Saiba mais sobre a prevenção contra perda de dados do Ponto de extremidade

Pode utilizar Prevenção Contra Perda de Dados do Microsoft Purview (DLP) para monitorizar as ações que estão a ser executadas em itens que determinou serem confidenciais e para ajudar a impedir a partilha não intencional desses itens.

A prevenção de perda de dados de ponto final (DLP de ponto final) expande as capacidades de monitorização e proteção de atividades do DLP para itens confidenciais armazenados fisicamente em dispositivos Windows 10/11 e macOS (as três versões principais mais recentes lançadas). Assim que os dispositivos estiverem integrados nas soluções do Microsoft Purview, as informações sobre o que os utilizadores estão a fazer com itens confidenciais ficam visíveis no explorador de atividades. Em seguida, pode impor ações de proteção nesses itens através de políticas DLP.

Atividades do ponto de extremidade que você pode monitorar e executar

A DLP de ponto de extremidade permite que você audite e gerencie os seguintes tipos de atividades que os usuários executam em itens confidenciais armazenados fisicamente em dispositivos Windows 10, Windows 11 ou macOS.

Copiar para o comportamento da área de transferência

Quando configura uma regra para Bloquear ou Bloquear com substituição quando um utilizador tenta a atividade Copiar para a área de transferência no conteúdo de um ficheiro que corresponde à política, os utilizadores finais veem este comportamento com estas configurações:

• Word ficheiro 123 contém informações confidenciais que correspondem à cópia à regra de Bloco da área de transferência.

• O ficheiro 123 do Excel contém informações confidenciais que correspondem à cópia à regra de Bloco da área de transferência.

• O ficheiro 123 do PowerPoint contém informações confidenciais que correspondem à cópia à regra de Bloco da área de transferência.

• Word ficheiro 789 não contém informações confidenciais.

• O ficheiro 789 do Excel não contém informações confidenciais.

• O ficheiro 789 do PowerPoint não contém informações confidenciais.

• O ficheiro XYZ do bloco de notas (ou qualquer ficheiro de aplicação ou processo não baseado no Microsoft Office) contém informações confidenciais que correspondem à cópia à regra de Bloco da área de transferência.

• O bloco de notas (ou qualquer ficheiro de processo ou aplicação não baseado no Microsoft Office) ABC não contém informações confidenciais.

Prática recomendada para políticas DLP de ponto de extremidade

Digamos que você queira impedir que todos os itens que contenham números de cartão de crédito deixem os terminais dos usuários do departamento financeiro. Recomendamos:

• Crie uma política e o escopo para pontos de extremidade e para esse grupo de usuários.
• Crie uma regra na política que detecte o tipo de informação que você deseja proteger. Neste caso, defina o conteúdo que contém como Tipo de informações confidenciais*, e selecione Cartão de Crédito.
• Defina as ações de cada atividade para Bloquear.

Para obter mais informações sobre a conceção das políticas DLP, veja Estruturar uma política de prevenção de perda de dados .

Arquivos monitorados

Ficheiros monitorizados através da política

O DLP de ponto final monitoriza estes tipos de ficheiro através da política no Windows 10, 11 e nas três versões principais mais recentes do macOS:

Ficheiros auditados independentemente da correspondência de política

As atividades podem ser auditadas nestes tipos de ficheiro no Windows 10, 11 e nas três versões principais mais recentes do macOS, mesmo que não exista nenhuma correspondência de política:

Se apenas quiser monitorizar dados de correspondências de políticas, pode desativar a atividade Sempre auditar ficheiros para dispositivos nas definições de Prevenção de perda de dados Definições> deponto final.

Se a definição Atividade de ficheiro de auditoria sempre para dispositivos estiver ativada, as atividades em qualquer Word, PowerPoint, Excel, PDF e .csv ficheiros são sempre auditadas, mesmo que o dispositivo não seja visado por nenhuma política.

