開始收集裝置中符合資料外洩防護原則的檔案

本文將逐步引導您完成裝置上檔案活動辨識項收集的必要條件和設定步驟，並介紹如何檢視複製和儲存的專案。

提示

如果您不是 E5 客戶，請使用 90 天的 Microsoft Purview 解決方案試用版來探索其他 Purview 功能如何協助貴組織管理數據安全性與合規性需求。 立即從 Microsoft Purview 合規性入口網站 試用中樞開始。 瞭解 有關註冊和試用版條款的詳細數據。

以下是針對裝置上的檔案活動設定和使用辨識項集合的高階步驟。

1. 將裝置上線
2. 瞭解您的需求Create 受控 Azure 記憶體帳戶
3. 將 Azure 記憶體 Blob 新增至您的帳戶
4. 在 Microsoft (預覽版管理的記憶體帳戶上啟用和設定辨識項集合)
5. 設定 DLP 原則
6. 預覽辨識項

開始之前

開始這些程式之前，您應該檢閱 瞭解裝置上檔案活動的辨識項集合。

授權和訂用帳戶

開始使用 DLP 原則之前，請確認您的 Microsoft 365 訂閱 和任何附加元件。

如需授權的相關信息，請參閱 Microsoft 365、Office 365、Enterprise Mobility + Security 和 Windows 11 訂閱企業版。

請參閱建立自定義角色型訪問控制 (RBAC) 所需的 Microsoft Entra ID P1 或 P2 的必要條件授權需求。

權限

需要標準 Microsoft Purview 資料外洩防護 (DLP) 許可權。 如需詳細資訊，請參閱＜權限＞。

將裝置上線

您必須先將 Windows 10/11 裝置上線到 Purview，才能使用複製相符的專案，請參閱將 Windows 裝置上線至 Microsoft 365 概觀。

瞭解您的需求

重要事項

每個容器都會繼承其所在記憶體帳戶的許可權。 您無法為每個容器設定不同的許可權。 如果您需要為不同的區域設定不同的許可權，您必須建立多個記憶體帳戶，而不是多個容器。

在設定 Azure 記憶體並將功能範圍設定給使用者之前，您應該有下列問題的解答。

您需要沿著角色或部門行區隔專案和存取嗎？

例如，如果您的組織想要有一組系統管理員或 DLP 事件調查員，以檢視您資深領導階層所儲存的檔案，以及另一組系統管理員或 DLP 事件調查員從人力資源儲存的專案，您應該為組織的資深領導階層建立一個 Azure 儲存器帳戶，併為人力資源部門建立另一個 Azure 儲存器帳戶。 這可確保 Azure 記憶體系統管理員或 DLP 事件調查人員只能從其各自的群組查看符合 DLP 原則的專案。

您要使用容器來組織儲存的專案嗎？

您可以在相同的記憶體帳戶內建立多個辨識項容器，以排序儲存的檔案。 例如，一個用於從人力資源部門儲存的檔案，另一個用於IT部門的檔案。

您有哪些策略可防止儲存的項目刪除或修改？

在 Azure 記憶體中，數據保護是指保護記憶體帳戶及其內數據免於遭到刪除或修改的策略，以及在刪除或修改數據之後還原數據的策略。 Azure 記憶體也提供災害復原選項，包括多層備援，以保護您的數據免於因硬體問題或天然災害而導致服務中斷。 如果主要區域中的數據中心變得無法使用，它也可以使用客戶管理的故障轉移來保護您的數據。 如需詳細資訊，請 參閱數據保護概觀。

您也可以為 Blob 資料設定不變性原則，以防止被覆寫或刪除的已儲存專案。 如需詳細資訊，請參閱 使用不可變記憶體儲存業務關鍵 Blob 數據

用於儲存和預覽辨識項的支援檔類型

可以儲存	可以預覽
端點 DLP 監視的所有文件類型	在 OneDrive、SharePoint 和 Teams 中預覽檔案時支援的所有文件類型

將相符的項目儲存至 Azure Blob 記憶體

若要儲存 Microsoft Purview 在套用數據外洩防護原則時偵測到的辨識項，您需要設定 Azure Blob 記憶體。 執行這項作業的方法有兩種：

1. Create 客戶管理的記憶體
2. Create Microsoft 管理的記憶體 (預覽)

如需這兩種記憶體類型的詳細資訊和比較，請參閱在 (預覽) 偵測到敏感性資訊時儲存辨識 項。

Create 客戶管理的記憶體

設定 Azure 記憶體帳戶、容器和 Blob 的程式記載於 Azure 檔集中。 以下是相關文章的連結，您可以參考以協助您開始使用：

1. Azure Blob 儲存體 簡介
2. Create記憶體帳戶
3. 默認為 ，並使用 Microsoft Entra ID 授權存取 Blob
4. 使用 Azure 入口網站 管理 Blob 容器
5. 使用 PowerShell 管理區塊 Blob

