Informazioni sulla prevenzione della perdita di dati degli endpoint

È possibile usare Prevenzione della perdita dei dati Microsoft Purview (DLP) per monitorare le azioni intraprese sugli elementi ritenuti sensibili e impedire la condivisione involontaria di tali elementi.

La prevenzione della perdita dei dati degli endpoint (Endpoint DLP) estende le funzionalità di monitoraggio delle attività e di protezione di DLP a Windows 10/11, dispositivi macOS (le tre versioni principali rilasciate più recenti) e Windows alcune versioni del server. Una volta eseguito l'onboarding dei dispositivi nelle soluzioni Microsoft Purview, le informazioni sulle operazioni eseguite dagli utenti con gli elementi sensibili vengono rese visibili in Esplora attività. È quindi possibile applicare azioni protettive su tali elementi tramite criteri di prevenzione della perdita dei dati.

Quando vengono classificati i file in base alla prevenzione della perdita dei dati degli endpoint?

La prevenzione della perdita dei dati degli endpoint classifica i file nelle condizioni seguenti:

• Creazione o modifica: Ogni volta che un file viene creato o modificato, viene analizzato completamente per individuare eventuali tipi di informazioni riservate ed etichette. Il file viene quindi valutato per verificare la presenza di corrispondenze rispetto ai criteri e alle regole DLP.
• Lettura di un file già classificato: Quando si legge un file già classificato, Endpoint DLP verifica la presenza di eventuali modifiche ai criteri, alle regole o ai MIT. In caso di modifica della configurazione di DLP, i criteri e le regole verranno rivalutati, ma il testo non verrà estratto nuovamente.

Consiglio

Se cerchi il controllo dei dispositivi per gli archivi rimovibili, vedi Microsoft Defender per endpoint Controllo dei dispositivi per gli archivi rimovibili Controllo di accesso.

Nota

Endpoint DLP non è in grado di rilevare l'etichetta di riservatezza da un altro tenant in un documento.

Prevenzione della perdita dei dati degli endpoint: supporto di Windows 10/11 e macOS

Endpoint DLP consente di eseguire l'onboarding dei dispositivi che eseguono Windows Server 2019 e versioni successive.

Nota

L'installazione dei KB di Windows Server supportati disabilita la funzionalità di classificazione nel server. Ciò significa che Endpoint DLP non classificherà i file nel server. Tuttavia, Endpoint DLP proteggerà comunque i file nel server che sono stati classificati prima che tali KB fossero installati nel server. Per garantire questa protezione, installa Microsoft Defender versione 4.18.23100 (ottobre 2023) o successiva.

Per impostazione predefinita, Endpoint DLP non è abilitata per i server Windows quando viene eseguito l'onboarding iniziale. Prima di poter visualizzare gli eventi Endpoint DLP per i server in Esplora attività, è necessario abilitare Endpoint DLP per i server Windows.

Una volta configurati correttamente, gli stessi criteri di protezione dalla perdita dei dati possono essere applicati automaticamente sia ai PC Windows che ai server Windows.

