exchange online-DLP

如何应用DLP 规则评估邮件适用于：Exchange Server 2013, Exchange Online您可以在Microsoft Exchange 数据丢失预防(DLP) 策略内设置敏感信息规则，以检测电子邮件中非常具体的数据。

本主题将帮助您了解如何应用这些规则以及如何评估邮件。

如果您了解如何强制执行规则，则可以为您的电子邮件用户避免工作流中断，并获得高度准确的DLP 检测。

让我们使用Microsoft 提供的信用卡信息规则作为示例。

当您激活传输规则或DLP 策略时，Exchange 传输规则代理将用户发送的所有邮件与您创建的规则集进行对比。

精确表达您的需求假设您需要处理邮件中的信用卡信息。

虽然找到它时执行的操作不属于本主题的内容，但您可以通过传输规则操作了解其详细信息。

为保证最大程度的确定性，您需要确保在邮件中检测到的确实是信用卡数据，而不仅仅是合法使用的类似信用卡数据的数字组；例如，预订代码或车辆识别号码。

为满足该要求，让我们明确表示以下信息应分类为信用卡。

Margie 的旅行，我已收到更新的Spencer 的信用卡信息。

Spencer BadilloVisa：4111 1111 1111 1111过期时间：2/2012请更新他的旅行个人资料。

让我们同时明确表示以下信息不应分类为信用卡。

Alex，你好，我也将去夏威夷。

我的预订代码是1234 1234 1234 1234，我将于2012 年3 月到达。

此致，Lisa以下XML 代码段显示当前如何在与Exchange 一起提供的敏感信息规则中定义之前表达的需求，该代码段已嵌入提供的DLP 策略模板之一。

<Entity id="50842eb7-edc8-4019-85dd-5a5c1f2bb085"patternsProximity="300" recommendedConfidence="85"><Pattern confidenceLevel="85"><IdMatch idRef="Func_credit_card" /><Any minMatches="1"><Match idRef="Keyword_cc_verification" /><Match idRef="Keyword_cc_name" /><Match idRef="Func_expiration_date" /></Any></Pattern></Entity>解决方案中的模式匹配之前显示的XML 规则定义包括模式匹配，模式匹配将提高规则仅检测重要信息而不检测相关模糊信息的可能性。

有关用于DLP 策略和模板的XML 架构的详细信息，请参阅定义您自己的DLP 模板和信息类型。

在信用卡规则中，有一部分面向模式的XML 代码，它包括主标识符匹配和一些其他的确定证据。

关于全部三项要求的说明如下：1.<IdMatch idRef="Func_credit_card" /> - 这要求匹配内部定义的名为“信用卡”的函数。

该函数包括以下几个验证：a.它匹配正则表达式（在本例中为16 位），该表达式也可能包括一些变体（如空格分隔符），以便它同样匹配“4111 1111 1111 1111”，或者包括连字符分隔符，以便它同样匹配“4111-1111-1111-1111”。

b.它针对16 位数字评估Lhun 的校验和算法，以确保这是信用卡号的可能性较高。

c.它要求强制匹配，之后将评估确定证据。

2.<Any minMatches="1"> - 该部分表示至少要求存在以下证据项之一。

3.确定证据可能匹配以下三项之一：<Match idRef="Keyword_cc_verification" /><Match idRef="Keyword_cc_name" /><Match idRef="Func_expiration_date" />这三项表明信用卡的关键字列表、信用卡名称或过期日期是必需的。

过期日期将作为另一个函数在内部定义和评估。

根据规则评估内容的过程此处的5 个步骤代表了Exchange 为比较您的规则和电子邮件而执行的操作。

对于我们的信用卡规则示例而言，采取了以下步骤。

Microsoft 设置该规则的方式强制要求将确定证据（如关键字）作为电子邮件内容的一部分，以便匹配该规则。

因此，以下电子邮件内容将不会被检测为包含信用卡：Margie 的旅行，我已收到关于Spencer 的更新信息。

Spencer Badillo4111 1111 1111 1111请更新他的旅行信息。

您可以使用自定义规则，它将定义无需额外证据的模式，如下例所示。

这将检测仅包含信用卡号而无确定证据的邮件。

<Pattern confidenceLevel="85"><IdMatch idRef="Func_credit_card" /></Pattern></Entity>本文的信用卡示例也可扩展应用于其他敏感信息规则。

