了解端點資料外洩防護

您可以使用 Microsoft Purview 資料外洩防護 (DLP) 來監視對您認為為敏感的項目採取的動作，並協助防止這些項目意外共用。

端點資料外洩防護 (端點 DLP) 將 DLP 的活動監視和保護功能延伸至 Windows 10/11、macOS (三個最新發行的主要版本) 裝置，以及 Windows 特定伺服器版本。 一旦裝置上線至 Microsoft Purview 解決方案，有關使用者對敏感性項目執行之作業的資訊就會顯示在 活動總管中。 然後，您可以透過 DLP 原則對這些項目強制執行保護動作。

端點 DLP 何時會將檔案分類？

端點 DLP 會在下列情況下分類檔案：

• 建立或修改： 每次建立或修改檔案時，都會對其進行全面掃描，以尋找敏感資訊類型 (SIT) 和標籤。 然後會評估檔案是否符合 DLP 原則和規則。
• 讀取已分類的檔案： 讀取已分類的檔案時，端點 DLP 會檢查原則、規則或 SIT 是否有任何變更。 如果 DLP 設定有所變更，它會重新評估原則和規則，但不會重新擷取文字。

端點 DLP Windows 10/11 和 macOS 支援

端點 DLP 可讓您上線執行 Windows Server 2019 和更新版本的裝置。

根據預設，Windows 伺服器一開始上線時，不會啟用端點 DLP。 您必須先 啟用 Windows Server 的端點 DLP，才能在活動總管中查看伺服器的端點 DLP 事件。

正確設定之後，相同的資料外洩防護原則可以自動套用至 Windows 電腦和 Windows 伺服器。

設定端點的 DLP 原則範圍

Microsoft Purview 資料外洩防護 (DLP) 原則可以套用至多個位置，包括端點裝置。 當 DLP 原則包含 裝置 位置時，原則的範圍可由使用者和裝置設定。 若要在端點上強制執行 DLP 原則，使用者和裝置都必須包含在原則範圍內。

這可以根據誰正在存取資料以及從哪個裝置進行更精確的資料保護控制。 如需詳細資訊，請參閱 裝置範圍設定。

如需實作的詳細資訊，請參閱 使用裝置範圍建立原則。

其他設定

您可以監視和採取動作的端點活動

端點 DLP 可讓您審核及管理下列類型的活動，使用者可以對實際儲存 Windows 10、Windows 11 或 macOS 裝置的敏感專案採取這些動作。

複製到剪貼簿行為

當您將規則設定為 [封鎖] 或 [包含覆寫封鎖] 時，當使用者嘗試對符合原則的檔案中的內容進行 [複製到剪貼簿] 活動時，使用者會在下列設定中看到此行為：

• Word 檔案 123 包含符合「複製到剪貼簿封鎖」規則的敏感性資訊。

• Excel 檔案 123 包含符合「複製到剪貼簿封鎖」規則的敏感性資訊。

• PowerPoint 檔案 123 包含符合「複製到剪貼簿封鎖」規則的敏感性資訊。

• Word 檔案 789 不包含敏感性資訊。

• Excel 檔案 789 不包含敏感性資訊。

• PowerPoint 檔案 789 不包含敏感性資訊。

• 記事本 (或任何非 Microsoft Office 應用程式或程序) 檔案 XYZ 包含符合「複製到剪貼簿封鎖」規則的敏感性資訊。

• 記事本 (或任何非 Microsoft Office 應用程式或程序) 檔案 ABC 不包含敏感性資訊。

端點 DLP 和未儲存的Files

如果資料從未儲存到本機裝置上的檔案，端點 DLP 無法對其進行掃描或分類。 例如，如果使用者在 Word 中開啟文件，並直接儲存到 USB 裝置，而未先將其儲存在本機，則端點 DLP 無法檢查或封鎖該動作。

