Migrieren von Dateirichtlinien zu Microsoft Purview

Von Bedeutung

Dateirichtlinien in Defender for Cloud Apps werden am 6. Januar 2027 eingestellt. Erstellen Sie Ihre Dateirichtlinien vor diesem Datum als Microsoft Purview-Richtlinien zur Verhinderung von Datenverlust (DLP) oder Richtlinien für die automatische Bezeichnung neu.

Defender for Cloud Apps bietet weiterhin SaaS-App-Ermittlung, -Haltungsverwaltung und Bedrohungserkennung. Dateibasierter Datenschutz wechselt zu Microsoft Purview.

Prerequisites

Bevor Sie beginnen, bestätigen Sie Folgendes:

  • Microsoft Purview Rollen: Eine der folgenden Rollengruppenmitgliedschaften im Microsoft Purview-Complianceportal:
    • Compliance-Administrator
    • Administrator für Konformitätsdaten
  • Defender for Cloud Apps Rollen: Cloud App Security-Administrator, um Ihre vorhandenen Dateirichtlinien zu überprüfen.
  • Eine Microsoft 365 E5- oder Microsoft 365 E5 Compliance-Lizenz (oder eine entsprechende eigenständige Microsoft Purview DLP-Lizenz).

Überprüfen vorhandener Dateirichtlinien

  1. Wechseln Sie im Microsoft Defender-Portal zurRichtlinienverwaltung für >>.
  2. Legen Sie den Typfilter auf "Dateirichtlinie" fest.
  3. Dokumentieren Sie für jede Dateirichtlinie Folgendes:
    • Richtlinienname und -beschreibung
    • Ziel-Apps (z. B. SharePoint, OneDrive, Box, Dropbox)
    • Inhaltsüberprüfungsmethode (Datenklassifizierungsdienst, reguläre Ausdrücke oder andere)
    • Typen oder Bezeichnungen vertraulicher Informationen, die von der Richtlinie erkannt werden
    • Kontextfilter (Freigabeebene, Dateityp, Benutzergruppen)
    • Governance-Aktionen (Quarantäne, Freigabe entfernen, Bezeichnung zuweisen)
  4. Kategorisieren Sie jede Richtlinie nach ihrem Zweck:
    • DLP-Erkennung und -Reaktion: Richtlinien, die vertrauliche Inhalte erkennen und Schutzmaßnahmen ergreifen. Migrieren Sie diese zu Microsoft Purview DLP-Richtlinien.
    • Automatische Bezeichnung: Richtlinien, die Vertraulichkeitsbezeichnungen basierend auf Inhalten anwenden. Migrieren Sie diese zu Microsoft Purview-Auto-Bezeichnungsrichtlinien.

Funktionsvergleich

In der folgenden Tabelle werden die Dateirichtlinienfunktionen mit ihren Microsoft Purview Entsprechungen verglichen. Verwenden Sie sie, um zu bestätigen, wo der Schutz gleich bleibt, und um Alternativen für Funktionen zu planen, die nicht über eine direkte Entsprechung verfügen.

