セキュリティ

Microsoft PurviewエンドポイントDLPでルールに引っかかったファイルを証跡収集してみた

投稿日 2024.12.24
Microsoft Purview コンプライアンス

こんにちは、臼田です。

みなさん、DLPしてますか？(挨拶

今回はエンドポイントでDLPできるMicrosoft Purviewを利用して、DLPでルールに引っかかったファイルを証跡として収集する機能を試してみます。

収集すると実際以下のように確認ができます。

概要

Microsoft PurviewではエンドポイントDLP(EDLP)としてエンドポイントデバイス上で機密情報を扱うアクションを監視し、漏洩を防止する機能です。

EDLPでアクションを検出した際に、そのファイルがどのようなものか確認するために証跡として収集することができます。

証跡を収集することで実際にそのアクションが危険な操作であるかを判断したり、あるいはルールが過剰で過検知しているためルールの調整が必要かを判断したりできます。

メリットもありますが、そもそも機密情報であることを想定して収集するため、収集したファイルの扱いは特に注意する必要があります。

詳細はデバイスからのデータ損失防止ポリシーに一致するファイルの収集の概要 | Microsoft Learnをご確認ください。

設定する

実際にEDLPの証跡収集を設定して試してみます。

前提として、下記セットアップが済んでいる状況からとします。

Microsoft Purviewの基本的なセットアップ
エンドポイントデバイスのオンボード
DLPポリシーの設定

EDLPの設定周りの詳細はエンドポイントデータ損失防止の概要 | Microsoft Learnを確認してください。

デバイスからのデータ損失防止ポリシーに一致するファイルの収集の概要 | Microsoft Learnの手順を中心に設定をしていきます。大きく下記の手順を実施します。

収集用のコンテナ作成
DLP設定で証跡収集の有効化
DLPポリシーで証跡収集の有効化

順にやっていきます。

収集用のコンテナ作成

証跡を収集する場合、ストレージアカウントを作成しコンテナを追加しておく必要があります。この具体的な要件がデバイスからのデータ損失防止ポリシーに一致するファイルの収集の概要 | Microsoft Learnに記載されています。

特に注意する点はデータの流れで、条件にかかった場合には「エンドポイントデバイスからコンテナにデータを書き込み」するというところです。この動作のため、各エンドポイントのユーザーやデバイスが該当のストレージアカウントのコンテナに対する書き込み権限を有する必要があります。この権限の詳細はユーザーに対する Azure BLOB に対するアクセス許可を確認してください。

ストレージアカウントを作成し、コンテナを作成し、下記のユーザーアクセスが可能な権限が付与されていることを確認します。

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

作成したら、コンテナのURLを控えておきます。