デバイスからのデータ損失防止ポリシーに一致するファイルの収集の概要

この記事では、デバイス上のファイルアクティビティの証拠収集の前提条件と構成手順を説明し、コピーおよび保存されたアイテムを表示する方法について説明します。

ヒント

Microsoft Security Copilot の使用を開始して、AI の力を使用して、よりスマートかつ迅速に作業するための新しい方法を発見しましょう。 Microsoft Purview の Microsoft Security Copilot に関する詳細情報をご覧ください。

ここでは、デバイス上のファイルアクティビティの証拠収集を構成および使用するための手順の概要を示します。

デバイスのオンボード
要件を理解する
マネージド Azure ストレージアカウントを作成する
アカウントに Azure Storage BLOB を追加する
Microsoft が管理するストレージアカウントで証拠収集を有効にして構成する
DLP ポリシーを構成する
Microsoft マネージドストレージの使用状況を表示する

開始する前に

これらの手順を開始する前に、「デバイス上のファイルアクティビティの証拠収集について説明します。」を確認してください。

証拠収集のライセンス要件

ライセンスの詳細については、次を参照してください。

カスタムロールベースのアクセス制御 (RBAC) を作成するために必要な Microsoft Entra ID P1 または P2 の前提条件のライセンス要件を参照してください。

アクセス許可

Standard Microsoft Purview データ損失防止 (DLP) アクセス許可が必要です。詳細については、「アクセス許可」を参照してください。

証拠のプレビューまたはダウンロードの許可

証拠をプレビューまたはダウンロードする場合、使用するアカウントは次の役割である必要があります。

証拠のプレビュー: データ分類コンテンツビューアー
証拠をダウンロード: データ分類コンテンツダウンロード

データ分類コンテンツのダウンロードの役割は、次の組み込みの役割グループに事前に割り当てられています。

データセキュリティ管理
情報保護
Information Protection 調査担当者

ユーザー、ロール、ロールグループを管理する必要がある場合は、「 Microsoft Purview ポータルのアクセス許可」を参照してください。

デバイスのオンボード

一致するアイテムのコピーを使用するには、Windows 10/11 デバイスまたは macOS デバイス (プレビュー) を Purview にオンボードする必要があります。「Windows デバイスの Microsoft 365 へのオンボードの概要」を参照してください。

要件を理解する

重要

各コンテナーは、そのコンテナーが存在するストレージアカウントのアクセス許可を継承します。コンテナーごとに異なるアクセス許可を設定することはできません。リージョンごとに異なるアクセス許可を構成する必要がある場合は、複数のコンテナーではなく、複数のストレージアカウントを作成する必要があります。

Azure ストレージを設定し、機能をユーザーにスコープ設定する前に、次の質問に対する回答が必要です。

アイテムを区画化し、役割や部門の境界線に沿ってアクセスする必要がありますか?

たとえば、organization で、上級リーダーシップから保存されたファイルを表示できる管理者または DLP イベント調査担当者のセットと、人事部からの保存済みアイテムを表示できる管理者または DLP イベント調査担当者の別のセットが必要な場合、organization の上級リーダーシップ用に 1 つの Azure Storage アカウントを作成し、人事部門用にもう 1 つのアカウントを作成する必要があります。これにより、Azure ストレージ管理者または DLP イベント調査担当者は、それぞれのグループの DLP ポリシーに一致するアイテムのみを表示できます。

コンテナーを使用して保存したアイテムを整理しますか?

保存されたファイルを並べ替えるために、同じストレージアカウント内に複数の証拠コンテナーを作成できます。たとえば、人事部門から保存されたファイル用と IT 部門のファイル用です。

セーブアイテムの削除や変更を防ぐための戦略は何ですか?

