通过

为内部风险管理策略设置全局排除项

  • 项目

重要

Microsoft Purview 内部风险管理关联各种信号，以识别潜在的恶意或无意内部风险，例如 IP 盗窃、数据泄露和安全违规。 内部风险管理使客户能够创建策略来管理安全性和合规性。 根据设计而构建的隐私，默认情况下，用户将化名化，并且基于角色的访问控制和审核日志已到位，以帮助确保用户级别的隐私。

使用 Microsoft Purview 内部风险管理 中的“全局排除 (预览版) ”设置，以排除内部风险管理策略对项目进行评分。 例如，为了减少策略中的“干扰”，如果某些文件类型或域对组织没有风险，你可能希望排除某些文件类型或域的风险评分。

设置全局排除项时，可能还希望利用 检测组 为不同的用户组定制检测。 检测组可帮助你减少策略的误报。

提示

如果你不是 E5 客户，请使用 90 天Microsoft Purview 解决方案试用版来探索其他 Purview 功能如何帮助组织管理数据安全性和合规性需求。 立即从Microsoft Purview 合规门户试用中心开始。 了解有关 注册和试用条款的详细信息。

配置域排除

你可以排除与用户活动相关的特定域，不受内部风险管理策略的评分。 这些活动包括：

  • Email发送到外部域。
  • 与外部域共享的文件、文件夹和网站。
  • 使用 Microsoft Edge 浏览器) (上传到外部域的文件。

允许的域会被策略忽略，并且不会生成警报。

设置域排除

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的“ 类型 ”面板中，选择“ 域”。

  5. 在右侧 的“域 ”面板中，选择以下选项卡之一：

    • 单个域。 一次添加一个域：

      1. 选择“ 添加域”，然后在“域”字段中输入确切的 域 ，或使用通配符星号 (*) 来检测子域 (例如 *.contoso.com) 。 使用通配符在域名前面检测到最多一个子域 (例如，support.contoso.com) 。

      2. 若要包含域中的所有子域，请选中“ 包括多级子域 ”复选框。

        注意

        可以使用通配符来帮助匹配根域或子域的变体。 例如，若要指定 sales.wingtiptoys.com 和 support.wingtiptoys.com，请使用通配符条目“*.wingtiptoys.com”来匹配这些子域 (和同一级别) 的任何其他子域。 若要为根域指定多级子域，必须选中“ 包括多级子域 ”复选框。

      3. 按 Enter。

      4. 对要添加的每个域重复此过程。

        输入的每个域都会添加到 “域” 列，“ 是 ”或“ 否 ”将添加到包含 的“多级子域 ”列表中。

        提示

        如果不想一次添加一个域，可以通过在上一页上选择“从 CSV 文件导入域”，从 CSV 文件导入域 列表。

      5. 选择添加域。

    • 域组。 若要选择 已创建的域检测组，请执行以下操作：

      1. 选择 “添加域组”。

      2. 从列表中选择相应的域组 () 。 每个域组中包含的域数列在 “包含的域” 列中。

      3. 选择“保存”。

配置电子邮件签名附件排除

内部风险管理策略中“干扰”main源之一是电子邮件签名中的图像，这些图像通常被检测为电子邮件中的附件。 如果选中“ 向组织外部的收件人发送电子邮件” 指示器，则会像在组织外部发送的任何其他电子邮件附件一样对附件进行评分，即使附件中的唯一内容是电子邮件签名也是如此。 可以使用 “忽略电子邮件签名附件 (预览) 设置从评分中排除这些附件。

打开此设置可显著消除电子邮件签名附件的干扰，但不会完全消除所有干扰。 这是因为只有电子邮件发件人的电子邮件签名附件 (发起电子邮件或答复电子邮件的人员) 才会被排除在评分之外。 仍会对收件人、抄送或密件抄送行上的任何人的签名附件进行评分。 此外，如果某人更改了其电子邮件签名，则必须分析新签名，这可能会在短时间内引起警报噪音。

配置电子邮件签名附件排除

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的“类型”面板中，选择“Email签名附件”。

  5. 在右侧的 “忽略电子邮件签名附件 (预览) ”面板中，将设置设置为 “开”。

  6. 选择“保存”。

配置文件路径排除

排除文件路径时，映射到特定指示器的用户活动以及这些文件路径位置中发生的用户活动不会生成策略警报。 示例包括将文件复制或移动到系统文件夹或网络共享路径。 最多可以输入 500 个文件路径进行排除。

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的 “类型 ”面板中，选择“ 文件路径”。

  5. 在右侧 的“文件路径 ”面板中，选择以下选项卡之一：

    • 单个文件路径。 若要添加单个文件路径，请选择“ 添加要排除的文件路径”，输入确切的网络共享或设备文件路径，然后选择“ 添加要排除的文件路径”。 对要排除的每个文件路径重复此过程。 示例：

