Aan de slag met de Microsoft compliance-extensie

Artikel
11/13/2021
3 minuten om te lezen

Gebruik deze procedures om de Compliance-extensie van Microsoft uit te rollen.

Voordat u begint

Als u de Compliance-extensie van Microsoft wilt gebruiken, moet het apparaat onboarded zijn in Endpoint DLP. Bekijk deze artikelen als u nog niet zo vertrouwd bent met DLP of Endpoint DLP

SKU/abonnementenlicenties

Voordat u aan de slag gaat, moet u uw abonnement op Microsoft 365 en eventuele invoegtoepassingen bevestigen. Als u DLP-functionaliteit voor eindpunten wilt openen en gebruiken, moet u een van deze abonnementen of invoegtoepassingen hebben.

Microsoft 365 E5
Microsoft 365 A5 (EDU)
Microsoft 365 E5 Compliance
Microsoft 365 A5 Compliance
Microsoft 365 E5 Information Protection en governance
Microsoft 365 A5 Information Protection en governance

Zie voor gedetailleerde licentie-richtlijnen Microsoft 365-licentie guidance for security & compliance.

Uw organisatie moet een licentie hebben voor Eindpunt-DLP
Uw apparaten moeten Windows 10 x64 build 1809 of hoger hebben.
Het apparaat moet de Antimalware-clientversie 4.18.2101.9 of hoger hebben. Controleer uw huidige versie door de Windows-beveiligingsapp te openen, selecteer het pictogram Instellingen en selecteer vervolgens Info.

Machtigingen

Gegevens van eindpunt-DLP kunnen worden weergegeven in Activiteitenverkenner. Er zijn zeven rollen die machtigingen verlenen aan activiteitenverkenner. Het account dat u gebruikt voor het openen van de gegevens, moet lid zijn van een van deze rollen.

Algemeen beheerder
Beheerder voor naleving
Beveiligingsbeheerder
Gegevensbeheerder voor naleving
Globale lezer
Beveiligingslezer
Rapportenlezer

Algemene installatiewerkstroom

Het implementeren van de Microsoft compliance-extension is een proces dat uit meerdere fasen bestaat. U kunt ervoor kiezen om op één computer tegelijk te installeren of gebruik Microsoft Endpoint Manager of groepsbeleid voor implementaties binnen de hele organisatie.

Bereid uw apparaten voor.
Basic Setup Single Machine Selfhost
Implementatie met behulp van Microsoft Endpoint Manager
Implementeren met behulp van groepsbeleid
De extensie uitproberen
Het dashboard Waarschuwingenbeheer gebruiken om DLP-waarschuwingen in Chrome weer te geven
Chrome DLP-gegevens weergeven in Activiteitenverkenner

Infrastructuur voorbereiden

Als u de Microsoft-nalevingsextensie uitrolt naar al uw bewaakte Windows 10-apparaten, moet u Google Chrome verwijderen uit de lijst met niet-verschuldigde apps en niet-verschuldigde browsers. Zie voor meer informatie Niet-verschuldigde browsers. Als u de toepassing slechts op enkele apparaten uitrolt, kunt u Chrome op de lijst met niet-verschuldigde browsers of niet-verschuldigde apps laten staan. De Nalevingsextensie van Microsoft slaat de beperkingen over van beide lijsten voor de computers waarop de lijst is geïnstalleerd.

Uw apparaten voorbereiden

Gebruik de procedures in deze onderwerpen om uw apparaten in te werken:

Basic Setup Single Machine Selfhost

Dit is de aanbevolen methode.

Meld u aan bij de Windows 10-computer waarop u de Microsoft Compliance-extensie wilt installeren en voer dit PowerShell-script als beheerder uit.

Get-Item -path "HKLM:\SOFTWARE\Microsoft\Windows Defender\Miscellaneous Configuration" | New-ItemProperty -Name DlpDisableBrowserCache -Value 0 -Force

Ga naar Microsoft Compliance-extensie - Chrome Web Store (google.com).
Installeer de extensie aan de hand van de instructies op de pagina Chrome Web Store.