請務必儲存 Azure Blob 容器的名稱和 URL。 若要檢視 URL，請開啟 Azure 記憶體入口網站 >首頁>記憶體帳戶>容器>屬性

Azure Blob 容器 URL 的格式為：https://storageAccountName.blob.core.windows.net/containerName。

將 Azure 記憶體 Blob 新增至您的帳戶

有數種方式可以將 Azure 記憶體 Blob 新增至您的帳戶。 選擇下列 其中一 種方法。

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

Microsoft Purview 入口網站

若要使用 Microsoft Purview 入口網站新增 Azure Blob 記憶體：

1. 登入 Microsoft Purview 入口網站，然後選擇功能表欄中的 [ 設定 ] 齒輪。
2. 選擇 [數據外泄防護]。
3. 選取 [端點 DLP 設定]。
4. 展開 裝置上檔案活動的安裝辨識項集合。
5. 將切換從 [關閉] 變更為 [開啟]。
6. 在 [ 在裝置上設定辨識項快取 ] 欄位中，選取裝置脫機時應該儲存在本機的時間量辨識項。 您可以選擇 7、 30 或 60 天。
7. 選取 (客戶管理的存放區或 Microsoft 受控存放區 (預覽) ) 記憶體類型，然後選取 [+ 新增記憶體]。
   1. 針對 客戶管理的記憶體：
      1. 選擇 [客戶管理的存放區]，然後選擇 [ + 新增記憶體]。
      2. 輸入 為帳戶命名，然後輸入記憶體 Blob 的 URL 。
      3. 選擇 [儲存]。
   2. 針對 Microsoft 管理的記憶體：
      1. 選擇 Microsoft 管理的市集 (預覽)

Microsoft Purview 入口網站中的 DLP 原則

若要使用 Microsoft Purview 入口網站中的 DLP 原則建立工作流程來新增 Azure Blob 記憶體：

1. 登入 Microsoft Purview 入口網站，然後選擇 [數據外泄防護]。
2. 請遵循步驟來建立新原則。
3. 在 [ 位置] 步驟中，確定只選取 [ 裝置 ] 位置，然後選擇 [ 下一步]。
4. 在 [原則設定] 步驟中，選取 [Create 或自定義進階 DLP 規則。
5. 選取 [+Create 規則]，然後新增 [條件]、[動作]、[使用者通知] 和 [使用者覆寫] 與您選擇的值。
6. 在 [ 事件報告] 區段中，[發生 規則相符時傳送警示給系統管理員 ] 切換應為 [預設為 開啟 ]。 (如果不是，請開啟它。)
7. 選取 [ 收集原始檔案] 旁的複選框，作為端點上所有選取檔案活動的辨識項。
8. 選取您要收集辨識項的活動。
9. 選取複選框專案旁邊的 [ 新增記憶體 ]。
10. 在 [ 端點 DLP 設定 ] 頁面上，展開 裝置上檔案活動的安裝辨識項集合 ，並確定選項已切換為 [ 開啟]。

合規性入口網站

若要使用合規性入口網站新增 Azure Blob 記憶體：

1. 從合規性入口網站的左側瀏覽窗格開始，流覽至 [數據外泄防護>概觀>數據外泄防護設定>端點 DLP 設定]。
2. 展開 裝置上檔案活動的安裝辨識項集合 ，並將切換開關設定為 [開啟]。
3. 在 [ 在裝置上設定辨識項快取 ] 欄位中，選取裝置脫機時應該儲存在本機的時間量辨識項。 您可以選擇 7、 30 或 60 天。
4. 選取 (客戶管理的存放區或 Microsoft 受控存放區 (預覽) ) 記憶體類型，然後選取 [+ 新增記憶體]。
   1. 針對 客戶管理的記憶體：
      1. 選擇 [客戶管理的存放區]，然後選擇 [ + 新增記憶體]。
      2. 輸入 為帳戶命名，然後輸入記憶體 Blob 的 URL 。
      3. 選擇 [儲存]。
   2. 針對 Microsoft 管理的記憶體：
      1. 選擇 Microsoft 管理的市集 (預覽)

