Microsoft Defender for Cloud Apps 中的文件筛选器

项目
12/28/2023

为了提供数据保护，Microsoft Defender for Cloud Apps 可让你查看已连接应用中的所有文件。使用应用连接器将 Microsoft Defender for Cloud Apps 连接到应用后，Microsoft Defender for Cloud Apps 将扫描所有文件，例如 OneDrive 和 Salesforce 中存储的所有文件。然后，每次修改文件，Microsoft Defender for Cloud Apps 都会重新扫描该文件。修改可针对内容、元数据或共享权限。扫描时间取决于应用中存储的文件数。还可使用“文件”页面来筛选文件，调查云应用中保存的数据类型。

注意

应在设置中启用文件监视。在 Microsoft Defender 门户中，选择“设置”。然后选择“Cloud Apps”。在“信息保护”下，选择“文件”。选择“启用文件监视”，然后选择“保存”。
如果没有活动的文件策略，则文件监视将在最后一次文件页面交互时间的七天后被禁用。
如果没有活动的文件策略，则在最后一次文件页面交互时间的 35 天后，Defender for Cloud Apps 将开始删除 Defender for Cloud Apps 维护的有关这些存储文件的数据。从 2023 年 8 月 20 日开始，筛选器“最后修改时间在（天数）之前”将被弃用。我们建议改为使用“（日期）之前的文件”，并通过固定日期继续调查，也可以在“策略页面”或“文件页面”通过“在（日期）之前修改”进行“手动”调查。

文件筛选器示例

例如，使用“文件”页面保护标记为“机密”的外部共享文件，如下所示：

将应用连接到 Defender for Cloud Apps 后，与 Microsoft Purview 信息保护集成。然后，在“文件”页面，筛选标记为“机密”的文件，并在“协作者”筛选器中排除你的域。如果发现有在组织外部共享的机密文件，可创建一个文件策略检测这些文件。可以对这些文件应用自动治理操作，例如“移除外部协作者”和“向文件所有者发送策略匹配摘要”，以免组织发生数据丢失。

机密文件筛选。

下面是另一个关于如何利用“文件”页的示例。请确保组织中没有人公开共享或与外部共享过去 6 个月未修改的文件：

将应用连接到 Defender for Cloud Apps 并转到“文件”页。筛选访问级别为“外部”或“公共”的文件，并将“上次修改时间”设置为 6 个月前。选择“从搜索新建策略”，创建检测这些过时的公共文件的文件策略。对其应用自动治理操作，例如“移除外部用户”，以避免组织发生数据丢失。

过时外部文件筛选。

基本筛选器提供了强大的工具来开始进行文件筛选。

基本文件日志筛选器。

要向下钻取更具体的文件，则可以通过选择“高级筛选器”来扩展基本筛选器。

高级文件日志筛选器。

文件筛选器

Defender for Cloud Apps 可以基于超过 20 个元数据筛选器（例如访问级别、文件类型）监视任何文件类型。

Defender for Cloud Apps 的内置 DLP 引擎从常见的文件类型中提取文本，以执行内容检查。包含的文件类型有 PDF、Office 文件、RTF、HTML 和代码文件等。

以下是可能会应用的文件筛选器的列表。大多数筛选器都支持使用多个值和 NOT，以提供功能强大的策略创建工具。

注意

使用文件策略筛选器时，“包含”将仅搜索完整词语（由逗号、句点、连字号或空格分隔）。

单词之间的空格或连字号相当于 OR。例如，如果搜索 malwarevirus，它将查找名称中包含 malware 或 virus 的所有文件，因此它将找到 malware-virus.exe 和 virus.exe。
若想要搜索字符串，则将词语放在引号内。这相当于 AND。例如：如果搜索 "malware""virus"，它将查找 virus-malware-file.exe，而不会查找 malwarevirusfile.exe 和 malware.exe。但是，它将搜索确切的字符串。如果搜索 "malware virus"，它将不会查找 "virus" 或 "virus-malware"。

