Samouczek: konfigurowanie zasad zawartości

Filtrowanie zawartości sieciowej w Microsoft Entra Internet Access umożliwia administratorom używanie zasad zawartości w celu zapobiegania transportowi określonych typów plików za pośrednictwem sieci. Ta funkcja pomaga chronić poufne dane, blokując przekazywanie i pobieranie niektórych formatów plików (takich jak .doc, .docx, .pdfi .zip) do i z aplikacji internetowych, takich jak ChatGPT, Gmail i aplikacje do udostępniania plików. Może również używać Microsoft Purview do skanowania plików i stosowania zasad na poziomie sieci na podstawie etykiet poufności dokumentów.

W tym poradniku nauczysz się, jak:

  • Utwórz zasady zawartości, aby zablokować przekazywanie określonych typów plików.
  • Połącz zasady zawartości z profilem zabezpieczeń.
  • Sprawdź, czy blokowanie przekazywania plików działa zgodnie z oczekiwaniami.

Kluczowe pojęcia

Dlaczego zasady zawartości są krytyczne?

Zasady zawartości dotyczą kluczowego wektora eksfiltracji danych, czyli użytkowników, którzy celowo lub przypadkowo przekazują poufne pliki do nieautoryzowanych miejsc docelowych.

Scenariusz zagrożenia Przykład Rozwiązanie zasad zawartości
Wyciek danych sztucznej inteligencji w tle Pracownik wkleja poufny kontrakt do chatGPT. Blokuj przekazywanie dokumentów do *.oaiusercontent.com.
Eksfiltracja osobistej poczty e-mail Pracownik wysyła bazę danych klientów na osobistego Gmaila. Blokuj ładowanie do mail.google.com.
Nieautoryzowany magazyn w chmurze Pracownik synchronizuje pliki służbowe z osobistym Dropbox. Blokuj przesyłanie do *.dropbox.com.
Zagrożenie wewnętrzne Złośliwy pracownik pobiera poufne pliki przed opuszczeniem. Blokuj pobieranie określonych typów plików.

Jak działają zasady zawartości z inspekcją protokołu TLS

User attempts upload     GSA client      SSE with TLS inspection     Destination
         │                    │                     │                      │
         │  Upload file.pdf   │                     │                      │
         ├───────────────────>│                     │                      │
         │                    │  Tunnel traffic     │                      │
         │                    ├────────────────────>│                      │
         │                    │                     │  Decrypt & inspect   │
         │                    │                     │  ┌───────────────┐   │
         │                    │                     │  │ File type: PDF│   │
         │                    │                     │  │ Action: Upload│   │
         │                    │                     │  │ Dest: chatgpt │   │
         │                    │                     │  │ → BLOCK       │   │
         │                    │                     │  └───────────────┘   │
         │    Block message   │                     │                      │
         │<───────────────────┤                     │                      │

Zasady zawartości wymagają włączenia inspekcji protokołu Transport Layer Security (TLS). Usługa zabezpieczeń Edge (SSE) nie może wykryć typów plików w zaszyfrowanych przekazach, chyba że ruch zostanie odszyfrowany.

Przykładowe filmy instruktażowe

W poniższym filmie wideo pokazano, jak skonfigurować zasady zawartości.

Krok 1. Tworzenie zasad zawartości

  1. W Microsoft Entra admin center przejdź do Global Secure Access>Secure>Content policies.

  2. Wybierz Utwórz politykę.

  3. Wprowadź nazwę i opis zasad. Wybierz Dalej.

  4. Wybierz Dodaj regułę.

  5. Podaj poniższe informacje:

    • Nazwa reguły: Blokuj przesyłanie do ChatGPT i Gmail.
    • Opis: Wprowadź opis (opcjonalnie).
    • Priorytet: Wybierz pozycję 120.
    • Stan: Wybierz pozycję Włączone.
    • Działania: Wybierz pozycję Blokuj.
    • Działania: Zaznacz pole wyboru Przekaż.
    • Typy zawartości: Zaznacz pola wyboru dla Word (97-2003), Dokument programu Word i PDF.

  6. Wybierz pozycję Dodaj miejsce docelowe, wybierz nazwę FQDN, a następnie wprowadź następujące w pełni kwalifikowane nazwy domen ( FQDN):

    • *.oaiusercontent.com
    • mail.google.com
    • clients6.google.com
    • *.clients6.google.com

  7. Wybierz opcję Dodaj.

  8. Wybierz pozycję Dodaj miejsce docelowe, a następnie wybierz pozycję Adres URL i wprowadź następujące adresy URL:

    • https://chatgpt.com/backend-api/files
    • https://chatgpt.com/backend-api/files/process_upload_stream

    Zrzut ekranu przedstawiający konfigurację reguły zasad zawartości.