合規性入口網站中的 DLP 原則工作流程

若要在合規性入口網站中使用 DLP 原則建立工作流程來新增 Azure Blob 記憶體：

1. 從左側瀏覽窗格中，流覽至 [數據外泄防護>原則]。
2. 選擇編輯現有的原則或建立新的原則。
3. 完成原則建立工作流程。 在 [原則設定] 頁面上，選 Create 或自定義進階 DLP 規則。
4. 在 [ 位置] 頁面上，確定只選取 [ 裝置 ] 位置，然後選擇 [ 下一步]。
5. 在 [定義原則設定] 頁面上，選取 Create 或自定義進階 DLP 規則。
6. 選取 [+ Create 規則]。
7. 如往常般處理規則產生器，選取下列選項：
   1. 在 [ 事件報告] 區段中，選取 [ 在系統管理員警示和報告中使用此嚴重性層級] 的選項*。
   2. 將 [在 規則相符時傳送警示給系統管理員 ] 選項切換為 [ 開啟]。
   3. 選取 [ 收集原始檔案] 旁的複選框，作為端點上所有選取檔案活動的辨識項。
   4. 選擇 [新增記憶體]。 [ 端點 DLP 設定] 頁面會 在新視窗中開啟。
   5. 在 [ 端點 DLP 設定 ] 頁面上，展開 裝置上檔案活動的安裝辨識項集合 ，並確定選項已切換為 [ 開啟]。
   6. 針對 [在裝置上設定辨識項快取]，指定如果裝置與伺服器中斷連線，應保留檔案的天數。
   7. 選 取 [+ 新增記憶體]。
   8. 在 [ 新增帳戶] 飛出視窗中，輸入 Blob 的名稱和 URL。
   9. 選擇 [儲存]。
   10. 回到規則產生器，選取 [每次活動符合規則時傳送警示]。
   11. 選擇 [ 儲存]。
   12. 完成規則的建立或編輯，然後選擇 [ 提交]。

設定 Azure Blob 記憶體的許可權

使用 Microsoft Entra 授權，您必須在 Blob 上) (角色群組設定兩組許可權：

1. 一個供系統管理員和調查人員使用，以便檢視和管理辨識項
2. 一個適用於需要從其裝置將專案上傳至 Azure 的使用者

最佳做法是對所有使用者強制執行 最低許可權 ，而不論角色為何。 藉由強制執行最低許可權，您可以確保用戶權力僅限於其角色所需的許可權。 若要設定用戶權力，請在 適用於 Office 365 的 Microsoft Defender 和 Microsoft Purview 中建立角色和角色群組。

適用於系統管理員和調查人員的 Azure Blob 許可權

建立 DLP 事件調查人員的角色群組之後，您必須設定後續的處理 者動作 和調查 數據動作 一節中所述的許可權。

如需設定 Blob 存取的詳細資訊，請參閱下列文章：

• 如何授權存取 Azure 入口網站 中的 Blob 數據
• 指派共用層級許可權。

調查動作

設定這些物件和訴訟角色的動作權限：

物件	權限
Microsoft.Storage/storageAccounts/blobServices	讀取：列出 Blob 服務
Microsoft.Storage/storageAccounts/blobServices	讀取：取得 Blob 服務屬性或統計數據
Microsoft.Storage/storageAccounts/blobServices/containers	讀取：取得 Blob 容器
Microsoft.Storage/storageAccounts/blobServices/containers	讀取：Blob 容器清單
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	讀取：讀取 Blob
Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action	其他：產生使用者委派密鑰

調查數據動作

物件	權限
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	讀取：讀取 Blob

調查角色群組的 JSON 看起來應該像這樣：

"permissions": [
            {

                "actions": [

                    "Microsoft.Storage/storageAccounts/blobServices/read",

                    "Microsoft.Storage/storageAccounts/blobServices/containers/read",

                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"

                ],

                "notActions": [],

                "dataActions": [

                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"

                ],

                "notDataActions": []

            }

        ]

適用於使用者的 Azure Blob 許可權

將這些物件和動作權限指派給使用者角色的 Azure Blob：

使用者動作

物件	權限
Microsoft.Storage/storageAccounts/blobServices	讀取：列出 Blob 服務
Microsoft.Storage/storageAccounts/blobServices/containers	讀取：取得 Blob 容器
Microsoft.Storage/storageAccounts/blobServices/containers	寫入：放置 Blob 容器

用戶數據動作

物件	權限
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	寫入：寫入 Blob
Microsoft.Storage/storageAccounts/blobServices/containers/blobs	其他：新增 Blob 內容

使用者角色群組的 JSON 看起來應該像這樣：

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

在 Microsoft (預覽版管理的記憶體帳戶上啟用和設定辨識項集合)

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

Microsoft Purview 入口網站

若要在 Microsoft 管理的記憶體帳戶上，從 Microsoft Purview 入口網站啟用和設定辨識項集合：

1. 登入功能表欄中的 Microsoft Purview 入口網站>設定 齒輪。
2. 選擇 [數據外泄防護]。
3. 選取 [端點 DLP 設定]。
4. 展開 裝置上檔案活動的安裝辨識項集合 ，並將切換開關設定為 [開啟]。
5. 在 [ 選取記憶體類型] 下，選擇 [Microsoft 受控記憶體]。

