エンドポイント データ損失防止について

Microsoft Purview データ損失防止 (DLP) を使用して、機密と判断したアイテムに対して実行されているアクションを監視し、それらのアイテムの意図しない共有を防ぐことができます。

エンドポイント データ損失防止 (エンドポイント DLP) は、DLP のアクティビティ監視と保護機能を、Windows 10/11、macOS (3 つの最新リリースメジャー バージョン) デバイス、および Windows の特定のサーバー バージョンに拡張します。 デバイスが Microsoft Purview ソリューションにオンボードされると、ユーザーが機密性の高い項目を使用して行っていることに関する情報が アクティビティ エクスプローラーに表示されます。 その後、 DLP ポリシーを使用して、これらの項目に対して保護アクションを適用できます。

エンドポイント DLP によってファイルが分類されるのはいつですか?

エンドポイント DLP は、次の条件でファイルを分類します。

• 作成または変更: ファイルが作成または変更されるたびに、機密情報の種類 (SID) とラベルが完全にスキャンされます。 その後、DLP ポリシーとルールに対する一致がファイルによって評価されます。
• 既に分類されたファイルの読み取り: 既に分類されたファイルが読み取られた場合、エンドポイント DLP はポリシー、ルール、または SID に対する変更をチェックします。 DLP 構成に変更がある場合、ポリシーとルールは再評価されますが、テキストは再抽出されません。

エンドポイント DLP Windows 10/11 と macOS のサポート

エンドポイント DLP を使用すると、次のバージョンのWindows Serverを実行しているデバイスをオンボードできます。

• Windows Server 2019 (2023 年 11 月 14 日— KB5032196 (OS ビルド 17763.5122) - Microsoft サポート)

• Windows Server 2022 (2023 年 11 月 14 日セキュリティ更新プログラム (KB5032198) - Microsoft サポート)

既定では、Windows サーバーが最初にオンボードされるときに、エンドポイント DLP は有効になりません。 アクティビティ エクスプローラーでサーバーのエンドポイント DLP イベントを表示するには、まず Windows サーバーのエンドポイント DLP を有効にする必要があります。

適切に構成すると、同じデータ損失保護ポリシーを Windows PC と Windows サーバーの両方に自動的に適用できます。

スコーピング DLP ポリシー (プレビュー)

プレビューでは、エンドポイントの DLP ポリシーのスコープは、ユーザーとデバイスによって行われます。 エンドポイント ポリシーを適用するには、ユーザーとデバイスの両方がポリシー スコープ内にある必要があります。 つまり、ユーザーがポリシー スコープに含まれているのにデバイスが存在しない場合、ポリシーは適用されません。 同様に、デバイスがポリシー スコープに含まれているが、ユーザーが存在しない場合、ポリシーは適用されません。

エンドポイント DLP ポリシーのスコープの詳細については、「 デバイスのスコープ」を参照してください。

その他の設定

監視と対処が必要なエンドポイントのアクティビティ

エンドポイント DLP を使用すると、ユーザーが物理的に Windows 10、Windows 11、または macOS デバイスに保存されている機密アイテムに対して行う次の種類のアクティビティを監査および管理できます。

クリップボードにコピーする動作

ユーザーがポリシーに一致するファイルのコンテンツに対してクリップボードへのコピー アクティビティを試みると、オーバーライドでブロックまたはブロックするようにルールを構成すると、エンド ユーザーは次の構成でこの動作を確認できます。

• Wordファイル123には、クリップボードへのコピーブロックルールに一致する機密情報が含まれている。

• Excel ファイル 123 には、クリップボードへのコピーブロック規則に一致する機密情報が含まれています。

• PowerPointファイル123には、クリップボードへのコピーブロックルールに一致する機密情報が含まれている。

• Word ファイル 789 には機密情報が含まれません。

• Excel ファイル 789 には機密情報が含まれません。

• PowerPointファイル 789 には機密情報が含まれません。

• メモ帳 (または Microsoft Office ベース以外のアプリまたはプロセス) ファイル XYZ には、クリップボードへのコピーブロック規則に一致する機密情報が含まれています。

• メモ帳 (または Microsoft Office ベース以外のアプリまたはプロセス) ファイル ABC には機密情報が含まれません。

エンドポイント DLP ポリシーのベスト プラクティス

たとえば、財務部門ユーザーのエンドポイントから、クレジットカード番号を含むすべての項目をブロックしたいとします。 次のようにお勧めします。

• ポリシーを作成し、エンドポイントとそのユーザー グループにスコープを設定します。
• 保護する情報の種類を検出するルールをポリシーに作成します。 この場合、コンテンツに含まれている機密情報の種類*を設定し、[クレジット カード] を選択します。
• 各アクティビティのアクションを ［ブロック］ に設定します。