Fähigkeit Defender für Cloud-Apps Microsoft Purview Empfohlene Maßnahme
Architecture API-basierte Überprüfung vorhandener Dateien Für Cloud-Apps auf API-Basis sowie proaktives Scannen von Exchange, Teams und Endpunkten Keine Aktion erforderlich; Der Schutz ist gleichwertig oder besser.
Richtlinienstruktur Eine Richtlinie mit einer Gruppe von Filtern und Aktionen Eine Richtlinie mit mehreren Regeln, jede mit eigenen Bedingungen und Aktionen Erstellen Sie jede Defender for Cloud Apps Dateirichtlinie als eine oder mehrere Purview-DLP-Regeln neu.
Vertraulichkeitskennzeichnung Governance-Aktion innerhalb der Dateirichtlinie Separate Richtlinie für die automatische Bezeichnung in Information Protection Erstellen einer Purview-Richtlinie für die automatische Bezeichnung für jede Dateibezeichnungsrichtlinie
Freigabebehebung Entfernen bestimmter Mitarbeiter, Ändern des Linkzugriffs, Entfernen des öffentlichen Zugriffs Blockiere alle, Personen außerhalb der Organisation oder bestimmte externe Domänen oder Nutzer; ändert nicht das bestehende Teilen Verwenden Sie Aktionen zum Einschränken des Zugriffs; verwenden Sie Power Automate, um vorhandene Freigaben zu entfernen
Benutzerquarantäne Dedizierter Benutzerquarantäneordner Die Dateiquarantäne für SharePoint und OneDrive verschiebt die Datei auf eine vom Administrator kontrollierte Quarantäne-Seite und entzieht den Benutzerzugriff Verwenden Sie die native Dateiquarantäne-Aktion; Power Automate nur für benutzerdefinierte Ziel- oder Workflow-Anforderungen verwenden
Administratorquarantäne Administratorquarantäne mit Überprüfungsworkflow Dateiquarantäne auf einer vom Administrator kontrollierten SharePoint-Website Äquivalente Eindämmungsfähigkeit
Simulationsmodus Nicht verfügbar Vollständiger Simulationsmodus vor der Durchsetzung Ausführen von Richtlinien im Simulationsmodus vor dem Aktivieren der Erzwingung
Richtliniengrenzwert 50 Dateirichtlinien pro Mandant 10.000 Datenschutz- und Governancerichtlinien; 600 DLP-Regeln pro Mandant Keine Aktion erforderlich
Bereichsdefinition von Ordnern Filter für übergeordnete Ordner wird unterstützt Nur Festlegung des Geltungsbereichs auf Standortebene Richtlinien auf bestimmte SharePoint-Websites beschränken, als am ehesten entsprechende Option
Inhaltsüberprüfung mit regulären Ausdrücken Integriertes Modul für reguläre Ausdrücke Benutzerdefinierte Typen vertraulicher Informationen mit regulären Ausdrücken Muster für reguläre Ausdrücke als benutzerdefinierte sensible Informationstypen in Purview neu erstellen
Dateimetadatenfilter (mehr als 20 Filter) Systemeigene metadatenbasierte Filterung, z. B. Ordner, Datei-ID und Quarantänestatus Bedingungen basierend auf Inhalt, Bezeichnung, Freigabebereich und Dateierweiterung Verwenden Sie verfügbare Purview-Bedingungen als enge Entsprechungen; Nicht unterstützte Filter haben keine direkte Entsprechung

Zuordnung von Dateirichtlinienbedingungen

Die folgende Tabelle ordnet spezifische Defender for Cloud Apps Dateirichtlinienbedingungen ihren Purview-Entsprechungen zu.

Defender for Cloud Apps Bedingung Purview-Entsprechung Gleichwertige Unterstützung Hinweise
Zugriffsebene: Extern oder öffentlich Inhalte werden von Microsoft 365 für Personen außerhalb meiner Organisation freigegeben. Äquivalent
Zugriffsebene: Intern Inhalte werden nur für Personen innerhalb meiner Organisation von Microsoft 365 freigegeben. Äquivalent
Mitarbeiter (gesamte Organisation) Mitwirkende (Domäne) Teilweise Entsprechung Purview unterstützt keine 1:1-Zuordnung. Verwenden Sie Mitwirkende (Domäne), wenn der Domänenname dem Organisationsnamen entspricht.
Auswählen von Benutzergruppen Bedingung für Benutzergruppen Äquivalent
Auf Dateien anwenden Auf Dateien anwenden Äquivalent
Vertraulichkeitsbezeichnung Inhalt enthält > Vertraulichkeitsbezeichnungen Äquivalent
Inhaltsüberprüfung: voreingestellter Ausdruck oder Datenklassifizierungsdienst Inhalt enthält > Typen vertraulicher Informationen Äquivalent Ordnen Sie jeden voreingestellten Ausdruck dem übereinstimmenden vertraulichen Informationstyp zu. Purview DLP verwendet dasselbe Erkennungsmodul.
Inhaltsprüfung: benutzerdefinierter regulärer Ausdruck Inhalt enthält > Vertrauliche Informationstypen (benutzerdefiniert) Äquivalent Erstellen Sie zuerst einen benutzerdefinierten Vertraulichen Informationstyp aus dem Muster.
Mindestanzahl an Verstößen Instanzenanzahl (minimum und maximum) pro vertraulichen Informationstyp Äquivalent
Dateiname Dokumentname enthält Wörter oder Ausdrücke Äquivalent
Dateierweiterung Die Dateierweiterung ist Äquivalent
Erstellungsdatum Erstellungsdatum des Dokuments Teilweise Entsprechung nur SharePoint und OneDrive.
Datum der letzten Änderung Datum der letzten Änderung des Dokuments Teilweise Entsprechung nur SharePoint und OneDrive.
Übergeordneter Ordner SharePoint Bereichsdefinition auf Websiteebene Teilweise Entsprechung Keine Einschränkung auf Ordnerebene. Beschränken Sie den Bereich stattdessen auf die SharePoint-Website.
Datei-ID None Keine Entsprechung Purview unterstützt keine Datei-ID als Bedingung, sodass diese Bedingung nicht migriert werden kann.

