Diagnostica sempre attiva per la prevenzione della perdita dei dati degli endpoint

La funzionalità di diagnostica sempre attiva in Microsoft Purview consente la registrazione continua e automatizzata delle tracce per la prevenzione della perdita dei dati degli endpoint (DLP). Questa funzionalità riduce significativamente il sovraccarico amministrativo eliminando la necessità di configurazione manuale dei log e riproduzione dei problemi.

Quando viene aperto un caso di supporto con Microsoft, i log di diagnostica sono spesso necessari per facilitare l'analisi della causa principale. Con la diagnostica sempre attiva abilitata, è già disponibile una telemetria completa, che consente agli amministratori di ignorare i passaggi tradizionali di raccolta dei dati. Ciò non solo accelera il flusso di lavoro del supporto, ma migliora anche la precisione nell'identificazione e nella risoluzione dei problemi.

I log di diagnostica possono essere caricati in modo sicuro direttamente nel supporto tecnico Microsoft, semplificando l'invio dei casi e accelerando i tempi per la risoluzione. Questo approccio di registrazione proattivo migliora l'efficienza operativa e la reattività del supporto.

Log di traccia

Quando un amministratore attiva la diagnostica sempre attiva, la funzionalità è abilitata in tutti i dispositivi Windows di cui è stato eseguito l'onboarding, inclusi i server, e in tutti i dispositivi macOS di cui è stato eseguito l'onboarding. Quando un criterio Endpoint DLP non si comporta come previsto per un utente o un dispositivo nell'ambito, il cliente apre un caso di supporto Microsoft. Per accelerare la risoluzione dei problemi, il supporto tecnico Microsoft richiede log di traccia diagnostica, che l'amministratore del cliente raccoglie dal dispositivo interessato usando procedure documentate. I dati raccolti sono protetti da Microsoft attraverso controlli di accesso limitati e un formato di log proprietario.

Informazioni sul comportamento di caricamento e sui vincoli operativi

I caricamenti di traccia in genere avvengono entro una finestra di polling di 24 ore e richiedono che il dispositivo rimanga online per il completamento del caricamento. Per ogni dispositivo è supportata una sola richiesta di raccolta attiva alla volta e ulteriori richieste possono essere avviate solo dopo il completamento, l'esito negativo o l'eliminazione della richiesta precedente. L'accelerazione del caricamento basata sul riavvio è supportata, ma il riavvio del dispositivo non è necessario per completare un caricamento. Ha solo lo scopo di accelerare il processo. Le richieste di raccolta possono rimanere in sospeso se il dispositivo è offline, cancellato, ricreato, riassegnato o altrimenti incapace di rispondere.

Gli amministratori sono responsabili del monitoraggio dello stato delle richieste di raccolta e di intervenire quando si verificano errori. Se una richiesta ha esito negativo, gli amministratori devono riprovare o riavviare la richiesta in base alle esigenze per garantire la corretta raccolta dei dati.

Informazioni sull'accesso ai registri, la sicurezza e la conformità dell'archiviazione dei dati

I log non sono disponibili per il download diretto da parte degli amministratori e vengono archiviati in un formato proprietario interno a Microsoft che può essere decodificato solo usando strumenti Microsoft. L'accesso ai log è limitato al personale Microsoft che è membro di gruppi di accesso designati e tutti gli accessi sono completamente controllati per garantire responsabilità e sicurezza.

I log vengono archiviati nell'archiviazione BLOB di Azure gestito da Microsoft e sono conformi agli standard Microsoft in materia di sicurezza e privacy, incluso il GDPR. I dati rimangono all'interno dell'area di residenza dei dati del tenant e vengono conservati per 180 giorni, a meno che non vengano eliminati manualmente prima. Dopo il periodo di conservazione, i log vengono eliminati automaticamente e non possono essere recuperati e non è supportato alcun backup o conservazione estesa.

Autorizzazioni necessarie per la diagnostica sempre attiva

Ruoli necessari per visualizzare e creare richieste di raccolta di log

Sono disponibili più ruoli che consentono di visualizzare e creare richieste di raccolta di log. L'account che usi deve essere membro di uno di essi.

Ruoli di Microsoft Entra

• Amministratore di conformità
• Amministratore della sicurezza
• Amministratore globale

Ruoli di Purview per la visualizzazione e la creazione di richieste di raccolta log

Deve essere assegnato a livello di tenant; Gli amministratori con ambito non sono supportati:

• OrganizationConfiguration
• Gestisci avvisi
• ViewOnlyManageAlerts
• InformationProtectionAdmin
• InformationProtectionAnalyst
• InformationProtectionInvestigator

Ruoli necessari per abilitare la funzionalità

Per attivare la diagnostica sempre attiva, l'account utilizzato deve essere membro di uno dei ruoli seguenti.

