Microsoft Defender for Cloud Appsのファイル ポリシー

ファイル ポリシーを使用すると、クラウド プロバイダーの API を使用して、さまざまな自動プロセスを適用できます。 ポリシーを設定すると、継続的なコンプライアンス スキャン、法的電子情報開示タスク、機密コンテンツの DLP (データ損失防止) が公開され、その他の多くのユース ケースが提供されます。 Defender for Cloud Appsは、20 を超えるメタデータ フィルターに基づいて任意のファイルの種類を監視できます。 たとえば、アクセス レベルとファイルの種類などです。

サポートされているファイルの種類

Defender for Cloud Apps エンジンは、Office、Open Office、圧縮ファイル、さまざまなリッチ テキスト形式、XML、HTML など、一般的なファイルの種類 (100 以上) からテキストを抽出することで、コンテンツ検査を実行します。

ポリシー

Defender for Cloud Appsのコンテンツインスペクションエンジンは、各ポリシーの下で3つの側面を統合しています。

• プリセット テンプレートまたはカスタム式に基づくコンテンツ スキャン。

• ユーザー ロール、ファイル メタデータ、共有レベル、組織グループ統合、コラボレーション コンテキスト、その他のカスタマイズ可能な属性などのコンテキスト フィルター。

• ガバナンスと修復のための自動化されたアクション。

  注:

  最初にトリガーされたポリシーのガバナンス アクションのみが適用されていることが保証されます。 たとえば、ファイル ポリシーに秘密度ラベルが適用されている場合、2 つ目のファイル ポリシーでは別の秘密度ラベルを適用できません。

有効にすると、ポリシーはクラウド環境を継続的にスキャンし、コンテンツとコンテキスト フィルターに一致するファイルを識別し、要求された自動アクションを適用します。 ファイル ポリシーは、保管中の情報または新しいコンテンツが作成されたときに違反を検出して修正します。 ポリシーは、リアルタイム アラートまたはコンソール生成レポートを使用して監視できます。

作成できるファイル ポリシーの例を次に示します。

• パブリック共有ファイル - 共有レベルがパブリックであるすべてのファイルを選択して、パブリックに共有されているクラウド内のすべてのファイルに関するアラートを受信します。

• 公開共有されたファイル名に組織名が含まれています - 組織名を含み、公開共有されているファイルがある場合にアラートを受け取ります。 組織の名前を含むファイル名を持ち、公開されているファイルを選択します。

• 外部ドメインとの共有 - 特定の外部ドメイン が所有するアカウントと共有されているファイルに関するアラートを受け取ります。 たとえば、競合他社のドメインと共有されているファイル。 共有を制限する外部ドメインを選択します。

• 直近の一定期間に変更されていない共有ファイルを隔離する - 最近だれにも変更されていない共有ファイルに関するアラートを受信し、それらを隔離するか、自動アクションを有効にすることを選択します。 指定された日付範囲内に変更されなかったすべてのプライベート ファイルを除外します。 Google Workspace では、ポリシー作成ページの [検疫ファイル] チェックボックスを使用して、これらのファイルを検疫することを選択できます。

• 未承認のユーザーとの共有 - organization内の未承認のユーザー グループと共有されているファイルに関するアラートを受け取ります。 共有が許可されていないユーザーを選択します。

• 機密性の高いファイル拡張子 - 高度に公開されている特定の拡張子を持つファイルに関するアラートを受け取ります。 特定の拡張子 (証明書の場合は crt など) またはファイル名を選択し、非公開共有レベルのファイルを除外します。

前提条件

テナントで最初のファイル ポリシーを設定するには、次のものが必要です。

• Microsoft Entra のサービス プリンシパルのアクセス許可。
  サービス プリンシパルの アクセス許可は、ファイル ポリシーがまだ存在しない場合にのみ自動的に付与されます。 最初のファイル ポリシーを作成した後、これらのアクセス許可を必要とせずにさらに作成できます。

新しいファイル ポリシーの作成

新しいファイル ポリシーを作成するには、次の手順に従います。

1. Microsoft Defender ポータルの [Cloud Apps] で、[ポリシー] ->Policy 管理に移動します。 [Information Protection] タブを選択します。

2. [ポリシーの作成] を選択し、[ファイル ポリシー] を選択します。

   

3. ポリシーに名前と説明を付けます。 テンプレートに基づいて作成することもできます。 ポリシー テンプレートの詳細については、「ポリシー を使用してクラウド アプリを制御する」を参照してください。

4. ポリシーの 重大度 をポリシーに割り当てます。 特定のポリシー重大度レベルに基づいて通知を送信するようにDefender for Cloud Appsが構成されている場合、このレベルでは、ポリシーの一致が通知をトリガーするかどうかを決定します。