      示例 说明
      \ms.temp\LocalFolder\ 或 C：\temp 排除文件夹直接下的文件，以及每个文件路径的所有子文件夹（以输入的前缀开头）。
      \public\local\ 从包含输入值的每个文件路径中排除文件。

      匹配“C：\Users\Public\local\”、“C：\Users\User1\Public\local”和“\ms.temp\Public\local”。
      C：\Users*\Desktop 匹配“C：\Users\user1\Desktop”和“C：\Users\user2\Desktop”。
      C：\Users* (2) \Desktop 支持带数字的 Wilcard。 匹配“C：\Users\user1\Desktop”和“C：\Users\user2\Shared\Desktop”。

      输入的每个文件路径都会添加到页面上的 “文件路径”列中 。

      注意

      有关自动从生成策略警报中排除的文件路径，请参阅 默认文件路径 。

    • 文件路径组。 若要选择 已创建的文件路径检测组，请选择“ 添加文件路径组”，然后选择相应的文件路径组 () 。 每个组中包含的文件路径数在“ 包含的文件路径 ”列中列出。

  6. 选择“保存”。

默认文件路径

默认情况下，系统会自动从生成策略警报中排除多个文件路径。 这些文件路径中的活动通常是良性的，可能会增加不可操作警报的数量。 如果需要，可以取消这些默认文件路径排除项的选择，以便为这些位置中的活动启用风险评分。

默认文件路径排除项为：

  • \Users*\AppData
  • \Users*\AppData\Local
  • \Users*\AppData\Roaming
  • \Users*\AppData\Local\Temp

这些路径中的通配符表示 \Users 和 \AppData 之间的所有文件夹级别都包含在排除项中。 例如， C：\Users\Test1\AppData\Local 和 C：\Users\Test2\AppData\Local、 C：\Users\Test3\AppData\Local (等) 中的活动都将包含在 \Users*\AppData\Local 排除选择中，并且不会对风险进行评分。

配置文件类型排除

可以从所有内部风险管理策略匹配中排除特定文件类型。 例如，你可能希望排除所有.wav文件。 对于所有内部风险管理策略的风险评分，将忽略具有该扩展名的文件。

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的 “类型 ”面板中，选择“ 文件类型”。

  5. 在右侧的 “文件类型 ”面板中，选择以下选项卡之一：

    • 单个文件类型。 若要一次添加一个文件类型，请选择“ 添加文件类型”，输入文件类型，然后按 Enter。 对要添加的每个文件类型重复此过程。 输入的每个文件类型都会添加到页面。

    • 文件类型组。 若要选择 已创建的文件类型检测组，请选择“ 添加文件类型组”，然后从列表中选择相应的文件类型组， () 。

  6. 选择“保存”。

配置关键字 (keyword) 排除

可以为文件名、文件路径或电子邮件主题行中显示的关键字配置排除项。 这为需要降低潜在警报频率的组织提供了灵活性，因为出现良性字词的标记。 与包含关键字 (keyword) 的文件或电子邮件主题相关的此类活动将被内部风险管理策略忽略，并且不会生成警报。 最多可以排除 500 个关键字。

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的 “类型 ”面板中，选择“ 关键字”。

  5. 在右侧 的“关键字 ”面板中，选择以下选项卡之一：

    • 单个关键字。 若要一次添加一个关键字，请在“排除这些关键字”字段中输入关键字 (keyword) ，然后按 Enter。 对要添加的每个关键字 (keyword) 重复此过程。 若要删除已添加到列表中的关键字 (keyword) ，请选择关键字 (keyword) 旁边的 X。

      提示

      如果要将某个关键字 (keyword) 排除在评分之外，但希望在与其他关键字或短语结合使用时对关键字 (keyword) 进行评分，请在“排除这些关键字”字段中输入要排除的关键字 (keyword) ，然后在 中输入要评分的短语的一个或多个字词仅当这些术语不是同时存在的字段时，才排除上述关键字。 例如，如果将关键字 (keyword) “符合性”添加到“排除这些关键字”字段，但在“仅当这些字词也不存在”字段时，在“排除上述关键字”字段中输入关键字 (keyword) “训练”，则“符合性”一词本身将从评分中排除，但对短语“符合性培训”进行评分。

    • 关键字组。 若要选择已创建的关键字 (keyword) 检测组，请选择“添加关键字 (keyword) 组”，然后从列表中选择相应的关键字 (keyword) 组 () 。 每个组中包含的关键字数显示在“ 包含的关键字” 标题下。