Implementeren met behulp van Microsoft Endpoint Manager

Gebruik deze instellingsmethode voor implementaties voor de hele organisatie.

Vereiste registerwaarde inschakelen via Microsoft Endpoint Manager

Maak een PowerShell-script met de volgende inhoud:

Get-Item -path "HKLM:\SOFTWARE\Microsoft\Windows Defender\Miscellaneous Configuration" | New-ItemProperty -Name DlpDisableBrowserCache -Value 0 -Force

Meld u aan bij het beheercentrum voor Microsoft Eindpuntbeheer.
Ga naar Apparaten > Scripts en selecteer Toevoegen.
Blader naar de locatie van het script dat is gemaakt wanneer hier om wordt gevraagd.
Selecteer de volgende instellingen:
1. Voer dit script uit met de aanmeldingsreferenties: NEE
2. Controle van scripthandtekening afdwingen: NEE
3. Voer het script uit in de 64-bits PowerShell-host: JA
Selecteer de juiste apparaatgroepen en pas het beleid toe.

Installatiestappen voor Microsoft Endpoint Manager Force

Voordat u de Microsoft Compliance-extensie toevoegt aan de lijst met geforceer geïnstalleerde extensies, is het belangrijk om de Chrome ADMX op te nemen. Stappen voor dit proces in Microsoft Eindpuntbeheer worden beschreven door Google: Chrome-browser beheren met Microsoft Intune - Help voor Google Chrome Enterprise.

Nadat u het ADMX-account hebt gebruikt, kunt u de onderstaande stappen volgen om een configuratieprofiel voor deze extensie te maken.

Meld u aan bij het Beheercentrum van Microsoft Endpoint Manager (https://endpoint.microsoft.com).
Ga naar Configuratieprofielen.
Selecteer Profiel maken.
Selecteer Windows 10 als platform.
Selecteer Aangepast als profieltype.
Selecteer het tabblad Instellingen.
Kies Toevoegen.
Geef de volgende gegevens op.

OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Chrome~Policy~googlechrome~Extensions/ExtensionInstallForcelist
Gegevenstype: String
Waarde: <enabled/><data id="ExtensionInstallForcelistDesc" value="1 echcggldkblhodogklpincgchnpgcdco;https://clients2.google.com/service/update2/crx"/>
Klik op maken.

Implementeren met behulp van groepsbeleid

Als u Microsoft Endpoint Manager niet wilt gebruiken, kunt u groepsbeleid gebruiken om de Microsoft-nalevingsextensie in uw organisatie te implementeren

Uw apparaten moeten kunnen worden beheerbaar via groepsbeleid en u moet alle Chrome ADMX's importeren in de centrale opslag voor groepsbeleid. Zie voor meer informatie het Centraal beheerbeleid in Windows.

Maak een PowerShell-script met deze PowerShell-opdracht:

Get-Item -path "HKLM:\SOFTWARE\Microsoft\Windows Defender\Miscellaneous Configuration" | New-ItemProperty -Name DlpDisableBrowserCache -Value 0 -Force

Open de console voor groepsbeleidsbeheer naar uw organisatie-eenheid (OU).
Klik met de rechtermuisknop en selecteer GPO in dit domein maken en koppel deze hier. Wanneer hier om wordt gevraagd, wijst u een beschrijvende naam toe aan dit groepsbeleidsobject en maakt u het maken van het object af.
Klik met de rechtermuisknop op de GPO en selecteer Bewerken.
Ga naar Configuratie van computer > Voorkeuren > Instellingen van het Configuratiescherm > Geplande taken.
Maak een nieuwe directe taak door met de rechtermuisknop te klikken en Nieuwe taak > (ten minste Windows 7).
Geef een naam en beschrijving op voor de taak.
Kies het bijbehorende account om de directe taak uit te voeren, bijvoorbeeld NT Authority
Selecteer Uitvoeren met de hoogste bevoegdheden.
Configureer het beleid voor Windows 10.
Selecteer op het tabblad Acties de actie Een programma starten.
Voer het pad in naar het programma/script dat is gemaakt in stap 1.
Selecteer Toepassen.

