開始收集裝置中符合資料外洩防護原則的檔案

本文會逐步引導您完成裝置上檔案活動證據收集的必要條件和設定步驟，並介紹如何檢視複製和儲存的項目。

以下是設定及使用裝置上檔案活動證據收集的高階步驟。

1. 將裝置上線
2. 了解您的需求
3. 建立受管理的 Azure 儲存體帳戶
4. 將 Azure 儲存體 Blob 新增至您的帳戶
5. 在由 Microsoft 管理的儲存體帳戶上啟用和設定證據收集
6. 設定您的 DLP 原則
7. 檢視 Microsoft 受管理儲存空間的使用量

開始之前

開始這些程序之前，您應該先檢閱 瞭解裝置上檔案活動的證據收集。

證據收集的授權需求

如需授權相關資訊，請參閱

• Microsoft 365 企業版方案
• Microsoft 365 服務說明

請參閱建立自訂角色型存取控制 (RBAC) 所需的 Microsoft Entra ID P1 或 P2 的必要條件授權需求。

權限

需要 Standard Microsoft Purview 資料外洩防護 (DLP) 權限。 如需詳細資訊，請參閱＜權限＞。

預覽或下載辨識項的權限

當您想要預覽或下載辨識項時，使用的帳戶必須具備下列角色：

• 預覽證據： 資料分類 內容檢視器
• 下載辨識項： 資料分類內容下載

資料分類內容下載角色已預先指派給下列內建角色群組：

• 資料安全性管理
• 資訊保護
• 資訊保護調查人員

如果您需要管理使用者、角色和角色群組，請參閱 Microsoft Purview 入口網站中的權限。

將裝置上線

您必須先將 Windows 10/11 裝置或 macOS 裝置 (預覽) 上線到 Purview，才能使用複製相符項目上線至 Purview，請參閱將 Windows 裝置上線至 Microsoft 365 概觀。

了解您的需求

在設定 Azure 儲存空間並將功能範圍設定為使用者之前，您應該有下列問題的答案。

您是否需要按角色或部門線劃分項目和訪問？

例如，如果您的組織想要有一組系統管理員或 DLP 事件調查員來檢視您高階領導的已儲存檔案，以及另一組系統管理員或 DLP 事件調查員用於管理已儲存的人力資源項目，您應該為組織的高級領導建立一個 Azure 儲存帳戶，另一個帳戶屬於人力資源部門。 這可確保 Azure 儲存體系統管理員或 DLP 事件調查者只能看到其各自群組中符合 DLP 原則的項目。

是否要使用容器來整理已儲存的項目？

您可以在相同的儲存體帳戶內建立多個辨識項容器，以排序已儲存的檔案。 例如，一個用於人力資源部門儲存的文件，另一個用於 IT 部門的檔案。

防止已儲存項目刪除或修改的策略是什麼？

在 Azure 儲存體中，資料保護是指保護儲存體帳戶及其中的資料免於刪除或修改，以及在刪除或修改資料後還原資料的策略。 Azure 儲存體也提供災害復原選項，包括多重備援，以保護您的資料免於因硬體問題或自然災害而導致服務中斷。 如果主要區域中的資料中心變得無法使用，它也可以使用客戶管理的容錯移轉來保護您的資料。 如需詳細資訊，請參閱 資料保護概觀。

您也可以為 Blob 資料設定不變性原則，以防止已儲存的項目被覆寫或刪除。 如需詳細資訊，請參閱使用 固定儲存體儲存業務關鍵 Blob 資料

支援儲存及預覽辨識項的檔案類型

下表顯示哪些檔案類型可以儲存並預覽為證據。

將相符項目儲存至您偏好的儲存空間

若要儲存 Microsoft Purview 偵測到何時套用資料外洩防護原則的證據，您必須設定儲存空間。 有兩種方法可以設定證據收集的儲存空間：

1. 建立客戶管理的儲存裝置
2. 建立 Microsoft 受管理的儲存空間

如需詳細資訊及這兩種儲存體類型的比較，請參閱 偵測 到敏感性資訊時儲存證據。

建立客戶管理的儲存裝置

設定 Azure 儲存體帳戶、容器和 Blob 的程式記錄於 Azure Blob 儲存體文件中。 以下是相關文章的連結，您可以參考以幫助您開始：

1. Azure Blob 儲存體簡介
2. 建立儲存體帳戶
3. 預設並授權使用 Microsoft Entra ID 存取 Blob
4. 使用 Azure 入口網站管理 Blob 容器
5. 使用 PowerShell 管理區塊 Blob

