Criteri di file in Microsoft Defender for Cloud Apps

I criteri file consentono di applicare un'ampia gamma di processi automatizzati usando le API del provider di servizi cloud. I criteri possono essere impostati per fornire analisi di conformità continue, attività legali di eDiscovery, prevenzione della perdita dei dati per contenuti sensibili condivisi pubblicamente e molti altri casi d'uso. Defender for Cloud Apps può monitorare qualsiasi tipo di file in base a più di 20 filtri di metadati. Ad esempio, livello di accesso e tipo di file.

Tipi di file supportati

Defender for Cloud Apps motori eseguono l'ispezione del contenuto estraendo testo da (oltre 100) tipi di file comuni, tra cui Office, Open Office, file compressi, vari formati RTF, XML, HTML e altro ancora.

Criteri

Il motore combina tre aspetti nell’ambito di ciascuna policy:

• Analisi del contenuto basata su modelli preimpostati o espressioni personalizzate.

• Filtri di contesto, tra cui ruoli utente, metadati dei file, livello di condivisione, integrazione del gruppo aziendale, contesto di collaborazione e attributi personalizzabili aggiuntivi.

• Azioni automatizzate per la governance e la correzione.

  Nota

  È garantita solo l'applicazione dell'azione di governance del primo criterio attivato. Ad esempio, se un criterio di file ha un'etichetta di riservatezza applicata a un file, un secondo criterio file non può applicarvi un'altra etichetta di riservatezza.

Una volta abilitato, il criterio analizza continuamente l'ambiente cloud e identifica i file che corrispondono ai filtri di contenuto e contesto e applica le azioni automatizzate richieste. I criteri per i file rilevano e correggono eventuali violazioni nelle informazioni archiviate o quando vengono creati nuovi contenuti. Le policy possono essere monitorate tramite avvisi in tempo reale o mediante report generati dalla console.

Di seguito sono riportati alcuni esempi di criteri di file che è possibile creare:

• File condivisi pubblicamente : ricevere un avviso su qualsiasi file nel cloud condiviso pubblicamente selezionando tutti i file il cui livello di condivisione è pubblico.

• Il nome file condiviso pubblicamente contiene il nome dell'organizzazione : ricevere un avviso su qualsiasi file contenente il nome dell'organizzazione e condiviso pubblicamente. Selezionare i file con un nome file contenente il nome dell'organizzazione e che sono condivisi pubblicamente.

• Condivisione con domini esterni : ricevere un avviso su qualsiasi file condiviso con account di proprietà di domini esterni specifici. Ad esempio, i file condivisi con il dominio di un concorrente. Selezionare il dominio esterno con cui si vuole limitare la condivisione.

• Mettere in quarantena i file condivisi non modificati durante l'ultimo periodo - Ricevere un avviso sui file condivisi che nessuno ha modificato di recente, per metterli in quarantena o scegliere di attivare un'azione automatizzata. Escludere tutti i file privati che non sono stati modificati durante un intervallo di date specificato. In Google Workspace è possibile scegliere di mettere in quarantena questi file usando la casella di controllo "File di quarantena" nella pagina di creazione dei criteri.

• Condivisione con utenti non autorizzati : ricevere un avviso sui file condivisi con un gruppo di utenti non autorizzati nell'organizzazione. Selezionare gli utenti per cui la condivisione non è autorizzata.

• Estensione di file sensibile : ricevere un avviso sui file con estensioni specifiche altamente esposte. Selezionare l'estensione specifica (ad esempio, crt per i certificati) o il nome file ed escludere i file con livello di condivisione privato.

Prerequisiti

Per configurare il primo criterio per i file per un tenant, è necessario:

• Autorizzazioni del Service Principal di Microsoft Entra.
  Le autorizzazioni di Service Principal vengono concesse automaticamente solo se non è ancora presente alcun criterio dei file. Dopo aver creato il primo criterio per i file, è possibile crearne altri senza dover avere tali autorizzazioni.

Creare un nuovo criterio per i file

Per creare un nuovo criterio per i file, attenersi alla seguente procedura:

1. Nel portale di Microsoft Defender, in App cloud, passare a Criteri ->Gestione dei criteri. Selezionare la scheda Information Protection.

2. Selezionare Crea criteri e quindi Criteri file.

   

3. Specificare un nome e una descrizione per il criterio. È anche possibile basarlo su un modello. Per altre informazioni sui modelli di criteri, vedere Controllare le app cloud con i criteri.

4. Assegnare una gravità del criterio al criterio. Se Defender for Cloud Apps è configurato per inviare notifiche in base a un livello di gravità dei criteri specifico, questo livello determina se le corrispondenze per il criterio attivano una notifica.

