Créer une stratégie pour gérer les activités de fichiers en implémentant des exceptions réseau

Ce scénario montre comment utiliser des conditions réseau dans Microsoft Purview DLP pour appliquer différentes protections en fonction de l’endroit où les utilisateurs accèdent données sensibles. En définissant des connexions VPN et en configurant des exceptions réseau, la stratégie ajuste les actions, telles que l’audit ou le blocage de l’activité du Presse-papiers, en fonction du contexte réseau, ce qui permet un contrôle plus précis pour les environnements de travail hybrides sans restreindre uniformément l’activité des utilisateurs.

Ce scénario concerne un administrateur non restreint qui crée une stratégie d’annuaire complète.

Conditions préalables et hypothèses

Ce scénario nécessite que vous ayez déjà intégré des appareils et que vous créez des rapports dans l’Explorateur d’activités. Si vous n’avez pas encore intégré d’appareils, consultez l’article Prise en main de la protection contre la perte de données de point de terminaison.

Dans ce scénario, nous définissons une liste de VPN que les workers hybrides utilisent pour accéder aux ressources organization.

Cet article utilise le processus que vous avez appris dans Concevoir une stratégie de protection contre la perte de données pour vous montrer comment créer une stratégie de Protection contre la perte de données Microsoft Purview (DLP). Parcourez ces scénarios dans votre environnement de test pour vous familiariser avec l’interface utilisateur de création de stratégie.

Importante

Cet article présente un scénario hypothétique avec des valeurs hypothétiques. C’est uniquement à titre d’illustration. Remplacez vos propres types d’informations sensibles, étiquettes de confidentialité, groupes de distribution et utilisateurs.

La façon dont vous déployez une stratégie est aussi importante que la conception de stratégie. Cet article explique comment utiliser les options de déploiement afin que la stratégie atteigne votre objectif tout en évitant les interruptions coûteuses de l’activité.

Ce scénario utilise l’étiquette confidentialité . Il vous oblige donc à créer et à publier des étiquettes de confidentialité. Pour en savoir plus, reportez-vous à la rubrique :

Cette procédure utilise un groupe de distribution hypothétique Ressources humaines et un groupe de distribution pour l’équipe de sécurité au Contoso.com.

Cette procédure utilise des alertes, consultez : Bien démarrer avec les alertes de protection contre la perte de données

Mappage et instruction d’intention de stratégie

Nous, Contoso, voulons contrôler la façon dont le contenu juridique sensible est géré en fonction du contexte réseau dans lequel les utilisateurs opèrent. En particulier, nous souhaitons appliquer différents niveaux de restriction selon que les utilisateurs sont connectés via des réseaux d’entreprise approuvés ou des connexions VPN utilisées par les workers hybrides.

Pour ce faire, nous allons définir des connexions VPN connues et les utiliser dans des règles d’exception réseau au sein d’une stratégie DLP. Cela nous permet d’appliquer des contrôles plus stricts, tels que le blocage de l’activité du Presse-papiers avec remplacement, lorsque les utilisateurs sont connectés via des VPN spécifiques, tout en conservant un comportement moins restrictif (audit uniquement) dans d’autres contextes. Cette approche permet une protection contextuelle des données qui s’adapte à la façon et à l’endroit où les utilisateurs accèdent données sensibles.

Statement Réponse à la question de configuration et mappage de configuration
« Nous souhaitons appliquer différents contrôles de protection des données en fonction du réseau à partir duquel les utilisateurs sont connectés... » - Étendue administrative : répertoire complet
- Où surveiller : appareils uniquement
- Étendue de la stratégie : tous les utilisateurs/appareils ou utilisateurs ciblés
« Nous voulons identifier les connexions VPN utilisées par les workers hybrides... » - Paramètres de point de terminaison : Configurer les paramètres VPN à l’aide de l’adresse du serveur ou de l’adresse réseau
- Données collectées via des commandes PowerShell (Get-VpnConnection, Get-NetConnectionProfile)
« Nous voulons détecter le contenu juridique sensible géré sur les points de terminaison... » - Condition : Content contains = Classifieurs pouvant être formés, Legal Affairs
« Nous voulons contrôler des activités utilisateur spécifiques impliquant du contenu sensible... » - Action : Auditer ou restreindre les activités sur les appareils
- Type d’activité : Activités de fichier sur toutes les applications
- Activité spécifique : copier dans le Presse-papiers (extensible à d’autres comme l’impression ou la copie USB)
« Nous voulons un suivi moins restrictif dans des conditions normales... » - Action d’activité par défaut : auditer uniquement pour la copie dans le Presse-papiers
« Nous voulons des contrôles plus stricts lorsque les utilisateurs sont connectés via des réseaux VPN définis... » - Exception réseau : sélectionnez VPN et définissez l’action sur Bloquer avec remplacement
- Priorité : LE VPN doit être défini comme priorité absolue dans la configuration de l’exception réseau
« Nous voulons prendre en charge la productivité des utilisateurs tout en maintenant la responsabilité... » - Fonctionnalité de remplacement : les utilisateurs peuvent procéder à la justification lorsqu’ils sont bloqués dans des conditions VPN
« Nous voulons garantir la priorité correcte des règles basées sur le réseau... » - Comportement de configuration : les règles VPN sont prioritaires sur les paramètres réseau d’entreprise lorsqu’elles sont correctement ordonnées
- Attention : « Appliquer à toutes les activités » peut remplacer d’autres configurations spécifiques à l’activité
« Nous voulons tester en toute sécurité le comportement de la stratégie avant une mise en œuvre complète... » - Mode stratégie : exécution en mode simulation
- Expérience utilisateur : afficher les conseils de stratégie en mode simulation
« Nous voulons valider le comportement de la stratégie par le biais de la surveillance et des tests... » - Surveillance : Utiliser l’Explorateur d’activités pour examiner les correspondances de stratégie
- Test : Effectuer une action de copie du Presse-papiers dans différentes conditions réseau (VPN ou non-VPN)