Impostazione	Sottoinsieme	Windows 10, 1809 e versioni successive, Windows 11, Windows Server 2019 e versioni successive per gli endpoint (X64)	macOS (tre versioni più recenti)	Note
Analisi e protezione avanzate delle classificazioni	Limiti della larghezza di banda allocata	Supportato	Supportato	La classificazione avanzata abilita queste funzionalità per macOS: - Impronta digitale - deidocumenti Corrispondenza esatta dei dati in base ai tipi di - informazioni riservateClassificatori sottoponibili a training Informazioni - sulle entità denominate
Esclusioni di percorsi file per Windows	n/d	Supportato	n/d
Esclusioni percorso file per Mac	n/d	n/d	Supportato	macOS include un elenco consigliato di esclusioni attivato per impostazione predefinita
Configurare la raccolta di evidenze per le attività file nei dispositivi	Impostare la cache delle prove nel dispositivo	Supportato	Anteprima
Copertura ed esclusioni della condivisione di rete	n/d	Supportato	Supportato
App con restrizioni e gruppi di app	Gruppi di app con restrizioni	Supportato	Supportato
App con restrizioni e gruppi di app	App con restrizioni	Supportato	Supportato
Accesso da parte di app non incluse nell'elenco delle app con restrizioni o di eventuali gruppi di app con restrizioni aggiunti alla regola	n/d	Supportato	Non supportato
App con restrizioni e gruppi di app	Impostazioni di quarantena automatica	Supportato	Supportato
App Bluetooth non consentite	n/d	Supportato	Supportato
Limitazioni del browser e del dominio per i dati sensibili	Browser non consentiti	Supportato	Supportato
Limitazioni del browser e del dominio per i dati sensibili	Domini di servizio	Supportato	Supportato
Limitazioni del browser e del dominio per i dati sensibili	Gruppi di dominio del servizio sensibili	Supportato	Supportato
Impostazioni aggiuntive per la prevenzione della perdita dei dati degli endpoint	Motivazione aziendale nei suggerimenti per i criteri	Supportato	Supportato
Controllare sempre le attività sui file per i dispositivi	n/d	Supportato	Supportato
Gruppi di stampanti	n/d	Supportato	Supportato	I seguenti parametri sono supportati solo in Windows: - Stampa su file - Stampa universale distribuita su una stampante - Stampante aziendale - Stampa in locale
Gruppi di dispositivi USB rimovibili	n/d	Supportato	Supportato
Gruppi di condivisione di rete	n/d	Supportato	Supportato
Impostazioni VPN	n/d	Supportato	Non supportato

Definizione dell'ambito dei criteri di prevenzione della perdita dei dati per gli endpoint

Prevenzione della perdita dei dati Microsoft Purview I criteri di Microsoft Purview (DLP) possono essere applicati a più posizioni, inclusi i dispositivi endpoint. Quando un criterio DLP include la posizione dei dispositivi , l'ambito del criterio può essere definito sia dagli utenti che dai dispositivi. Affinché un criterio di prevenzione della perdita dei dati venga applicato a un endpoint, sia l'utente che il dispositivo devono essere inclusi nell'ambito del criterio.

Dispositivo nell'ambito	Utente nell'ambito	Criterio applicato
Sì	Sì	Sì
No	Sì	No
No	Sì	No

Ciò consente controlli più precisi della protezione dei dati in base a chi accede ai dati e da quale dispositivo. Per ulteriori informazioni, consulta Definizione dell'ambito del dispositivo.

Per i dettagli sull'implementazione, vedi Creare criteri utilizzando l'ambito del dispositivo.

Altre impostazioni

Impostazione	Windows 10/11, Windows 10, 1809 e versioni successive, Windows 11	Windows Server 2019 e versioni successive per endpoint (X64)	macOS (tre versioni più recenti)
Archivio file	Supportato	Supportato	Supportato
Tipo di file ed estensione	Supportato	Supportato	Supportato
Abilita la prevenzione della perdita dei dati degli endpoint per i server Windows	Non supportato	Supportato	Non supportato

Nota

La prevenzione della perdita dei dati degli endpoint non è supportata nei server Windows configurati come controller di dominio o Windows Server con l'opzione server core selezionata durante l'installazione.

Attività endpoint che è possibile monitorare e su cui si può intervenire

La prevenzione della perdita di dati degli endpoint consente di controllare e gestire i seguenti tipi di attività che gli utenti intraprenderanno su elementi sensibili archiviati fisicamente nei dispositivi Windows 10, Windows 11 o macOS.

