Obtener información sobre la Prevención de pérdida de datos en punto de conexión

Puede usar Prevención de pérdida de datos de Microsoft Purview (DLP) para supervisar las acciones que se realizan en los elementos que ha determinado que son confidenciales y para ayudar a evitar el uso compartido involuntario de esos elementos.

La prevención de pérdida de datos de punto de conexión (DLP de punto de conexión) amplía las funcionalidades de supervisión y protección de actividad de DLP a los elementos confidenciales que se almacenan físicamente en dispositivos Windows 10/11 y macOS (las tres versiones principales más recientes publicadas). Una vez que los dispositivos se incorporan a las soluciones de Microsoft Purview, la información sobre lo que hacen los usuarios con elementos confidenciales se hace visible en el explorador de actividad. A continuación, puede aplicar acciones de protección en esos elementos a través de directivas DLP.

Actividades en punto de conexión que puede supervisar y sobre las que puede tomar medidas

DLP en punto de conexión permite auditar y administrar los siguientes tipos de actividades que los usuarios realizan en elementos confidenciales almacenados físicamente en dispositivos Windows 10, Windows 11 y macOS.

Comportamiento de copia en el Portapapeles

Al configurar una regla en Bloquear o Bloquear con invalidación cuando un usuario intenta la actividad Copiar en el Portapapeles en el contenido de un archivo que coincide con la directiva, los usuarios finales ven este comportamiento con estas configuraciones:

• Word archivo 123 contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• El archivo de Excel 123 contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• El archivo 123 de PowerPoint contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• Word archivo 789 no contiene información confidencial.

• El archivo 789 de Excel no contiene información confidencial.

• El archivo 789 de PowerPoint no contiene información confidencial.

• El archivo XYZ del Bloc de notas (o cualquier aplicación o proceso no basado en Microsoft Office) contiene información confidencial que coincide con la copia en la regla de bloqueo del Portapapeles.

• El archivo ABC del Bloc de notas (o cualquier aplicación o proceso no basado en Microsoft Office) no contiene información confidencial.

Procedimiento recomendado para directivas DLP de punto de conexión

Supongamos que quiere bloquear todos los elementos que contengan números de tarjetas de crédito para que no salgan de los puntos de conexión de los usuarios del departamento de finanzas. Se recomienda lo siguiente:

• Cree una directiva y aplíquela a los puntos finales y a ese grupo de usuarios.
• Cree una regla en la directiva que detecte el tipo de información que desea proteger. En este caso, establezca contenido enTipo de información confidencial* y seleccione Tarjeta de crédito.
• Establezca las acciones de cada actividad en Bloquear.

Para obtener más información sobre el diseño de las directivas DLP, vea Diseñar una directiva de prevención de pérdida de datos .

Archivos supervisados

Archivos supervisados a través de la directiva

DLP de punto de conexión supervisa estos tipos de archivo a través de la directiva en Windows 10, 11 y en las tres versiones principales más recientes de macOS:

Archivos auditados independientemente de la coincidencia de directiva

Las actividades se pueden auditar en estos tipos de archivo en Windows 10, 11 y en las tres versiones principales más recientes de macOS, incluso si no existe ninguna coincidencia de directiva:

Si solo desea supervisar los datos de coincidencias de directiva, puede desactivar la actividad De auditoría de archivos para dispositivos en la configuración de> prevención de pérdida de datos Configuración del punto deconexión.

Si la configuración De siempre auditar la actividad de archivos para dispositivos está activada, las actividades de cualquier archivo Word, PowerPoint, Excel, PDF y .csv siempre se auditan, incluso si el dispositivo no está destinado a ninguna directiva.

Para asegurarse de que las actividades se auditan para todos los tipos de archivo admitidos, cree una directiva DLP personalizada.

DLP de punto de conexión supervisa la actividad basada en el tipo MIME, por lo que las actividades se capturan, incluso si se cambia la extensión de archivo, para estos tipos de archivos:

Después de cambiar la extensión a cualquier otra extensión de archivo:

• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .pdf

Si la extensión solo se cambia a las extensiones de archivo admitidas:

• .txt
• .Msg
• .rtf
• .C
• .Cpp
• .H
• .Cs
• .Java
• .Tsv

Tipos de archivo

Los tipos de archivo son una agrupación de formatos de archivo. Se usan para proteger flujos de trabajo o áreas de negocio específicos. Puede usar uno o varios tipos de archivo como condiciones en las directivas DLP.