5. Selezionare una categoria e collegare i criteri al tipo di rischio più appropriato. Il campo Categoria è informativo solo e consente di cercare criteri e avvisi specifici in un secondo momento, in base al tipo di rischio. Il rischio potrebbe essere già preselezionato in base alla categoria per cui si è scelto di creare i criteri. Per impostazione predefinita, i criteri per i file sono configurati come DLP.

6. Creare un filtro per i file su cui questo criterio agirà per impostare le app individuate che attivano questo criterio. Restringi i filtri dei criteri fino a ottenere un insieme preciso di file su cui intervenire. Essere il più restrittivi possibile per evitare falsi positivi. Ad esempio, se si desidera rimuovere le autorizzazioni pubbliche, ricordarsi di aggiungere il filtro Pubblico , se si vuole rimuovere un utente esterno, usare il filtro "Esterno" e così via.

   Nota

   Nel criterio file, il filtro 'Contains' cerca solo parole intere. Queste parole devono essere separate da segni di punteggiatura come virgole, punti, trattini o spazi.

   • Spazi o trattini tra parole funzionano come OR. Ad esempio, se si cerca 'malware virus' trova tutti i file con malware o virus nel nome, in modo da trovare sia malware-virus.exe che virus.exe.
   • Se si vuole cercare una stringa, racchiudere le parole tra virgolette. Funziona come AND. Ad esempio, se si cerca "malware" "virus", trova virus-malware-file.exe ma non troverà malwarevirusfile.exe e non troverà malware.exe. Tuttavia, cerca la stringa esatta. Se cerchi "malware virus", non troverai "virus" o "virus-malware".
   • Uguale cerca solo la stringa completa. Ad esempio, se si cerca malware.exe trova malware.exe ma non malware.exe.txt.

7. In Applica al filtro selezionare tutti i file, tutti i file esclusi le cartelle selezionate o le cartelle selezionate per Box, SharePoint, Dropbox o OneDrive. L'impostazione Applica a consente di applicare i criteri di file in tutti i file nell'app o all'interno di cartelle specifiche. Viene quindi richiesto di accedere all'app cloud e aggiungere le cartelle pertinenti.

   

8. Nel filtro Seleziona gruppi di utenti selezionare tutti i proprietari di file, i proprietari di file dei gruppi di utenti selezionati o tutti i proprietari di file esclusi i gruppi selezionati. Selezionare quindi i gruppi di utenti pertinenti per determinare quali utenti e gruppi devono essere inclusi nei criteri.

9. Selezionare il metodo di ispezione contenuto. È consigliabile usare Data Classification Services.

   Dopo aver abilitato l'ispezione del contenuto, è possibile scegliere di usare espressioni predefinite o di cercare altre espressioni personalizzate.

   È inoltre possibile specificare un'espressione regolare per escludere un file dai risultati. L'opzione di esclusione delle espressioni regolari è estremamente utile se si dispone di uno standard di parole chiave di classificazione interna che si vuole escludere dal criterio.

   È possibile impostare il numero minimo di violazioni di contenuto che si desidera associare prima che il file venga considerato una violazione. Ad esempio, è possibile scegliere 10 se si desidera ricevere avvisi per i file con almeno 10 numeri di carta di credito presenti nel contenuto.

   Quando il contenuto viene confrontato con l'espressione selezionata, il testo della violazione viene sostituito con caratteri "X". Per impostazione predefinita, le violazioni vengono mascherate e visualizzate nel contesto con 100 caratteri prima e dopo la violazione. I numeri nel contesto dell'espressione vengono sostituiti con caratteri "#" e non vengono mai archiviati in Defender per le app cloud. È possibile selezionare l'opzione Mostra gli ultimi quattro caratteri di una violazione per mostrare gli ultimi quattro caratteri della violazione stessa. È necessario impostare i tipi di dati cercati dall'espressione regolare: contenuto, metadati e/o nome file. Per impostazione predefinita, esegue la ricerca nel contenuto e nei metadati.

10. Nella sezione Avvisi configurare una delle azioni seguenti in base alle esigenze:

    • Crea un avviso per ogni evento corrispondente con il livello di gravità del criterio
    • Inviare un avviso come messaggio di posta elettronica
    • Limite di avvisi giornalieri per criterio. Le azioni di governance non sono interessate dal limite di avvisi giornalieri.
    • Inviare avvisi a Power Automate

11. Scegliere le azioni di Governance che devono essere eseguite da Defender for Cloud Apps quando viene rilevata una corrispondenza. Prestare attenzione quando si impostano azioni di governance, potrebbero causare una perdita irreversibile delle autorizzazioni di accesso ai file.