Para garantir que as atividades sejam auditadas para todos os tipos de arquivo com suporte, crie uma política DLP personalizada.

O DLP de ponto final monitoriza a atividade com base no tipo MIME, pelo que as atividades são capturadas, mesmo que a extensão de ficheiro seja alterada, para estes tipos de ficheiros:

Depois de a extensão ser alterada para qualquer outra extensão de ficheiro:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Se a extensão for alterada apenas para extensões de ficheiro suportadas:

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

Ficheiros analisados para obter conteúdo

Pode utilizar um ou mais tipos de ficheiro como condições nas suas políticas DLP:

O que é diferente no Endpoint DLP

Há alguns conceitos adicionais que você precisa saber antes de mergulhar no Endpoint DLP.

Habilitar o gerenciamento de dispositivos

O gerenciamento de dispositivos é a funcionalidade que habilita a coleta de telemetria de dispositivos e a coloca em soluções do Microsoft Purview, como DLP de ponto de extremidade e o gerenciamento de risco interno. Tem de integrar todos os dispositivos que pretende utilizar como localizações nas suas políticas DLP.

A inclusão e a exclusão são processadas através de scripts que transfere a partir do centro de gestão de dispositivos. O centro de gestão de dispositivos tem scripts personalizados para cada um dos seguintes métodos de implementação:

• Script local (até 10 máquinas)
• Política de grupo
• System Center Configuration Manager (versão 1610 ou posterior)
• Gerenciamento de dispositivos móveis/Microsoft Intune
• Scripts de integração VDI para máquinas não persistentes

Use os procedimentos no Introdução ao Microsoft 365 Endpoint DLP a dispositivos integrados.

A inclusão de dispositivos no Defender também os integra no DLP. Assim, se tiver integrado dispositivos através de Microsoft Defender para Ponto de Extremidade, esses dispositivos serão apresentados automaticamente na lista de dispositivos. Só precisa de Ativar a monitorização de dispositivos para utilizar o DLP de ponto final.

Exibir dados de DLP do Endpoint

Pode ver alertas relacionados com políticas DLP impostas em dispositivos de ponto final ao aceder ao Dashboard de Gestão de Alertas DLP e Investigar incidentes de perda de dados com Microsoft Defender XDR.

Também pode ver detalhes do evento associado, com metadados avançados, no mesmo dashboard

Após a integração de um dispositivo, as informações sobre as atividades auditadas fluem no explorador de atividades mesmo antes de você configurar e implantar as políticas DLP que têm dispositivos como um local.

O Endpoint DLP coleta informações abrangentes sobre atividades auditadas.

Por exemplo, se um arquivo for copiado para uma mídia USB removível, você verá esses atributos nos detalhes da atividade:

• tipo de atividade
• IP do Cliente
• caminho do arquivo de destino
• carimbo de data/hora ocorrido
• nome do arquivo
• usuário
• extensão do arquivo
• tamanho do arquivo
• tipo de informação confidencial (se aplicável)
• valor SHA1
• valor SHA256
• nome do arquivo anterior
• localização
• primário
• FilePath
• Tipo de local de origem
• plataforma
• nome do dispositivo
• Tipo de local de destino
• aplicativo que executou a cópia
• ID de dispositivo do Microsoft Defender para Ponto de Extremidade (se aplicável)
• fabricante do dispositivo de mídia removível
• modelo do dispositivo de mídia removível
• número de série do dispositivo de mídia removível

DLP de ponto final e dispositivos offline

Quando um dispositivo de ponto final do Windows está offline, as políticas existentes continuam a ser impostas nos ficheiros existentes. Além disso, com a proteção just-in-time ativada e no modo "bloquear", quando é criado um novo ficheiro num dispositivo offline, o ficheiro continua a ser impedido de ser partilhado até que o dispositivo se ligue ao serviço de classificação de dados e a avaliação seja concluída. Se for criada uma nova política no servidor ou uma política existente for modificada, essas alterações serão atualizadas no dispositivo assim que voltar a ligar à Internet.