Ruoli di Microsoft Entra per abilitare la diagnostica sempre attiva

• Amministratore di conformità
• Amministratore della sicurezza
• Amministratore globale

Ruoli Purview (solo a livello di tenant)

I ruoli Purview a livello di tenant seguenti possono abilitare la diagnostica sempre attiva:

• OrganizationConfiguration
• ComplianceAdmin
• SecurityAdmin
• DLPComplianceManagement
• InformationProtectionAdmin

Prerequisiti

È necessario eseguire l'onboarding del dispositivo in Microsoft Purview e creare report attivi con la diagnostica sempre attiva abilitata. Deve mantenere una connettività di rete continua ed essere in grado di raggiungere gli endpoint di caricamento Microsoft, incluso *.blob.core.windows.net. Il traffico HTTPS in uscita verso i servizi Microsoft non deve essere bloccato da firewall, proxy o criteri di sicurezza e qualsiasi configurazione proxy deve consentire il traffico HTTPS in uscita senza intercettazioni o modifiche che impedirebbero i caricamenti.

Se usi Windows Server, devi abilitare la prevenzione della perdita dei dati degli endpoint per i server Windows prima di attivare la diagnostica sempre attiva, perché la prevenzione della perdita dei dati degli endpoint è disabilitata per impostazione predefinita in Windows Server.

Se si usa macOS, è necessario eseguire l'onboarding del dispositivo in Microsoft Purview tramite Intune, JAMF Pro o un'altra soluzione MDM. Per altre informazioni, vedere Eseguire l'onboarding dei dispositivi macOS in Microsoft Purview.

Sistemi operativi Windows supportati

Nella tabella seguente sono elencate le versioni client e server Windows supportate per la diagnostica sempre attiva.

Versioni macOS supportate

La diagnostica sempre attiva è supportata nei dispositivi macOS di cui è stato eseguito l'onboarding che eseguono una delle tre versioni più recenti. La diagnostica sempre attiva richiede la build 101.26042.xxxx o successiva.

Processori supportati

Sono supportati i dispositivi macOS con processori x64 e M1, M2 e M3 (ARM64).

Attivare la diagnostica sempre attiva e abilitare il caricamento

Per attivare la diagnostica sempre attiva e abilitare il caricamento dei log, eseguire la procedura seguente. Queste impostazioni si applicano ai dispositivi Windows e macOS.

1. Accedere al portale di Microsoft Purview.
2. Passa a Impostazioni>Prevenzione>della perdita dei dati Diagnostica sempre attiva (anteprima).
3. Selezionare Attivato.
4. Imposta il periodo di archiviazione della cache. È consigliabile un periodo di archiviazione della cache di 90 giorni.
5. Impostare lo spazio di archiviazione massimo per il dispositivo. Il valore deve essere compreso tra 500 e 1.500 MB.
6. Seleziona Salva.
7. Per abilitare il caricamento, in Carica automaticamente i log del dispositivo selezionare Condividi diagnostica con Microsoft.

Richiedere i log dei dispositivi

Quando si identifica un problema e si apre un caso di supporto con Microsoft, è possibile richiedere l'invio dei file di log al supporto tecnico Microsoft. La procedura è la stessa per i dispositivi Windows e macOS.

1. In Purview selezionare una delle posizioni per avviare una richiesta di file di log.
   1. Da Impostazioni > Onboarding > dei dispositivi Dispositivi, seleziona un dispositivo dall'elenco.
   2. In Eventi avvisi > di prevenzione della perdita > dei dati selezionare un evento nell'elenco.
   3. In Esplora attività di Esplora prevenzione > della perdita di > dati selezionare un avviso nell'elenco.
2. In base al percorso scelto, in Diagnostica sempre attiva selezionare Richiedi log dispositivo.
3. Selezionare l'intervallo di date e fornire una breve descrizione.
4. Selezionare Invia richiesta di ritiro.
5. Dopo aver inviato la richiesta, è necessario attendere il completamento della stessa. Passa a Impostazioni>Prevenzione>della perdita dei dati Diagnostica sempre attiva (anteprima).
6. Nell'elenco, identificare il dispositivo oggetto di indagine. Una volta completato lo stato, fornisci il numero di richiesta associato al supporto tecnico Microsoft.

Vedere anche

Diagnostica self-help per Microsoft Purview
Raccogliere i log di diagnostica di prevenzione della perdita dei dati degli endpoint
Analisi dei log di diagnostica di prevenzione della perdita dei dati degli endpoint