Obtener información sobre la Prevención de pérdida de datos en punto de conexión

Puede usar Prevención de pérdida de datos de Microsoft Purview (DLP) para supervisar las acciones que se realizan en los elementos que ha determinado que son confidenciales y para ayudar a evitar el uso compartido involuntario de esos elementos.

La prevención de pérdida de datos de punto de conexión (DLP de punto de conexión) amplía las funcionalidades de supervisión y protección de la actividad de DLP a los dispositivos Windows 10/11, macOS (las tres versiones principales más recientes publicadas) y Windows en determinadas versiones de servidor. Una vez que los dispositivos se incorporan a las soluciones de Microsoft Purview, la información sobre lo que hacen los usuarios con elementos confidenciales se hace visible en el explorador de actividad. A continuación, puede aplicar acciones de protección en esos elementos a través de directivas DLP.

¿Cuándo se clasifican los archivos por DLP de punto de conexión?

DLP de punto de conexión clasifica los archivos en las condiciones siguientes:

• Creación o modificación: Cada vez que se crea o modifica un archivo, se examina por completo los tipos de información confidencial (SIT) y las etiquetas. A continuación, se evalúa el archivo en busca de coincidencias con las directivas y reglas DLP.
• Lectura de un archivo ya clasificado: Cuando se lee un archivo ya clasificado, DLP de punto de conexión comprueba si hay cambios en las directivas, reglas o SIT. Si hay un cambio en la configuración dlp, vuelve a evaluar las directivas y reglas, pero no volverá a extraer el texto.

Compatibilidad con dlp de punto de conexión Windows 10/11 y macOS

DLP de punto de conexión permite incorporar dispositivos que ejecutan las siguientes versiones de Windows Server:

• Windows Server 2019 (14 de noviembre de 2023: KB5032196 (compilación del sistema operativo 17763.5122): Soporte técnico de Microsoft)

• Windows Server 2022 (14 de noviembre de 2023 Actualización de seguridad (KB5032198): Soporte técnico de Microsoft)

De forma predeterminada, DLP de punto de conexión no está habilitado para los servidores Windows cuando se incorporan inicialmente. Para poder ver los eventos DLP de punto de conexión para los servidores en el Explorador de actividad, primero debe habilitar DLP de punto de conexión para servidores Windows.

Una vez configurada correctamente, las mismas directivas de protección contra pérdida de datos se pueden aplicar automáticamente tanto a equipos Windows como a servidores Windows.

Ámbito de las directivas DLP (versión preliminar)

En versión preliminar, los usuarios y los dispositivos tienen como ámbito las directivas DLP para los puntos de conexión. Para que se aplique una directiva de punto de conexión, tanto el usuario como el dispositivo deben estar en el ámbito de la directiva. Esto significa que si un usuario está en el ámbito de la directiva, pero el dispositivo no lo está, no se aplicará la directiva. De forma similar, si un dispositivo está en el ámbito de la directiva, pero el usuario no lo está, no se aplicará la directiva.

Para obtener más información sobre el ámbito de las directivas DLP de punto de conexión, consulte Ámbito del dispositivo.

Otras opciones de configuración

Actividades en punto de conexión que puede supervisar y sobre las que puede tomar medidas

DLP en punto de conexión permite auditar y administrar los siguientes tipos de actividades que los usuarios realizan en elementos confidenciales almacenados físicamente en dispositivos Windows 10, Windows 11 y macOS.

Comportamiento de copia en el Portapapeles

Al configurar una regla en Bloquear o Bloquear con invalidación cuando un usuario intenta la actividad Copiar en el Portapapeles en el contenido de un archivo que coincide con la directiva, los usuarios finales ven este comportamiento con estas configuraciones:

• Word archivo 123 contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• El archivo de Excel 123 contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• El archivo 123 de PowerPoint contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• Word archivo 789 no contiene información confidencial.

• El archivo 789 de Excel no contiene información confidencial.

• El archivo 789 de PowerPoint no contiene información confidencial.

• El archivo XYZ del Bloc de notas (o cualquier aplicación o proceso no basado en Microsoft Office) contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• El archivo ABC del Bloc de notas (o cualquier aplicación o proceso no basado en Microsoft Office) no contiene información confidencial.

Procedimiento recomendado para directivas DLP de punto de conexión

Supongamos que quiere bloquear todos los elementos que contengan números de tarjetas de crédito para que no salgan de los puntos de conexión de los usuarios del departamento de finanzas. Se recomienda lo siguiente:

• Cree una directiva y aplíquela a los puntos finales y a ese grupo de usuarios.
• Cree una regla en la directiva que detecte el tipo de información que desea proteger. En este caso, establezca contenido enTipo de información confidencial* y seleccione Tarjeta de crédito.
• Establezca las acciones de cada actividad en Bloquear.

Para obtener más información sobre el diseño de las directivas DLP, vea Diseñar una directiva de prevención de pérdida de datos .