Attività	Descrizione	Windows 10 (21H2, 22H2), Windows 11 (21H2, 22H2), Windows Server 2019 e versioni successive per gli endpoint (X64)	Windows 11 (21H2, 22H2) per endpoint (ARM64)	macOS tre ultime versioni rilasciate	Verificabile/ Soggetto a restrizioni
Caricamento in un dominio di un servizio cloud limitato o accesso da un browser non consentito	Rileva quando un utente tenta di caricare un elemento in un dominio di servizio riservato o di accedere a un elemento attraverso un browser. Se usano un browser non consentito, l'attività di caricamento viene bloccata e l'utente viene reindirizzato a usare Microsoft Edge. Microsoft Edge consente o blocca quindi il caricamento o l'accesso in base alla configurazione dei criteri di prevenzione della perdita dei dati. È possibile bloccare, avvisare o controllare quando i file protetti possono essere caricati o impediti di caricarli nei servizi cloud in base all'elenco domini consentiti/non consentiti nelle impostazioni di prevenzione della perdita di dati. Quando l'azione configurata è impostata su avviso o blocco, gli altri browser (definiti nell'elenco dei browser non consentiti nelle impostazioni di prevenzione della perdita di dati) vengono bloccati dall'accesso al file.	Supportato	Supportato	Supportato	Controllabile e limitabile
Incolla nei browser supportati	Rileva quando un utente tenta di incollare il contenuto in un dominio del servizio con restrizioni. La valutazione viene eseguita sul contenuto che viene incollato. Questa valutazione è indipendente da come viene classificato l'elemento di origine da cui proviene il contenuto.	Supportato	Supportato	Anteprima	Controllabile e limitabile
Copia negli Appunti	Quando un utente tenta di copiare contenuto da un file protetto, è possibile bloccare, bloccare con override o controllare la copia di file protetti negli Appunti in un dispositivo endpoint. Se la regola è configurata su Blocca o Blocca con override la copia viene bloccata quando il contenuto di origine è sensibile, tranne quando la destinazione è all'interno della stessa app di Microsoft 365 Office. Questa attività si applica anche agli Appunti reindirizzati quando si usa Desktop virtuale Azure con Windows 365.	Supportato	Supportato	Supportato	Controllabile e limitabile
Copia su dispositivo USB rimovibile	Quando viene rilevata questa attività, è possibile bloccare, avvisare o controllare la copia o lo spostamento dei file protetti da un dispositivo endpoint a un supporto rimovibile USB.	Supportato	Supportato	Supportato	Controllabile e limitabile
Copia in una condivisione di rete	Quando viene rilevata questa attività, è possibile bloccare, avvisare o controllare la copia o lo spostamento di file protetti da un dispositivo endpoint a qualsiasi condivisione di rete, inclusi i dispositivi USB reindirizzati visualizzati come condivisioni di rete in un Desktop virtuale Azure con Windows 365.	Supportato	Supportato	Supportato	Controllabile e limitabile
Stampa	Quando viene rilevata questa attività, è possibile bloccare, avvisare o controllare la stampa di file protetti da un dispositivo endpoint. Questa attività si applica anche alle stampanti reindirizzate quando si usa Desktop virtuale Azure insieme a Windows 365.	Supportato	Supportato	Supportato	Controllabile e limitabile
Copia o sposta usando un'app Bluetooth non consentita	Rileva quando un utente tenta di copiare un elemento in un'app Bluetooth non consentita (come definita nell'elenco delle app Bluetooth non consentite nelle impostazioni> di prevenzione della perdita di datiImpostazioni endpoint).	Supportato	Supportato	Supportato	Controllabile e limitabile
Copiare o spostare usando RDP	Rileva quando un utente tenta di copiare un elemento in una sessione di Desktop remoto.	Supportato	Supportato	Non supportato	Controllabile e limitabile
Creare un elemento	Rileva la creazione di un elemento.	Supportato	Supportato	Supportato	Controllabile
Rinominare un elemento	Rileva la ridenominazione di un elemento.	Supportato	Supportato	Supportato	Controllabile
Accesso da parte di app con restrizioni	Rileva quando un'applicazione presente nell'elenco delle app con restrizioni (come definito nelle app e nei gruppi di app con restrizioni) tenta di accedere ai file protetti in un dispositivo endpoint.	Supportato	Supportato	Supportato
Creare snapshot di Richiamo di Windows (in anteprima)	Rileva quando è presente un elemento o un messaggio di Teams che contiene un tipo di informazioni riservate o ha un'etichetta di riservatezza applicata che verrebbe inclusa in uno snapshot di Richiamo di Windows .	Supportato	Non supportato	Non supportato	Controllabile e limitabile