5. [カテゴリ] を選択し、ポリシーを最も適切なリスクの種類にリンクします。 [カテゴリ] フィールドは情報のみを提供し、リスクの種類に基づいて、後で特定のポリシーとアラートを検索するのに役立ちます。 リスクタイプは、あなたが選択したカテゴリーに応じてすでに事前に選択されている可能性があります。 既定では、ファイル ポリシーは DLP に設定されます。

6. このポリシーが実行するファイルのフィルターを作成して、 検出されたアプリがこのポリシーをトリガーするように設定します。 対象とするファイルの正確なセットに到達するまで、ポリシー フィルターを絞り込みます。 誤検知を避けるために、可能な限り制限してください。 例えば、パブリック権限を削除したい場合は パブリックフィルターを追加 し、外部ユーザーを削除したい場合は アクセスレベル フィルターを使い「 External」を選択し、という具合を挙げます。

   注:

   ファイル ポリシーの 'Contains' フィルターは、単語全体のみを検索します。 これらの単語は、コンマ、ドット、ハイフン、スペースなどの句読点で区切る必要があります。

   • 単語間のスペースまたはハイフンは、OR のように機能します。 たとえば、"マルウェア ウイルス" を検索すると、名前にマルウェアまたはウイルスが含まれるすべてのファイルが検索されるため、malware-virus.exe と virus.exe の両方が検索されます。
   • 文字列を検索する場合は、単語を引用符で囲みます。 この関数は AND と似ています。 たとえば、"マルウェア" "ウイルス" を検索すると、virus-malware-file.exe が見つかりますが、malwarevirusfile.exe が見つからないため、malware.exe が見つかりません。 ただし、正確な文字列を検索します。 "マルウェア ウイルス" を検索すると、"ウイルス" または "ウイルスマルウェア" は見つかりません。\
   • Equals は完全な文字列のみを検索します。 たとえば、malware.exe を検索すると、malware.exe が見つかりますが、malware.exe.txt は見つかりません 。

7. [ 適用先 ] フィルターで、 すべてのファイル、 選択したフォルダーを除くすべてのファイル 、または Box、SharePoint、Dropbox、または OneDrive の 選択したフォルダー を選択します。 [ 適用] 設定を使用すると、アプリ内または特定のフォルダー内のすべてのファイルにファイル ポリシーを適用できます。 その後、クラウド アプリにサインインし、関連するフォルダーを追加するように求められます。

   

8. [ ユーザー グループの選択 ] フィルターで、 すべてのファイル所有者、 選択したユーザー グループのファイル所有者、または選択したグループ を 除くすべてのファイル所有者を選択します。 次に、関連するユーザー グループを選択して、ポリシーに含めるユーザーとグループを決定します。

9. [コンテンツ検査方法] を選択します。 データ分類サービスを使用することをお勧めします。

   コンテンツ検査を有効にすると、プリセット式を使用するか、他のカスタマイズされた式を検索するか選択できます。

   さらに、正規表現を指定して、結果からファイルを除外することもできます。 正規表現除外オプションは、ポリシーから除外する内部分類キーワード標準がある場合に非常に便利です。

   ファイルが違反と見なされる前に、一致させるコンテンツ違反の最小数を設定できます。 たとえば、ファイルの内容に少なくとも 10 個のクレジット カード番号が含まれている場合にアラートを受け取る場合は、10 を選択できます。

   コンテンツが選択した表現と一致すると、違反テキストは「X」文字に置き換えられます。 デフォルトでは、違反はマスクされ、違反の前後に 100 文字を表示するコンテキストで表示されます。 式のコンテキスト内の数値は "#" 文字に置き換えられ、Defender for Cloud Apps 内に保存されることはありません。 違反の最後の 4 文字をマスク解除するオプションを選択すると、違反自体の最後の 4 文字のマスクを解除できます。 正規表現が検索するデータの種類 (コンテンツ、メタデータ、および/またはファイル名) を設定する必要があります。 デフォルトでは、コンテンツとメタデータが検索されます。

10. [アラート] セクション で 、必要に応じて次のいずれかのアクションを構成します。

    • ポリシーの重大度を持つ一致するイベントごとにアラートを作成する
    • 電子メールとしてアラートを送信する
    • ポリシーごとの 1 日あたりのアラートの制限。 ガバナンス アクションは、1 日のアラート制限の影響を受けません。
    • Power Automate にアラートを送信する