若要查看Exchange 中Microsoft 提供的规则的完整列表，请按照以下方式使用Exchange 命令行管理程序中的Get-ClassificationRuleCollection cmdlet：$rule_collection = Get-ClassificationRuleCollection$rule_collection[0].SerializedClassificationRuleCollection |Set-Content oob_classifications.xml -Encoding byte敏感信息类型库存适用于：SharePoint Online, Exchange Server 2013, Exchange Online数据丢失预防(DLP) 包含51 种现成的敏感信息类型规则。

您可以在DLP 策略中使用任何敏感信息类型，您可以在该策略中使用其他条件、操作和例外来满足DLP 需求。

此处列出的由Microsoft 提供的信息类型可帮助您检测来自多个地区的个人可识别信息(PII)、财务信息和运行状况信息。

本主题包含下列参考信息，可帮助您了解所包含的敏感信息类型及其属性以及在XML 代码中的标签。

∙敏感信息类型定义∙用于DLP 规则的关键字列表如果您想了解如何调整所包含规则的敏感度，请参见自定义内置DLP 敏感信息类型中的示例。

也可以使用自己的信息类型扩展和自定义DLP 解决方案。

若要了解有关创建您自己的特定信息类型的详细信息，请参阅定义您自己的DLP 模板和信息类型。

有关通过使用敏感信息检测功能修改DLP 策略的详细信息，请参阅将敏感信息规则与传输规则集成和管理DLP 策略。

敏感信息类型定义下表列出了所包含敏感信息类型的属性，如名称、XML 代码中使用的GUID、使用该类型的主要地理区域及其检测的信息类型。

如果您导出XML 规则定义，您可以使用敏感信息类型的GUID 来查找相应的规则。

有关导出组织的规则的信息，请参阅从Exchange 2013 导出DLP 敏感信息类型主题。

注意：如果您的组织使用Microsoft SharePoint Online 存储数据，您可以使用下表“信息类型名称”列中的名称，来使用电子数据展示中心查询数据。

请注意，您需要完全按名称的写入格式复制名称，但不要包含任何上标数字，例如1。

有关搜索存储在SharePoint Online 网站上的数据的详细信息，请参阅创建查询以查找存储在站点上的敏感数据主题。

注意：用于DLP 规则的关键字列表下表列出了用于每种敏感信息类型的关键字。

关键字信息对于帮助您确定为何某个规则不检测预期的信息非常有用。

但是，请记住，服务在检测信息时并非仅评估关键字。

可信度和邻近程度也是评估过程的重要部分。

有关如何应用DLP 规则的详细信息，请参阅如何应用DLP 规则评估邮件。

Exchange 中提供的DLP 策略模板适用于：Exchange Server 2013, Exchange Online在Microsoft Exchange Server 2013 和Exchange Online 中，可以使用数据丢失预防(DLP) 策略模板作为构建DLP 策略的起点，这些策略可帮助满足特定法规和业务策略需求。

可以修改模板以便满足组织的特定需求。

警告：在生产环境中运行DLP 策略时，应在测试模式下启用这些策略。

在此类测试中，建议配置示例用户邮箱并发送调用测试策略的测试邮件以便确认结果。

使用这些策略并不能确保遵守任何法规。

在您的测试完成之后，请在Exchange 中进行所需的配置更改，使信息传输符合您组织的策略。

例如，您可能需要配置与已知业务合作伙伴的TLS 或添加更多限制的传输规则操作，比如向包含特定类型数据的邮件添加权限保护。

可用于DLP 的模板下表列出了Exchange 中的DLP 策略模板。

要了解有关自定义这些模板以创建DLP 策略的详细信息，请参阅管理DLP 策略。

管理DLP 策略适用于：Exchange Server 2013, Exchange Online通过使用Exchange 管理中心(EAC) 或命令行管理程序您可以查看、更改或删除Microsoft Exchange Server 2013 中现有的数据丢失防护(DLP) 策略。

有关与DLP 相关的更多管理任务，请参阅DLP 过程。

有关Exchange 命令行管理程序的详细信息，请参阅Exchange 管理外壳。

在开始之前，您需要知道什么？∙估计完成每个步骤时间：15-60 分钟∙您必须先获得权限，然后才能执行此过程。

若要查看所需的权限，请参阅邮件策略和遵从性权限主题中的“数据丢失防护(DLP)”条目。

∙对于任何DLP 策略，您可以选择以下三种模式之一：强制针对所有邮件和受支持的文件类型评估策略中的规则。

如果检测到符合策略条件的数据，则可能会中断邮件流。

会执行策略中所述的所有操作。

使用测量提示测试DLP 策略针对所有邮件和受支持的文件类型评估策略中的规则。

如果检测到符合策略条件的数据，则不会中断邮件流。