Comportamento di copia negli Appunti

Quando si configura una regola su Blocca o Blocca con override quando un utente tenta l'attività Copia negli Appunti sul contenuto di un file che corrisponde al criterio, gli utenti finali vedono questo comportamento con queste configurazioni:

• Il file di Word 123 contiene informazioni riservate che corrispondono alla regola di blocco della copia negli Appunti.

• Il file Excel 123 contiene informazioni sensibili che corrispondono alla regola di blocco della copia negli Appunti.

• Il file PowerPoint 123 contiene informazioni riservate che corrispondono alla regola di blocco della copia negli Appunti.

• Il file di Word 789 non contiene informazioni sensibili.

• Il file di Excel 789 non contiene informazioni sensibili.

• Il file PowerPoint 789 non contiene informazioni sensibili.

• Il file XYZ del Blocco note (o qualsiasi app o processo non basato su Microsoft Office) contiene informazioni sensibili che corrispondono alla regola di blocco della copia negli Appunti.

• Il file Blocco note (o qualsiasi app o processo non basato su Microsoft Office) ABC non contiene informazioni sensibili.

Origine	Destinazione	Comportamento
File di Word 123/File di Excel 123/File di PowerPoint 123	File di Word 123/File di Excel 123/File di PowerPoint 123	È consentito copiare e incollare, ovvero copiare e incollare all'interno del file.
File di Word 123/File di Excel 123/File di PowerPoint 123	File di Word 789/File di Excel 789/File di PowerPoint 789	Il copia e incolla sono bloccati, in altre parole il copia e incolla tra file è bloccato.
File di Word 789/File di Excel 789/File di PowerPoint 789	File di Word 123/File di Excel 123/File di PowerPoint 123	È consentito copiare e incollare
File di Word 123/File di Excel 123/File di PowerPoint 123	File Blocco note ABC	Le operazioni di copia e incolla sono bloccate
File del Blocco note XYZ	Qualsiasi	La copia è bloccata
File Blocco note ABC	Qualsiasi	È consentito copiare e incollare

Nota

Quando una regola DLP che blocca la copia viene applicata a un file aperto, la copia da qualsiasi altro file all'interno della stessa applicazione (anche i file senza regole DLP applicate) è limitata mentre il file bloccato DLP è aperto.

Endpoint DLP e Files non salvati

Se i dati non vengono mai salvati in un file nel dispositivo locale, Endpoint DLP non può analizzarli o classificarli. Ad esempio, se un utente apre un documento in Word e lo salva direttamente in un dispositivo USB senza prima archiviarlo in locale, Endpoint DLP non può ispezionare o bloccare tale azione.

Procedura consigliata per i criteri di prevenzione della perdita dei dati (DLP) degli endpoint

Si supponga di voler impedire a tutti gli elementi che contengono numeri di carta di credito di lasciare gli endpoint degli utenti del reparto Contabilità. Microsoft consiglia:

• Creare un criterio e assegnarne l'ambito agli endpoint e a tale gruppo di utenti.
• Creare una regola nei criteri che rilevi il tipo di informazioni da proteggere. In questo caso, imposta il contenuto contiene su Tipo di informazioni sensibili* e seleziona Carta di credito.
• Impostare le azioni per ogni attività su Blocca.