Microsoft-App-Unterstützung

Defender for Cloud Apps-App Purview-Speicherort Gleichwertige Unterstützung Hinweise
SharePoint Online SharePoint-Seiten Äquivalent
OneDrive für Unternehmen OneDrive-Konten Äquivalent

Von Bedeutung

Richtlinien in Defender for Cloud Apps und Purview können nicht koexistieren. Das Gleichzeitige Ausführen entsprechender Richtlinien in beiden Produkten führt zu Erzwingungskonflikten. Deaktivieren Sie Defender for Cloud Apps Richtlinien erst, nachdem Sie die Purview-Richtlinien überprüft und aktiviert haben.

Migrieren Defender DLP-Erkennungs- und Antwortrichtlinien zu Microsoft Purview DLP-Richtlinien

Erstellen Sie entsprechende DLP-Richtlinien in Microsoft Purview für jede Dateirichtlinie, die Sie als "DLP-Erkennung und -Reaktion" kategorisiert haben.

  1. Wechseln Sie zum Microsoft Purview-Portal.

  2. Wählen Sie Verhinderung von Datenverlust>Richtlinien>Richtlinie erstellen.

  3. Wählen Sie die Richtlinienvorlage aus, die Ihrer Dateirichtlinie am besten entspricht, oder wählen Sie "Benutzerdefinierte Richtlinie " aus, um Bedingungen manuell zu definieren.

  4. Legen Sie den Richtlinienbereich auf dieselben Speicherorte wie für Ihre Dateirichtlinie fest. Wählen Sie für SharePoint und OneDrive SharePoint Websites und OneDrive Konten aus.

  5. Definieren Sie Inhaltsbedingungen, die Ihrer Dateirichtlinie entsprechen:

    • Wählen Sie die gleichen Typen vertraulicher Informationen in Purview aus.
    • Wenn Ihre Dateirichtlinie DCS (Data Classification Service) für die Inhaltsüberprüfung verwendet hat, verwendet Purview DLP dasselbe Erkennungsmodul.
    • Wenn Ihre Dateirichtlinie Muster für reguläre Ausdrücke verwendet hat, erstellen Sie sie in Purview als benutzerdefinierte Typen vertraulicher Informationen neu.