“等于”将仅搜索完整的字符串。例如，如果搜索 malware.exe，它会找到 malware.exe，而不会找到 malware.exe.txt。

访问级别 - 共享访问级别：公共、外部、内部或专用。
- 内部 - 在常规设置中设置的内部域中包含的任何文件。
- 外部 - 保存在设置的内部域以外位置的任何文件。
- 共享 - 具有“专用”以上共享级别的文件。共享包括：
  - 内部共享 - 内部域中共享的文件。
  - 外部共享 - 在内部域中未列出的域中共享的文件。
  - 公共（带链接） - 可通过链接与任何人共享的文件。
  - 公共 - 可通过搜索 Internet 找到的文件。
    注意
    
    由外部用户共享到连接的存储应用中的文件由 Defender for Cloud Apps 进行如下处理：
    - OneDrive：OneDrive 将内部用户分配为由外部用户放置到 OneDrive 中的任何文件的所有者。因为这些文件将被视为组织所拥有的文件，所以 Defender for Cloud Apps 会扫描这些文件并对其应用策略，就像处理 OneDrive 中的任何其他文件一样。
    - Google 云端硬盘：Google 云端硬盘将这些文件视为外部用户所拥有，因为对于不由组织拥有的文件和数据，存在法律上的限制，所以 Defender for Cloud Apps 不能访问这些文件。
    - Box：Box 全局管理员无法看到文件的内容，因为 Box 将外部拥有的文件视为私人信息。因此，Defender for Cloud Apps 不能访问这些文件。
    - Dropbox：Dropbox 全局管理员看不到文件的内容，因为 Dropbox 将外部拥有的文件视为私人信息。因此，Defender for Cloud Apps 不能访问这些文件。
应用 - 仅搜索这些应用中的文件。
协作者 - 包含/排除特定协作者或组。
- 域中的任何人 - 是否此域中的任何用户都有权直接访问文件。
  注意
  - 此筛选器不支持与组共享的文件，仅会支持与特定用户共享的文件。
  - 对于 SharePoint 和 OneDrive，筛选器不支持通过共享链接与特定用户共享的文件。
- 整个组织 – 是否整个组织都有权访问该文件。
- 组 - 是否某个特定组有权访问文件。可以从 Active Directory、云应用导入组或在服务中手动创建组。
- 用户 - 某些可能会有权访问文件的用户组。
创建时间 – 文件创建时间。筛选器支持对日期之前或日期之后及日期范围的筛选。
扩展名 - 关注特定文件扩展名。例如，属于可执行文件 (*.exe) 的所有文件。
注意
- 此筛选器区分大小写。
- 使用 OR 子句对多个大写变体应用筛选器。
文件 ID – 搜索特定的文件 ID。文件 ID 是一项高级功能，使用户能够跟踪某些高价值文件，而无需依赖其所有者、位置或名称。
文件名称 – 文件名称或云应用中定义的名称的子字符串。例如，名称中包含密码的所有文件。
敏感度标签 - 用于搜索设置了特定标签的文件。标签可以是：

注意

如果在文件策略中使用此筛选器，该策略将仅适用于Microsoft Office 文件，并且将忽略其他文件类型。
- Microsoft Purview 信息保护 - 需要与 Microsoft Purview 信息保护集成。
- Defender for Cloud Apps - 可以更详细地了解它扫描的文件。对于 Defender for Cloud Apps DLP 扫描的每个文件，可以知道检查是否因文件已加密或已损坏而受到阻止。例如，你可以设置策略以发出警报，并隔离受密码保护的外部共享文件。
  - Azure RMS 已加密 - 内容未经检查的文件，因为它们具有 Azure RMS 加密集。
  - 密码已加密 - 内容未经检查的文件，因为它们已由用户进行密码保护。
  - 损坏的文件 - 内容未经检查的文件，因为无法读取其内容。

文件类型 - Defender for Cloud Apps 扫描文件以确定真正的文件类型是否匹配从服务接收的 MIME 类型（参见表）。此扫描仅适用于与数据扫描相关的文件（文档、图像、演示文稿、电子表格、文本和 zip/存档文件）。筛选器按文件/文件夹类型进行筛选。例如，筛选具有某种共性的所有文件夹...或具有某种共性的所有电子表格文件...

