Verhindern, dass Benutzer vertrauliche Informationen mit Cloud-Apps in Microsoft Edge for Business

Verwenden Sie dieses Verfahren, um eine Microsoft Purview-Dlp-Richtlinie (Data Loss Prevention, Verhinderung von Datenverlust) zu erstellen, die Verhindert, dass Benutzer vertrauliche Informationen aus geschäftsseitig verwalteten Apps (z. B. ServiceNow und Workday) in Microsoft Edge for Business exfiltrieren. Dieses Verfahren folgt dem Richtlinienentwurfsprozess, der unter Entwerfen einer Richtlinie zur Verhinderung von Datenverlust beschrieben wird. Arbeiten Sie dieses Szenario in Ihrer Testumgebung durch, um sich mit der Benutzeroberfläche für die Richtlinienerstellung vertraut zu machen.

Verwenden Sie das DLP-Richtlinienszenario für verwaltete Apps, um zu verhindern, dass Benutzer vertrauliche Informationen aus unternehmensseitig verwalteten Apps wie ServiceNow und Workday über Microsoft Edge exfiltrieren.

Voraussetzungen:

• Integrieren Sie die Apps in Microsoft Entra bedingten Zugriff mit angewendeten Sitzungssteuerelementen.
• Blockieren Sie den Zugriff auf die geschützten Apps außerhalb des Edge-Arbeitsprofils.

Wenn die Richtlinie angewendet wird:

Diese Richtlinie wird wirksam, wenn Benutzer auf die geschützten Apps in Edge for Business zugreifen und sich mit ihrem Geschäfts-, Schul- oder Unikonto sowohl für das Edge-Arbeitsprofil als auch für die App anmelden. Edge for Business wendet DLP-Richtlinien für nicht verwaltete Geräte nur auf das Arbeitsprofil an. Diese Richtlinien gelten nicht für persönliche oder InPrivate-Profile, es sei denn, auf das Arbeitsprofil, das das InPrivate-Fenster öffnet, wurde eine Richtlinie angewendet. Um verwaltete Apps auf nicht verwalteten Geräten als Ziel zu verwenden, erzwingen Sie das Arbeitsprofil in Edge for Business.

Wie Sie eine Richtlinie bereitstellen, ist genauso wichtig wie der Richtlinienentwurf. In diesem Artikel erfahren Sie, wie Sie die Bereitstellungsoptionen verwenden, damit die Richtlinie Ihre Absicht erreicht und gleichzeitig kostspielige Geschäftsunterbrechungen vermeidet.

Voraussetzungen und Annahmen

Die folgende Prozedur zur Richtlinienerstellung verwendet eine hypothetische Verteilergruppe mit dem Namen External. Weitere Informationen zum DLP-Schutz, der im Browser angewendet wird, finden Sie unter Browser-Sicherheitsressourcen.

Das Einrichten einer Richtlinie zum Schutz der Datenfreigabe mit Microsoft Entra verwalteten Apps im Browser umfasst die folgenden Phasen:

1. Integrieren sie Apps in die App-Steuerung für bedingten Zugriff.

2. Importieren von Benutzergruppen aus verbundenen Apps. Das Importieren von Benutzergruppen ist erforderlich, damit Sie Zielgruppen in Ihrer Entra Richtlinie für bedingten Zugriff und Ihren Purview-Richtlinien für verwaltete Apps in Edge for Business verwenden können.

3. Erstellen Sie eine Microsoft Entra Richtlinie für bedingten Zugriff, die mit aktivierten benutzerdefinierten Sitzungssteuerelementen konfiguriert ist und die Client-Apps-Bedingung für den Browser verwendet.

4. Aktivieren Sie den Browserschutz von Edge for Business, der so konfiguriert ist, dass die Edge-Arbeitsprofilanmeldung für Geschäfts-Apps auf allen Geräten erzwungen wird.

5. Erstellen Sie eine Microsoft Purview-DLP-Richtlinie für Benutzerinteraktionen mit verwalteten Apps.

6. (optional) Aktivieren Sie in den Einstellungen des Microsoft Admin-Portals für Microsoft Edge Mitschreiben geschützte Zwischenablage und Bildschirmschutz. Microsoft Edge for Business Anweisungen finden Sie unter Erste Schritte mit der geschützten Zwischenablage.

7. Überprüfen Sie die Ergebnisse der Microsoft Purview-Richtlinie in Microsoft Defender.

Richtlinienabsichtsanweisung und Zuordnung

Wir müssen Benutzern den Zugriff auf Ressourcen in Geschäfts-Apps von ihren BYOD- und persönlichen Geräten aus ermöglichen, aber verhindern, dass sie die Daten auf diese Geräte herunterladen. Auftragnehmer und Lieferantenmitarbeiter verwenden diese Arten von Geräten, um für ihre Arbeitsaktivitäten zusammenzuarbeiten. Wenn sie versuchen, Dateien herunterzuladen, die vertrauliche Informationen enthalten, z. B. Kundenbankinformationen, sollte die Aktion blockiert werden. Wir müssen auch die Anforderungen an Warnungen erfüllen. Schließlich wollen wir, dass dies so bald wie möglich wirksam wird.

