purview-advanced-dlp

Microsoft Purview 高级 DLP

高级 DLP 在基础策略之上扩展了自适应风险和高精度控制，尤其是自适应保护。它会根据用户的内部人员风险级别动态调整 DLP 强制措施，让低风险用户受到较轻的控制，并自动对风险较高的用户采取更严格的措施。

适用场景

适用于已建立成熟数据安全计划、分类和基础 DLP 均已就绪的组织，希望从静态 DLP 转向动态、感知上下文的强制措施和高精度匹配。

不要使用此技能从零设计首个 DLP 策略（请使用 purview-dlp-policy），也不要用它来部署内部人员风险管理（请使用 insider-risk-baseline）。

选择合适的高级功能

目标	使用
根据用户风险动态实施强制措施	自适应保护（由 IRM 驱动）
与自有记录进行高精度匹配	精确数据匹配（EDM） SIT
感知上下文的规则（标签 + 收件人 + 量）	DLP 规则中的上下文条件
阻止 USB、未经批准的云服务和剪贴板操作	高级 Endpoint DLP 外发控制
阻止粘贴到 ChatGPT / 未经批准的 AI	Endpoint DLP + AI 的 DSPM

经验法则：每季度选择一项高级功能；同时叠加自适应保护、EDM 和新的 Endpoint 控制，会导致无法判断故障归因。

方法

1. 确认先决条件 - 至少有一个工作负载的基础 DLP 已处于强制模式；内部人员风险管理已运行并调整好指标（适用于自适应保护）。 验证：IRM 正在为试点用户群生成有意义的风险级别。
2. 自适应保护 - 将内部人员风险管理的风险级别（轻微/中等/较高）与 DLP 集成，让低风险用户受到较轻的控制，并自动对风险较高的用户采取更严格的措施（例如阻止），以减少阻碍并聚焦保护。 验证：将测试用户的风险级别调为较高后，会触发更严格的 DLP 规则分支。
3. 精确数据匹配（EDM） - 使用 EDM SIT 与结构化数据的哈希副本（例如客户记录）匹配，实现高精度、低误报率的检测。 验证：已上传 EDM 架构定义、哈希刷新成功，且测试样本匹配成功。
4. 上下文条件 - 结合敏感度标签、分类器、内容量、收件人和访问范围，制定精准规则（例如：“机密 + 外部收件人 + ≥5 个 SIT 匹配项”）。 验证：测试事件显示，只有符合预期组合时规则才会触发。
5. Endpoint 外发控制 - 限制在受管终端上复制到 USB、上传到未经批准的云服务 / AI 应用、网络共享，以及剪贴板操作和打印。 验证：在测试中，将已标记内容粘贴到未经批准的 AI 应用时会被阻止或标记。
6. 持续调整 - 使用 Activity Explorer 和警报进行优化；每周审查例外覆盖的理由。 验证：误报率逐月呈下降趋势。

防护措施

• 自适应保护需要配置并取得同意的内部人员风险管理；启用前，应与法务部门 / 员工代表委员会规划隐私保护和假名化措施。
• EDM 需要架构定义、哈希数据上传和专用上传角色；这并非快速见效的方案，需要数据工程团队负责。
• 启用阻止操作前，先在审核 / 模拟模式下验证动态强制措施；未经过审核阶段就直接在生产环境中启用动态阻止，必然会造成事故。
• Endpoint DLP 高级控制（剪贴板、USB、网络共享）需要设备已加入服务，并且需要 E5 Compliance；Mac 和 Windows 上的行为可能不同。
• 保留例外处理路径：业务流程可能中断；必须提供附带理由的覆盖工作流。

常见反模式

• 在 IRM 阈值尚未调整好之前，直接将 Adaptive Protection 切换为“风险升高时阻止”—— 会因指标噪声而阻止无辜用户。
• EDM 使用 50 列架构，却没有刷新作业——匹配结果会悄然过时。
• 不断叠加上下文条件，直到没有任何内容匹配，然后断言 DLP“无法正常工作”。
• 未在知识工作者群体中试点，就在整个租户范围内阻止剪贴板操作。
• 未统计覆盖操作频率——调整策略只能靠猜测。

示例提示词

• Configure risk-based DLP driven by Insider Risk Adaptive Protection.
• Set up Exact Data Match (EDM) for precise DLP detection.
• How do I add contextual conditions to advanced Endpoint DLP?
• Validate dynamic DLP enforcement in simulation before blocking.
• Block clipboard paste of Highly Confidential into unsanctioned AI on managed endpoints.

Microsoft Learn

• Adaptive Protection：https://learn.microsoft.com/purview/insider-risk-management-adaptive-protection
• Exact Data Match：https://learn.microsoft.com/purview/sit-learn-about-exact-data-match-based-sits
• Endpoint DLP 设置：https://learn.microsoft.com/purview/endpoint-dlp-learn-about
• DLP 策略参考：https://learn.microsoft.com/purview/dlp-policy-reference
• Activity Explorer：https://learn.microsoft.com/purview/data-classification-activity-explorer
• DLP 中的 Adaptive Protection：https://learn.microsoft.com/purview/dlp-adaptive-protection-learn