11. 一致が検出された場合に Defender for Cloud Apps が実行するガバナンス アクションを選択します。 ガバナンス アクションを設定する場合は、ファイルへのアクセス許可が元に戻せない可能性があるため、注意してください。

12. ポリシーを作成したら、 ファイル ポリシー の種類をフィルター処理して表示できます。 ポリシーの編集、フィルターの調整、自動アクションの変更は常に行うことができます。 ポリシーは作成時に自動的に有効になり、クラウド ファイルのスキャンがすぐに開始されます。 複数の検索フィールドを使用してフィルターを絞り込んで、操作するファイルを取得することをお勧めします。 フィルターは狭いほど良いです。 フィルターの横にある [結果の編集とプレビュー ] ボタンを使用できます。

    

13. ファイル ポリシーの一致を表示するには、[ポリシー] ->[ポリシー管理] に移動します。 ここでは、ポリシーに違反していると疑われるファイルを確認できます。 結果をフィルター処理して、上部の [種類 ] フィルターを使用してファイル ポリシーのみを表示します。 各ポリシーの一致の詳細については、[ カウント ] 列で、ポリシーの 一致 の数を選択します。 または、ポリシーの行の末尾にある 3 つのドットを選択し、[ すべての一致を表示] を選択します。 [ すべての一致を表示] を選択すると、 ファイル ポリシー レポートが開きます。 [ 今すぐ照合 ] タブを選択すると、現在ポリシーに一致するファイルが表示されます。 [ 履歴 ] タブを選択すると、ポリシーに一致した最大 6 か月間のファイルの履歴が表示されます。

ファイルポリシーの制限

• Defender for Cloud Appsでは 50 個のファイル ポリシーに制限されています。

• ファイル ポリシーを作成または編集する場合、または [結果の編集とプレビュー] オプションを使用する場合、パフォーマンスを維持し、システムの過負荷を防ぐためのクエリ サイズの制限があります。 クエリ サイズ エラーが発生した場合は、一度に 1 つのフィルターを削除して問題を特定してみてください。 特に、クエリの制限を超える可能性が高い "everyone" や "外部ユーザーを除くすべてのユーザー" などの広範なグループが含まれている場合は、"コラボレーター" フィルターから開始します。

ファイル ポリシーのベスト プラクティス

Defender for Cloud Appsでファイル ポリシーを作成および管理する場合は、次のベスト プラクティスを使用します。

1. 必要な場合を除き、[ 結果をリセットし、運用環境でアクションを再度適用 する] チェック ボックスを使用してファイル ポリシーをリセットしないようにします。 これにより、ポリシーの対象となるすべてのファイルの完全スキャンが開始され、パフォーマンスに悪影響を与える可能性があります。

2. 特定の親フォルダーとそのサブフォルダー内のファイルにラベルを適用する場合は、[->に適用] オプションを使用します。 次に、各親フォルダーを追加します。

3. 特定のフォルダー (サブフォルダーを除く) 内のファイルにのみラベルを適用する場合は、Equals 演算子を使用してファイル ポリシー フィルター親フォルダーを使用します。

4. 狭いフィルター条件を使用すると (ワイド条件と比較して) ファイル ポリシーが高速になります。

5. 同じサービス (SharePoint、OneDrive、Box など) の複数のファイル ポリシーを 1 つのポリシーに統合します。

6. ( [設定] ページから) ファイルの監視を有効にする場合は、少なくとも 1 つのファイル ポリシーを作成します。 ファイル ポリシーが存在しない場合、または 7 日間連続して無効になっている場合、ファイルの監視は自動的に無効になります。

ファイル ポリシー リファレンス

以下のセクションでは、各ポリシータイプとそれぞれの設定可能なフィールドについて説明します。

ファイル ポリシーは API ベースのポリシーであり、20 を超えるファイル メタデータ フィルター (所有者と共有レベルを含む) とコンテンツ検査の結果を考慮して、クラウド内のorganizationのコンテンツを制御できます。 ポリシーの結果に基づいて、ガバナンス アクションを適用できます。 コンテンツ検査エンジンは、サードパーティの DLP エンジンとマルウェア対策ソリューションを介して拡張できます。

各ポリシーは、次の部分で構成されます。

• ファイル フィルター – メタデータに基づいて詳細な条件を作成できます。

• コンテンツ検査 – DLP エンジンの結果に基づいてポリシーを絞り込めます。 カスタム式またはプリセット式を追加できます。 除外を設定でき、一致件数を選択できます。 匿名化を使用してユーザー名をマスクすることもできます。

• アクション – ポリシーは、違反が見つかったときに自動的に適用できる一連のガバナンス アクションを提供します。 これらのアクションは、コラボレーション アクション、セキュリティ アクション、調査アクションに分割されます。