Per ulteriori informazioni sulla progettazione dei criteri DLP, vedere Progettare un criterio di prevenzione della perdita dei dati .

Nota

In Microsoft Purview, la valutazione dei criteri DLP degli elementi sensibili viene eseguita centralmente, quindi non vi è alcun intervallo di tempo per la distribuzione dei criteri e degli aggiornamenti dei criteri ai singoli dispositivi. Quando un criterio viene aggiornato nel portale di Microsoft Purview, la sincronizzazione degli aggiornamenti nel servizio richiede in genere circa un'ora. Una volta sincronizzati gli aggiornamenti dei criteri, gli elementi nei dispositivi di destinazione vengono rivalutati automaticamente al successivo accesso o modifica. In anteprima è anche possibile usare la classificazione su richiesta per identificare e classificare il contenuto riservato nei dati cronologici archiviati in SharePoint e OneDrive. Per le modifiche ai gruppi autorizzati, la sincronizzazione dei criteri richiede 24 ore.

File monitorati

Files monitorati tramite criteri

Endpoint DLP monitora questi tipi di file criterio in Windows 10, 11:

Tipo file	Formato	Estensioni dei file monitorate
Elaborazione Word	Word	.doc, .docx, .docm, .dot, .dotx, .dotm, .docb, .obd, obt
Foglio di calcolo	Excel, CSV, TSV	.xls, .xlsx, .xlt, .xlm, .xlsm, .xlsb, .xlb, .xlc, .csv, .tsv
Presentazioni	PowerPoint	.ppt, .pptx, .pptm, .pps, .ppsx, .ppsm, .pot, .potx, .potm, .ppam, .pos
Archiviare	Zip, RAR, 7z, TAR	.zip, .rar, .7z, .tar, .gz, .arj, .bz2, .cab, .chm, .lzh, .lzma, .mhtml, .xar, .xz
Adobe PDF	PDF	.pdf
Testo	Testo	.asm, .bat, .c, .cmd, .cpp, .cs, .csv, .cxx, .def, .dic, .h, .hpp, .hxx, .idl, .inc, .inx, .java, .m3u, .mpx, .php, .pl, .pos, .txt, .vcf, .vcs
HTML	HTML	.ascx, .asp, .aspx, .hta, .htm, .htw, .htx, .jhtml, .html
JSON	JSON	.json, .adaptivecard, .messagecard
Posta	Posta	.eml, .msg, .nws
XML	XML	.infopathml, .jsp, .mspx
XML di Microsoft Office	XML di Microsoft Office	.excelml, .powerpointml, .wordml
Protected Files	PFile	.pbmp, .pgif, .pjfif, .pjpe, .pjpeg, .pjpg, .ppng, .ptif, .ptiff, .ptxt, .pxla, .pxlam, .pxml
Altro	Altro	.dfx, .dxf, .fluid, .mime, .pointpub, .rtf, .vtt

Endpoint DLP monitora questi criteri di tipi di file nelle ultime tre versioni principali di macOS:

Tipo file	Formato	Estensioni dei file monitorate
Elaborazione Word	Word	.doc, .docx, .docm, .dot, .dotx, .dotm, .docb
Foglio di calcolo	Excel, CSV, TSV	.xls, .xlsx, .xlt, .xltx, .xltm, .xlw, .xlm, .xlsm, .xlsb, .xlb, .xlc, .csv, .tsv
Presentazioni	PowerPoint	.ppt, .pptx, .pptm, .pps, .ppsx, .ppsm, .pot, .potx, .potm, .ppam, .pos
Archiviare	Zip, RAR, 7z, TAR	.zip, .zipx, .rar, .7z, .tar
Adobe PDF	PDF	.pdf
Testo	Testo	.asm, .bat, .c, .cmd, .cpp, .cs, .csv, .cxx, .dic, .h, .hpp, .hxx, .idl, .inc, .inx, .inf, .inx, .java, .m3u, .mpx, .php, .pl, .pos, .txt, .vcf, .vcs
HTML	HTML	.ascx, .asp, .aspx, .css, .hta, .htm, .htw, .htx, .jhtml, .html, .mht
JSON	JSON	.json, .adaptivecard, .messagecard
Posta	Posta	.eml, .msg, .nws
XML	XML	.infopathml, .jsp, .mspx
XML di Microsoft Office	XML di Microsoft Office	.excelml, .powerpointml, .wordml
Altro	Altro	.pointpub, .rtf, .vtt

