Recommendation for File Protection via Web Browsers

Question

I created a DLP (Data Loss Prevention) policy to protect document uploads. One of the rules uses the condition: "File extension is: [specified]". I kept the policy active for approximately three days.

During this period, I observed the following behavior:

1. Uploading a recent document to a restricted domain: Blocked. (Expected behavior)
2. Uploading an older document to a restricted domain: Allowed. (Should be blocked)
3. Dragging a document from File Explorer: Blocked. (Expected behavior)
4. Copying a document from File Explorer to a restricted domain: Allowed. (Should be blocked)

My goal is to block all document and file uploads to unauthorized domains. However, I’ve noticed that documents that have been at rest (i.e., not recently modified) can still be shared with restricted domains, which should not be allowed.

What could be the reason for this behavior?

Answer 1

Esta respuesta se ha traducido automáticamente. Como resultado, puede haber errores gramaticales o expresiones extrañas.

Estimado MELVIN MALDONADOIX, 

Gracias por su continua colaboración. 

En este punto, no tenemos suficiente información detallada sobre el problema al que se enfrenta. Para asegurarse de que recibe el mejor soporte técnico y de que el problema se resuelve de forma eficaz, le recomendamos que abra una incidencia de soporte técnico en un departamento de nivel superior de Microsoft. Este equipo tendrá la experiencia y las herramientas necesarias para ayudarlo. Puede generar una solicitud de soporte técnico a través del Centro de administración de Microsoft 365 siguiendo estos pasos: 

1. Inicie sesión en el Centro de administración de Microsoft 365: https://admin.microsoft.com
2. Ir a Soporte > nueva solicitud de servicio
3. Proporcione una descripción clara del problema, junto con capturas de pantalla o mensajes de error relevantes.
4. Incluya su identificador de inquilino y la referencia del caso (si está disponible) para fines de seguimiento.

Una vez que se haya creado el caso, comparta el número de caso con nosotros para que podamos monitorear el progreso y proporcionar contexto adicional al equipo de soporte si es necesario. 

Si necesitas ayuda con este proceso, no dudes en hacérnoslo saber, estaremos encantados de ayudarte. 

Saludos 

Dustin-TP- MSFT | Especialista en soporte técnico de la comunidad de Microsoft

Answer 2

Thank you for your response. I will try adding more conditions and will later provide an update. Additionally, I read about the data catalog, which could generate a scan to identify data sources and update the metadata of the documents. This, in turn, could help produce updated data that the leadership could utilize.

I would like to know if you have any information about this or if I might be mistaken. Could this be a viable alternative solution?

Answer 3

Esta respuesta se ha traducido automáticamente. Como resultado, puede haber errores gramaticales o expresiones extrañas.

Esta respuesta ha sido traducida automáticamente. Como resultado, puede haber errores gramaticales o expresiones extrañas.

Hola MELVIN MALDONADOIX,

Gracias por ponerse en contacto con nosotros y proporcionar comentarios detallados sobre el comportamiento de su política de DLP. Entiendo que está tratando de hacer cumplir una regla estricta para bloquear todas las cargas de documentos a dominios no autorizados, y ha encontrado inconsistencias, especialmente con archivos más antiguos y métodos de carga específicos.

Permítanme ayudar a aclarar lo que puede estar pasando.

Causa raíz: Seguimiento de la actividad de los metadatos y los archivos

La directiva DLP se basa en una condición de propiedad de archivo, concretamente en la extensión de archivo, que es un método válido. Sin embargo, las directivas DLP de Microsoft Purview (o el centro de cumplimiento de Microsoft 365) a menudo se basan no solo en el tipo de archivo, sino también en los metadatos del archivo, el contexto de la actividad y cómo se accede al archivo o se comparte.

Por qué los documentos recientes están bloqueados, pero los más antiguos no: 

• Cuando los archivos se modifican o crean recientemente, desencadenan una nueva actividad del sistema de archivos y actualizaciones de metadatos, lo que facilita que el motor DLP los inspeccione en tiempo real durante las cargas.
• Los archivos más antiguos que no se han modificado recientemente pueden carecer de metadatos actualizados o etiquetas de clasificación de archivos, lo que puede hacer que la directiva no se active durante algunos tipos de cargas.

Por qué está bloqueado arrastrar desde el Explorador de archivos pero no copiar: 

• Las operaciones de arrastrar y soltar en los navegadores modernos a menudo pasan por interfaces de carga HTML5, que permiten realizar la inspección de DLP.
• Sin embargo, las operaciones de copiar y pegar, especialmente cuando se interactúa con algunos navegadores o aplicaciones web, pueden omitir los mismos puntos de inspección, según la implementación y el comportamiento del navegador.

Recomendaciones: 

1. Habilitar la inspección de contenido avanzada (si está disponible):
   Si usa Microsoft Purview DLP, asegúrese de que la inspección de contenido esté habilitada, no solo las comprobaciones de extensión de archivo. Esto mejora la precisión, independientemente de la antigüedad del archivo o método.
2. Aplicación de etiquetas de confidencialidad a través de Microsoft Purview Information Protection (MIP):
   Es posible que los documentos más antiguos no tengan etiquetas ni clasificación. Considere la posibilidad de etiquetar o analizar automáticamente el contenido en reposo mediante MIP para asegurarse de que todos los archivos confidenciales se clasifican correctamente.
3. Amplíe los términos de la póliza:
   Además de las extensiones de archivo, es posible que desee incluir:
   1. Palabras clave de contenido (por ejemplo, datos financieros, PII).
   2. Etiquetas de sensibilidad.
   3. Fecha de creación de archivos o última modificación (a través de condiciones personalizadas o desencadenadores de Power Automate).
4. Prueba en todos los navegadores:
   Algunos navegadores pueden interactuar de manera diferente con la lógica de carga. Microsoft Edge y, por lo general, ofrecen una mejor compatibilidad con los controles DLP integrados.

Si se necesita más investigación: 

Si el problema persiste después de aplicar las recomendaciones anteriores, se recomienda escalarlo a la vista de Microsoft 365 o al equipo de soporte técnico de cumplimiento para un análisis más detallado. Pueden examinar los registros de back-end, los resultados de la evaluación de políticas y proporcionar información específica de su entorno.

Puede abrir una solicitud de soporte aquí:
https://admin.microsoft.com/AdminPortal/Home#/support

Espero que esto aclare el comportamiento que estás viendo. Hágame saber si desea ayuda para ajustar la configuración de la directiva o para revisar más a fondo su entorno.

Saludos

Dustin-TP- MSFT | Especialista en soporte técnico de la comunidad de Microsoft