端點 DLP 原則的最佳做法

假設您想要封鎖所有包含信用卡號碼的項目，使其無法離開財務部門使用者的端點。 我們建議：

• 建立原則，並將其範圍設定為端點和該使用者群組。
• 在原則中建立規則，偵測您想要保護的資訊類型。 在此情況下，請將 內容包含 設定為 [敏感性資訊類型*]，然後選取 [信用卡]。
• 將每個活動的動作設定為 [封鎖]。

如需設計 DLP 原則的詳細資訊，請參閱 設計資料外洩防護原則 。

受監視的檔案

透過原則監視的Files

端點 DLP 會監視 Windows 10、11 中的下列檔案類型原則：

端點 DLP 會監視 macOS 最新三個主要版本中的下列檔案類型原則：

如果已啟用 OCR，則可以透過 Windows 10、11 和 macOS 裝置中的原則設定來監視這些檔案類型：

.jpg, .png, .tif, .tiff, .bmp, .jpeg

端點 DLP 會掃描具有上述特定副檔名的檔案。 如果您需要保護或監視未列出的檔案，請使用「將限制套用至只支援不支援的副檔名」功能。 此功能與 副檔名 is condition 之間的 主要差異如下：

• 端點 DLP 會掃描內容的副 檔名是 條件，讓您在事件或警示中查看敏感資訊類型值。 相對地， [僅將限制套用至不支援的副檔名 ] 功能則不會掃描檔案內容。
• 副檔名是條件觸發內容掃描，這可能會消耗較高的電腦資源，例如 CPU 和記憶體，可能導致某些檔案類型的效能問題。 如需 [將限制套用至不支援的副檔名 ] 功能的詳細資訊，請參閱下列資源：
• 協助保護端點資料外洩防護未掃描的檔案
• 協助防止共用一組已定義的不受支援檔案

Files audited regardless policy match

即使不存在原則相符項目，也可以對 Windows 10、11 和最新三個主要版本的 macOS 中的這些檔案類型進行稽核活動：

如果您只想要監視原則相符的資料，可以在 [資料外洩防護] 設定>的端點設定中，關閉裝置的 [永遠稽核檔案活動]。

如果 [一律稽核裝置的檔案活動] 設定已開啟，則一律會稽核任何 Word、PowerPoint、Excel、PDF 和 .csv 檔案上的活動，即使裝置不受任何原則的針對。

為了確保針對所有支援的檔案類型進行審核活動，請建立 自訂的 DLP 原則。

端點 DLP 會根據 MIME 類型監視活動，因此即使副檔名已變更，也會針對下列檔案類型擷取活動：

將副檔名變更為任何其他副檔名之後：

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

如果副檔名僅變更為支援的副檔名：

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

不支援的檔案類型

端點 DLP 不支援監視下列檔案類型：

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

端點 DLP 有何不同

在您深入了解端點 DLP 之前，您必須先注意一些額外的概念。

啟用裝置管理

[裝置管理] 是一種能夠從裝置收集遙測資訊，並將之引入 Microsoft Purview 解決方案 (例如端點 DLP 和 內部風險管理) 中的功能。 您需要將所有想要在 DLP 原則中用作位置的裝置上線。

上線和離線是透過您從裝置管理中心下載的指令碼來處理。 裝置管理中心具有下列每個部署方法的自訂指令碼：

• 本機指令碼 (最多 10 部電腦)
• 群組原則
• 系統中心設定管理 (版本 1610 或更新版本)
• 行動裝置管理 / Microsoft Intune
• 非持久電腦的 VDI 登入腳本

使用 開始使用 Microsoft 365 端點 DLP 的程式以登入程式。

將裝置上線至 Defender 也會讓裝置上線至 DLP。 因此，如果您已透過 適用於端點的 Microsoft Defender 上線裝置，這些裝置會自動顯示在裝置清單中。 您只需要 開啟裝置監視， 即可使用端點 DLP。