Questi tipi di file possono essere monitorati tramite le impostazioni dei criteri nei dispositivi Windows 10, 11 e macOS, se è abilitato l'OCR:

.jpg, .png, .tif, .tiff, .bmp, .jpeg

Endpoint DLP analizza i file con le estensioni specificate elencate in precedenza. Se è necessario proteggere o monitorare i file non elencati, utilizzare la funzionalità "Applica restrizioni solo alle estensioni di file non supportate". Le differenze principali tra questa funzionalità e la condizione relativa all'estensione del file sono:

• Endpoint DLP analizza il contenuto per la condizione di estensione file , consentendo di visualizzare i valori del tipo di informazione sensibile negli eventi o negli avvisi. Al contrario, la funzionalità Applica restrizioni solo alle estensioni di file non supportate non analizza il contenuto dei file.
• La condizione di estensione dei file attiva l'analisi del contenuto, che può consumare risorse del computer più elevate come CPU e memoria, causando potenzialmente problemi di prestazioni per alcuni tipi di file. Per ulteriori dettagli sulla funzionalità Applica restrizioni solo alle estensioni di file non supportate , consultare le risorse seguenti:
• Proteggere i file non analizzati da Prevenzione perdita dati endpoint
• Protezione dalla condivisione di un set definito di file non supportati

Files controllati indipendentemente dalla corrispondenza dei criteri

Le attività possono essere controllate su questi tipi di file in Windows 10, 11 e nelle ultime tre versioni principali di macOS, anche se non esiste alcuna corrispondenza di criteri:

Windows 10, 11	macOS
.doc, .docx, .docm, .dot, .dotx, .dotm, .docb, .xls, .xlsx, .xlt, .xlm, .xlsm, .xltx, .xltm, .xlsb, .xlw, .ppt, .pptx, .pos, .pps, .pptm, .potx, .potm, .ppam, .ppsx, .pbix, .pdf, .csv, .tsv, .zip, .rar, .7z, .tar, .war, .gz, .dlp	.doc, .docx, .docm, .dot, .dotx, .dotm, .docb, .xls, .xlsx, .xlt, .xlm, .xlsm, .xltx, .xltm, .xlsb, .xlw, .ppt, .pptx, .pos, .pps, .pptm, .potx, .potm, .ppam, .ppsx, .pbix, .pdf, .csv, .tsv

Nota

Questi tipi di file possono essere controllati, indipendentemente da una corrispondenza di criteri, nei dispositivi Windows 10, 11 e macOS, purché OCR sia abilitato:

.jpg, .png, .tif, .tiff, .bmp, .jpeg

Importante

Per informazioni sui requisiti di Adobe per l'utilizzo delle funzionalità di Prevenzione della perdita di dati Microsoft Purview (DLP) con file PDF, consultare questo articolo di Adobe: Supporto di Microsoft Purview Information Protection in Acrobat.

Se si vuole monitorare solo i dati delle corrispondenze dei criteri, è possibile disattivare Controlla sempre l'attività dei file per i dispositivi nelleimpostazioni degli endpoint delle impostazioni > di prevenzione della perdita di dati.

Se l'impostazione Controlla sempre l'attività sui file per i dispositivi è attivata, le attività in qualsiasi file Word, PowerPoint, Excel, PDF e .csv vengono sempre controllate, anche se il dispositivo non è interessato da alcun criterio.