MIME 类型 (MIME type)	文件类型
- application/vnd.openxmlformats-officedocument.wordprocessingml.document - application/vnd.ms-word.document.macroEnabled.12 - application/msword - application/vnd.oasis.opendocument.text - application/vnd.stardivision.writer - application/vnd.stardivision.writer-global - application/vnd.sun.xml.writer - application/vnd.stardivision.math - application/vnd.stardivision.chart - application/x-starwriter - application/x-stardraw - application/x-starmath - application/x-starchart - application/vnd.google-apps.document - application/vnd.google-apps.kix - application/pdf - application/x-pdf - application/vnd.box.webdoc - application/vnd.box.boxnote - application/vnd.jive.document - text/rtf - application/rtf	文档
- application/vnd.oasis.opendocument.image - application/vnd.google-apps.photo - 开头为：image/	映像
- application/vnd.openxmlformats-officedocument.presentationml.presentation - application/vnd.ms-powerpoint.template.macroEnabled.12 - application/mspowerpoint - application/powerpoint - application/vnd.ms-powerpoint - application/x-mspowerpoint - application/mspowerpoint - application/vnd.ms-powerpoint - application/vnd.oasis.opendocument.presentation - application/vnd.sun.xml.impress - application/vnd.stardivision.impress - application/x-starimpress - application/vnd.google-apps.presentation	呈现
- application/vnd.openxmlformats-officedocument.spreadsheetml.sheet - application/vnd.ms-excel.sheet.macroEnabled.12 - application/excel - application/vnd.ms-excel - application/x-excel - application/x-msexcel - application/vnd.oasis.opendocument.spreadsheet - application/vnd.sun.xml.calc - application/vnd.stardivision.calc - application/x-starcalc - application/vnd.google-apps.spreadsheet	电子表格
- 开头为：text/	文本
所有其他文件 MIME 类型	其他

policy_file 筛选器类型。

垃圾桶中 - 排除/包括垃圾文件夹中的文件。这些文件可能仍在共享，并且会带来风险。
上次修改 - 文件修改时间。筛选器支持对日期前后、日期范围内及相对时间表达式进行筛选。例如，过去六个月内未修改的所有文件。
匹配的策略 - 与活动的 Defender for Cloud Apps 策略匹配的文件。
MIME 类型 – 文件 MIME 类型检查。它接受自由文本。
所有者 - 包含/排除特定文件所有者。例如，跟踪 rogue_employee_#100 共享的所有文件。
所有者 OU - 包含或排除属于特定组织单位的文件所有者。例如，除 EMEA_marketing 共享的文件以外的所有公共文件。仅适用于存储在 Google 云端硬盘中的文件。
父文件夹 – 包含或排除特定的文件夹（不适用于子文件夹）。例如，除此文件夹中的文件以外的所有公开共享的文件。

注意

仅当 SharePoint 和 OneDrive 的新文件夹中执行了某些文件活动后，Defender for Cloud Apps 才会检测到它们。
已隔离 – 文件是否由服务隔离。例如，向我显示隔离的所有文件。

创建策略时，还可以通过设置“应用于”筛选器，设置在特定文件上运行策略。筛选到“所有文件”、“所选文件夹”（包含子文件夹），或“除所选文件夹以外的所有文件”。然后选择相关的文件或文件夹。

应用到筛选器。

授权文件

当 Defender for Cloud Apps 将文件标识为恶意软件或会造成 DLP 风险后，建议调查这些文件。如果确定文件是安全的，则可以对它们进行授权。通过授权文件，会将其从恶意软件检测报告中移除，并阻止将来对此文件进行匹配。

要授权文件

在 Microsoft Defender 门户的“Cloud Apps”下，选择“策略”->“策略管理”。选择 信息保护 选项卡。
在策略列表中，在触发调查的策略所在行的“计数”列中，选择“匹配项”链接。

提示

可以按类型筛选策略的列表。下表列出了对于每种风险类型，应使用的筛选器类型：

风险类型筛选器类型

DLP 文件策略

恶意软件恶意软件检测策略
在匹配文件的列表中，在显示所调查文件的行上，选择 ✓ 以授权。