查看端點 DLP 資料

您可以透過移至 DLP 警示管理儀表板和使用 Microsoft Defender 全面偵測回應調查資料遺失事件，來檢視與端點裝置上強制執行的 DLP 原則相關的警示。

您也可以在同一個儀表板中檢視相關聯事件的詳細資料，以及豐富的中繼資料

當裝置登入時，在您設定並部署任何被裝置視為位置的 DLP 原則之前，稽核活動的相關資訊便會導入 [活動總管]。

在稽核活動中，端點 DLP 會收集大量資訊。

例如，如果將檔案複製到可移動 USB 媒體，您會在活動詳細資料中看到下列屬性：

• 活動類型
• 用戶端 IP
• 目標檔案路徑
• 時間戳記
• 檔案名稱
• 使用者
• 檔案副檔名
• 檔案大小
• 敏感資訊類型 (若適用)
• sha1 值
• sha256 值
• 上一個檔案名稱
• 位置
• 母
• 檔案路徑
• 來源位置類型
• 平台
• 裝置名稱
• 目的地位置類型
• 執行複製的應用程式
• 適用於端點的 Microsoft Defender 裝置識別碼 (如果適用)
• 可移除式媒體裝置製造商
• 可移除式裝置模型
• 可移除式裝置序號

為什麼所有上線裝置上都有所有端點原則？

一部裝置可支援多個使用者帳戶。 由於端點原則的範圍限定為使用者，因此裝置的不同使用者可能會有不同的原則範圍。 因此，裝置必須能夠存取所有端點 DLP 原則，才能評估項目。 不論使用者是否在範圍內，都會掃描所有上線到 Purview 的裝置。

端點 DLP 和離線裝置

當 Windows 端點裝置離線時，現有原則會繼續對現有檔案強制執行。 此外，在啟用 Just-In-Time 保護且處於「封鎖」模式的情況下，當您在離線裝置上建立新 檔案 時，在裝置連線到資料分類服務並完成評估之前，仍會禁止共用該檔案。 如果在伺服器上建立新 原則 ，或修改現有原則，只要裝置重新連線到網際網路，就會在裝置上更新這些變更。

請考慮下列使用案例。

1. 推送到裝置的原則會繼續套用至已分類為機密的檔案，即使該裝置離線後也是如此。
2. 裝置離線時更新的原則不會推送到該裝置。 同樣地，在裝置重新上線之前，不會在該裝置上強制執行這類原則。 不過，系統仍會強制執行離線裝置上存在的過時原則。 即時保護

如果將通知設定為顯示，則無論裝置是否在線上，DLP 原則觸發時一律會顯示通知。

DLP 原則會定期同步到端點裝置。 如果裝置離線，就無法同步原則。 在此情況下， [裝置] 清單 會反映裝置與伺服器上的原則不同步。

即時保護

即時保護會封鎖這些受監視檔案上的輸出活動，直到原則評估成功完成為止：

• 從未評估過的項目。
• 評估已過時的項目。 這些是先前評估的項目，尚未由目前更新的雲端版本原則重新評估。

如需 Just-In-Time 保護運作方式的詳細資訊，請參閱瞭解 Just-In-Time 保護，以及開始使用 Microsoft Purview 資料外洩防護 Just-In-Time 保護。

後續步驟

現在您已經瞭解了端點 DLP，接下來的步驟如下：

1. 將 Windows 10 或 Windows 11 裝置上線到 Microsoft Purview 概觀
2. 將 macOS 裝置上線到 Microsoft Purview 概觀
3. 設定端點資料外洩防護設定
4. 使用端點資料外洩防護

另請參閱

• Microsoft 端點資料外洩防護快速入門

• 使用 Microsoft 端點資料外洩防護

• 深入了解資料外洩防護

• 調查資料安全性調查中的端點 DLP 證據

• 建立和部署資料外洩防護原則

• 開始使用活動總管

• 適用於端點的 Microsoft Defender

• 內部風險管理