De Chrome-extensie toevoegen aan de lijst Geforceerd installeren

Ga in de groepsbeleidsbeheereditor naar uw OU.
Vouw het volgende pad uit: Configuratie van computer/gebruiker > Beleid > Beheersjablonen > Klassieke beheersjablonen > Google > Google Chrome > Extensies. Dit pad kan variëren, afhankelijk van uw configuratie.
Selecteer De lijst met geforceerde geïnstalleerde extensies.
Klik met de rechtermuisknop en Bewerken.
Selecteer Ingeschakeld.
Selecteer Weergeven.
Voeg bij Waarde de volgende vermelding toe: echcggldkblhodogklpincgchnpgcdco;https://clients2.google.com/service/update2/crx
Selecteer OK klik vervolgens Toepassen.

De extensie testen

Naar cloudservice uploaden of openen via niet-toegestane browsers

Maak of haal een gevoelig item op en probeer een bestand te uploaden naar een van de beperkte servicedomeinen van uw organisatie. De gevoelige gegevens moeten overeenkomen met een van onze ingebouwde Gevoelige informatietypen, of een van de typen gevoelige informatie van uw organisatie. U ontvangt een DLP-pop-upmelding op het apparaat van waaruit u test dat deze actie niet is toegestaan wanneer het bestand is geopend.

Andere DLP-scenario's testen in Chrome

Nu u Chrome hebt verwijderd uit de lijst met niet-toegeziene browsers/apps, kunt u de onderstaande scenario's testen om te controleren of het gedrag voldoet aan de vereisten van uw organisatie:

Gegevens van een gevoelig item naar een ander document kopiëren met het Klembord
- Als u wilt testen, opent u in de Chrome-browser een bestand dat is beveiligd tegen kopiëren naar het Klembord en probeert u gegevens uit het bestand te kopiëren.
- Verwacht resultaat: een DLP-pop-upmelding waarin wordt getoond dat deze actie niet is toegestaan wanneer het bestand is geopend.
Een document afdrukken
- Als u wilt testen, opent u een bestand dat is beveiligd tegen afdrukacties in de Chrome-browser en probeert u het bestand af te drukken.
- Verwacht resultaat: een DLP-pop-upmelding waarin wordt getoond dat deze actie niet is toegestaan wanneer het bestand is geopend.
Kopiëren naar verwijderbare USB-media
- Test het bestand door het bestand op te slaan in een verwijderbare mediaopslag.
- Verwacht resultaat: een DLP-pop-upmelding waarin wordt getoond dat deze actie niet is toegestaan wanneer het bestand is geopend.
Kopiëren naar netwerkshare
- Test het bestand door het bestand op te slaan in een netwerkshare.
- Verwacht resultaat: een DLP-pop-upmelding waarin wordt getoond dat deze actie niet is toegestaan wanneer het bestand is geopend.

Het dashboard Waarschuwingenbeheer gebruiken om DLP-waarschuwingen in Chrome weer te geven

Open de pagina Preventie van gegevensverlies in het Microsoft 365-compliancecentrum en selecteer Waarschuwingen.
Raadpleeg de procedures in Informatie over het configureren en weergeven van waarschuwingen voor uw DLP-beleid om waarschuwingen voor uw DLP-beleid voor eindpunten weer te geven.

Chrome DLP-gegevens weergeven in Activiteitenverkenner

Open de pagina Gegevensclassificatie voor uw domein in het Microsoft 365-compliancecentrum en kies Activiteitenverkenner.
Raadpleeg de procedures in Aan de slag met Activiteitenverkenner om alle gegevens voor uw eindpuntapparaten weer te geven en te filteren.

Bekende problemen en beperkingen

Afdwingen van overschrijven blokkeren voor cloud-uitgang wordt niet ondersteund.
De incognitomodus wordt niet ondersteund en moet worden uitgeschakeld.

Volgende stappen

Nu u onboarded-apparaten hebt en de activiteitsgegevens kunt bekijken in Activiteitenverkenner, kunt u verder gaan met de volgende stap, waarin u DLP-beleid maakt voor het beveiligen van uw gevoelige items.

Preventie van gegevensverlies voor eindpunten gebruiken