• 拡張機能 - コンテンツ検査は、強化された DLP またはマルウェア対策機能のためにサード パーティ製エンジンを介して実行できます。

ファイル ポリシーの結果を表示する

Microsoft Defenderポータルのポリシー>ポリシー管理ページにアクセスして、ポリシー違反のファイルを確認してください。

1. Microsoft Defender ポータルの [Cloud Apps] で、[ポリシー] ->[ポリシー管理] に移動し、[情報保護] タブを選択します。

2. ファイル ポリシーごとに、 一致するファイル ポリシー違反を選択して確認できます。

   

3. ファイル自体を選択すると、ファイルに関する情報を取得できます。

   

4. たとえば、[ コラボレーター ] を選択してこのファイルにアクセスできるユーザーを確認したり、[ 一致] を選択して社会保障番号を表示したりできます。

   

ファイル フィルター

ファイル フィルターを使用すると、ファイル ポリシーに特定の条件を適用し、ファイルの種類、アクセス レベル、共有状態などの条件を満たすファイルに焦点を当てます。 ファイル フィルターは、PDF、Office ファイル、RTF、HTML、コード ファイルなどのファイルの種類をサポートします。

以下のファイルフィルターをファイルポリシーに適用できます:

アクセス レベル – 共有アクセス レベル。パブリック、外部、内部、またはプライベート。

• 内部- [全般設定] で設定した内部ドメイン内のすべてのファイル。
• 外部 - 設定した内部ドメイン内にない場所に保存されたすべてのファイル。
• 共有 - 共有レベルがプライベートより上のファイル。 共有には、次のものが含まれます。
  • 内部共有 - 内部ドメイン内で共有されたファイル。
  • 外部共有 - 内部ドメインとして一覧に含まれていないドメイン内で共有されているファイル。
  • Public with a link (リンクによる公開) - リンクによって誰とでも共有できるファイル。
  • パブリック - インターネット検索で見つけられるファイル。

• アプリ – これらのアプリ内のファイルのみを検索します。

• コラボレーター – 特定のコラボレーターまたはグループを含める/除外します。

• Any from domain – このドメインのユーザーがファイルに直接アクセスできる場合。

• 組織全体 – 組織全体がそのファイルにアクセスできる場合。

• グループ – 特定のグループがファイルにアクセスできる場合。 グループは、Active Directory、クラウド アプリ、またはサービスで手動で作成してインポートできます。

• ユーザー – ファイルにアクセスできる可能性がある特定のユーザー のセット。

• [作成済み ] – ファイルの作成時刻。 フィルターは、前後の日付と日付範囲をサポートします。

• 拡張機能 – 特定のファイル拡張子に焦点を当てます。 たとえば、実行可能ファイルであるすべてのファイル (*.exe)。 このフィルターでは大文字と小文字が区別されます。 OR 句を使用して、1 つ以上の大文字と小文字のバリエーションにフィルターを適用します。

• ファイル ID – 特定のファイル ID を検索します。 ファイル ID は、所有者、場所、または名前に依存することなく、特定の高価値ファイルを追跡できる高度な機能です。

• ファイル名 – クラウド アプリで定義されている名前のファイル名またはサブ文字列。 たとえば、名前にパスワードを含むすべてのファイルなどです。

• 秘密度ラベル - 特定のラベルが設定されているファイルを検索します。 このフィルターがファイル ポリシーで使用されている場合、ポリシーは Microsoft Office ファイルにのみ適用され、他のファイルの種類は無視されます。 ラベルには、次のものが含まれます。

  • Microsoft Purview Information Protection - Microsoft Purview Information Protectionとの統合が必要です。
  • Defender for Cloud Apps - スキャンするファイルに関するより多くの分析情報を提供します。 DEFENDER FOR CLOUD APPS DLP によってスキャンされた各ファイルについて、ファイルが暗号化されているか破損しているために検査がブロックされたかどうかを確認できます。 たとえば、外部で共有されているパスワードで保護されたファイルを警告および検疫するポリシーを設定できます。
    • Azure RMS で暗号化 – Azure RMS による暗号化が設定されているため、内容が検査されなかったファイル。
    • パスワード暗号化 – ユーザーがパスワードで保護されているためにコンテンツが検査されなかったFiles。
    • 破損したファイル – コンテンツを読み取ることができなかったため、コンテンツが検査されなかったFiles。