12. Dopo aver creato il criterio, è possibile visualizzarlo filtrando per il tipo criterio File. È sempre possibile modificare un criterio, calibrarne i filtri o modificare le azioni automatizzate. Il criterio viene abilitato automaticamente al momento della creazione e avvierà immediatamente l'analisi dei file cloud. È consigliabile restringere i filtri usando più campi di ricerca per ottenere i file con cui si vuole lavorare. Più sono limitati i filtri, meglio è. È possibile usare il pulsante Modifica e anteprima dei risultati accanto ai filtri.

    

13. Per visualizzare le corrispondenze dei criteri di file, passare a Criteri ->Gestione dei criteri. Qui è possibile visualizzare i file che si sospetta violano i criteri. Filtrare i risultati per visualizzare solo i criteri di file usando il filtro Tipo nella parte superiore. Per altre informazioni sulle corrispondenze per ogni criterio, nella colonna Conteggio selezionare il numero di corrispondenze per un criterio. In alternativa, selezionare i tre puntini alla fine della riga per un criterio e scegliere Visualizza tutte le corrispondenze. Selezionando Visualizza tutte le corrispondenze, si apre il Report sui criteri dei file. Selezionare la scheda Corrispondenze attuali per vedere i file che attualmente corrispondono al criterio. Selezionare la scheda Cronologia per visualizzare una cronologia fino a sei mesi di file corrispondenti ai criteri.

Limitazioni

• Puoi avere un massimo di 50 criteri per i file in Defender for Cloud Apps.

• Quando si creano o si modificano criteri di file o si usa l'opzione "Modifica e anteprima dei risultati", esiste una limitazione delle dimensioni delle query per mantenere le prestazioni e impedire l'overload del sistema. Se si verifica un errore di dimensione della query, provare a rimuovere un filtro alla volta per isolare il problema. Iniziare con il filtro "collaboratori", in particolare se include gruppi generali come "tutti" o "tutti tranne gli utenti esterni", che hanno maggiori probabilità di superare il limite di query.

Procedure consigliate per i criteri relativi ai file

Usare le procedure consigliate seguenti per la creazione e la gestione dei criteri di file in Defender for Cloud Apps:

1. Evitare di reimpostare i criteri file usando la casella di controllo Reimposta risultati e applicare nuovamente le azioni negli ambienti di produzione, a meno che non sia necessario. In questo modo viene avviata un'analisi completa di tutti i file coperti dai criteri, che possono influire negativamente sulle prestazioni.

2. Quando si applicano etichette ai file in una cartella padre specifica e nelle relative sottocartelle, usare l'opzione Applica a cartelle>selezionate. Quindi aggiungi ciascuna cartella padre.

3. Quando si applicano etichette solo a file in una cartella specifica (escluse le sottocartelle), usare il filtro dei criteri di file Cartella padre con l'operatore Equals .

4. Il criterio file è più veloce quando vengono utilizzati criteri di filtro ristretti (rispetto a criteri ampi).

5. Consolidare diversi criteri di file per lo stesso servizio (ad esempio SharePoint, OneDrive, Box e così via) in un singolo criterio.

6. Dopo aver abilitato il monitoraggio dei file (dalla pagina Impostazioni), creare almeno un criterio dei file. Quando non esiste alcun criterio file o è disabilitato per sette giorni consecutivi, il monitoraggio dei file è disattivato automaticamente.

Informazioni di riferimento sui criteri file

Il riferimento ai criteri di file seguente fornisce spiegazioni per ogni tipo di criterio e i campi che possono essere configurati per ogni criterio.

Un criterio file è un criterio basato su API che consente di controllare il contenuto dell'organizzazione nel cloud, tenendo conto di oltre 20 filtri dei metadati dei file (inclusi il livello di proprietario e condivisione) e i risultati dell'ispezione del contenuto. In base ai risultati dei criteri, è possibile applicare azioni di governance. Il motore di ispezione dei contenuti può essere esteso tramite motori DLP di terze parti e soluzioni antimalware.

Ogni criterio è costituito dalle parti seguenti:

• Filtri di file : consente di creare condizioni granulari in base ai metadati.

• Ispezione del contenuto : consente di limitare i criteri in base ai risultati del motore DLP. È possibile includere un'espressione personalizzata o un'espressione preimpostata. È possibile impostare esclusioni e scegliere il numero di corrispondenze. È anche possibile usare l'anonimizzazione per mascherare il nome utente.