Schritte zum Einrichten der Voraussetzungen

Führen Sie die folgenden Schritte aus, um die Voraussetzungen einzurichten, bevor Sie die DLP-Richtlinie erstellen:

1. Integrieren sie Apps in die App-Steuerung für bedingten Zugriff. Weitere Informationen finden Sie unter Onboarding von Nicht-Microsoft IdP-Katalog-Apps für die App-Steuerung für bedingten Zugriff und Integrieren von benutzerdefinierten Apps ohne Microsoft IdP für die App-Steuerung für bedingten Zugriff. 

2. Importieren sie Benutzergruppen. Melden Sie sich beim Microsoft Defender XDR an, und wählen Sie Einstellungen > Cloud Apps > Systembenutzergruppen >> + Importieren aus. Weitere Informationen finden Sie unter Importieren von Benutzergruppen aus verbundenen Apps.

3. Melden Sie sich beim Microsoft Entra Admin Center an.

4. Erstellen Sie eine neue Richtlinie für bedingten Zugriff, die auf Cloud-Apps mit Sitzungssteuerelementen ausgerichtet ist, und verwenden Sie und die Client-Apps-Bedingung für den Browser.

   1. Benutzerdefinierte Richtlinie muss in der Dropdownliste sitzungssteuerelemente ausgewählt werden.
   2. Browser muss unter Bedingungen > Client-Apps ausgewählt sein

5. Navigieren Sie im Microsoft Defender-Portal unter zum https://security.microsoft.comAbschnitt > Systemeinstellungen >> Cloud-Apps > Bedingter Zugriff App-Steuerung Edge for Business-Schutz. Oder verwenden Sie https://security.microsoft.com/cloudapps/settings?tabid=edgeIntegration, um direkt zur Edge for Business-Schutzseite zu wechseln.

6. Konfigurieren Des In-Browser-Schutzes für Edge ein, und wählen Sie Zugriff nur von Edge und allen Geräten zulassen aus.

Schritte zum Erstellen der Richtlinie

1. Melden Sie sich beim Microsoft Purview-Portal an.
2. Wählen SieRichtlinien>zur Verhinderung von> Datenverlust + Richtlinie erstellen aus.
3. Wählen Sie Unternehmens-Apps und -Geräte aus.
4. Wählen Sie in der Liste Kategorien die Option Benutzerdefiniert und dann benutzerdefinierte Richtlinie aus der Liste Vorschriften aus.
5. Wählen Sie Weiter aus.
6. Geben Sie einen Richtliniennamen an, und geben Sie eine Beschreibung an. Sie können hier die Richtlinienabsichtsanweisung verwenden.
7. Wählen Sie Weiter aus.
8. Übernehmen Sie das Standardverzeichnis Vollständig auf der Seite Administratoreinheiten zuweisen .
9. Wählen Sie Weiter aus.
10. Wählen Sie Verwaltete Cloud-Apps aus.
11. Wählen Sie Bestimmte Benutzer und Gruppen aus.
12. Wählen Sie + Einschließen und dann Gruppen einschließen aus.
13. Wählen Sie Extern aus.
14. Wählen Sie Fertig und dann Weiter aus.
15. Wählen Sie + Verwaltete Apps einschließen aus.
16. Wählen Sie Workday aus.
17. Wählen Sie Fertig aus.
18. Auf der Seite Richtlinieneinstellungen definieren sollte die Option Erweiterte DLP-Regeln erstellen oder anpassen bereits ausgewählt sein.
19. Wählen Sie Weiter aus.
20. Wählen Sie auf der Seite Erweiterte DLP-Regeln anpassendie Option + Regel erstellen aus.
21. Benennen Sie die Regel, und geben Sie eine Beschreibung an.
22. Wählen Sie Bedingung hinzufügen aus, und verwenden Sie die folgenden Werte:
    1. Wählen Sie Inhalt enthält aus.
    2. Wählen SieVertrauliche Informationstypen>Hinzufügen>Vertraulicher Informationstypen>ABA-Routingnummer, Australische Bankkontonummer, Kanadische Bankkontonummer, Internationale Bankkontonummer (IBAN),Israel Bank Account Number, Japan Bank Account Number, New Zealand Bankkontonummer, SWIFT-Code, US-Bankkontonummer.
23. Wählen Sie Hinzufügen aus.
24. Fügen Sie unter Aktionen eine Aktion mit den folgenden Werten hinzu:
    1. Einschränken von Browser- und Netzwerkaktivitäten
    2. Dateidownload>Block
25. Wählen Sie unter Incidentberichte Folgendes aus: 2. Der Umschalter für Warnung an Administratoren senden, wenn eine Regeleinstimmung auftritt , ist standardmäßig auf Ein festgelegt.
26. Wählen Sie Speichern und dann Weiter aus.
27. Wählen Sie auf der Seite Richtlinienmodus die Option Ein aus.
28. Wählen Sie Weiter und dann Absenden aus.
29. Klicken Sie auf Fertig.

Schritte zum Aktivieren Microsoft Edge for Business geschützten Zwischenablage- und Bildschirm-Mitschreiben-Schutzes (optional)

Microsoft Edge for Business Anweisungen finden Sie unter Erste Schritte mit der geschützten Zwischenablage.

Schritte zum Überprüfen der Ergebnisse einer Microsoft Purview-Richtlinie in Microsoft Defender

Anweisungen zum Überprüfen und Reagieren auf Ergebnisse von Richtlinienmatches finden Sie unter Untersuchen und Reagieren in Microsoft Defender XDR.