  6. Konfigurieren Sie Schutzaktionen, die den Governanceaktionen für Dateirichtlinien entsprechen:

    Governance-Maßnahme für Defender for Cloud Apps Purview DLP-Äquivalent Gleichwertige Unterstützung Hinweise
    Dateibesitzer benachrichtigen Benutzerbenachrichtigungen: Benachrichtigen, wer zuletzt geändert wurde Äquivalent
    Benachrichtigen bestimmter Benutzer Benutzerbenachrichtigungen: Bestimmte Personen benachrichtigen Äquivalent
    Benachrichtigung senden Vorfallberichte: Benachrichtigung an Administratoren senden Äquivalent
    Entfernen des öffentlichen Zugriffs Zugriff einschränken: Alle außer Besitzer blockieren Äquivalent
    Entfernen externer Benutzer Zugriff einschränken: Personen außerhalb der Organisation blockieren Äquivalent
    Direkten freigegebenen Link entfernen Zugriff einschränken: Freigabelink entfernen Äquivalent
    Als privat festlegen Zugriff einschränken: Alle außer Besitzer blockieren Äquivalent
    Administratorquarantäne Dateiquarantäne für SharePoint und OneDrive Äquivalent Verschiebt die Datei an eine vom Administrator kontrollierte Quarantäneseite, entfernt Berechtigungen und Teilen von Links und bewahrt die Datei für Untersuchungen auf
    Sensitivity-Label anwenden Sensitivitätskennzeichnung anwenden (automatische Kennzeichnungsrichtlinie) Äquivalent Purview > Informationsschutz > Automatische Bezeichnung
    Vertraulichkeitsbezeichnung entfernen Automatische Bezeichnung entfernen nur Richtlinie zum Entfernen von Bezeichnungen Äquivalent Purview > Information Protection > Automatische Bezeichnung > Bezeichnungen entfernen
    Benutzerquarantäne Dateiquarantäne für SharePoint und OneDrive Teilweise Entsprechung Purview verschiebt die Datei an eine vom Administrator kontrollierte Quarantäneseite statt in einen Benutzer-Quarantäneordner
    In den Papierkorb verschieben oder Datei löschen Keine direkte Entsprechung Keine Entsprechung Zugriff mit DLP einschränken und Power Automate (bei Warnung löschen)
    Entfernen bestimmter Mitarbeiter Zugriff einschränken: Zugriff für bestimmte externe Domains oder Benutzer blockieren (Vorschau) Teilweise Entsprechung Blockiert den Zugriff für konfigurierte externe Domains oder Benutzer, entfernt aber nicht die bestehende Sharing-Beziehung
    Freigegebener Link läuft ab Keine direkte Entsprechung Keine Entsprechung SharePoint Freigaberichtlinien und Microsoft Entra Conditional Access
    Übertragen des Dateibesitzes Keine direkte Entsprechung Keine Entsprechung Manueller Prozess oder Power Automate (Google Workspace spezifisch)

  7. Richten Sie Benutzerbenachrichtigungen und Richtlinientipps so ein, dass sie den Warnungseinstellungen Ihrer Dateirichtlinie entsprechen.

  8. Legen Sie die Richtlinie auf den Simulationsmodus fest, um zu bestätigen, dass derselbe Inhalt wie Ihre Dateirichtlinie erkannt wird.

  9. Nachdem Sie sich vergewissert haben, dass die Ergebnisse korrekt sind, aktivieren Sie die Richtlinie.

Für SharePoint und OneDrive konfigurieren Sie den Quarantänestandort der Purview-DLP-Datei, bevor Sie die Quarantäneaktion verwenden. Wenn eine Regel ausgelöst wird, entfernt Purview die Berechtigungen und Teilen der Links der Datei, verschiebt die Datei an die vom Admin kontrollierte Quarantäne-Seite und hinterlässt eine Benachrichtigungsdatei am ursprünglichen Ort. Weitere Informationen finden Sie unter Lernen Sie über DLP-Dateiquarantäne für SharePoint und OneDrive.

Migrieren von Dateirichtlinien zur automatischen Bezeichnung zu Microsoft Purview

Erstellen Sie richtlinien für die automatische Bezeichnung in Microsoft Purview für jede Dateirichtlinie, die Sie als "Automatische Bezeichnung" kategorisiert haben.