Archivos supervisados

Archivos supervisados a través de la directiva

DLP de punto de conexión supervisa estos tipos de archivo a través de la directiva en Windows 10, 11:

DLP de punto de conexión supervisa estos tipos de archivo a través de la directiva en las tres versiones principales más recientes de macOS:

Estos tipos de archivo se pueden supervisar a través de la configuración de directiva en dispositivos Windows 10, 11 y macOS, si OCR está habilitado:

.jpg, .png, .tif, .tiff, .bmp, .jpeg

DLP de punto de conexión examina los archivos con las extensiones especificadas enumeradas anteriormente. Si necesita proteger o supervisar archivos que no aparecen en la lista, use la característica "Aplicar restricciones solo a extensiones de archivo no admitidas". Las principales diferencias entre esta característica y la extensión De archivo es la condición son:

• DLP de punto de conexión examina el contenido de la condición Extensión de archivo , lo que le permite ver valores de tipo información confidencial en eventos o alertas. Por el contrario, la característica Aplicar restricciones solo a extensiones de archivo no admitidas no examina el contenido de los archivos.
• La extensión Archivo es una condición que desencadena el examen de contenido, que puede consumir recursos de máquina más altos, como CPU y memoria, lo que puede causar problemas de rendimiento para algunos tipos de archivo. Para obtener más información sobre la característica Aplicar restricciones solo a extensiones de archivo no admitidas , consulte los siguientes recursos:
• Ayudar a proteger los archivos que endpoint Data Loss Prevention no examina
• Ayudar a proteger contra el uso compartido de un conjunto definido de archivos no admitidos

Archivos auditados independientemente de la coincidencia de directiva

Las actividades se pueden auditar en estos tipos de archivo en Windows 10, 11 y en las tres versiones principales más recientes de macOS, incluso si no existe ninguna coincidencia de directiva:

Si solo desea supervisar los datos de coincidencias de directivas, puede desactivar la actividad De auditoría de archivos de always para dispositivos en la configuración de> prevención de pérdida de datos Configuración del punto deconexión.

Si la configuración De siempre auditar la actividad de archivos para dispositivos está activada, las actividades de cualquier archivo Word, PowerPoint, Excel, PDF y .csv siempre se auditan, incluso si el dispositivo no está destinado a ninguna directiva.

Para asegurarse de que las actividades se auditan para todos los tipos de archivo admitidos, cree una directiva DLP personalizada.

DLP de punto de conexión supervisa la actividad basada en el tipo MIME, por lo que las actividades se capturan, incluso si se cambia la extensión de archivo, para estos tipos de archivos:

Después de cambiar la extensión a cualquier otra extensión de archivo:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Si la extensión solo se cambia a las extensiones de archivo admitidas:

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

Tipos de archivo no admitidos

DLP de punto de conexión no admite la supervisión de los siguientes tipos de archivo:

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

¿Qué es diferente en DLP en punto de conexión?

Debe tener en cuenta algunos conceptos adicionales antes de profundizar en DLP en punto de conexión.

Habilitar la administración de dispositivos

La administración de dispositivos es la funcionalidad que permite la colección de telemetría desde dispositivos y la incluye en las soluciones de cumplimiento de Microsoft Purview como DLP en punto de conexión y la administración de riesgos internos. Debe incorporar todos los dispositivos que desea usar como ubicaciones en las directivas DLP.

La incorporación y la retirada se controlan a través de scripts que se descargan desde el Centro de administración de dispositivos. El Centro de administración de dispositivos tiene scripts personalizados para cada uno de los métodos de implementación siguientes:

• Script local (hasta 10 equipos)
• Directiva de grupo
• System Center Configuration Manager (versión 1610 o posterior)
• Administración de dispositivos móviles/Microsoft Intune
• Scripts de incorporación de VDI para equipos no persistentes

Use los procedimientos descritos en Introducción a DLP en punto de conexión de Microsoft 365 para incorporar dispositivos.

La incorporación de dispositivos a Defender también los incorpora a DLP. Por lo tanto, si ha incorporado dispositivos a través de Microsoft Defender para punto de conexión, esos dispositivos se muestran automáticamente en la lista de dispositivos. Solo necesita activar la supervisión de dispositivos para usar DLP de punto de conexión.

Visualizar datos de DLP en punto de conexión

Para ver las alertas relacionadas con las directivas DLP aplicadas en los dispositivos de punto de conexión, vaya al Panel de administración de alertas DLP e Investigue los incidentes de pérdida de datos con Microsoft Defender XDR.

También puede ver los detalles del evento asociado, con metadatos enriquecidos, en el mismo panel.

Una vez que se incorpora un dispositivo, la información sobre las actividades auditadas fluye al explorador de actividad, incluso antes de que configure e implemente las directivas DLP que tienen dispositivos como ubicación.

DLP en punto de conexión recopila información exhaustiva sobre la actividad auditada.