DLP ポリシーの設計の詳細については、「 データ損失防止ポリシーの設計 」を参照してください。

監視対象ファイル

ポリシーを使用して監視されるファイル

エンドポイント DLP は、Windows 10 のポリシー (11) を使用して、これらのファイルの種類を監視します。

エンドポイント DLP は、macOS の最新の 3 つのメジャー リリースのポリシーを使用して、これらのファイルの種類を監視します。

OCR が有効になっている場合、これらのファイルの種類は、Windows 10、11、macOS デバイスのポリシー設定を使用して監視できます。

.jpg, .png, .tif, .tiff, .bmp, .jpeg

エンドポイント DLP は、上記の指定した拡張子を持つファイルをスキャンします。 一覧にないファイルを保護または監視する必要がある場合は、「サポートされていないファイル拡張子にのみ制限を適用する」機能を使用します。 この機能とファイル拡張子の主な違い は、 次のとおりです。

• エンドポイント DLP は、 ファイル拡張子 のコンテンツをスキャンする条件であり、イベントまたはアラートに機密情報の種類の値を表示できます。 一方、 サポートされていないファイル拡張子にのみ制限を適用する 機能では、ファイルの内容はスキャンされません。
• ファイル拡張子は条件によってコンテンツスキャンがトリガーされ、CPU やメモリなどのより高いマシン リソースが消費され、一部のファイルの種類でパフォーマンスの問題が発生する可能性があります。 サポートされていないファイル拡張子のみに制限を適用する機能の詳細については、次のリソースを参照してください。
• エンドポイント データ損失防止でスキャンされないファイルの保護に役立つ
• サポートされていないファイルの定義されたセットの共有から保護するのに役立ちます

ポリシーの一致に関係なく監査されたファイル

ポリシーの一致が存在しない場合でも、Windows 10、11、および macOS の最新の 3 つの主要なリリースでは、これらのファイルの種類に対してアクティビティを監査できます。

ポリシーの一致からのデータのみを監視する場合は、データ損失防止の設定>Endpoint 設定でデバイスの [ファイルの常に監査] アクティビティをオフにすることができます。

[デバイスのファイル アクティビティを常に監査する] 設定がオンの場合、デバイスがポリシーの対象ではない場合でも、任意のWord、PowerPoint、Excel、PDF、.csv ファイルのアクティビティは常に監査されます。

サポートされているすべてのファイルの種類についてアクティビティが監査されるようにするには、カスタム DLP ポリシーを作成します。

エンドポイント DLP は MIME の種類に基づいてアクティビティを監視するため、ファイル拡張子が変更された場合でも、これらのファイルの種類に対してアクティビティがキャプチャされます。

拡張子が他のファイル拡張子に変更された後:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

拡張子がサポートされているファイル拡張子にのみ変更された場合:

• .txt
• .msg
• .rtf
• .c
• .cpp
• .h
• .cs
• .java
• .tsv

サポートされていないファイルの種類

エンドポイント DLP では、次の種類のファイルの監視はサポートされていません。

• .exe
• .dll
• .sys
• .lib
• .obj
• .mui
• .spl
• .drv
• .pf
• .crdownload
• .ini

エンドポイント DLP との違い

エンドポイント DLP を掘り下げる前に知っておく必要がある追加の概念がいくつかあります。

デバイス管理を有効にする

デバイス管理は、デバイスからテレメトリを収集できる機能です。これは、エンドポイント DLP やインサイダー リスク管理などの Microsoft Purview ソリューションに導入する機能です。 DLP ポリシーで場所として使用するすべてのデバイスをオンボードする必要があります。

オンボードとオフボードは、デバイス管理センターからダウンロードしたスクリプトを介して処理されます。 デバイス管理センターには、次の展開方法ごとにカスタム スクリプトがあります。

• ローカル スクリプト (最大 10 台のマシン)
• グループ ポリシー
• System Center Configuration Manager （ バージョン 1610以降 ）
• Mobile Device Management/Microsoft Intune
• 非永続的マシン用の VDI のオンボードスクリプト

デバイスをオンボードにするには、Microsoft 365 エンドポイント DLPの使用を開始するの手順を使用します。

デバイスを Defender にオンボードすると、DLP にもオンボードされます。 そのため、Microsoft Defender for Endpointを介してデバイスをオンボードした場合、それらのデバイスはデバイスの一覧に自動的に表示されます。 エンドポイント DLP を使用するには、 デバイス監視を有効にする 必要があります。

エンドポイント DLP データの表示

エンドポイント デバイスに適用される DLP ポリシーに関連するアラートを表示するには、DLP アラート管理ダッシュボードに移動し、Microsoft Defender XDRを使用してデータ損失インシデントを調査します。

関連するイベントの詳細と豊富なメタデータを同じダッシュボードで表示することもできます

デバイスがオンボードされると、場所としてデバイスを使用する DLP ポリシーを構成し、展開する前でも、監査されたアクティビティに関する情報がアクティビティエクスプローラーに流れます。

エンドポイント DLP は、監査済みアクティビティに関する広範囲にわたる情報を収集します。

たとえば、ファイルがリムーバブル USB メディアにコピーされた場合、アクティビティの詳細に次の属性が表示されます：

• アクティビティの種類
• クライアント IP
• 対象ファイルのパス
• 発生したタイムスタンプ
• ファイル名
• ユーザー
• ファイル拡張子
• ファイル サイズ
• 機密情報の種類（該当する場合）
• sha1 値
• sha256 値
• 以前のファイル名
• 場所
• 親
• FilePath
• ソースの場所の種類
• platform
• デバイス名
• 場所の宛先の種類
• コピーを実行したアプリケーション
• Microsoft Defender for Endpoint デバイス ID (該当する場合)
• リムーバブルメディアデバイスの製造元
• リムーバブルメディアデバイスのモデル
• リムーバブルメディアデバイスのシリアル番号

オンボードされているすべてのデバイスにすべてのエンドポイント ポリシーが適用されるのはなぜですか?