• ファイルの種類 – Defender for Cloud Appsは、ファイルをスキャンして、真のファイルの種類がサービスから受け取った MIME の種類 (表を参照) と一致するかどうかを判断します。 このスキャンは、データ スキャンに関連するファイル (ドキュメント、画像、プレゼンテーション、スプレッドシート、テキスト、zip/archive ファイル) を対象としています。 フィルターは、ファイル/フォルダーの種類ごとに機能します。 たとえば、 ...であるすべてのフォルダー 、またはすべての スプレッドシート ファイルが ... です。

• ごみ箱内 – ごみ箱 フォルダー内のファイルを除外/含めます。 これらのファイルは引き続き共有され、リスクが発生する可能性があります。 このフィルターは、SharePoint および OneDrive 上のファイルには適用されません。

• 最終更新日 – ファイルの変更時刻。 フィルターでは、日付の前後、日付範囲、および相対時間式がサポートされています。 たとえば、過去 6 か月間に変更されなかったすべてのファイルです。

• 一致するポリシー - アクティブな Defender for Cloud Apps ポリシーに一致するファイル。

• MIME の種類 – ファイル多目的インターネット メール拡張子 (MIME) の種類チェック。 無料のテキストを受け入れます。

• 所有者 - 特定のファイル所有者を含める/除外します。 たとえば、 rogue_employee_#100 で共有されているすべてのファイルを追跡します。

• 所有者 OU – 特定の組織単位に属するファイル所有者を含めるか除外します。 たとえば、 EMEA_marketingによって共有されるファイルを除くすべてのパブリック ファイルです。 Google ドライブに保存されているファイルにのみ適用されます。

• 親フォルダー – 特定のフォルダーを含めるか除外します (サブフォルダーには適用されません)。 例えば、指定されたフォルダ内のファイルを除き、すべての公開共有ファイルです。

  注:

  Defender for Cloud Appsは、ファイル アクティビティが発生した後にのみ新しい SharePoint フォルダーと OneDrive フォルダーを検出します。

• 検疫済み – サービスによって検疫されたファイルの場合。 たとえば、検疫されているすべてのファイルを表示します。

ファイルの承認

Defender for Cloud Appsファイルがマルウェアや DLP のリスクを伴うものとして識別された後、ファイルを調査することをお勧めします。 ファイルが安全と判断した場合は、ファイルを承認できます。 ファイルを承認すると、マルウェア検出レポートから削除され、このファイルの将来の一致が抑制されます。

ファイルを承認するには

ファイルを承認するには、以下の手順を踏みます。

1. Microsoft Defender ポータルの [Cloud Apps] で、[ポリシー] ->[ポリシー管理] を選択します。 [情報保護] タブを選択します。

2. ポリシーの一覧で、調査をトリガーしたポリシーが表示される行の [ カウント ] 列で、 一致 するリンクを選択します。

   ヒント

   種類別にポリシーの一覧をフィルター処理できます。 次の表に、使用するフィルターの種類をリスクの種類ごとに示します。

   リスクの種類	フィルターの種類
   DLP	ファイル ポリシー
   マルウェア	マルウェア検出ポリシー

3. 一致したファイルの一覧で、調査中のファイルが表示される行で、[✓ to Authorize]\(承認\) を選択します。

ファイルドロワーの使用

各ファイルの詳細を表示するには、ファイル ログでファイル自体を選択します。 ファイルを選択すると、 ファイル ドロワー が開き、ファイルに対して次の操作を実行できます。

• URL - ファイルの場所に移動します。
• ファイル識別子 - ファイル ID や暗号化キーなど、ファイルに関する生データの詳細が表示されたポップアップが開きます。
• 所有者 - このファイルの所有者のユーザー ページを表示します。
• 一致したポリシー - ファイルが一致したポリシーの一覧を表示します。
• 秘密度ラベル - このファイルにあるMicrosoft Purview Information Protectionの秘密度ラベルの一覧を表示します。 その後、このラベルに一致するすべてのファイルでフィルター処理できます。

ファイル ドロワーのフィールドには、ファイルへのコンテキスト リンクと、ドロワーから直接実行する必要があるドリル ダウンが用意されています。 たとえば、[ 所有者 ] フィールドの横にカーソルを移動すると、[フィルターに追加] アイコンを使用して できます。所有者を現在のページのフィルターにすぐに追加できます。 ポップアップ表示されるフィールドの設定の歯車アイコン を使用して、秘密度ラベル など、いずれかのフィールドの構成を変更するために必要な設定ページに直接移動することもできます。

使用できるガバナンス アクションの一覧については、「 ファイル ガバナンス アクション」を参照してください。

次の手順

問題が発生した場合は、こちらにお問い合わせください。 製品の問題に関するサポートを受ける場合は、サポート チケットを開いてください。