Por ejemplo, si se copia un archivo a un medio USB extraíble, vería estos atributos en los detalles de actividad:

• tipo de actividad
• IP del cliente
• ruta de acceso del archivo de destino
• ocurrió una marca de tiempo
• nombre de archivo
• usuario
• extensión de archivo
• tamaño de archivo
• tipo de información confidencial (si corresponde)
• valor sha1
• valor sha256
• nombre de archivo anterior
• ubicación
• primario
• ruta de acceso al archivo
• tipo de ubicación de origen
• plataforma
• nombre de dispositivo
• tipo de ubicación de destino
• aplicación que realizó la copia
• Id. de dispositivo de Microsoft Defender para punto de conexión (si corresponde)
• fabricante del dispositivo multimedia extraíble
• modelo del dispositivo multimedia extraíble
• número de serie del dispositivo multimedia extraíble

¿Por qué todas las directivas de punto de conexión están en todos los dispositivos incorporados?

Un dispositivo puede admitir varias cuentas de usuario. Dado que las directivas de punto de conexión están limitadas a los usuarios, los distintos usuarios del dispositivo pueden tener directivas diferentes con ámbito. Por lo tanto, el dispositivo debe tener acceso a todas las directivas DLP de punto de conexión para evaluar los elementos. Todos los dispositivos incorporados a Purview se examinan independientemente de si el usuario está en el ámbito.

DLP de punto de conexión y dispositivos sin conexión

Cuando un dispositivo de punto de conexión de Windows está sin conexión, las directivas existentes se siguen aplicando en los archivos existentes. Además, con la protección Just-In-Time habilitada y en modo "bloquear", cuando se crea un nuevo archivo en un dispositivo sin conexión, se sigue evitando que el archivo se comparta hasta que el dispositivo se conecte al servicio de clasificación de datos y se complete la evaluación. Si se crea una nueva directiva en el servidor o se modifica una directiva existente, esos cambios se actualizan en el dispositivo una vez que se vuelve a conectar a Internet.

Tenga en cuenta los siguientes casos de uso.

1. Las directivas que se han insertado en un dispositivo seguirán aplicándose a los archivos ya clasificados como confidenciales incluso después de que el dispositivo se desconecte.
2. Las directivas que se actualizan mientras un dispositivo está sin conexión no se insertarán en ese dispositivo. Del mismo modo, estas directivas no se aplicarán en ese dispositivo hasta que el dispositivo vuelva a estar en línea. Sin embargo, se seguirá aplicando la directiva obsoleta que existe en el dispositivo sin conexión. Protección Just-In-Time

Si las notificaciones están configuradas para mostrarse, siempre se mostrarán cuando se desencadenen directivas DLP, independientemente de si el dispositivo está o no en línea.

Las directivas DLP se sincronizan periódicamente con los dispositivos de punto de conexión. Si un dispositivo está sin conexión, las directivas no se pueden sincronizar. En este caso, la lista Dispositivos refleja que el dispositivo no está sincronizado con las directivas de en el servidor.

Protección Just-In-Time

La protección Just-In-Time bloquea las actividades de salida en estos archivos supervisados hasta que la evaluación de directivas se complete correctamente:

• Elementos que nunca se han evaluado.
• Elementos en los que la evaluación ha quedado obsoleta. Estos son elementos previamente evaluados que no se han reevaluado por las versiones actuales y actualizadas en la nube de las directivas.

Para poder implementar la protección Just-In-Time, primero debe implementar la versión 4.18.23080 o posterior del cliente antimalware.

Para habilitar la protección Just-In-Time en el Portal de Microsoft Purview, seleccione Configuración en el panel de navegación izquierdo, elija Protección Just-In-Time y configure los valores deseados.

Elija las ubicaciones que desea supervisar:

• Seleccione Dispositivos.
• Elija Editar.
• En el panel flotante, seleccione el ámbito de las cuentas y los grupos de distribución a los que quiere aplicar la protección Just-In-Time. Tenga en cuenta que, mientras se procesa la evaluación de directivas, DLP de punto de conexión bloquea todas las actividades de salida de cada usuario cuya cuenta está en el ámbito seleccionado. DLP de punto de conexión audita las actividades de salida de todas las cuentas de usuario que están excluidas (a través de la configuración Excluir) o que, de lo contrario, no están en el ámbito.

La protección Just-In-Time se admite en dispositivos macOS que ejecutan las tres versiones principales más recientes.

• Acción de reserva en caso de error: esta configuración especifica el modo de cumplimiento que DLP debe aplicar cuando no se complete la evaluación de directivas. Independientemente del valor que seleccione, la telemetría pertinente se muestra en el explorador de actividad.

Para obtener más información, consulte Introducción a la protección Just-In-Time.

Pasos siguientes

Ahora que ya conoce DLP en punto de conexión, estos son los pasos siguientes:

1. Introducción a la incorporación de dispositivos Windows 10 y Windows 11 a Microsoft Purview
2. introducción a la incorporación de dispositivos macOS a Microsoft Purview
3. Configuración de la prevención de pérdida de datos de punto de conexión
4. Uso de la prevención de pérdida de datos en punto de conexión

Consulte también

• Introducción a la prevención de pérdida de datos en punto de conexión de Microsoft
• Uso de la prevención de pérdida de datos en punto de conexión de Microsoft
• Obtenga más información acerca de la prevención contra la pérdida de datos
• Creación e implementación de directivas de prevención de pérdida de datos
• Introducción al explorador de actividad
• Microsoft Defender para punto de conexión
• Administración de riesgos internos