Introduzione alla raccolta di file che corrispondono ai criteri di prevenzione della perdita dei dati dai dispositivi

Questo articolo illustra i prerequisiti e i passaggi di configurazione per la raccolta di prove per le attività di file nei dispositivi e illustra come visualizzare gli elementi copiati e salvati.

Ecco i passaggi di alto livello per la configurazione e l'uso della raccolta di prove per le attività di file nei dispositivi.

1. Eseguire l'onboarding dei dispositivi
2. Comprendere le proprie esigenze
3. Creare l'account di archiviazione di Azure gestito
4. Aggiungere un BLOB di archiviazione di Azure all'account
5. Abilitare e configurare la raccolta di prove in un account di archiviazione gestito da Microsoft
6. Configurare i criteri di prevenzione della perdita dei dati
7. Visualizzare l'utilizzo dell'archiviazione gestita Microsoft

Prima di iniziare

Prima di iniziare queste procedure, è necessario rivedere Informazioni sulla raccolta di prove per le attività di file nei dispositivi.

Requisiti di licenza per la raccolta di prove

Per informazioni sulle licenze, vedere

• Piani di Microsoft 365 Enterprise
• Descrizioni dei servizi di Microsoft 365

Vedere i prerequisiti, i requisiti di licenza per Microsoft Entra ID, P1 o P2 necessari per creare il controllo degli accessi in base ai ruoli (RBAC) personalizzato.

Autorizzazioni

Standard Prevenzione della perdita dei dati Microsoft Purview (DLP) sono necessarie autorizzazioni. Per altre informazioni, vedere Autorizzazioni.

Autorizzazioni per l'anteprima o il download delle prove

Quando si desidera visualizzare in anteprima o scaricare le prove, l'account utilizzato deve essere in questi ruoli:

• Visualizzare in anteprima le prove: Visualizzatore contenuto per la classificazione dei dati
• Scarica le prove: download del contenuto sulla classificazione dei dati

Il ruolo Download contenuto per la classificazione dei dati è preassegnato a questi gruppi di ruoli predefiniti:

• Gestione della sicurezza dei dati
• Azure Information Protection
• Investigatori di Information Protection

Se è necessario gestire utenti, ruoli e gruppi di ruoli, vedere Autorizzazioni nel portale di Microsoft Purview.

Eseguire l'onboarding dei dispositivi

Prima di poter usare copia gli elementi corrispondenti, è necessario eseguire l'onboarding dei dispositivi Windows 10/11 o dei dispositivi macOS (anteprima) in Purview, vedere Panoramica dell'onboarding dei dispositivi Windows in Microsoft 365.

Comprendere le proprie esigenze

È necessario avere risposte alla seguente domanda prima di configurare l'archiviazione di Azure e definire l'ambito della funzionalità per gli utenti.

È necessario compartimentare gli elementi e accedere secondo le linee di ruolo o di reparto?

Ad esempio, se l'organizzazione vuole avere un set di amministratori o investigatori di eventi DLP che possono visualizzare i file salvati dalla dirigenza e un altro set di amministratori o investigatori di eventi DLP per gli elementi salvati dalle risorse umane, è necessario creare un account di archiviazione di Azure per la dirigenza senior dell'organizzazione e un altro per il reparto Risorse umane. In questo modo si garantisce che gli amministratori di archiviazione di Azure o gli investigatori degli eventi DLP possano vedere solo gli elementi che corrispondono ai criteri DLP dei rispettivi gruppi.

Si vogliono usare i contenitori per organizzare gli elementi salvati?

È possibile creare più contenitori di prove all'interno dello stesso account di archiviazione per ordinare i file salvati. Ad esempio, uno per i file salvati dal reparto HR e un altro per quelli del reparto IT.

Qual è la tua strategia per proteggerti dall'eliminazione o dalla modifica degli elementi salvati?

