Creare criteri di contenuto per il filtro del contenuto di rete

Global Secure Access supporta il filtro dei contenuti di rete tramite criteri di contenuto. Questa funzionalità consente di evitare l'esposizione imprevista dei dati e impedisce perdite di dati in linea verso applicazioni di intelligenza artificiale generativa e destinazioni Internet. Estendendo le funzionalità di protezione dei dati al livello di rete tramite l'accesso sicuro globale, il filtro dei contenuti di rete consente all'organizzazione di applicare i criteri dei dati sul traffico di rete in tempo reale. È possibile individuare e proteggere file e contenuti di testo condivisi con destinazioni non approvate, ad esempio intelligenza artificiale generativa e app cloud non gestite, da endpoint gestiti tramite browser, applicazioni, componenti aggiuntivi, API e altro ancora.

La soluzione di filtro dei contenuti di rete riunisce il servizio di classificazione dei dati di Microsoft Purview e i criteri di sicurezza della rete incentrati sulle identità in Accesso sicuro globale. Questa combinazione crea una soluzione avanzata di sicurezza dei dati a livello di rete, prevenzione della perdita dei dati (DLP), basata sulle identità e basata sui criteri. Combinando l'ispezione dei contenuti con la valutazione dei rischi utente in tempo reale, è possibile applicare controlli granulari sullo spostamento dei dati sensibili attraverso la rete senza compromettere la produttività degli utenti o il comportamento di sicurezza.

Architettura di alto livello

Questo articolo illustra come creare criteri di contenuto per filtrare il traffico Internet attraverso l'accesso sicuro globale.

Scenari supportati

Il filtro del contenuto di rete supporta gli scenari e i risultati chiave seguenti per il traffico HTTP/1.1:

• Usando i criteri di contenuto di base, è possibile bloccare i file in base ai tipi MIME di file supportati.
• Usando l'azione Analizza con Purview (anteprima) nei criteri di contenuto, è possibile controllare e bloccare il contenuto di file e testo selezionato in base a:
  • Microsoft Purview etichette di riservatezza
  • Contenuto sensibile nei file o nel testo
  • Livello di rischio dell'utente
• Quando si usa Analisi con Purview, è possibile generare avvisi di amministratore di prevenzione della perdita dei dati (DLP) per le corrispondenze delle regole.

Prerequisiti

Per usare la funzionalità dei criteri di contenuto, sono necessari i prerequisiti seguenti:

• Tenant di Microsoft Entra valido.

• Licenze per il prodotto. Per informazioni dettagliate, vedi la sezione relativa alle licenze di Che cos'è l'accesso sicuro globale. Se necessario è possibile acquistare licenze o ottenere licenze di test.

  • Una licenza di Accesso a Internet Microsoft Entra valida.
  • Una licenza di Microsoft Purview valida, necessaria per Scan con Purview ispezione.
    • Per la sicurezza dei dati di rete, è necessario configurare la fatturazione con pagamento in base al consumo di Microsoft Purview prima di creare una raccolta di Purview o criteri DLP. Per altre informazioni, vedere Informazioni sui modelli di fatturazione Microsoft Purview.
    • È possibile usare criteri di contenuto di base senza una licenza Purview.

• Un utente con il ruolo Global Secure Access Administrator in Microsoft Entra ID per configurare le impostazioni di accesso sicuro globale.

• Ruolo Amministratore accesso condizionale per configurare i criteri di accesso condizionale.

• Il client Di accesso sicuro globale richiede un dispositivo (o una macchina virtuale) aggiunto Microsoft Entra ID o aggiunto Microsoft Entra ID ibrido.

• Per usare le categorie Web come destinazione dei criteri di contenuto, è necessario configurare anche un criterio di filtro del contenuto Web.

• Il traffico UDP (User Datagram Protocol), ovvero QUIC, non è supportato. La maggior parte dei siti web supporta il ripiego sul Transmission Control Protocol (TCP) quando non è possibile stabilire una connessione QUIC. Per un'esperienza utente migliorata, è possibile distribuire una regola del firewall Windows che blocca UDP 443 in uscita:

  New-NetFirewallRule -DisplayName "Block QUIC" -Direction Outbound -Action Block -Protocol UDP -RemotePort 443
  

Configurazione iniziale

Per configurare i criteri di contenuto, completare la procedura di configurazione iniziale seguente:

1. Abilitare il profilo di inoltro del traffico di Accesso Internet e assicurarsi che le assegnazioni utente siano corrette.
2. Configurare i criteri di ispezione TLS (Transport Layer Security).
3. Installare e configurare il client Di accesso sicuro globale:
   1. Installare il client Accesso sicuro globale in Windows o macOS.