Azure Storage では、データ保護とは、ストレージアカウントとその中のデータが削除または変更されるのを防ぐための戦略と、データが削除または変更された後にデータを復元するための戦略の両方を指します。 Azure Storage には、ハードウェアの問題や自然災害によるサービスの停止からデータを保護するために、複数レベルの冗長性を含むディザスターリカバリーのオプションも用意されています。また、プライマリリージョンのデータセンターが使用できなくなった場合は、カスタマー管理のフェールオーバーを使用してデータを保護することもできます。詳細については、データ保護の概要を参照してください。

また、保存されたアイテムが上書きまたは削除されないように保護する、BLOB データの不変性ポリシーを構成することもできます。詳細については、「ビジネスクリティカルな BLOB データを不変ストレージに保存する」を参照してください

証拠の格納とプレビューでサポートされているファイルの種類

次の表に、証拠として保存してプレビューできるファイルの種類を示します。

格納可能	プレビュー可能
ポリシーに一致するすべてのファイルの種類	OneDrive、SharePoint、Teams でのファイルのプレビューでサポートされているすべてのファイルの種類

注:

さまざまなファイルの種類のポリシーを作成する方法を理解するには、「DLP ポリシーを作成して展開する」を参照してください

一致したアイテムを優先するストレージに保存する

データ損失防止ポリシーが適用されたときに Microsoft Purview が検出した証拠を保存するには、ストレージを設定する必要があります。証拠収集用のストレージを設定するには、次の 2 つの方法があります。

カスタマーマネージドストレージの作成
Microsoft マネージドストレージの作成

これら 2 つのタイプのストレージの詳細と比較については、「機密情報が検出されたときに証拠を格納する」を参照してください。

カスタマーマネージドストレージの作成

Azure Storage アカウント、コンテナー、BLOB を設定する手順については、Azure Blob Storage のドキュメントに記載されています。開始に役立つ関連記事へのリンクを次に示します。

注:

ストレージアカウントの作成時に、必ず [すべてのネットワークからのパブリックアクセスを有効にする] を選択してください。仮想ネットワークと IP アドレス、およびプライベートアクセスの使用はサポートされていません

Azure BLOB コンテナーの名前と URL を必ず保存してください。 URL を表示するには、Azure ストレージポータル >Home>Storage Accounts>Container>Properties を開きます

Azure BLOB コンテナーの URL の形式は、https://storageAccountName.blob.core.windows.net/containerName です。

アカウントに Azure Storage BLOB を追加する

アカウントに Azure Storage BLOB を追加する方法はいくつかあります。次 のいずれかの 方法を選択します。

Microsoft Purview ポータルにサインインし、メニューバーの [ 設定 ] の歯車を選択します。
[ データ損失防止] を選択します。
[ エンドポイントの DLP 設定] を選択します。
[デバイス上のファイルアクティビティの証拠コレクションを設定する] を展開します。
トグルを [オフ] から [オン] に変更します。
[ デバイスに証拠キャッシュを設定する ] フィールドで、デバイスがオフラインのときに証拠をローカルに保存する時間を選択します。 7 日、30 日、60 日のいずれかを選択できます。
ストレージの種類 (顧客管理ストアまたは Microsoft 管理ストア) を選択し、[+ ストレージの追加] を選択します。
1. 顧客が管理するストレージの場合:
  1. [ Customer managed store:] を選択し、[ + ストレージの追加] を選択します。
  2. Enter アカウントに名前を付け、ストレージ BLOB の URL を入力します。
  3. 保存] を選択します。
2. Microsoft マネージドストレージの場合:
  1. Microsoft が管理するストアを選択する

Microsoft Purview ポータルで DLP ポリシー作成ワークフローを使用して Azure BLOB ストレージを追加するには:

Microsoft Purview ポータルにサインインし、[ データ損失防止] を選択します。
手順に従って新しいポリシーを作成します。
[ 場所] の手順で、[ デバイスの 場所] だけが選択されていることを確認してから、[ 次へ] を選択します。
[ポリシー設定] の手順で、[高度な DLP ルールの作成またはカスタマイズ] を選択します。
[+ルールの作成] を選択し、[条件]、[アクション]、[ユーザー通知]、[ユーザーオーバーライド] を任意の値で追加します。
[ インシデントレポート ] セクションでは、[ ルールの一致が発生したときに管理者にアラートを送信する ] トグルが既定でオンになっている必要があります。 (そうでない場合は、オンにします)。
エンドポイント で選択したすべてのファイルアクティビティの証拠として元のファイルを収集する の横にあるチェックボックスをオンにします。
証拠を収集する活動を選択します。
チェックボックス項目の横にある [ 記憶域の追加 ] を選択します。
[エンドポイントの DLP 設定] ページで、[ デバイス上のファイルアクティビティの証拠収集の設定] を展開し、オプションが [オン] に切り替えられていることを確認します。