    Uwaga / Notatka

    Aplikacje mogą używać wielu adresów URL i w pełni kwalifikowanych nazw domen (FQDN) w tle podczas interakcji z nimi. W tym przykładzie ChatGPT używa *.oaiusercontent.com, a Gmail używa mail.google.com. Jeśli nie widzisz zastosowanych zasad zawartości, zapoznaj się z narzędziami deweloperskimi, aby potwierdzić, które adresy URL i nazwy FQDN są używane przez aplikację.

  9. Wybierz opcję Zapisz.

  10. Wybierz pozycję Dalej, a następnie wybierz pozycję Utwórz.

  1. Po utworzeniu zasad przejdź do Globalny bezpieczny dostęp>Profile zabezpieczeń>.
  2. Wybierz istniejący profil zabezpieczeń z poprzedniego samouczka.
  3. Przejdź do okienka Zasady linkowania.
  4. Wybierz pozycję Połącz zasady, a następnie wybierz pozycję Istniejące zasady zawartości.
  5. Wybierz utworzone zasady zawartości i wybierz pozycję Dodaj.

Uwaga / Notatka

Sprawdź, czy profil zabezpieczeń jest przypisany do zasad Microsoft Entra Conditional Access.

Krok 3. Weryfikowanie blokowania przekazywania i pobierania plików

  1. Na urządzeniu testowym otwórz przeglądarkę, przejdź do www.chatgpt.comstrony i zaloguj się przy użyciu wybranego konta.

  2. Spróbuj przesłać do ChatGPT dokument PDF lub Word i sprawdzić, czy przesyłanie się nie powiedzie.

  3. Przejdź do mail.google.comstrony i zaloguj się przy użyciu konta Google.

  4. Spróbuj przesłać dokument PDF lub Word do Gmaila i sprawdzić, czy przesłanie się nie uda.

    Zrzut ekranu przedstawiający zablokowaną próbę przekazania pliku.

Znane ograniczenia

Zapoznaj się z oficjalną dokumentacją, aby uzyskać listę znanych ograniczeń.

Czego się nauczyłeś

W tym samouczku wykonałeś następujące zadania:

  • Utworzono zasady zawartości, aby zapobiec eksfiltracji danych: Zablokowano przekazywanie określonych typów dokumentów do narzędzi sztucznej inteligencji i osobistej poczty e-mail, co dotyczy kluczowego wektora utraty danych.
  • Odnajdywanie FQDN dla aplikacji, które zrozumiałeś: Wiesz już, że aplikacje internetowe często używają wielu adresów URL zaplecza, takich jak *.oaiusercontent.com ChatGPT.
  • Połączone zasady zawartości z profilami zabezpieczeń: Wiesz już, że zasady zawartości są zgodne z tym samym modelem profilu zabezpieczeń, którego można użyć do kierowania określonych użytkowników za pośrednictwem dostępu warunkowego.
  • Połączone mechanizmy kontroli zabezpieczeń: W tym samouczku pokazano, jak zasady zawartości działają obok filtrowania zawartości internetowej, inspekcji TLS i analizy zagrożeń jako część kompleksowej strategii zabezpieczeń.

Identyfikowanie nazw FQDN aplikacji

Podczas konfigurowania zasad zawartości należy znać rzeczywiste nazwy FQDN używane przez aplikacje.

Aby odnaleźć FQDN, naciśnij F12, aby otworzyć narzędzia deweloperskie przeglądarki.

  1. Otwórz kartę Sieć.
  2. Przekaż plik do aplikacji docelowej.
  3. Poszukaj żądań POST z zawartością pliku.

Użyj funkcji odnajdywania aplikacji, aby określić, które aplikacje są używane, a następnie utworzyć docelowe zasady zawartości:

1. Discover shadow AI apps.
        ↓
2. Assess risk scores.
        ↓
3. Decide to block entirely or allow with content restrictions.
        ↓
4. Create content policy if allowing with restrictions.

Najlepsze rozwiązania

  • Zacznij od blokowania przesyłania do aplikacji sztucznej inteligencji wysokiego ryzyka (lub wszystkich aplikacji sztucznej inteligencji z autoryzowanymi wyjątkami).
  • Rozważ zablokowanie zarówno przekazywania, jak i pobierania w celu zapewnienia maksymalnej ochrony.
  • Przetestuj zasady z grupą pilotażową przed szerokim wdrożeniem.
  • Przekazywanie zmian użytkownikom w celu uniknięcia nieporozumień.

Treści powiązane

Aby uzyskać więcej informacji, zobacz następujące zasoby:

  • Ostatnia aktualizacja o