In Archiviazione di Azure, la protezione dei dati si riferisce sia alle strategie per proteggere l'account di archiviazione e i dati al suo interno dall'eliminazione o dalla modifica, sia per il ripristino dei dati dopo l'eliminazione o la modifica. Archiviazione di Azure offre anche opzioni per il ripristino di emergenza, inclusi più livelli di ridondanza, per proteggere i dati da interruzioni del servizio dovute a problemi hardware o disastri naturali. Può anche proteggere i dati utilizzando il failover gestito dal cliente se il data center nell'area primaria non è disponibile. Per ulteriori informazioni, vedere Panoramica sulla protezione dei dati.

È anche possibile configurare criteri di immutabilità per i dati BLOB che proteggono dalla sovrascrittura o dall'eliminazione degli elementi salvati. Per altre informazioni, vedere Archiviare i dati BLOB business-critical con archiviazione non modificabile

Tipi di file supportati per l'archiviazione e l'anteprima delle prove

La tabella seguente mostra i tipi di file che possono essere archiviati e visualizzati in anteprima come prova.

Salvare gli elementi corrispondenti nello spazio di archiviazione preferito

Per salvare le prove rilevate da Microsoft Purview quando vengono applicati i criteri di prevenzione della perdita dei dati, è necessario configurare l'archiviazione. Esistono due modi per configurare l'archiviazione per la raccolta delle prove:

1. Creare uno spazio di archiviazione gestito dal cliente
2. Creare l'archiviazione gestita da Microsoft

Per ulteriori informazioni e per un confronto tra questi due tipi di archiviazione, vedere Archiviazione delle prove quando vengono rilevate informazioni sensibili.

Creare uno spazio di archiviazione gestito dal cliente

Le procedure per la configurazione dell'account di archiviazione di Azure, del contenitore e dei BLOB sono documentate nella documentazione di Archiviazione BLOB di Azure. Di seguito sono disponibili collegamenti ad articoli pertinenti a cui è possibile fare riferimento per iniziare:

1. Introduzione all'Archiviazione BLOB di Azure
2. Creare un account di archiviazione
3. Impostazione predefinita e autorizzazione l'accesso ai BLOB usando Microsoft Entra ID
4. Gestire i contenitori BLOB con il portale di Azure
5. Gestire i BLOB in blocchi con PowerShell

Assicurarsi di salvare il nome e l'URL del contenitore BLOB di Azure. Per visualizzare l'URL, aprire il portale > di archiviazione di Azure Home Accountdi archiviazione>Proprietà>contenitore>

Il formato per l'URL del contenitore BLOB di Azure è:https://storageAccountName.blob.core.windows.net/containerName.

Aggiungere un BLOB di archiviazione di Azure all'account

Esistono diversi modi per aggiungere un BLOB di archiviazione di Azure al proprio account. Scegliere uno dei metodi seguenti.

1. Accedere al portale di Microsoft Purview e scegliere l'icona a forma di ingranaggio Impostazioni nella barra dei menu.
2. Scegli Prevenzione della perdita di dati.
3. Selezionare Impostazioni di prevenzione della perdita dei dati degli endpoint.
4. Espandere Configura la raccolta di prove per le attività file nei dispositivi.
5. Cambia l'interruttore da disattivato ad attivato.
6. Nel campo Imposta cache prove sul dispositivo selezionare la quantità di tempo in cui le prove devono essere salvate localmente quando il dispositivo è offline. È possibile scegliere 7, 30 o 60 giorni.
7. Selezionare un tipo di archiviazione (Customer managed store o Microsoft managed store), quindi selezionare + Aggiungi storage.
   1. Per lo storage gestito dal cliente:
      1. Scegliere Negozio gestito dal cliente: quindi scegliere + Aggiungi memoria.
      2. Immettere un nome per l'account e immettere l'URL per il BLOB di archiviazione.
      3. Scegliere Salva.
   2. Per l'archiviazione gestita da Microsoft:
      1. Scegliere Microsoft Managed Store

Per aggiungere l'archiviazione BLOB di Azure usando il flusso di lavoro per la creazione di criteri DLP nel portale Microsoft Purview:

1. Accedere al portale di Microsoft Purview e scegliere Prevenzione della perdita di dati.
2. Seguire la procedura per creare un nuovo criterio.
3. Nel passaggio Posizioni , assicurati che sia selezionata solo la posizione dei dispositivi , quindi scegli Avanti.
4. Nel passaggio Impostazioni criteri selezionare Crea o personalizza regole DLP avanzate.
5. Selezionare +Crea regola e aggiungere condizioni, azioni, notifiche utente e sostituzioni utente con valori a propria scelta.
6. Nella sezione Report degli eventi imprevisti , l'interruttore Invia un avviso agli amministratori quando si verifica una corrispondenza di una regola deve essere attivato per impostazione predefinita. (In caso contrario, attivalo).
7. Selezionare la casella di controllo accanto a Raccogli il file originale come prova per tutte le attività di file selezionate nell'endpoint.
8. Selezionare le attività per cui si desidera raccogliere prove.
9. Selezionare Aggiungi spazio di archiviazione accanto alla voce della casella di controllo.
10. Nella pagina delle impostazioni di Endpoint DLP espandere Configura raccolta di prove per le attività di file nei dispositivi e assicurarsi che l'opzione sia attivata.

Impostare le autorizzazioni per l'archiviazione BLOB di Azure

Utilizzando l'autorizzazione di Microsoft Entra, è necessario configurare due set di autorizzazioni (gruppi di ruoli) per i BLOB:

1. Uno per gli amministratori e gli investigatori in modo che possano visualizzare e gestire le prove
2. Uno per gli utenti che devono caricare elementi in Azure dai propri dispositivi

È consigliabile applicare i privilegi minimi per tutti gli utenti, indipendentemente dal ruolo. Applicando i privilegi minimi, si garantisce che le autorizzazioni utente siano limitate solo a quelle necessarie per il loro ruolo. Per configurare le autorizzazioni utente, creare ruoli e gruppi di ruoli in Microsoft Defender per Office 365 e Microsoft Purview.

Autorizzazioni per il BLOB di Azure per amministratori e investigatori

Dopo aver creato il gruppo di ruoli per gli investigatori degli eventi imprevisti DLP, è necessario configurare le autorizzazioni descritte nelle sezioni Azioni investigatore e Azioni dati investigatore più avanti.

Per altre informazioni sulla configurazione dell'accesso BLOB, vedere gli articoli seguenti:

• Come autorizzare l'accesso ai dati BLOB nel portale di Azure
• Assegnare autorizzazioni a livello di condivisione.

Azioni dello sperimentatore

Configurare queste autorizzazioni per oggetti e azioni per il ruolo di investigatore:

Azioni sui dati dello sperimentatore

Assegna le seguenti azioni sui dati al ruolo di investigatore.

Il codice JSON per il gruppo di ruoli Investigator dovrebbe essere simile al seguente:

"permissions": [
            {
                "actions": [
                 "Microsoft.Storage/storageAccounts/blobServices/read",
                 "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
                ],
                "notDataActions": []
            }
        ]

Autorizzazioni per il BLOB di Azure per gli utenti

Assegnare queste autorizzazioni per oggetti e azioni al BLOB di Azure per il ruolo utente:

Azioni dell'utente

Assegnare le seguenti autorizzazioni per oggetti e azioni al ruolo utente.

Azioni sui dati degli utenti

Assegnare le seguenti azioni dati al ruolo utente.

Il codice JSON per il gruppo di ruoli utente dovrebbe essere simile al seguente:

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

Abilitare e configurare la raccolta di prove in un account di archiviazione gestito da Microsoft

Per abilitare e configurare la raccolta di prove in un account di archiviazione gestito da Microsoft dal portale Microsoft Purview:

1. Accedere al portale> Microsoft PurviewImpostazioni a forma di ingranaggio nella barra dei menu.
2. Scegli Prevenzione della perdita di dati.
3. Selezionare Impostazioni di prevenzione della perdita dei dati degli endpoint.
4. Espandere Configura la raccolta di prove per le attività file nei dispositivi e impostare l'interruttore su Attivato.
5. In Seleziona il tipo di storage, scegli Microsoft Managed Storage.

Configurare i criteri di prevenzione della perdita di dati

Crea un criterio di prevenzione della perdita dei dati come di consueto. Per esempi di configurazione dei criteri, vedere Creare e distribuire criteri di prevenzione della perdita dei dati.