  1. Wechseln Sie zum Microsoft Purview-Portal.
  2. Wählen Sie Informationsschutz>Automatische Bezeichnung aus.
  3. Wählen Sie " Richtlinie für die automatische Bezeichnung erstellen" aus.
  4. Wählen Sie die Typen oder Bedingungen für vertrauliche Informationen aus, die den Inhaltsüberprüfungsregeln Ihrer Dateirichtlinie entsprechen.
  5. Wählen Sie die Vertraulichkeitsbezeichnung aus, die angewendet werden soll (verwenden Sie dieselbe Bezeichnung, die durch Ihre Dateirichtlinie auf die Datei angewendet wurde).
  6. Legen Sie den Geltungsbereich auf dieselben Orte fest:
    • Wählen Sie SharePoint Websites und OneDrive Konten aus, um den Ziel-Apps Ihrer Dateirichtlinie zu entsprechen.
    • Fügen Sie bestimmte Websites oder Konten hinzu, wenn Ihre Richtlinie auf bestimmte Gruppen oder Standorte beschränkt war.
  7. Führen Sie die Richtlinie im Simulationsmodus aus, um übereinstimmende Dateien zu überprüfen, bevor Sie die automatische Bezeichnung aktivieren.
  8. Nachdem Sie bestätigt haben, dass die Ergebnisse korrekt sind, aktivieren Sie die Richtlinie für die automatische Kennzeichnung.

Note

Richtlinien zur automatischen Bezeichnung bezeichnen künftig neue und geänderte Dateien. Um vertrauliche Inhalte in ruhenden Dateien in SharePoint und OneDrive zu finden und zu bezeichnen, führen Sie eine Überprüfung der On-Demand-Klassifizierung für dieselben vertraulichen Informationstypen aus.

Beispiele für die Migration

Die folgenden Beispiele zeigen, wie allgemeine Dateirichtlinien purview-Richtlinien zugeordnet werden.

Erkennen extern freigegebener Dateien mit Kreditkartennummern

Dateirichtlinie: Erkennt extern freigegebene Dateien, die Kreditkartennummern in SharePoint enthalten, und OneDrive, benachrichtigt den Dateibesitzer, entfernt externe Benutzer und sendet eine Benachrichtigung.

Erstellen einer Purview-DLP-Richtlinie:

  1. Legen Sie den Bereich auf SharePoint Websites und OneDrive Konten fest.
  2. Bedingungen hinzufügen: Inhalt enthält>Vertrauliche Informationstypen>Kreditkartennummer und Inhalte werden aus Microsoft 365 geteilt>mit Personen außerhalb meiner Organisation.
  3. Hinzufügen von Aktionen: Einschränken des Zugriffs>blockieren nur Personen außerhalb Ihrer Organisation.
  4. Legen Sie Benutzerbenachrichtigungen fest, um den Benutzer zu benachrichtigen, der den Inhalt zuletzt geändert hat.
  5. Legen Sie Vorfallberichte fest, um eine Benachrichtigung an Ihr Complianceteam zu senden.

Erkennen und Bezeichnen von Dateien in mehreren Apps

Dateirichtlinie: Wendet eine vertraulich - PII-Bezeichnung an, benachrichtigt den Besitzer und benachrichtigt sie über Dateien, die Sozialversicherungs- oder Reisepassnummern in SharePoint und OneDrive enthalten.

Diese Dateirichtlinie erkennt und beschriftet, erstellen Sie sie also als zwei Purview-Richtlinien neu:

  • Eine Richtlinie zur automatischen Bezeichnung, die Vertraulich – PII mit Bedingungen für die vertraulichen Informationstypen Sozialversicherungsnummer und Reisepass anwendet.
  • Eine DLP-Richtlinie mit den gleichen Bedingungen, die den Besitzer benachrichtigt und eine Warnung sendet.

Führen Sie Ihre Purview-Richtlinien schrittweise ein

Schrittweise zur Erzwingung übergehen:

  1. Führen Sie neue Richtlinien im Simulationsmodus aus, und vergleichen Sie Übereinstimmungen mit Ihren Dateirichtlinien.
  2. Für eine kleine Pilotgruppe erzwingen und die Aktionen sowie die Benutzererfahrung bestätigen.
  3. Erweitern Sie die Durchsetzung für Ihre gesamte Organisation, sobald das Pilotprojekt stabil ist.