• Azioni : il criterio fornisce un set di azioni di governance che possono essere applicate automaticamente quando vengono rilevate violazioni. Queste azioni sono suddivise in azioni di collaborazione, azioni di sicurezza e azioni di indagine.

• Estensioni : l'ispezione dei contenuti può essere eseguita tramite motori di terze parti per migliorare le funzionalità DLP o antimalware.

Visualizza i risultati del criterio file

È possibile accedere al Centro criteri per esaminare le violazioni dei criteri per i file.

1. Nel portale di Microsoft Defender, in App cloud, passare a Criteri ->Gestione dei criteri e quindi selezionare la scheda Information Protection.

2. Per ogni criterio file, è possibile visualizzare le violazioni dei criteri di file selezionando le corrispondenze.

   

3. È possibile selezionare il file stesso per ottenere informazioni sui file.

   

4. Ad esempio, è possibile selezionare Collaboratori per visualizzare chi ha accesso a questo file ed è possibile selezionare Corrispondenze per visualizzare i numeri di previdenza sociale.

   

Filtri file

I filtri di file consentono di applicare criteri specifici ai criteri dei file e di concentrarsi sui file che soddisfano condizioni quali il tipo di file, il livello di accesso e lo stato di condivisione. I filtri file supportano tipi di file come PDF, file di Office, RTF, HTML e file di codice.

Di seguito è riportato un elenco dei filtri di file che è possibile applicare:

Livello di accesso : livello di accesso di condivisione; pubblico, esterno, interno o privato.

• Interno: tutti i file all'interno dei domini interni impostati nella configurazione generale.
• Esterno : tutti i file salvati in posizioni che non si trovano all'interno dei domini interni impostati.
• Condiviso: Files con un livello di condivisione superiore a privato. Include condivisi:
  • Condivisione interna: Files condivisi all'interno dei domini interni.
  • Condivisione esterna: Files condivisi in domini non elencati nei domini interni.
  • Pubblico con un collegamento: Files che possono essere condivise con chiunque tramite un collegamento.
  • Pubblico: File che possono essere trovati cercando in Internet.

• App : cerca solo i file all'interno di queste app.

• Collaboratori : includere/escludere collaboratori o gruppi specifici.

• Qualsiasi dominio di origine – Se qualsiasi utente di questo dominio dispone dell'accesso diretto al file.

• Intera organizzazione : se l'intera organizzazione ha accesso al file.

• Gruppi : se un gruppo specifico ha accesso al file. I gruppi possono essere importati da Active Directory, dalle app cloud o creati manualmente nel servizio.

• Utenti : determinati set di utenti che potrebbero avere accesso al file.

• Creato : ora di creazione del file. Il filtro supporta date precedenti/successive e un intervallo di date.

• Estensione : concentrarsi su estensioni di file specifiche. Ad esempio, tutti i file eseguibili (*.exe). Questo filtro fa distinzione tra maiuscole e minuscole. Usare la clausola OR per applicare il filtro su più di una singola variante di maiuscole e minuscole.

• ID file : cercare ID file specifici. L'ID file è una funzionalità avanzata che consente di tenere traccia di alcuni file di valore elevato senza dipendenza dal proprietario, dalla posizione o dal nome.

• Nome file : nome file o sottostringa del nome definito nell'app cloud. Ad esempio, tutti i file con una password nel nome.

• Etichetta di riservatezza : cercare i file con etichette specifiche impostate. Se questo filtro viene usato in un criterio file, il criterio si applica solo ai file di Microsoft Office e ignora altri tipi di file. Le etichette includono:

  • Microsoft Purview Information Protection: richiede l'integrazione con Microsoft Purview Information Protection.
  • Defender for Cloud Apps: offre maggiori informazioni sui file che analizza. Per ogni file analizzato da Defender for Cloud Apps DLP, è possibile sapere se l'ispezione è stata bloccata perché il file è crittografato o danneggiato. Ad esempio, è possibile configurare criteri per inviare avvisi e mettere in quarantena i file protetti da password condivisi esternamente.
    • Azure RMS crittografato: Files il cui contenuto non è stato esaminato perché dispone di un set di crittografia RMS Azure.
    • Password crittografata: Files il cui contenuto non è stato esaminato perché protetto da password dall'utente.
    • File danneggiato: Files il cui contenuto non è stato esaminato perché non è stato possibile leggerne il contenuto.

