エンドポイント データ損失防止について

Microsoft Purview データ損失防止 (DLP) を使用すると、機密性が高いと判断されたアイテムに対して実行されているアクションを監視し、それらのアイテムの意図しない共有を防止できます。

エンドポイントのデータ損失防止 (エンドポイント DLP) は、DLP のアクティビティの監視と保護機能を Windows 10/11、macOS (最新リリースの 3 つのメジャー バージョン) デバイス、および Windows の特定のサーバー バージョンに拡張します。 デバイスが Microsoft Purview ソリューションにオンボードされると、ユーザーが機密性の高いアイテムに対して行っていることに関する情報がアクティビティ エクスプローラーに表示されます。 その後、 DLP ポリシーを使用してこれらのアイテムに保護アクションを適用できます。

エンドポイント DLP によってファイルが分類されるのはいつですか?

エンドポイント DLP は、次の条件でファイルを分類します:

• 作成または変更: ファイルが作成または変更されるたびに、機密情報の種類 (SIT) とラベルが完全にスキャンされます。 その後、ファイルは DLP ポリシーおよびルールとの一致性が評価されます。
• 既に機密扱いされているファイルを読む: 既に分類されているファイルが読み取られる場合、エンドポイント DLP はポリシー、ルール、または SIT に対する変更をチェックします。 DLP 構成に変更がある場合は、ポリシーとルールが再評価されますが、テキストは再抽出されません。

エンドポイント DLP Windows 10/11 および macOS のサポート

エンドポイント DLP を使用すると、Windows Server 2019 以降のバージョンを実行しているデバイスをオンボードできます。

既定では、Windows サーバーの最初のオンボード時には、エンドポイント DLP は有効になっていません。 アクティビティ エクスプローラーでサーバーのエンドポイント DLP イベントを表示するには、まず Windows サーバーのエンドポイント DLP を有効にする必要があります。

適切に構成すると、Windows PC と Windows サーバーの両方に同じデータ損失防止ポリシーを自動的に適用できます。

エンドポイントの DLP ポリシーのスコープ設定

Microsoft Purview データ損失防止 (DLP) ポリシーは、エンドポイント デバイスを含む複数の場所に適用できます。 DLP ポリシーに デバイスの 場所が含まれている場合は、ユーザーとデバイスの両方でポリシーを範囲を設定できます。 DLP ポリシーをエンドポイントに適用するには、ユーザーとデバイスの両方がポリシー スコープに含まれる必要があります。

これにより、誰がどのデバイスからデータにアクセスしているかに基づいて、より正確なデータ保護制御が可能になります。 詳細については、「 デバイスのスコープ」を参照してください。

実装の詳細については、「 デバイス スコープを使用したポリシーの作成」を参照してください。

その他の設定

監視と対処が必要なエンドポイントのアクティビティ

エンドポイント DLP を使用すると、ユーザーが物理的に Windows 10、Windows 11、または macOS デバイスに保存されている機密アイテムに対して行う次の種類のアクティビティを監査および管理できます。

クリップボードにコピーする動作

ルールを [ブロック] または [上書きでブロック] に構成すると、ユーザーがポリシーに一致するファイルのコンテンツに対して [クリップボードにコピー] アクティビティを実行しようとすると、エンド ユーザーは次の構成でこの動作を目にします。

• Word ファイル 123 には、[クリップボードへのコピー] のブロック ルールに一致する機密情報が含まれています。

• Excel ファイル 123 には、クリップボードへのコピーのブロック ルールと一致する機密情報が含まれています。

• PowerPoint ファイル 123 には、クリップボードへのコピーのブロック ルールに一致する機密情報が含まれています。

• Word ファイル 789 には機密情報が含まれていません。

• Excel ファイル 789 には機密情報が含まれていません。

• PowerPoint ファイル 789 には機密情報は含まれていません。

• メモ帳 (または Microsoft Office ベース以外のアプリやプロセス) ファイル XYZ には、クリップボードへのコピーのブロック ルールに一致する機密情報が含まれています。

• メモ帳 (または Microsoft Office ベース以外のアプリやプロセス) ファイル ABC には機密情報が含まれていません。

Endpoint DLP and Unsaved Files

ローカル デバイス上のファイルにデータが保存されない場合、エンドポイント DLP はそれをスキャンまたは分類できません。 たとえば、ユーザーが Word で文書を開き、最初にローカルに保存せずに USB デバイスに直接保存した場合、エンドポイント DLP はそのアクションを検査またはブロックできません。