Überprüfen Sie Ihre Migration

Nachdem Sie Ihre Purview-Richtlinien erstellt haben, überprüfen Sie, ob Ihr Schutz abgeschlossen ist:

  1. Vergleichen Sie die Anzahl und den Umfang Ihrer neuen Purview-Richtlinien mit Ihrem Dateirichtlinienbestand.
  2. Überprüfen Sie, ob alle Typen vertraulicher Informationen und Bezeichnungen enthalten sind.
  3. Führen Sie Purview-DLP-Richtlinien im Simulationsmodus aus, und vergleichen Sie Die Ergebnisse mit Ihren aktiven Dateirichtlinien.

Nehmen Sie Ihre Dateirichtlinien außer Betrieb

Nachdem Ihre Purview-Richtlinien erfolgreich ausgeführt wurden und einen gleichwertigen Schutz bieten, setzen Sie Ihre Dateirichtlinien außer Kraft:

  1. Exportieren oder erstellen Sie Screenshots der Konfiguration jeder Dateirichtlinie, und behalten Sie sie zur Referenz bei.
  2. Bearbeiten Sie im Microsoft Defender-Portal jede migrierte Dateirichtlinie, und legen Sie den Status auf "Deaktiviert" fest. Löschen Sie sie noch nicht.
  3. Überwachen Sie, um zu bestätigen, dass die Purview-Richtlinien einen gleichwertigen Schutz bieten.
  4. Löschen Sie nach der Validierung bei deaktivierten Dateirichtlinien jede einzelne Richtlinie.

Suchen nach Warnungen und Aktivitäten nach der Migration

Verwenden Sie diese Orte, um Richtlinienübereinstimmungen und Aktivitäten nach der Migration zu überprüfen:

Daten Ort
DLP-Richtlinienbestimmungen und Warnungen > Microsoft Purview-Portal Benachrichtigungen zur Verhinderung> von Datenverlust
Aktivitätsverlauf Microsoft Purview-Portal> zur >
Übereinstimmungen für die automatische Kennzeichnung Microsoft Purview Portal >Informationsschutz>Automatische Bezeichnung>Richtlinie>Zu überprüfende Elemente
Incidents Microsoft Defender-Portal >Vorfälle und Warnungen

Troubleshooting

Issue Ursache Resolution
DLP-Richtlinie stimmt nicht mit den erwarteten Dateien überein. Die Konfidenzstufe vertraulicher Informationen ist zu hoch, oder der Speicherortbereich ist falsch. Verringern Sie das Konfidenzniveau, und bestätigen Sie, dass alle relevanten Websites im Gültigkeitsbereich liegen.
Zu viele falsche Positive Der Typ vertraulicher Informationen ist zu breit, oder es fehlt der unterstützende Kontext. Verwenden Sie ein höheres Konfidenzniveau und fügen Sie Schlüsselwortlisten zu benutzerdefinierten sensiblen Informationstypen hinzu.
Die automatische Kennzeichnung weist keine Bezeichnungen zu. Das Label ist nicht für Benutzer veröffentlicht, oder die Simulation läuft noch. Vergewissern Sie sich, dass die Beschriftung veröffentlicht ist, und überprüfen Sie die Ergebnisse der Simulation zur automatischen Beschriftung.
Warnungen werden nicht generiert Vorfallberichte sind nicht aktiviert, oder Warnungsempfänger sind nicht konfiguriert. Aktivieren Sie Vorfallsberichte für die Regel und bestätigen Sie die Empfänger.
Die Richtlinie trifft zu, aber die Aktion wird nicht erzwungen. Die Richtlinie befindet sich noch im Test- oder Simulationsmodus. Aktivieren Sie die Richtlinie, nachdem Sie die Ergebnisse überprüft haben.

Verwandte Inhalte

  • Last updated on