Extensiones de archivo

Si los tipos de archivo no cubren las extensiones de archivo que necesita enumerar como condición en una directiva, puede usar extensiones de archivo separadas por comas en su lugar.

Las opciones de condición de directiva de extensiones de archivo y tipos de archivo no admiten tipos de archivo de archivo ni extensiones de archivo de archivo, como .zip.

Estas versiones de Windows admiten extensiones de archivo y características de tipos de archivo :

• Puntos de conexión de Windows (X64):
  • Windows 10 (21H2, 22H2)
    • detalles de actualización de Windows 10 21H2
    • detalles de actualización de Windows 10 22H2
• Puntos de conexión de Windows (ARM64):
  • Windows 11 (21H2, 22H2)
    • detalles de actualización de Windows 11 21H2
    • detalles de actualización de Windows 11 22H2

Se recomienda no configurar directivas DLP para las siguientes extensiones de archivo:

• .Ost
• .pst
• .Pf
• .exe
• .dll
• .Mui

¿Qué es diferente en DLP en punto de conexión?

Debe tener en cuenta algunos conceptos adicionales antes de profundizar en DLP en punto de conexión.

Habilitar la administración de dispositivos

La administración de dispositivos es la funcionalidad que permite la colección de telemetría desde dispositivos y la incluye en las soluciones de cumplimiento de Microsoft Purview como DLP en punto de conexión y la administración de riesgos internos. Debe incorporar todos los dispositivos que desea usar como ubicaciones en las directivas DLP.

La incorporación y la retirada se controlan a través de scripts que se descargan desde el Centro de administración de dispositivos. El Centro de administración de dispositivos tiene scripts personalizados para cada uno de los métodos de implementación siguientes:

• Script local (hasta 10 equipos)
• Directiva de grupo
• System Center Configuration Manager (versión 1610 o posterior)
• Administración de dispositivos móviles/Microsoft Intune
• Scripts de incorporación de VDI para equipos no persistentes

Use los procedimientos descritos en Introducción a DLP en punto de conexión de Microsoft 365 para incorporar dispositivos.

La incorporación de dispositivos a Defender también los incorpora a DLP. Por lo tanto, si ha incorporado dispositivos a través de Microsoft Defender para punto de conexión, esos dispositivos se muestran automáticamente en la lista de dispositivos. Solo necesita activar la supervisión de dispositivos para usar DLP de punto de conexión.

Visualizar datos de DLP en punto de conexión

Para ver las alertas relacionadas con las directivas DLP aplicadas en los dispositivos de punto de conexión, vaya al Panel de administración de alertas DLP e Investigue los incidentes de pérdida de datos con Microsoft Defender XDR.

También puede ver los detalles del evento asociado, con metadatos enriquecidos, en el mismo panel.

Una vez que se incorpora un dispositivo, la información sobre las actividades auditadas fluye al explorador de actividad, incluso antes de que configure e implemente las directivas DLP que tienen dispositivos como ubicación.

DLP en punto de conexión recopila información exhaustiva sobre la actividad auditada.

Por ejemplo, si se copia un archivo a un medio USB extraíble, vería estos atributos en los detalles de actividad:

• tipo de actividad
• IP del cliente
• ruta de acceso del archivo de destino
• ocurrió una marca de tiempo
• nombre de archivo
• usuario
• extensión de archivo
• tamaño de archivo
• tipo de información confidencial (si corresponde)
• valor sha1
• valor sha256
• nombre de archivo anterior
• ubicación
• primario
• ruta de acceso al archivo
• tipo de ubicación de origen
• plataforma
• nombre de dispositivo
• tipo de ubicación de destino
• aplicación que realizó la copia
• Id. de dispositivo de Microsoft Defender para punto de conexión (si corresponde)
• fabricante del dispositivo multimedia extraíble
• modelo del dispositivo multimedia extraíble
• número de serie del dispositivo multimedia extraíble

DLP de punto de conexión y dispositivos sin conexión

Cuando un dispositivo de punto de conexión de Windows está sin conexión, las directivas existentes se siguen aplicando en los archivos existentes. Además, con la protección Just-In-Time habilitada y en modo "bloquear", cuando se crea un nuevo archivo en un dispositivo sin conexión, se sigue evitando que el archivo se comparta hasta que el dispositivo se conecte al servicio de clasificación de datos y se complete la evaluación. Si se crea una nueva directiva en el servidor o se modifica una directiva existente, esos cambios se actualizan en el dispositivo una vez que se vuelve a conectar a Internet.