      Importante

      Prima di continuare, testare e verificare che il traffico Internet del client venga instradato tramite Accesso sicuro globale. Per verificare la configurazione del client, vedere la procedura descritta nella sezione seguente.

   2. Selezionare l'icona Accesso sicuro globale e selezionare la scheda Risoluzione dei problemi.
   3. In Diagnostica avanzata selezionare Esegui strumento.
   4. Nella finestra di Diagnostica avanzata di Global Secure Access, seleziona la scheda Profilo di inoltro.
   5. Verificare che le regole di accesso a Internet siano presenti nella sezione Regole . Questa configurazione potrebbe richiedere fino a 15 minuti per l'applicazione ai client dopo l'abilitazione del profilo di traffico di Accesso Internet nella Interfaccia di amministrazione di Microsoft Entra.
4. Confermare l'accesso alle applicazioni web pianificate in base alle politiche sui contenuti.

Configurare un criterio di contenuto

Per configurare un criterio di contenuto in Accesso sicuro globale, completare la procedura seguente:

1. Creare un criterio di contenuto.
2. Collegare i criteri di contenuto a un profilo di sicurezza.
3. Configurare un criterio di accesso condizionale.

Creare criteri di contenuto

1. Accedere al Interfaccia di amministrazione di Microsoft Entra come amministratore di accesso sicuro Global Secure Access Administrator.
2. Passare a Global Secure Access>Criteri di contenuto sicuro>(Secure Content Policies).
3. Selezionare + Crea criterio. Scegli le opzioni che soddisfano le tue esigenze.
4. Nella scheda Informazioni di base :
   1. Immettere il nome del criterio.
   2. Immettere la descrizione del criterio.
   3. Seleziona Avanti.
5. Nella scheda Regole :
   1. Aggiungere una nuova regola.
   2. Immettere il nome della regola, la descrizione, la priorità e lo stato in base alle esigenze.
   3. Selezionare l'opzione appropriata per il menu Azione :
      • Per configurare un criterio dati di base, selezionare Consenti o Blocca.
      • Per usare i criteri dati configurati in Microsoft Purview, selezionare Scan with Purview (anteprima).
   4. Per Condizioni di corrispondenza selezionare le attività e i tipi di contenuto appropriati.
      • Per i criteri di contenuto di base, selezionare i tipi di contenuto di file da consentire o bloccare.
      • Per Analizza con Purview, seleziona i tipi di contenuto dei file e i tipi di contenuto testuale che vuoi che Microsoft Purview esamini. La selezione del tipo di contenuto di file è facoltativa per gli scenari di solo testo.
   5. (Facoltativo) Configurare la condizione Tipo di origine (anteprima) per definire l'ambito della regola in base all'origine del traffico. Selezionare Agente per trovare una corrispondenza con il traffico classificato come traffico dell'agente di intelligenza artificiale. Il traffico non classificato come traffico dell'agente viene considerato traffico utente. Se non è configurata, la regola si applica a tutto il traffico.
   6. Selezionare + Aggiungi destinazione e configurare le destinazioni.
      • Per il controllo specifico dell'applicazione, è possibile aggiungere gli URL e gli FQDN correlati usati dall'app. Usare gli strumenti di sviluppo del browser o l'analisi del traffico di rete per identificare gli endpoint usati durante il caricamento di file, l'invio di testo o altro traffico protetto.
      • È anche possibile selezionare categorie Web come destinazione. Se si selezionano categorie Web, è necessario configurare anche un criterio di filtro del contenuto Web.
6. Seleziona Avanti.
7. Nella scheda Rivedi esaminare le impostazioni.
8. Selezionare Crea per creare i criteri.

