建立政策來管理檔案活動，實作網路例外

此情境展示了如何在 Microsoft Purview DLP 中使用 基於網路的條件 ，根據使用者存取敏感資料的地點，套用不同的保護措施。 透過定義 VPN 連線及設定 網路例外，該政策根據網路情境調整行動，如稽核或封鎖剪貼簿活動，讓混合工作環境能更精確地控制，同時不統一限制使用者活動。

此情境是針對無限制管理員建立完整目錄政策。

必要條件和假設

這種情況需要你已經有裝置上線並回報到活動檔案總管。 如果您還沒有上線裝置，請參閱 開始使用端點資料外洩防護。

在此情境中，我們定義了混合工作者用來存取組織資源的 VPN 清單。

本文運用您在「設計資料遺失防止政策」中學到的流程，示範如何建立Microsoft Purview 資料外洩防護 (DLP) 政策。 在測試環境中進行這些情境，熟悉政策建立的介面。

重要事項

本文呈現一個假設情境及其假設值。 這只是為了說明用途。 請替換你自己的敏感資訊類型、敏感標籤、發行群組和使用者。

政策如何部署同樣重要的政策設計。 本文 將教你如何運用部署選項，讓保單達成你的目的，同時避免昂貴的業務中斷。

此情境使用 機密敏感標籤 ，因此需要你建立並發布敏感標籤。 若要深入了解，請參閱：

此程序使用假設的分發群組 人力資源 與 Contoso.com 安全團隊的分發群組。

此程序使用警示，詳見： 開始使用資料遺失防範警示

政策意圖聲明與映射

我們 Contoso 希望根據用戶所處的網路環境，控制敏感法律內容的處理方式。 特別是，我們希望根據使用者是透過受信任的企業網路連線，還是混合工作者使用的 VPN 連線，施加不同等級的限制。

為達成此目標，我們將定義已知 VPN 連線，並在 DLP 政策中的 網路例外規則 中使用它們。 這讓我們能執行更嚴格的控管措施——例如透過特定 VPN 連線的用戶以覆蓋封鎖剪貼簿活動，同時在其他情境下則維持較寬鬆的 (僅審計) 行為。 此方法能根據使用者存取敏感資料的方式與地點，提供情境式資料保護。

陳述式 已回答設定問題與設定對應
「我們想根據使用者所連接的網路，實施不同的資料保護控制......」 - 管理範圍：完整目錄
- 監控地點：僅限裝置
- 政策範圍：所有使用者/裝置或目標使用者
「我們想辨識混合工作者使用的VPN連線......」 - 端點設定：使用伺服器位址或網路位址配置 VPN 設定
- 透過 PowerShell 指令收集的資料， (Get-VpnConnection、Get-NetConnectionProfile)
「我們想偵測端點處理的敏感法律內容......」 - 條件： 內容包含 = 可訓練分類器， 法律事務
「我們想控制涉及敏感內容的特定用戶活動......」 - 動作： 審核或限制裝置上的活動
- 活動類型： 所有應用程式的活動檔案
- 特定活動： 複製到剪貼簿 (可擴充至其他功能，如列印或 USB 複製)
「我們希望在正常情況下監控更寬鬆......」 - 預設活動動作：僅對複製到剪貼簿進行稽核
「我們希望用戶透過定義的 VPN 網路連線時，能有更嚴格的管控......」 - 網路例外：選擇 VPN ，並將動作設定為 封鎖並覆寫
- 優先權：VPN 必須在網路例外設定中設為最高優先權
「我們希望在維持問責的同時，支持使用者的生產力......」 - 覆寫功能：使用者在 VPN 條件下被封鎖時可依據理由繼續
「我們希望確保基於網路的規則有正確的優先順序......」 - 設定行為：當正確排序時，VPN 規則優先於企業網路設定
- 注意：「套用於所有活動」可能會覆蓋其他特定活動的設定
「我們想在全面執法前安全地測試政策行為......」 - 政策模式： 在模擬模式下執行
- 使用者體驗：在 模擬模式下顯示政策提示
「我們希望透過監控和測試來驗證政策行為......」 - 監控：使用 活動總管 檢視政策匹配
- 測試：在不同網路條件下執行剪貼板複製動作 (VPN 與非 VPN)