合規性入口網站

若要在 Microsoft 管理的記憶體帳戶上，從合規性入口網站內啟用和設定辨識項集合：

1. 開 Microsoft Purview 合規性入口網站>數據外泄防護>數據外泄防護設定>端點 DLP 設定。
2. 展開 裝置上檔案活動的安裝辨識項集合 ，並將切換開關設定為 [開啟]。
3. 在 [ 在裝置上設定辨識項快取 ] 欄位中，選取裝置脫機時應該儲存在本機的時間量辨識項。 您可以選擇 7、 30 或 60 天。
4. 在 [選取記憶體類型] 底下，選擇 [Microsoft 管理的記憶體 (預覽) 。

設定 DLP 原則

如您一般 Create DLP 原則。 如需原則設定範例，請參閱 Create 和部署數據外洩防護原則。

使用下列設定來設定原則：

• 請確定 [裝置 ] 是唯一選取的位置。
• 在 [事件報告] 中，將 [當 規則相符時傳送警示給系統管理員 ] 切換為 [ 開啟]。
• 在 [事件報告] 中，選取 [收集原始檔案] 作為端點上所有所選檔案活動的辨識項。
• 選取您想要的記憶體帳戶。
• 選取您要將相符項目複製到 Azure 記憶體的活動，例如：
  • 複製到卸除式 USB 裝置
  • 複製到網路共用
  • Print
  • 使用不允許的藍牙應用程式複製或移動
  • 使用 RDP 複製或移動

預覽辨識項

視您選取的記憶體類型而定，預覽辨識項的方式不同。

記憶體類型	預覽選項
客戶管理	- 使用活動總管 - 使用合規性入口網站
Microsoft 管理 (預覽)	- 使用活動總管

透過活動總管預覽辨識項

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

Microsoft Purview 入口網站

1. 登入 Microsoft Purview 入口網站>數據外泄防護>活動總管。
2. 使用 [ 日期] 下拉式列表，選取您感興趣期間 的開始 和 結束 日期。
3. 在結果清單中，按兩下您想要調查之活動的明細專案。
4. 在飛出視窗窗格中，儲存辨識項的 Azure Blob 連結會出現在 [辨識 項檔案] 下方。
5. 選取 [Azure Blob 記憶體] 連結，以顯示相符的檔案。

合規性入口網站

1. 開 Microsoft Purview 合規性入口網站>數據外泄防護>活動總管。
2. 使用 [ 日期] 下拉式列表，選取您感興趣期間 的開始 和 結束 日期。
3. 在結果清單中，選取您想要調查的活動。
4. 在飛出視窗窗格中，儲存辨識項的 Azure Blob 連結會出現在 [辨識 項檔案] 下方。
5. 選取 [Azure Blob 記憶體] 連結，以顯示相符的檔案。

透過合規性入口網站的 [警示] 頁面預覽辨識項

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

Microsoft Purview 入口網站

1. 登入 Microsoft Purview 入口網站>數據外洩防護>警示。
2. 使用 [ 日期] 下拉式列表，選取您感興趣期間 的開始 和 結束 日期。
3. 在結果清單中，按兩下您想要調查之活動的明細專案。
4. 在飛出視窗窗格中，選 取 [檢視詳細數據]。
5. 選取 [ 事件] 索 引標籤。
6. 在 [ 詳細數據] 窗格中，選取 [ 來源] 索引標籤。相符的檔案隨即顯示。

合規性入口網站

1. 開啟 Microsoft Purview 合規性入口網站 並流覽至 [數據外泄防護>警示]。
2. 使用 [ 日期] 下拉式列表，選取您感興趣期間 的開始 和 結束 日期。
3. 在結果清單中，選取您想要調查的活動。
4. 在飛出視窗窗格中，選 取 [檢視詳細數據]。
5. 選取 [ 事件] 索 引標籤。
6. 在 [ 詳細數據] 窗格中，選取 [ 來源] 索引標籤 。相符的檔案隨即顯示。

注意事項

如果 Azure 記憶體 Blob 中已經存在相符的檔案，則在變更檔案且使用者對其採取動作之前，將不會再次上傳。

已知行為

• 如果系統當機或重新啟動，儲存在裝置快取中的檔案將不會保存。
• 可以從裝置上傳的檔案大小上限為 500 MB。
• 如果在掃描的檔案上觸發 Just-In-Time Protection ，或如果檔案儲存在網路共用上，則不會收集辨識項檔案。
• 如果在單一檔案中偵測到多個原則規則，只有在設定最嚴格的原則規則來收集辨識項時，才會儲存辨識項檔案。