Collegare i criteri di contenuto a un profilo di sicurezza

1. Passare a Accesso globale sicuro>Sicuro>Profili di sicurezza.
2. Selezionare il profilo di sicurezza da modificare.
3. Passare alla visualizzazione Criteri di collegamento .
4. Configurare i criteri di contenuto dei collegamenti:
   1. Selezionare + Collega una politica>Contenuto esistente.
   2. Dal menu Nome criterio selezionare i criteri di contenuto creati.
   3. Mantenere i valori predefiniti per Position e State.
   4. Seleziona Aggiungi.
5. Chiudere il profilo di sicurezza.

Configurare un criterio di accesso condizionale

Per applicare il profilo di sicurezza dell'accesso sicuro globale, creare un criterio di accesso condizionale con la configurazione seguente:

1. Accedere al Interfaccia di amministrazione di Microsoft Entra.
2. Passare a Identità>Protezione>Accesso condizionale.
3. Selezionare + Crea nuovo criterio.
4. Assegnare un nome alla politica.
5. Selezionare gli utenti e i gruppi a cui applicare i criteri.
6. Impostare Le risorse di destinazione su Tutte le risorse Internet con Accesso sicuro globale.
7. Configurare le sezioni Rete, Condizioni e Concedi in base alle proprie esigenze.
8. In Sessione, selezionare Usa il profilo di sicurezza globale di accesso sicuro e selezionare il profilo di sicurezza creato.
9. Per creare il criterio, selezionare Crea.

Per altre informazioni, vedere Creare e collegare criteri di accesso condizionale.

I criteri di contenuto sono stati configurati correttamente.

Configurare un criterio DLP Purview per la sicurezza dei dati di rete

Se è stata selezionata l'azione Scan with Purview nei criteri di contenuto, è necessario configurare un criterio DLP (Data Loss Prevention) corrispondente in Microsoft Purview. I criteri DLP definiscono il modo in cui Purview classifica il contenuto di file e testo e interviene su di esso quando Global Secure Access lo instrada per l'ispezione.

Prerequisiti per l'integrazione di Purview

• Microsoft Purview fatturazione con pagamento in base al consumo configurata per il tenant. È necessario configurare la fatturazione a consumo prima di configurare la raccolta di Microsoft Purview o i criteri DLP per la sicurezza dei dati di rete. Per altre informazioni, vedere Informazioni sui modelli di fatturazione Microsoft Purview.

Creare criteri di prevenzione della perdita dei dati per la sicurezza dei dati di rete

1. Accedere al Portale di Microsoft Purview.
2. Selezionare Prevenzione della perdita di dati>Criteri>+ Crea criterio.
3. Selezionare Traffico Web inline.
4. Selezionare Personalizzato dall'elenco Categorie e quindi selezionare Criteri personalizzati dall'elenco Regolamenti .
5. Seleziona Avanti.
6. Immettere un nome e una descrizione dei criteri, quindi selezionare Avanti.
7. Configurare le app cloud da monitorare:
   1. Selezionare + Aggiungi app cloud.
   2. Nella scheda Ambiti dell'app adattiva scegliere le categorie di app da proteggere, ad esempio Tutte le app di intelligenza artificiale non gestite.
   3. Seleziona Aggiungi.
8. Seleziona Avanti.
9. Nella pagina Scegliere dove applicare il criterio, verificare che Rete e browser sicuri non Microsoft sia abilitato, quindi selezionare Avanti. È possibile selezionare l'applicazione dei criteri di rete solo dopo aver configurato la fatturazione a consumo. Per altre informazioni, vedere Informazioni sui modelli di fatturazione Microsoft Purview.
10. Selezionare Crea o personalizza regole avanzate di prevenzione della perdita dei dati e selezionare Avanti.
11. Selezionare + Crea regola e configurare la regola:
    1. Immettere un nome e una descrizione facoltativa.
    2. In Condizioni, selezionare + Aggiungi condizione>Il contenuto contiene.
    3. Aggiungere i tipi di informazioni riservate o le etichette di riservatezza che soddisfano i requisiti di protezione dei dati dell'organizzazione.
    4. In Azioni selezionare + Aggiungi un'azione>Limita le attività del browser e della rete.
    5. Selezionare le azioni che corrispondono allo scenario dei criteri del contenuto e impostare ogni azione su Controlla o Blocca in base alle esigenze:
       • Testo inviato o condiviso con app cloud o di intelligenza artificiale
       • Testo ricevuto dalle app cloud o di intelligenza artificiale
       • File caricato o condiviso con app cloud o di intelligenza artificiale
       • File scaricato dalle app cloud o per intelligenza artificiale
    6. Configurare i report degli eventi imprevisti e le impostazioni di avviso in base alle esigenze.
    7. Seleziona Salva.
12. Esaminare la regola, verificare che lo stato sia Attivato e selezionare Avanti.
13. Nella pagina Modalità criteri, scegliere di Attivare immediatamente il criterio oppure eseguirlo prima in modalità di simulazione per effettuare un test.
14. Selezionare Avanti, esaminare i criteri e selezionare Invia.