請務必儲存 Azure Blob 容器的名稱和 URL。 若要檢視 URL，請開啟 Azure 儲存入口網站 >居家儲存>體帳戶>容器>屬性

Azure Blob 容器 URL 的格式為：https://storageAccountName.blob.core.windows.net/containerName。

將 Azure 儲存體 Blob 新增至您的帳戶

有幾種方法可以將 Azure 儲存體 Blob 新增至您的帳戶。 選擇下列 其中一種 方法。

1. 登入 Microsoft Purview 入口網站，然後選擇功能表列中的 [設定 ] 齒輪。
2. 選擇 [資料外洩防護]。
3. 選取 端點 DLP 設定。
4. 展開 裝置上檔案活動的設定證據收集。
5. 將切換從 關閉 變更為 開啟。
6. 在 [ 在裝置上設定辨識項快取 ] 欄位中，選取裝置離線時應將辨識項儲存在本機的時間量。 您可以選擇 7、 30 或 60 天。
7. (客戶受控存放區或受控存放區) 選取儲存Microsoft類型，然後選取 [+ 新增儲存空間]。
   1. 對於 客戶管理的儲存空間：
      1. 選擇 客戶受控存放區：然後選擇 + 新增儲存空間。
      2. 輸入、為帳戶命名，並輸入儲存體 Blob 的 URL 。
      3. 選擇 [儲存]。
   2. 針對 Microsoft 管理的儲存裝置：
      1. 選擇 Microsoft 受控商店

若要使用 Microsoft Purview 入口網站中的 DLP 原則建立工作流程新增 Azure Blob 儲存體：

1. 登入 Microsoft Purview 入口網站，然後選擇 [資料外洩防護]。
2. 依照步驟建立新原則。
3. 在 [位置 ] 步驟中，確定只選取了 [ 裝置 ] 位置，然後選擇 [下一步]。
4. 在 [原則設定] 步驟中，選取 [建立或自訂進階 DLP 規則]。
5. 選取 [+建立規則]，並以您選擇的值新增 [條件]、[動作]、[使用者通知] 和 [使用者覆寫]。
6. 在 [事件報告] 區段中，[ 當規則相符時傳送警示給系統管理員 ] 切換依預設應為 [開啟 ]。 (如果不是，請將其開啟。)
7. 選取 [收集原始檔案] 旁的核取方塊，作為端點上所有選取檔案活動的證據。
8. 選取您要收集證據的活動。
9. 選取核取方塊項目旁的 [新增儲存空間 ]。
10. 在 [端點 DLP 設定 ] 頁面上，展開 [為裝置上的檔案活動設定證據收集 ]，並確保此選項已切換為 [開啟]。

設定 Azure Blob 儲存體的權限

使用 Microsoft Entra 授權時，您必須設定兩組權限 () 在 Blob 上的角色群組：

1. 一個供管理員和調查人員查看和管理證據
2. 一個適用於需要從其裝置將項目上傳到 Azure 的使用者

最佳做法是對所有使用者強制執行 最低權限 ，無論角色為何。 透過強制執行最低權限，可確保使用者權限僅限於其角色所需的權限。 若要設定使用者權限，請在適用於 Office 365 和 Microsoft Purview 的 Microsoft Defender 中建立角色和角色群組。

系統管理員和調查人員對 Azure Blob 的權限

建立 DLP 事件調查員的角色群組後，您必須設定下列 調查者動作 和 調查者資料動作 各節中所述的權限。

如需設定 Blob 存取的詳細資訊，請參閱下列文章：

• 如何在 Azure 入口網站中授權對 Blob 資料的存取權
• 指派共用層級權限。

調查員動作

為調查者角色設定以下物件和動作權限：

調查員資料動作

將下列資料動作指派給調查者角色。

調查員角色群組的 JSON 看起來應該像這樣：

"permissions": [
            {
                "actions": [
                 "Microsoft.Storage/storageAccounts/blobServices/read",
                 "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
                ],
                "notDataActions": []
            }
        ]