Étapes de création d’une stratégie

Créer et utiliser une exception réseau

Les exceptions réseau vous permettent de configurer les actions Autoriser, Auditer uniquement, Bloquer avec remplacement et Bloquer pour les activités de fichier en fonction du réseau à partir duquel les utilisateurs accèdent au fichier. Vous pouvez sélectionner dans la liste des paramètres VPN que vous avez définie et utiliser l’option Réseau d’entreprise . Les actions peuvent être appliquées individuellement ou collectivement à ces activités utilisateur :

  • Copier dans le Presse-papiers
  • Copier sur un périphérique usb amovible
  • Copier vers un partage réseau
  • Imprimer
  • Copier ou déplacer à l'aide d'une application Bluetooth non autorisée
  • Copier ou déplacer à l’aide de RDP

Obtenir l’adresse du serveur ou l’adresse réseau

  1. Sur un appareil Windows surveillé par DLP, ouvrez une fenêtre Windows PowerShell en tant qu’administrateur.

  2. Exécutez cette applet de commande :

    Get-VpnConnection

  3. L’exécution de cette applet de commande retourne plusieurs champs et valeurs.

  4. Recherchez le champ ServerAddress et enregistrez cette valeur. Vous l’utilisez lorsque vous créez une entrée VPN dans la liste DES VPN.

  5. Recherchez le champ Nom et enregistrez cette valeur. Le champ Nom est mappé au champ Adresse réseau lorsque vous créez une entrée VPN dans la liste VPN.

Déterminer si l’appareil est connecté via un réseau d’entreprise

  1. Sur un appareil Windows surveillé par DLP, ouvrez une fenêtre Windows PowerShell en tant qu’administrateur.

  2. Exécutez cette applet de commande :

    Get-NetConnectionProfile

  3. Si le champ NetworkCategory est DomainAuthenticated, l’appareil est connecté à un réseau d’entreprise. Si ce n’est pas le cas, la connexion de l’appareil ne passe pas par un réseau d’entreprise.

Ajouter un VPN

  1. Connectez-vous au portail Microsoft Purview.

  2. Ouvrez Paramètres Protection>contre la> perte de donnéesParamètres du point de terminaison Paramètres>VPN.

  3. Sélectionnez Ajouter ou modifier des adresses VPN.

  4. Indiquez l’adresse du serveur ou l’adresse réseau de l’exécution de Get-VpnConnection.

  5. Sélectionnez Enregistrer.

  6. Fermez l’élément.

Configurer les actions de stratégie

  1. Connectez-vous au portail Microsoft Purview.

  2. Ouvrez les stratégies de protection contre la> pertede données.

  3. Sélectionnez Créer une stratégie.

  4. Données stockées dans des sources connectées.

  5. Sélectionnez le modèle Personnalisé dans Catégories , puis Le modèle de stratégie personnalisée dans Réglementations.

  6. Nommez votre nouvelle stratégie et fournissez une description.

  7. Sélectionnez Répertoire complet sous Administration unités.

  8. Limitez l’emplacement à Appareils uniquement.

  9. Créez une règle où :

    1. Le contenu contient = Classifieurs pouvant être formés, affaires juridiques
    2. Actions = Auditer ou restreindre les activités sur les appareils
    3. Sélectionnez ensuite Activités de fichier sur toutes les applications
    4. Sélectionnez Appliquer des restrictions à une activité spécifique.
    5. Sélectionnez les actions pour lesquelles vous souhaitez configurer les exceptions réseau .

  10. Sélectionnez Copier dans le Presse-papiers et l’action Auditer uniquement

  11. Sélectionnez Choisir différentes restrictions de copie dans le Presse-papiers.

  12. Sélectionnez VPN et définissez l’action sur Bloquer avec remplacement.

    Importante

    Lorsque vous souhaitez contrôler les activités d’un utilisateur lorsqu’il est connecté via un VPN, vous devez sélectionner le VPN et faire du VPN la priorité absolue dans la configuration des exceptions réseau . Sinon, si l’option Réseau d’entreprise est sélectionnée, cette action définie pour l’entrée Réseau d’entreprise sera appliquée.

    Attention

    L’option Appliquer à toutes les activités copie les exceptions réseau définies ici et les applique à toutes les autres activités spécifiques configurées, telles que Imprimer et Copier sur un partage réseau. Cela remplacera les exceptions réseau sur les autres activités La dernière configuration enregistrée l’emporte.

  13. Enregistrez.

  14. Acceptez la valeur par défaut Exécuter la stratégie en mode simulation et choisissez Afficher les conseils de stratégie en mode simulation. Cliquez sur Suivant.

  15. Passez en revue vos paramètres, choisissez Envoyer , puis Terminé.

  16. La nouvelle stratégie DLP apparaît dans la liste des stratégies.

  • Last updated on