エンドポイント DLP ポリシーのベスト プラクティス

たとえば、財務部門ユーザーのエンドポイントから、クレジットカード番号を含むすべての項目をブロックしたいとします。 次のようにお勧めします。

• ポリシーを作成し、エンドポイントとそのユーザー グループにスコープを設定します。
• 保護する情報の種類を検出するルールをポリシーに作成します。 この場合は、 コンテンツに含まれる内容 を [機密情報の種類] に設定し、[ クレジット カード] を選択します。
• 各アクティビティのアクションを ［ブロック］ に設定します。

DLP ポリシーの設計の詳細については、「 データ損失防止ポリシーの設計 」を参照してください。

監視対象ファイル

Files monitored via policy

エンドポイント DLP は、Windows 10、11 の次のファイルの種類のポリシーを監視します。

エンドポイント DLP は、macOS の最新の 3 つの主要リリースでこれらのファイルの種類のポリシーを監視します。

これらのファイルの種類は、OCR が有効になっている場合、Windows 10、11、macOS デバイスのポリシー設定から監視できます。

.jpg, .png, .tif, .tiff, .bmp, .jpeg

エンドポイント DLP は、上記の指定された拡張子を持つファイルをスキャンします。 一覧にないファイルを保護または監視する必要がある場合は、[サポートされていないファイル拡張子のみに制限を適用する] 機能を使用します。 この機能と ファイル拡張子の条件の主な 違いは次のとおりです。

• エンドポイント DLP はコンテンツのファイルをスキャンしてファイル 拡張 子の状態であり、イベントまたはアラートで機密情報の種類の値を表示できるようにします。 これに対し、[ サポートされていないファイル拡張子のみに制限を適用 する] 機能は、ファイル コンテンツをスキャンしません。
• ファイル拡張子は、条件によってコンテンツ スキャンがトリガーされ、CPU やメモリなどのより多くのマシン リソースが消費され、一部のファイルの種類でパフォーマンスの問題が発生する可能性があります。 サポートされていないファイル拡張子にのみ制限を適用する機能の詳細については、次のリソースを参照してください。
• エンドポイント データ損失防止がスキャンしないファイルを保護する
• サポートされていないファイルの定義済みセットの共有から保護する

ポリシーの一致に関係なく Files audited

ポリシーの一致が存在しない場合でも、Windows 10、11、macOS の最新の 3 つのメジャー リリースでは、これらのファイルの種類に関するアクティビティを監査できます。

ポリシーの一致からのデータのみを監視する場合は、[データ損失防止] 設定>エンドポイント設定で、[デバイスの [常にファイル アクティビティを監査する] をオフにすることができます。

[デバイスのファイル アクティビティを常に監査する] 設定がオンになっている場合、デバイスがポリシーの対象になっていない場合でも、Word、PowerPoint、Excel、PDF、.csv ファイル上のアクティビティは常に監査されます。

サポートされているすべてのファイルの種類についてアクティビティが監査されるようにするには、カスタム DLP ポリシーを作成します。

エンドポイント DLP は MIME の種類に基づいてアクティビティを監視するため、次のファイルの種類のファイルは、ファイル拡張子が変更されていてもアクティビティがキャプチャされます。

拡張子が他のファイル拡張子に変更された後:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

拡張子がサポートされているファイル拡張子にのみ変更された場合:

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

サポートされていないファイルの種類

エンドポイント DLP は、次のファイルの種類の監視をサポートしていません:

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

エンドポイント DLP との違い

エンドポイント DLP を掘り下げる前に知っておく必要がある追加の概念がいくつかあります。

デバイス管理を有効にする

デバイス管理は、デバイスからテレメトリを収集できる機能です。これは、エンドポイント DLP やインサイダー リスク管理などの Microsoft Purview ソリューションに導入する機能です。 DLP ポリシーの場所として使用するすべてのデバイスをオンボードする必要があります。

オンボードとオフボードは、デバイス管理センターからダウンロードしたスクリプトを使用して処理されます。 デバイス管理センターには、次のデプロイ方法ごとにカスタム スクリプトがあります。

• ローカル スクリプト (最大 10 台のマシン)
• グループ ポリシー
• System Center Configuration Manager （ バージョン 1610以降 ）
• Mobile デバイス管理/Microsoft Intune
• 非永続的マシン用の VDI のオンボードスクリプト

デバイスをオンボードにするには、Microsoft 365 エンドポイント DLPの使用を開始するの手順を使用します。

デバイスを Defender にオンボードすると、DLP にもデバイスがオンボードされます。 そのため、Microsoft Defender for Endpoint を使用してデバイスをオンボードした場合、それらのデバイスはデバイスの一覧に自動的に表示されます。 エンドポイント DLP を使用するには 、デバイスの監視を有効にする だけで済みます。