Per una procedura dettagliata con configurazioni di esempio, vedere Usare la sicurezza dei dati di rete per impedire la condivisione di informazioni riservate con intelligenza artificiale non gestita.

Testare i criteri di contenuto

Testare la configurazione tentando di caricare o scaricare file o inviare contenuto di testo corrispondente alle condizioni dei criteri di contenuto. Verificare che le impostazioni dei criteri controllino o blocchino le azioni.

Esempio: Blocca il testo sensibile inviato tramite Gmail

Questo esempio illustra uno scenario di test end-to-end che blocca il testo contenente dati sensibili, ad esempio numeri di carta di credito o numeri di previdenza sociale, dall'invio in un corpo del messaggio Gmail.

Passaggio 1: Configurare la destinazione dei criteri di contenuto

Quando si crea o si modifica la regola dei criteri di contenuto, configurare le impostazioni seguenti:

• Azione: selezionare Analizza con Purview (anteprima).
• Attività: selezionare Carica.
• Tipi di contenuto del testo: Seleziona i tipi di contenuto del testo che vuoi che Microsoft Purview esamini.
• Destinazione: aggiungere mail.google.com come FQDN.

Per gli scenari di solo testo, non è necessario selezionare un tipo di contenuto di file.

Passaggio 2: Configurare un criterio DLP di Purview

Se si seleziona Analizza con Purview come azione dei criteri di contenuto, è necessario configurare anche un criterio DLP corrispondente Microsoft Purview per esaminare il contenuto di testo e prendere la decisione di controllo o blocco.

1. Nel portale Microsoft Purview, creare un criterio DLP per il traffico Web inline.
2. Nella pagina Scegliere dove applicare il criterio, assicurarsi che Rete e browser sicuri non Microsoft sia attivata.
3. Configurare la regola DLP per rilevare i tipi di informazioni riservate che si desidera bloccare, ad esempio numeri di carta di credito o numeri di previdenza sociale.
4. In Azioni selezionare Limita le attività del browser e della rete.
5. Selezionare Testo inviato o condiviso con app cloud o di intelligenza artificiale e impostare l'azione su Blocca.
6. Configurare i report degli eventi imprevisti e le impostazioni di avviso in base alle esigenze.
7. Salvare e applicare la politica.

Passaggio 3: Convalidare i criteri

1. In un dispositivo gestito con il client Accesso sicuro globale installato aprire un browser e passare a Gmail.
2. Creare un messaggio contenente dati sensibili, ad esempio numeri di carta di credito di esempio o numeri di previdenza sociale.
3. Tentare di inviare il messaggio.
4. Verificare che il messaggio sia bloccato.
5. Per confermare il blocco, controllare i log del traffico nel centro di amministrazione di Microsoft Entra in Global Secure Access>Monitor>Traffic logs.
6. Esaminare i dettagli dell'avviso o dell'attività corrispondenti in Microsoft Purview.

Esempio: Bloccare caricamenti PDF sensibili in ChatGPT

Questo esempio illustra uno scenario di test end-to-end che blocca il caricamento in ChatGPT di un file PDF contenente dati sensibili, ad esempio numeri di carta di credito o numeri di previdenza sociale.

Passaggio 1: Configurare le destinazioni dei criteri di contenuto

Quando si crea o si modifica la regola dei criteri di contenuto, non aggiungere solo chatgpt.com. Aggiungere gli URL e i nomi di dominio completi specifici che corrispondono al traffico di caricamento del file ChatGPT:

• https://chatgpt.com/backend-api/files (aggiungi come URL)
• https://chatgpt.com/backend-api/files/process_upload_stream (aggiungi come URL)
• *.oaiusercontent.com (aggiungi come FQDN)

In Tipi di contenuto selezionare PDF e altri tipi di file da esaminare.