Azure BLOB ストレージにアクセス許可を設定する

Microsoft Entra 承認を使用する場合、BLOB に対して 2 セットのアクセス許可 (役割グループ) を構成する必要があります。

1 つは管理者と調査担当者が証拠を表示および管理できるようにするためです
デバイスから Azure にアイテムをアップロードする必要があるユーザー向けの 1 つ

役割に関係なくすべてのユーザーに 最小限の特権 を適用することがベストプラクティスになります。最小限の特権を適用することで、ユーザーのアクセス許可が、そのロールに必要なアクセス許可のみに制限されます。ユーザーのアクセス許可を構成するには、Microsoft Defender for Office 365 と Microsoft Purview でロールとロールグループを作成します。

管理者と調査担当者の Azure BLOB のアクセス許可

DLP インシデント調査担当者の役割グループを作成したら、後続の「調査担当者のアクション」セクションと「調査担当者のデータアクション」セクションで説明されているアクセス許可を構成する必要があります。

BLOB アクセスの構成の詳細については、次の記事を参照してください。

調査担当者のアクション

調査担当者ロールの次のオブジェクトとアクションのアクセス許可を構成します。

オブジェクト	アクセス許可
Microsoft.Storage/storageAccounts/blobServices	注: Blob Services の一覧表示
Microsoft.Storage/storageAccounts/blobServices	注: BLOB サービスのプロパティまたは統計情報を取得する
Microsoft.Storage/storageAccounts/blobServices/containers	読み取り: BLOB コンテナーの取得
Microsoft.Storage/storageAccounts/blobServices/containers	読み取り: BLOB コンテナーの一覧
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	読み取り: BLOB の読み取り
Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action	その他: ユーザー委任キーを生成する

調査担当者のデータアクション

次のデータアクションを調査者ロールに割り当てます。

オブジェクト	アクセス許可
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	読み取り: 読み取り BLOB

調査官ロールグループの JSON は次のようになります。

"permissions": [
            {
                "actions": [
                 "Microsoft.Storage/storageAccounts/blobServices/read",
                 "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
                ],
                "notDataActions": []
            }
        ]

ユーザーの Azure BLOB のアクセス許可

これらのオブジェクトとアクションのアクセス許可を、ユーザーロールの Azure BLOB に割り当てます。

次のオブジェクトとアクションのアクセス許可をユーザーロールに割り当てます。

オブジェクト	アクセス許可
Microsoft.Storage/storageAccounts/blobServices	注: Blob Services の一覧表示
Microsoft.Storage/storageAccounts/blobServices/containers	読み取り: BLOB コンテナーの取得
Microsoft.Storage/storageAccounts/blobServices/containers	書き込み: BLOB コンテナーを

ユーザーデータアクション

次のデータアクションをユーザーロールに割り当てます。

オブジェクト	アクセス許可
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	書き込み: BLOB の書き込み
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	その他: BLOB コンテンツの追加

ユーザーロールグループの JSON は次のようになります。

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

Microsoft が管理するストレージアカウントで証拠収集を有効にして構成する

Microsoft Purview ポータル内から Microsoft が管理するストレージアカウントの証拠収集を有効にして構成するには:

Microsoft Purview ポータルにサインインします>メニュー バーの設定ギア。
[ データ損失防止] を選択します。
[ エンドポイントの DLP 設定] を選択します。
[デバイス上のファイルアクティビティの証拠収集の設定] を展開し、切り替えを [オン] に設定します。
[ ストレージの種類の選択] で、[ Microsoft マネージドストレージ] を選択します。

ヒント

Microsoft が管理するストレージを構成すると、データセキュリティ調査を使用して、複数のユーザーおよび期間にわたってエンドポイント DLP ポリシーから収集された証拠を照会および分析できます。