エンドポイント DLP データの表示

DLP アラート管理ダッシュボードに移動し、Microsoft Defender XDR でデータ損失インシデントを調査するで、エンドポイント デバイスに適用されている DLP ポリシーに関連するアラートを表示できます。

同じダッシュボードで、関連するイベントの詳細を豊富なメタデータと共に表示することもできます

デバイスがオンボードされると、場所としてデバイスを使用する DLP ポリシーを構成し、展開する前でも、監査されたアクティビティに関する情報がアクティビティエクスプローラーに流れます。

エンドポイント DLP は、監査済みアクティビティに関する広範囲にわたる情報を収集します。

たとえば、ファイルがリムーバブル USB メディアにコピーされた場合、アクティビティの詳細に次の属性が表示されます：

• アクティビティの種類
• クライアント IP
• 対象ファイルのパス
• 発生したタイムスタンプ
• ファイル名
• ユーザー
• ファイル拡張子
• ファイル サイズ
• 機密情報の種類（該当する場合）
• sha1 値
• sha256 値
• 以前のファイル名
• 場所
• 親
• FilePath
• ソースの場所の種類
• platform
• デバイス名
• 場所の宛先の種類
• コピーを実行したアプリケーション
• Microsoft Defender for Endpoint デバイス ID (該当する場合)
• リムーバブルメディアデバイスの製造元
• リムーバブルメディアデバイスのモデル
• リムーバブルメディアデバイスのシリアル番号

オンボードされたすべてのデバイスにすべてのエンドポイント ポリシーが存在するのはなぜですか?

1 つのデバイスで複数のユーザー アカウントをサポートできます。 エンドポイント ポリシーはユーザーにスコープが設定されているため、デバイスのユーザーによって、エンドポイントに対するスコープが異なるポリシーを持つ可能性があります。 したがって、アイテムを評価するには、デバイスがすべてのエンドポイント DLP ポリシーにアクセスできる必要があります。 ユーザーがスコープ内にあるかどうかに関係なく、Purview にオンボードされているすべてのデバイスがスキャンされます。

エンドポイント DLP とオフライン デバイス

Windows エンドポイント デバイスがオフラインの場合でも、既存のポリシーは引き続き既存のファイルに適用されます。 さらに、Just-In-Time 保護が有効で "ブロック" モードの場合、オフライン デバイスで新しい ファイル が作成されても、デバイスがデータ分類サービスに接続して評価が完了するまで、ファイルは共有されません。 サーバーで新しい ポリシー が作成されるか、既存のポリシーが変更された場合、それらの変更は、インターネットに再接続するとデバイスで更新されます。

次のユース ケースを検討します。

1. デバイスにプッシュされたポリシーは、デバイスがオフラインになった後でも、既に機密として分類されているファイルに適用され続けます。
2. デバイスがオフラインのときに更新されたポリシーは、そのデバイスにはプッシュされません。 同様に、このようなポリシーは、デバイスがオンラインに戻るまで、そのデバイスには適用されません。 ただし、オフライン デバイスに存在する古いポリシーは引き続き適用されます。 Just-In-Time 保護

通知を表示するように構成されている場合、デバイスがオンラインかどうかに関係なく、DLP ポリシーがトリガーされたときに常に表示されます。

DLP ポリシーは、エンドポイント デバイスと定期的に同期されます。 デバイスがオフラインの場合、ポリシーを同期できません。 この場合、[ デバイス] リスト には、デバイスがサーバー上のポリシーと同期していないことが反映されます。

Just-In-Time 保護

Just-In-Time 保護は、ポリシーの評価が正常に完了するまで、これらの監視対象ファイルに対するエグレス アクティビティをブロックします。

• 評価されたことのない項目。
• 評価版が古くなった項目。 これらは、現在の更新されたクラウド バージョンのポリシーによって再評価されていない、以前に評価された項目です。

Just-In-Time 保護のしくみの詳細については、「Just-In-Time 保護の詳細」と「Microsoft Purview データ損失防止の Just-In-Time 保護の概要」を参照してください。

次の手順

ここまでエンドポイント DLP について学びましたので、次のステップの手順は以下になります：

1. Windows 10 デバイスまたは Windows 11 デバイスを Microsoft Purview にオンボードする概要
2. macOS デバイスを Microsoft Purview にオンボードする概要
3. エンドポイント データ損失防止の設定を構成する
4. エンドポイントのデータ損失防止の使用

関連項目

• Microsoft エンドポイント データ損失防止を開始する
• Microsoft エンドポイント データ損失防止を使用する
• データ損失防止について
• データ セキュリティ調査でエンドポイント DLP の証拠を調査する (プレビュー)
• データ損失防止ポリシーの作成と展開
• Activity Explorer を使い始める
• Microsoft Defender for Endpoint
• インサイダー リスク管理