使用者在 Azure Blob 上的權限

將這些物件和動作權限指派給 Azure Blob 的使用者角色：

使用者動作

將下列物件和動作權限指派給使用者角色。

使用者資料動作

將下列資料動作指派給使用者角色。

使用者角色群組的 JSON 看起來應該像這樣：

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

在由 Microsoft 管理的儲存體帳戶上啟用和設定證據收集

若要從 Microsoft Purview 入口網站內，在由 Microsoft 管理的儲存體帳戶上啟用和設定證據收集：

1. 登入 Microsoft Purview 入口網站> 功能表列中的[設定] 齒輪。
2. 選擇 [資料外洩防護]。
3. 選取 端點 DLP 設定。
4. 展開 裝置上檔案活動的設定證據收集 ，並將切換設為 [開啟]。
5. 在 [選取儲存空間類型] 底下，選擇 [Microsoft 受管理的儲存空間]。

設定您的 DLP 原則

像平常一樣建立 DLP 原則。 如需原則設定範例，請參閱 建立和部署資料外洩防護原則。

使用這些設定來設定您的原則：

• 請確定 [裝置 ] 是唯一選取的位置。
• 在 事件報告中，將 [當 規則相符時傳送警示給系統管理員] 切換為 [開啟]。
• 在 事件報告中，選取 [收集原始檔案] 作為端點上所有選取檔案活動的證據。
• 選取所需的儲存體帳戶。
• 選取您要將相符項目複製到 Azure 儲存體的活動，例如：
  • 受限制的應用程式 (預覽) 的存取權
  • 貼到支援的瀏覽器
  • 上傳至雲端服務網域或存取不允許的瀏覽器
  • 複製到抽取式 USB 裝置
  • 複製到網路共用
  • Print
  • 使用不允許的藍牙應用程式複製或移動
  • 使用 RDP 複製或移動
  • FTP 和 SFTP 傳輸

檢視 Microsoft 受管理儲存空間的使用量

您可以檢視和匯出過去 6 個月的 Microsoft 受管理儲存空間每日使用量。

1. 登入 Microsoft Purview 入口網站> 功能表列中的[設定] 齒輪。
2. 選擇 [資料外洩防護]。
3. 選取 端點 DLP 設定。
4. 展開 裝置上檔案活動的設定證據收集。
5. 按一下 「檢視使用情況」 按鈕，將會開啟面板。 在這裡您可以查看每日使用情況的月度圖表，還可以導出使用數據。

預覽及下載辨識項

根據您選取的儲存類型，有不同的方式可以預覽證據。

透過 [活動總管] 預覽辨識項

使用下列步驟在 [活動總管] 中預覽證據。

1. 登入 Microsoft Purview 入口網站>資料外洩防護>活動總管。
2. 使用 [日期 ] 下拉式清單，選取您感興趣期間的 開始 日期和 結束 日期。
3. 在結果清單中，按兩下您要調查之活動的明細項目。
4. 在飛出視窗窗格中，證據檔案下會出現儲存證據之 Azure blob 的連結。
5. 選取 [Azure Blob 儲存體] 連結以顯示符合的檔案。

透過 Purview 入口網站 [警示] 頁面預覽辨識項

使用下列步驟從 Microsoft Purview 入口網站的 [警示] 頁面預覽證據。

1. 登入 Microsoft Purview 入口網站>資料外洩防護>警示。
2. 使用 [日期 ] 下拉式清單，選取您感興趣期間的 開始 日期和 結束 日期。
3. 在結果清單中，按兩下您要調查之活動的明細項目。
4. 在飛出視窗窗格中，選取 [檢視詳細資料]。
5. 選取 [事件 ] 索引標籤。
6. 在 [詳細資料 ] 窗格中，選取 [ 來源] 索引標籤。隨即顯示符合的檔案。

已知問題

• 可從裝置上傳的檔案大小上限為 500 MB。
• 如果在掃描的檔案上觸發 即時保護 ，或如果檔案儲存在網路共用上，則不會收集辨識項檔案。
• 當在非辦公室應用程式) 的同一處理程序中開啟多個檔案 (且其中一個符合原則的檔案已輸出，則會針對所有檔案觸發 DLP 事件。 不會擷取任何證據。
• 如果在單一檔案中偵測到多個原則規則，則只有在將最嚴格的原則規則設定為收集辨識項時，才會儲存辨識項檔案。