Passaggio 2: Configurare un criterio DLP Purview (per l'azione di scansione con Purview)

Se si seleziona Analizza con Purview come azione dei criteri di contenuto, è necessario configurare anche un criterio DLP corrispondente Microsoft Purview per esaminare il contenuto del file e prendere la decisione di controllo o blocco.

1. Accedere al Portale di Microsoft Purview.
2. Seguire la procedura descritta in Usare la sicurezza dei dati di rete per impedire la condivisione di informazioni riservate con l'intelligenza artificiale non gestita per creare un nuovo criterio DLP.
   1. Nel passaggio App cloud cercare e aggiungere ChatGPT.
   2. Configurare la regola DLP per rilevare i tipi di informazioni sensibili che si desidera bloccare, ad esempio numeri di carta di credito o numeri di previdenza sociale.
   3. Impostare l'azione della regola su Blocca.
3. Salvare e applicare la politica.

Per altre informazioni sui criteri DLP di Purview per il traffico di rete, vedere Informazioni sulla sicurezza dei dati di rete Microsoft Purview.

Passaggio 3: Convalidare i criteri

1. In un dispositivo gestito con il client Accesso sicuro globale installato, aprire un browser e navigare su ChatGPT.
2. Preparare un file PDF di test che contiene dati sensibili, ad esempio numeri di carta di credito di esempio o numeri di previdenza sociale. È possibile usare un file di esempio da dlptest.com.
3. In ChatGPT tentare di caricare il file PDF di test.
4. Verificare che il caricamento sia bloccato. ChatGPT visualizza un messaggio di errore perché l'accesso sicuro globale ha impedito il trasferimento del file.
5. Per confermare il blocco, controllare i log del traffico nel centro di amministrazione di Microsoft Entra in Global Secure Access>Monitor>Traffic logs.
6. Se si usa Scan con Purview, esaminare anche i dettagli dell'avviso o dell'attività corrispondenti in Microsoft Purview. Per ulteriori informazioni, consulta Inizia con il dashboard degli avvisi di prevenzione della perdita dei dati e Inizia con Esplora attività.

Limitazioni note

• I criteri di contenuto di base non esaminano il testo. L'ispezione del tipo di contenuto testuale richiede Analizza con Purview e un criterio DLP di Purview corrispondente.
• Il filtro del contenuto di rete non supporta il traffico UDP (User Datagram Protocol), incluso QUIC.
• Il contenuto compresso viene rilevato in formato ZIP. Il contenuto non è decompresso.
• Il rilevamento del tipo di file true potrebbe non essere 100% accurato.
• I domini di primo e secondo livello non supportano caratteri jolly (come *, *.com, *contoso.com) durante la configurazione degli FQDN.
• I criteri di sicurezza dei dati di rete di Microsoft Purview non si applicano agli utenti guest B2B.

Monitoraggio e registrazione

Esaminare i log del traffico di accesso sicuro globale

Per visualizzare i log del traffico:

1. Accedi al Interfaccia di amministrazione di Microsoft Entra almeno come Lettore di report.
2. Selezionare Global Secure Access>Monitor>Log del traffico.

Esaminare i dati di indagine di Microsoft Purview

Se si usa Scan con Purview, esaminare i dati di indagine corrispondenti in Microsoft Purview:

1. Accedere al Portale di Microsoft Purview.
2. Per esaminare gli avvisi DLP e gli eventi associati, passare adAvvisi di > della perdita dei dati. Per altre informazioni, vedere Introduzione al dashboard avvisi di prevenzione della perdita dei dati.
3. Per esaminare le attività corrispondenti, aprire Esplora attività e filtrare le attività DLP di rete o il criterio, l'utente o l'app da esaminare. Per altre informazioni, vedere Introduzione a Esplora attività.

Contenuti correlati

• Informazioni sulla sicurezza dei dati di rete Microsoft Purview
• Usare Sicurezza dei dati di rete per impedire la condivisione di informazioni sensibili con l'intelligenza artificiale non gestita
• Introduzione al dashboard Avvisi per la prevenzione della perdita dei dati
• Introduzione a Esplora attività
• Come configurare il filtraggio dei contenuti web di Global Secure Access
• Abilitare il profilo di inoltro del traffico di Accesso Internet
• Configurare l'ispezione di Transport Layer Security