Configurare i criteri con queste impostazioni:

• Assicurati che Dispositivi sia l'unica posizione selezionata.
• Nei report delle operazioni impreviste attivare l'opzione Invia un avviso agli amministratori quando si verifica una corrispondenza della regola con Attivato.
• Nei report degli eventi imprevisti selezionare Raccogli file originale come prova per tutte le attività di file selezionate nell'endpoint.
• Selezionare l'account di archiviazione desiderato.
• Selezionare le attività per cui si vogliono copiare gli elementi corrispondenti in Archiviazione di Azure, ad esempio:
  • Accesso da parte di app con restrizioni (anteprima)
  • Incolla nei browser supportati
  • Caricamento in domini di servizi cloud o accesso a browser non consentiti
  • Effettua una copia su un dispositivo USB rimovibile
  • Eseguire una copia in una condivisione di rete
  • Stampa
  • Copiare o spostare usando un'app Bluetooth non consentita
  • Copiare o spostare usando RDP
  • Trasferimenti FTP e SFTP

Visualizzare l'utilizzo di Microsoft Managed Storage

È possibile visualizzare ed esportare l'utilizzo giornaliero degli ultimi 6 mesi per l'archiviazione gestita da Microsoft.

1. Accedere al portale> Microsoft PurviewImpostazioni a forma di ingranaggio nella barra dei menu.
2. Scegli Prevenzione della perdita di dati.
3. Selezionare Impostazioni di prevenzione della perdita dei dati degli endpoint.
4. Espandere Configura la raccolta di prove per le attività file nei dispositivi.
5. Fare clic sul pulsante Visualizza utilizzo , si aprirà un pannello. Qui puoi vedere il grafico mensile dell'utilizzo giornaliero ed esportare anche i dati di utilizzo.

Visualizza in anteprima e scarica le prove

Esistono diversi modi per visualizzare in anteprima le prove, a seconda del tipo di archiviazione selezionato.

Anteprima delle prove tramite Esplora attività

Usare la procedura seguente per visualizzare in anteprima le prove in Esplora attività.

1. Accedere al portale >di Microsoft PurviewPrevenzione > della perdita dei datiEsplora attività.
2. Usando l'elenco a discesa Data , seleziona le date di inizio e fine per il periodo a cui sei interessato.
3. Nell'elenco dei risultati fare doppio clic sulla voce dell'attività da analizzare.
4. Nel riquadro a comparsa, il collegamento al BLOB di Azure in cui sono archiviati i dati di prova viene visualizzato nel file di evidenza.
5. Selezionare il collegamento di archiviazione BLOB di Azure per visualizzare il file corrispondente.

Anteprima delle prove tramite la pagina Avvisi del portale Purview

Usare la procedura seguente per visualizzare in anteprima le prove dalla pagina Avvisi nel portale di Microsoft Purview.

1. Accedere al portale >di Microsoft PurviewAvvisi diprevenzione> della perdita dei dati.
2. Usando l'elenco a discesa Data , seleziona le date di inizio e fine per il periodo a cui sei interessato.
3. Nell'elenco dei risultati fare doppio clic sulla voce dell'attività da analizzare.
4. Nel riquadro a comparsa selezionare Visualizza dettagli.
5. Selezionare la scheda Eventi .
6. Nel riquadro dei dettagli selezionare la scheda Origine. Viene visualizzato il file corrispondente.

Problemi noti

• La dimensione massima per i file che possono essere caricati da un dispositivo è 500 MB.
• Se la protezione just-in-time viene attivata in un file analizzato o se il file è archiviato in una condivisione di rete, il file di prova non viene raccolto.
• Quando vengono aperti più file nello stesso processo (app non di Office) e uno dei file che corrispondono a un criterio viene uscito, gli eventi DLP vengono attivati per tutti i file. Non viene acquisita alcuna prova.
• Se vengono rilevate più regole dei criteri in un singolo file, il file di prova viene archiviato solo se è configurata la regola dei criteri più restrittiva per raccogliere le prove.