  6. 选择“保存”。

配置敏感信息类型 (预览) 排除

排除 的敏感信息类型 映射到涉及 Endpoint、SharePoint、Teams、OneDrive 和 Exchange 的文件相关活动的指示器和触发器。 这些排除的类型被视为非敏感信息类型。 如果文件包含本部分中标识的任何敏感信息类型，该文件将进行风险评分，但不会显示为涉及与敏感信息类型相关的内容的活动。 有关敏感信息类型的完整列表，请参阅 敏感信息类型实体定义。

可以选择从组织中可用的所有可用 (和自定义) 类型列表中排除的敏感信息类型。 最多可以选择 500 种敏感信息类型。

注意

敏感信息类型的排除列表优先于 优先级内容 列表。

配置敏感信息类型排除

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的“ 类型 ”面板中，选择“ 敏感信息类型”。

  5. 在右侧 的“敏感信息类型 ”面板中，选择以下选项卡之一：

    • 单个敏感信息类型。 若要一次添加一个敏感信息类型，请选择“ 添加或编辑要排除的敏感信息类型”，选择要排除的敏感信息类型，然后选择“ 添加”。 还可以使用搜索框搜索敏感信息类型。

    • SIT 组。 若要选择 已创建的敏感信息类型检测组，请选择“ 添加敏感信息类型组”，然后从列表中选择相应的组 () 。 敏感信息类型组中包含的敏感信息类型数显示在“ 包含的敏感信息类型 ”标题下。 完成后选择“保存”。

配置 Sharepoint 网站排除

你可以配置 SharePoint 网站排除，以防止在 SharePoint (和 SharePoint 网站中发生的与 Teams 频道网站关联的活动) 生成策略警报。 例如，你可能希望排除包含可与利益干系人或公众共享的非敏感文件和数据的网站或频道。 最多可以输入 500 个 SharePoint 网站 URL 路径。

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的 “类型 ”面板中，选择“ SharePoint 网站”。

  5. 在右侧的 SharePoint 网站 面板中，选择以下选项卡之一：

    • 单个网站。 若要一次添加一个 SharePoint 网站，请选择“ 添加或编辑要排除的网站”，选择要排除的网站，然后选择“ 编辑”。 还可以使用搜索框搜索网站。

    • 网站组。 若要选择 已创建的 SharePoint 网站检测组，请选择“ 添加 SharePoint 网站组”，然后从列表中选择相应的组 () 。 网站组中包含的网站数显示在“ 包含的网站 ”标题下。 完成后选择“保存”。

设置可训练的分类器 (预览) 排除

排除的 可训练分类器 映射到涉及 SharePoint、Teams、OneDrive 和 Exchange 的文件相关活动的指示器和触发器。 如果任何文件包含任何标识为排除项的可训练分类器，则会对该文件进行风险评分，但不会显示为涉及与可训练分类器相关内容的活动。 有关预先训练的分类器的完整列表，请参阅 可训练的分类器定义。

你可以从组织中可用的所有可用 (和自定义) 类型列表中选择要排除的可训练分类器。 内部风险管理默认排除一些可训练的分类器，包括威胁、亵渎、有针对性的骚扰、冒犯性语言和歧视。 最多可以选择 500 个可训练的分类器。

注意

（可选）可以选择要包含在 优先级内容 列表中的可训练分类器。

配置可训练分类器排除

为正在使用的门户选择相应的选项卡。 若要详细了解 Microsoft Purview 门户，请参阅 Microsoft Purview 门户。 若要了解有关合规性门户的详细信息，请参阅 Microsoft Purview 合规门户。

  1. 使用 Microsoft 365 组织中的管理员帐户的凭据登录到 Microsoft Purview 门户 。

  2. 选择页面右上角的 “设置” ，然后选择“ 预览体验成员风险管理 ”转到内部风险管理设置。

  3. 在 “预览体验成员风险设置”下，选择“ 全局排除项 (预览) 。

  4. 在右侧的 “类型 ”面板中，选择“ 可训练的分类器”。

  5. 在右侧的 “可训练分类器 ”面板中，选择以下选项卡之一：

    • 单个可训练分类器。 若要一次选择一个可训练的分类器，请选择“ 添加或编辑可训练分类器”以排除，从列表中选择相应的可训练分类器 () ，然后选择“ 添加”。 可以使用搜索框搜索可训练的分类器。

    • 可训练的分类器组。 若要选择 已创建的可训练分类器检测组，请选择“ 添加可训练的分类器组”，然后从列表中选择相应的组 () 。 可训练分类器组中包含的可训练分类器的数目显示在 “包含的可训练分类器” 标题下。 完成后选择“保存”。