制定政策的步驟

以下程序將引導您定義 VPN 設定、驗證企業網路連線，並建立基於網路的 DLP 政策。

建立並使用 Network 例外

網路例外允許你根據使用者存取敏感檔案的網路設定允許、僅審核、封鎖並覆寫，以及封鎖行動來處理檔案活動。 你可以從你設定的 VPN 設定 清單中選擇，並使用 企業網路 選項。 這些動作可以單獨或集體應用於以下使用者活動：

  • 複製到剪貼簿
  • 複製到 USB 可拆卸裝置
  • 複製到網路共用
  • 列印
  • 使用不允許的藍牙應用程式複製或移動
  • 使用 RDP 複製或移動

取得伺服器位址或網路位址

請依照以下步驟取得端點 DLP 設定中定義 VPN 條目的伺服器位址或網路位址值。

  1. 在受 DLP 監控的 Windows 裝置上，以管理員身份開啟 Windows PowerShell 視窗。

  2. 執行這個指令小程式：

    Get-VpnConnection

  3. 執行此 cmdlet 會回傳多個欄位和值。

  4. 找到 ServerAddress 欄位並記錄該值。 當你在 VPN 清單中建立 VPN 條目時，就會用到這個功能。

  5. 找到 名字 欄位並記錄該值。 在 VPN 清單中建立 VPN 條目時， 名稱 欄位會對應到 網路位址 欄位。

判斷該裝置是否透過企業網路連接

請依照以下步驟確認該裝置是否已透過企業網路連接。

  1. 在受 DLP 監控的 Windows 裝置上，以管理員身份開啟 Windows PowerShell 視窗。

  2. 執行這個指令小程式：

    Get-NetConnectionProfile

  3. 如果 NetworkCategory 欄位是 DomainAuthenticated，則該裝置連接到企業網路。 如果有其他原因，裝置的連線並非透過企業網路。

新增 VPN

收集伺服器或網路位址後，請依照以下步驟將 VPN 加入端點 DLP 設定。

  1. 登入 Microsoft Purview 入口網站。

  2. 開啟 設定>資料遺失防護>端點設定>VPN 設定。

  3. 選擇 新增或編輯 VPN 位址。

  4. 請提供您在取得伺服器位址或網路位址程序中記錄的伺服器位址或網路位址值。

  5. 選取 [儲存]。

  6. 關閉該物品。

設定政策動作

請依照以下步驟建立 DLP 政策，並設定其網路基礎的檔案控制。

  1. 登入 Microsoft Purview 入口網站。

  2. 開放 資料遺失防止>政策。

  3. 選擇 建立政策

  4. 在 「選擇要保護什麼 」頁面，選擇 「儲存在連接來源的資料」。

  5. 從類別列表中選擇自訂，然後從法規中選擇自訂保單範本。

  6. 請說明你的新保單並提供說明。

  7. 在管理員單位中選擇完整目錄。

  8. 只將位置範圍設為 裝置 。

  9. 制定一條規則，內容如下：

    1. 內容包含以下內容 = 可訓練分類器， 法律事務
    2. 行動 = 審核或限制裝置上的活動
    3. 然後在所有應用程式中選擇「檔案活動」
    4. 選擇 「套用限制於特定活動」
    5. 選擇你想設定 網路例外 的動作。

  10. 選擇複製到剪貼簿，並選擇僅審核

  11. 選擇 「選擇不同的複製到剪貼簿限制」。

  12. 選擇 VPN ，並將動作設定為 封鎖並覆蓋。

    重要事項

    當你想控制使用者透過 VPN 連線時的活動， 必須 選擇 VPN 並將 VPN 設為網路 例外 設定的最高優先權。 否則，若選擇 企業網路 選項，則企業 網路 條目所定義的該動作將被強制執行。

    注意

    「套用至所有活動」選項會複製這裡定義的網路例外，並將其套用到其他設定的特定活動，例如列印和複製到網路共享。 這會覆蓋其他活動的網路例外，最後儲存的設定會勝出。

  13. 存檔。

  14. 接受預設值 在 模擬模式下執行政策 值，並選擇在 模擬模式下顯示政策提示。 選擇 [下一步]。

  15. 檢視你的設定，選擇 提交 ，然後 完成。

  16. 新的DLP政策會出現在政策清單中。

  • 上次更新時間：