DLP ポリシーを構成する

通常どおり DLP ポリシーを作成します。ポリシーの構成例については、「データ損失防止ポリシーの作成と展開」を参照してください。

次の設定を使用してポリシーを構成します。

[ デバイス ] のみが選択されている場所であることを確認します。
[ インシデントレポート] で、[ ルールの一致が発生した場合に管理者にアラートを送信する ] を [オン] に切り替えます。
[ インシデントレポート] で、[ エンドポイントで選択したすべてのファイルアクティビティの証拠として元のファイルを収集する] を選択します。
目的のストレージアカウントを選択します。
一致する項目を Azure Storage にコピーするアクティビティ (次のようなもの) を選択します。
- 制限付きアプリによるアクセス (プレビュー)
- サポートされているブラウザーに貼り付け
- クラウドサービスドメインにアップロードするか、許可されていないブラウザーにアクセスする
- リムーバブル USB デバイスにコピーする
- ネットワーク共有にコピーする
- 印刷
- 許可されていない Bluetooth アプリを使用してコピーまたは移動する
- RDP を使用したコピーまたは移動
- FTP と SFTP の転送

Microsoft マネージドストレージの使用状況を表示する

Microsoft マネージドストレージの過去 6 か月間の 1 日の使用量を表示およびエクスポートできます。

Microsoft Purview ポータルにサインインします>メニュー バーの設定ギア。
[ データ損失防止] を選択します。
[ エンドポイントの DLP 設定] を選択します。
[デバイス上のファイルアクティビティの証拠コレクションを設定する] を展開します。
[ 使用状況の表示 ] ボタンをクリックすると、パネルが開きます。ここでは、毎日の使用量の月単位のグラフを確認し、使用状況データをエクスポートすることもできます。

証拠のプレビューとダウンロード

選択するストレージの種類に応じて、証拠をプレビューするさまざまな方法があります。

ストレージの種類	プレビューオプション
カスタマーマネージド	- アクティビティエクスプローラーを使用する - Microsoft Purview ポータルを使用する
Microsoft マネージド	- アクティビティエクスプローラーを使用する - Purview ポータルを使用する

注:

プレビューとダウンロードに使用するアカウントは、次の役割である必要があることに注意してください:

証拠のプレビュー: データ分類コンテンツビューアー
証拠をダウンロード: データ分類コンテンツダウンロード

アクティビティエクスプローラーを使用して証拠をプレビューする

次の手順を使用して、アクティビティエクスプローラーで証拠をプレビューします。

Microsoft Purview ポータルにサインインします>データ損失防止>アクティビティエクスプローラー。
[ 日付 ] ドロップダウンを使用して、目的の期間の開始日と終了日を選択します。
結果のリストで、調査するアクティビティの品目をダブルクリックします。
ポップアップウィンドウの [証拠ファイル] の下に、証拠が格納されている Azure BLOB へのリンクが表示されます。
Azure Blob Storage リンクを選択して、一致したファイルを表示します。

Purview ポータルのアラートページを使用して証拠をプレビューする

次の手順を使用して、Microsoft Purview ポータルの [アラート] ページから証拠をプレビューします。

Microsoft Purview ポータルにサインインします>データ損失防止>アラート。
[ 日付 ] ドロップダウンを使用して、目的の期間の開始日と終了日を選択します。
結果のリストで、調査するアクティビティの品目をダブルクリックします。
ポップアップウィンドウで、[ 詳細の表示] を選択します。
[ イベント] タブを選択します。
[ 詳細 ] ウィンドウで、[ ソース] タブを選択します。一致したファイルが表示されます。

注:

一致したファイルが Azure Storage BLOB に既に存在する場合は、ファイルに変更が加えられ、ユーザーがアクションを実行するまで、再度アップロードされません。

既知の問題

デバイスからアップロードできるファイルの最大サイズは 500 MB です。
スキャンしたファイルで Just-In-Time 保護がトリガーされた場合、またはファイルがネットワーク共有に保存されている場合、証拠ファイルは収集されません。
同じプロセス (Office 以外のアプリ) で複数のファイルが開かれ、ポリシーに一致するファイルの 1 つが出力されると、すべてのファイルに対して DLP イベントがトリガーされます。証拠はキャプチャされません。
1 つのファイルで複数のポリシールールが検出された場合、証拠ファイルは、最も制限の厳しいポリシールールが証拠を収集するように構成されている場合にのみ格納されます。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-10-17