Per verificare che le attività siano controllate per tutti i tipi di file supportati, creare criteri di prevenzione della perdita dei dati personalizzati.

Endpoint DLP monitora le attività in base al tipo MIME, quindi le attività vengono acquisite, anche se l'estensione di file viene modificata, per questi tipi di file:

Dopo che l'estensione è stata modificata in qualsiasi altra estensione di file:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Se l'estensione viene modificata solo per le estensioni file supportate:

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

Tipi di file non supportati

Endpoint DLP non supporta il monitoraggio per i tipi di file seguenti:

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

Cosa distingue Endpoint DLP

Ci sono alcuni concetti aggiuntivi che è necessario conoscere prima di approfondire l'utilizzo di Endpoint DLP.

Abilitare la gestione dei dispositivi

La gestione dei dispositivi è la funzionalità che consente la raccolta di dati di telemetria dai dispositivi e la introduce nelle soluzioni Microsoft Purview, come Endpoint DLP e Gestione dei rischi Insider. È necessario eseguire l'onboarding di tutti i dispositivi che si vogliono usare come posizioni nei criteri di prevenzione della perdita dei dati.

L'onboarding e l'offboarding vengono gestiti tramite script scaricati dal centro gestione dispositivi. Il centro gestione dispositivi include script personalizzati per ognuno dei metodi di distribuzione seguenti:

• Script locale (per un massimo di 10 computer)
• Criteri di gruppo
• System Center Configuration Manager (versione 1610 o successiva)
• Gestione dispositivi mobili/Microsoft Intune
• Script di onboarding VDI per dispositivi non persistenti

Seguire le procedure in Introduzione a Microsoft 365 Endpoint DLP per l'onboarding dei dispositivi.

L'onboarding dei dispositivi in Defender ne esegue anche l'onboarding in DLP. Pertanto, se hai eseguito l'onboarding dei dispositivi tramite Microsoft Defender per endpoint, tali dispositivi vengono visualizzati automaticamente nell'elenco dei dispositivi. Per usare la prevenzione della perdita dei dati degli endpoint, è sufficiente attivare il monitoraggio del dispositivo .

Visualizzazione dei dati di Endpoint DLP

È possibile visualizzare gli avvisi correlati ai criteri DLP applicati ai dispositivi endpoint accedendo al dashboard di gestione degli avvisi DLP e analizzando gli incidenti di perdita di dati con Microsoft Defender XDR.

È anche possibile visualizzare i dettagli dell'evento associato, con metadati complessi, nello stesso dashboard

Dopo l'onboarding di un dispositivo, le informazioni sulle attività controllate fluiscono in Esplora attività anche prima che vengano configurati e distribuiti criteri di prevenzione della perdita dei dati che usano dispositivi come posizione.

Endpoint DLP raccoglie informazioni complete sulle attività controllate.

Ad esempio, se un file viene copiato in un supporto USB rimovibile, nei dettagli attività vengono visualizzati questi attributi:

• tipo di attività
• IP client
• percorso file di destinazione
• timestamp dell'attività
• nome del file
• utente
• estensione del file
• dimensioni del file
• tipo di informazioni sensibili (se applicabile)
• valore SHA1
• valore SHA256
• nome file precedente
• posizione
• padre
• percorso file
• tipo di percorso di origine
• piattaforma
• nome dispositivo
• tipo di percorso di destinazione
• applicazione che ha eseguito la copia
• ID dispositivo di Microsoft Defender per endpoint (se applicabile)
• produttore del dispositivo multimediale rimovibile
• modello di dispositivo multimediale rimovibile
• numero di serie del dispositivo multimediale rimovibile

Perché tutti i criteri endpoint sono in tutti i dispositivi di cui è stato eseguito l'onboarding?