1 つのデバイスで複数のユーザー アカウントをサポートできます。 エンドポイント ポリシーのスコープはユーザーに対して行われるため、デバイスのユーザーごとに異なるポリシーのスコープが設定されている場合があります。 したがって、項目を評価するには、デバイスがすべてのエンドポイント DLP ポリシーにアクセスできる必要があります。 Purview にオンボードされているすべてのデバイスは、ユーザーがスコープ内にあるかどうかにかかわらずスキャンされます。

エンドポイント DLP とオフライン デバイス

Windows エンドポイント デバイスがオフラインの場合、既存のポリシーは引き続き既存のファイルに適用されます。 さらに、Just-In-Time 保護を有効にし、"ブロック" モードでは、オフライン デバイスに新しい ファイル を作成しても、デバイスがデータ分類サービスに接続して評価が完了するまで、ファイルは共有されません。 サーバーに新しい ポリシー が作成された場合、または既存のポリシーが変更された場合、インターネットに再接続すると、それらの変更がデバイスで更新されます。

次のユース ケースを検討してください。

1. デバイスにプッシュされたポリシーは、デバイスがオフラインになった後でも、既に機密として分類されているファイルに適用されます。
2. デバイスがオフラインの間に更新されたポリシーは、そのデバイスにプッシュされません。 同様に、このようなポリシーは、デバイスがオンラインに戻るまで、そのデバイスに適用されません。 ただし、オフライン デバイスに存在する古いポリシーは引き続き適用されます。 Just-In-Time 保護

通知が表示されるように構成されている場合、デバイスがオンラインかどうかに関係なく、DLP ポリシーがトリガーされたときに常に表示されます。

DLP ポリシーは、エンドポイント デバイスと定期的に同期されます。 デバイスがオフラインの場合、ポリシーを同期できません。 この場合、[デバイス] の一覧 には、デバイスがサーバー上のポリシーと同期されていないことが反映されます。

Just-In-Time 保護

Just-In-Time 保護は、ポリシーの評価が正常に完了するまで、これらの監視対象ファイルのエグレス アクティビティをブロックします。

• 評価されていない項目。
• 評価が古くなった項目。 これらは、ポリシーの現在の更新されたクラウド バージョンによって再評価されていない、以前に評価された項目です。

Just-In-Time 保護を展開する前に、まずマルウェア対策クライアント バージョン 4.18.23080 以降を展開する必要があります。

Microsoft Purview ポータルで Just-In-Time 保護を有効にするには、左側のナビゲーション ウィンドウで [設定] を選択し、[ Just-In-Time protection] を選択して、目的の設定を構成します。

監視する場所を選択します。

• [デバイス] を選択します。
• [ 編集] を選択します。
• ポップアップ ウィンドウで、Just-In-Time 保護を適用するアカウントと配布グループのスコープを選択します。 ポリシー評価の処理中に、エンドポイント DLP は、アカウントが選択したスコープ内にある各ユーザーのすべてのエグレス アクティビティをブロックします。 エンドポイント DLP は、([除外] 設定を使用して) 除外されたすべてのユーザー アカウント、またはスコープ内にないすべてのユーザー アカウントのエグレス アクティビティを監査します。

Just-In-Time 保護は、最新の 3 つのメジャー バージョンを実行している macOS デバイスでサポートされています。

• 失敗した場合のフォールバック アクション: この構成では、ポリシーの評価が完了しない場合に DLP が適用する適用モードを指定します。 選択した値に関係なく、関連するテレメトリがアクティビティ エクスプローラーに表示されます。

詳細については、「 Just-In-Time 保護の概要」を参照してください。

次の手順

ここまでエンドポイント DLP について学びましたので、次のステップの手順は以下になります：

1. Windows 10 デバイスまたは Windows 11 デバイスを Microsoft Purview にオンボードする概要
2. macOS デバイスを Microsoft Purview にオンボードする概要
3. エンドポイント データ損失防止の設定を構成する
4. エンドポイントのデータ損失防止の使用

関連項目

• Microsoft エンドポイント データ損失防止を開始する
• Microsoft エンドポイント データ損失防止を使用する
• データ損失防止について
• データ損失防止ポリシーの作成と展開
• Activity Explorer を使い始める
• Microsoft Defender for Endpoint
• インサイダー リスク管理