Tenga en cuenta los siguientes casos de uso.

1. Las directivas que se han insertado en un dispositivo seguirán aplicándose a los archivos ya clasificados como confidenciales incluso después de que el dispositivo se desconecte.
2. Las directivas que se actualizan en el portal de cumplimiento mientras un dispositivo está sin conexión no se insertarán en ese dispositivo. Del mismo modo, estas directivas no se aplicarán en ese dispositivo hasta que el dispositivo vuelva a estar en línea. Sin embargo, se seguirá aplicando la directiva obsoleta que existe en el dispositivo sin conexión. Protección Just-In-Time

Si las notificaciones están configuradas para mostrarse, siempre se mostrarán cuando se desencadenen directivas DLP, independientemente de si el dispositivo está o no en línea.

Las directivas DLP se sincronizan periódicamente con los dispositivos de punto de conexión. Si un dispositivo está sin conexión, las directivas no se pueden sincronizar. En este caso, la lista Dispositivos refleja que el dispositivo no está sincronizado con las directivas de en el servidor.

Protección Just-In-Time

La protección Just-In-Time bloquea todas las actividades de salida en los siguientes archivos supervisados hasta que la evaluación de directivas se complete correctamente:

• Elementos que nunca se han evaluado.
• Elementos en los que la evaluación ha quedado obsoleta. Estos son elementos previamente evaluados que no se han reevaluado por las versiones actuales y actualizadas en la nube de las directivas.

Para poder implementar la protección Just-In-Time, primero debe implementar la versión 4.18.23080 o posterior del cliente antimalware.

Para habilitar la protección Just-In-Time en el Portal de cumplimiento de Microsoft Purview, seleccione Configuración en el panel de navegación izquierdo, elija Protección Just-In-Time y configure los valores deseados.

Elección de las ubicaciones que se van a supervisar

• Seleccione Dispositivos.
• Elija Editar.
• En el panel flotante, seleccione el ámbito de las cuentas y los grupos de distribución a los que quiere aplicar la protección Just-In-Time. (Tenga en cuenta que, mientras se procesa la evaluación de directivas, DLP de punto de conexión bloqueará todas las actividades de salida de cada usuario cuya cuenta esté en el ámbito seleccionado. DLP de punto de conexión auditará las actividades de salida de todas las cuentas de usuario que se han excluido específicamente (a través de la configuración Excluir) o que, de lo contrario, no están en el ámbito).

• Acción de reserva en caso de error: esta configuración especifica el modo de cumplimiento que DLP debe aplicar cuando no se complete la evaluación de directivas. Independientemente del valor que seleccione, la telemetría pertinente se mostrará en el explorador de actividad.

• Dado que la protección Just-In-Time bloqueará la actividad de salida solo cuando esa actividad tenga una o varias directivas Bloquear o Bloquear con invalidación , lo que significa que si el usuario final, incluso en el ámbito, no tiene ninguna directiva DLP o solo audita la directiva DLP, la protección Just-In-Time solo auditará la actividad de salida.

Para obtener más información, consulte Introducción a la protección Just-In-Time.

Pasos siguientes

Ahora que ya conoce DLP en punto de conexión, estos son los pasos siguientes:

1. Introducción a la incorporación de dispositivos Windows 10 y Windows 11 a Microsoft Purview
2. introducción a la incorporación de dispositivos macOS a Microsoft Purview
3. Configuración de la prevención de pérdida de datos de punto de conexión
4. Uso de la prevención de pérdida de datos en punto de conexión

Consulte también

• Introducción a la prevención de pérdida de datos en punto de conexión de Microsoft
• Uso de la prevención de pérdida de datos en punto de conexión de Microsoft
• Obtenga más información acerca de la prevención contra la pérdida de datos
• Creación e implementación de directivas de prevención de pérdida de datos
• Introducción al explorador de actividad
• Microsoft Defender para punto de conexión
• Administración de riesgos internos