Un dispositivo può supportare più account utente. Poiché i criteri degli endpoint hanno come ambito gli utenti, è possibile che i diversi utenti del dispositivo abbiano criteri diversi. Pertanto, per valutare gli elementi, il dispositivo deve avere accesso a tutti i criteri di prevenzione della perdita dei dati degli endpoint. Tutti i dispositivi di cui è stato eseguito l'onboarding in Purview vengono analizzati indipendentemente dal fatto che l'utente si trovi nell'ambito.

Endpoint DLP e dispositivi offline

Quando un dispositivo endpoint Windows è offline, i criteri esistenti continuano a essere applicati ai file esistenti. Inoltre, con la protezione just-in-time abilitata e in modalità "blocco", quando viene creato un nuovo file in un dispositivo offline, non ne viene comunque impedita la condivisione finché il dispositivo non si connette al servizio di classificazione dei dati e la valutazione non viene completata. Se viene creato un nuovo criterio nel server o se viene modificato un criterio esistente, tali modifiche vengono aggiornate nel dispositivo una volta che si riconnette a Internet.

Importante

Questa funzionalità non è supportata nei dispositivi endpoint macOS.

Considera i seguenti casi d'uso.

1. I criteri inseriti in un dispositivo continueranno a essere applicati ai file già classificati come sensibili anche dopo che il dispositivo sarà offline.
2. I criteri aggiornati mentre un dispositivo è offline non verranno inseriti in tale dispositivo. Analogamente, tali criteri non verranno applicati in tale dispositivo, finché il dispositivo non sarà di nuovo online. Tuttavia, i criteri obsoleti esistenti nel dispositivo offline verranno comunque applicati. Protezione just-in-time

Se le notifiche sono configurate per la visualizzazione, verranno sempre visualizzate quando vengono attivati i criteri DLP, indipendentemente dal fatto che il dispositivo sia online o meno.

Nota

Mentre i criteri che sono già stati inseriti in un dispositivo offline vengono applicati, gli eventi di applicazione non vengono visualizzati in Esplora attività finché il dispositivo non torna online.

I criteri di prevenzione della perdita dei dati vengono sincronizzati regolarmente con i dispositivi endpoint. Se un dispositivo è offline, non è possibile sincronizzare i criteri. In questo caso, l'elenco dei dispositivi indica che il dispositivo non è sincronizzato con i criteri nel server.

Protezione just-in-time

La protezione just-in-time blocca le attività in uscita su questi file monitorati fino al completamento della valutazione dei criteri:

• Elementi che non sono mai stati valutati.
• Elementi per i quali la valutazione non è stata aggiornata. Si tratta di elementi valutati in precedenza che non sono stati rivalutati dalle versioni cloud correnti aggiornate dei criteri.

Per altre informazioni sul funzionamento della protezione just-in-time, vedere Informazioni sulla protezione just-in-time e Introduzione alla prevenzione della perdita dei dati Microsoft Purview protezione just-in-time.

Passaggi successivi

Dopo avere acquisito familiarità con Endpoint DLP, è possibile proseguire con questi argomenti:

1. Panoramica dell'onboarding dei dispositivi Windows 10 o Windows 11 in Microsoft Purview
2. Panoramica dell'onboarding dei dispositivi macOS in Microsoft Purview
3. Configurare le impostazioni di prevenzione della perdita dei dati degli endpoint
4. Uso di Prevenzione della perdita di dati degli endpoint

Vedere anche

• Introduzione alla prevenzione della perdita di dati degli endpoint Microsoft
• Uso della prevenzione della perdita di dati degli endpoint Microsoft
• Informazioni sulla prevenzione della perdita di dati
• Analizzare le prove della prevenzione della perdita dei dati degli endpoint in Indagini sulla sicurezza dei dati (anteprima)
• Creare e distribuire criteri di prevenzione della perdita dei dati
• Introduzione a Esplora attività
• Microsoft Defender ATP
• Gestione dei rischi Insider