Considere os seguintes casos de utilização.

1. As políticas que foram enviadas para um dispositivo continuarão a ser aplicadas a ficheiros já classificados como confidenciais mesmo depois de o dispositivo ficar offline.
2. As políticas atualizadas no portal de conformidade enquanto um dispositivo estiver offline não serão enviadas para esse dispositivo. Da mesma forma, essas políticas não serão impostas nesse dispositivo até que o dispositivo fique novamente online. No entanto, a política desatualizada existente no dispositivo offline continuará a ser imposta. Proteção just-in-time

Se as notificações estiverem configuradas para serem apresentadas, serão sempre apresentadas quando as políticas DLP forem acionadas, independentemente de o dispositivo estar ou não online.

As políticas DLP são sincronizadas regularmente com dispositivos de ponto final. Se um dispositivo estiver offline, as políticas não podem ser sincronizadas. Neste caso, a lista Dispositivos reflete que o dispositivo está dessincronizado com as políticas no servidor.

Proteção just-in-time

A proteção just-in-time bloqueia todas as atividades de saída nos seguintes ficheiros monitorizados até que a avaliação da política seja concluída com êxito:

• Itens que nunca foram avaliados.
• Itens nos quais a avaliação ficou obsoleto. Estes são itens previamente avaliados que não foram reavaliados pelas versões atuais e atualizadas da cloud das políticas.

Antes de poder implementar a proteção just-in-time, primeiro tem de implementar a versão 4.18.23080 ou posterior do Cliente Antimalware.

Para ativar a proteção just-in-time no Portal de Conformidade do Microsoft Purview, selecione Definições no painel de navegação esquerdo, selecione Proteção just-in-time e configure as definições pretendidas.

Escolher as localizações a monitorizar

• Selecione Dispositivos.
• Selecione Editar.
• No painel de lista de opções, selecione o âmbito das contas e dos grupos de distribuição aos quais pretende aplicar a proteção just-in-time. (Tenha em atenção que, enquanto a avaliação da política estiver a ser processada, o DLP de Ponto Final bloqueará todas as atividades de saída de cada utilizador cuja conta esteja no âmbito selecionado. O DLP de ponto final auditará as atividades de saída de todas as contas de utilizador que foram especificamente excluídas (através da definição Excluir) ou que de outra forma não estão no âmbito.)

• Ação de contingência em caso de falha: esta configuração especifica o modo de imposição que o DLP deve aplicar quando a avaliação da política não for concluída. Independentemente do valor que selecionar, a telemetria relevante será apresentada no explorador de atividades.

• Uma vez que a proteção just-in-time bloqueará a atividade de saída apenas quando essa atividade tiver uma ou mais políticas Bloquear ou Bloquear com substituição , o que significa que se o utilizador final, mesmo no Âmbito, não tiver nenhuma política DLP ou apenas auditar a política DLP, a proteção Just-in-time apenas auditará a atividade de saída.

Para obter mais informações, consulte Introdução à proteção Just-In-Time.

Próximas etapas

Agora que você aprendeu sobre o Endpoint DLP, as próximas etapas são:

1. Integrar dispositivos Windows 10 e Windows 11 na visão geral do Microsoft Purview
2. Integrar dispositivos macOS na visão geral do Microsoft Purview
3. Configurar as definições de prevenção contra perda de dados de ponto de extremidade
4. Usando a Prevenção contra perda de dados de ponto de extremidade

Confira também

• Introdução à prevenção contra perda de dados do Ponto de extremidade da Microsoft
• Usar a prevenção contra perda de dados do Ponto de extremidade da Microsoft
• Saiba mais sobre prevenção contra perda de dados
• Criar e Implementar políticas de prevenção de perda de dados
• Começar a usar o Explorador de atividades
• Microsoft Defender para Ponto de Extremidade
• Gerenciamento de risco interno