• Tipo di file: Defender for Cloud Apps analizza il file per determinare se il tipo di file vero corrisponde al tipo MIME ricevuto (vedere la tabella) dal servizio. Questa analisi è per i file rilevanti per l'analisi dei dati (documenti, immagini, presentazioni, fogli di calcolo, testo e file zip/archivio). Il filtro funziona in base al tipo di file/cartella. Ad esempio, Tutte le cartelle che sono ... o Tutti i file di foglio di calcolo che sono...

• Nel cestino: consente di escludere/includere file presenti nella cartella Cestino. Questi file potrebbero essere ancora condivisi e rappresentano un rischio. Questo filtro non si applica ai file in SharePoint e OneDrive.

• Ultima modifica : ora di modifica del file. Il filtro supporta date precedenti e successive, intervallo di date ed espressioni di ora relative. Ad esempio, tutti i file che non sono stati modificati negli ultimi sei mesi.

• Criterio corrispondente - File che corrispondono a un criterio attivo di Defender for Cloud Apps.

• Tipo MIME – controllo del tipo MIME (Multipurpose Internet Mail Extensions) del file. Accetta testo libero.

• Proprietario - Includi/escludi proprietari di file specifici. Ad esempio, tenere traccia di tutti i file condivisi da rogue_employee_#100.

• OU del proprietario – Includi o escludi i proprietari dei file che appartengono a specifiche unità organizzative. Ad esempio, tutti i file pubblici tranne i file condivisi da EMEA_marketing. Si applica solo ai file archiviati in Google Drive.

• Cartella padre : includere o escludere una cartella specifica (non si applica alle sottocartelle). Ad esempio, tutti i file condivisi pubblicamente tranne i file in questa cartella.

  Nota

  Defender for Cloud Apps rileva le nuove cartelle di SharePoint e OneDrive solo dopo che sono presenti alcune attività di file.

• Quarantena : se il file è stato messo in quarantena dal servizio. Ad esempio, mostra tutti i file in quarantena.

Autorizzazione di file

Dopo che Defender for Cloud Apps ha identificato i file come file che presentano un rischio di malware o DLP, si consiglia di esaminare i file. Se si determina che i file sono sicuri, è possibile autorizzarli. Autorizzare un file lo rimuove dal report di rilevamento del malware e sopprime i rilevamenti futuri relativi a questo file.

Per autorizzare i file

1. Nel portale Microsoft Defender, in App cloud selezionare Criteri ->Gestione criteri. Selezionare la scheda Protezione delle informazioni.

2. Nell'elenco dei criteri, nella riga in cui è visualizzato il criterio che ha attivato l'indagine, nella colonna Conteggio, selezionare il collegamento corrispondenze.

   Consiglio

   È possibile filtrare l'elenco dei criteri in base al tipo. La tabella seguente elenca, per tipo di rischio, il tipo di filtro da usare:

   Tipo di rischio	Tipo filtro
   DLP	Criteri file
   Malware	Criteri di rilevamento malware

3. Nell'elenco dei file corrispondenti, nella riga in cui viene visualizzato il file sottoposto a indagine, selezionare ✓ per Autorizza.

Utilizzo del pannello File

È possibile visualizzare altre informazioni su ogni file selezionando il file stesso nel log dei file. Selezionando un file si apre il pannello File che fornisce le azioni seguenti che è possibile eseguire sul file:

• URL - Porta alla posizione del file.
• Identificatori di file : apre un popup con i dettagli dei dati non elaborati relativi al file, inclusi l'ID file e le chiavi di crittografia quando sono disponibili.
• Proprietario : visualizzare la pagina utente per il proprietario di questo file.
• Criteri corrispondenti : vedere un elenco di criteri corrispondenti al file.
• Etichette di riservatezza: visualizzare l'elenco di etichette di riservatezza da Microsoft Purview Information Protection disponibili in questo file. È quindi possibile filtrare in base a tutti i file corrispondenti a questa etichetta.

I campi nel riquadro File forniscono collegamenti contestuali a file e analisi di dettaglio che potresti voler eseguire direttamente dal riquadro. Ad esempio, se si sposta il cursore accanto al campo Proprietario , è possibile utilizzare l'icona "Aggiungi a filtro" Per aggiungere immediatamente il proprietario al filtro della pagina corrente. È anche possibile utilizzare l'icona a forma di ingranaggio delle impostazioni che viene visualizzata per accedere direttamente alla pagina delle impostazioni necessaria a modificare la configurazione di uno dei campi, ad esempio Etichette di riservatezza.

Per un elenco delle azioni di governance disponibili, vedere Azioni di governance dei file.

Passaggi successivi

Se si verificano problemi, siamo qui per aiutarti. Per ottenere assistenza o supporto per il problema del prodotto, aprire un ticket di supporto.