用途
本技能用于在 Microsoft 365 环境中实施数据丢失防护（DLP），防止 PII、PHI、PCI 及知识产权等敏感数据通过电子邮件、云存储、聊天或终结点文件操作离开组织。同时涵盖敏感度标签配置（加密、内容标记、自动标记），用于按机密级别对文档和邮件进行分类。
适用场景包括：部署 DLP 策略阻止敏感数据外泄；配置带加密、内容标记和自动标记的敏感度标签；使用正则表达式创建自定义敏感信息类型以检测组织特有的数据格式（如员工 ID、项目代码、内部账号）；在受管设备上部署终结点 DLP 以控制复制到 USB、打印、上传到云和复制到剪贴板等操作；通过 Activity Explorer 调查 DLP 事件，分析策略匹配事件、用户行为模式和误报率以调优策略。
前提条件
- 为目标用户分配 Microsoft 365 E5 或 E5 Compliance / E5 Information Protection 附加许可证
- 拥有 Microsoft Purview 门户中的全局管理员、合规管理员或合规数据管理员角色
- Exchange Online PowerShell 模块（ExchangeOnlineManagement v3.x）和安全与合规 PowerShell，用于策略自动化
- 设备通过 Microsoft Intune 或 Configuration Manager 加入 Microsoft Purview 终结点 DLP（Windows 10/11 21H2+、macOS 12+）
- 已完成数据分类扫描或已填充内容资源管理器，以了解现有敏感数据分布
- 利益相关方就敏感度标签分类法（分类级别、加密要求、范围）达成一致
主要能力与工作流
第 1 步：设计敏感度标签分类法 定义映射到组织数据处理要求的分类层次。标准企业分类法示例：Public（无保护，允许外部共享）、General（无加密，内部水印 "GENERAL"）、Confidential（加密，页眉/页脚标记，可含子标签如 Finance、HR）、Highly Confidential（加密特定用户/组、水印、禁止转发）。为每个标签配置加密范围、内容标记（页眉、页脚、水印）和自动标记条件，并通过标签策略发布给用户，可配置降级理由要求和默认标签。
第 2 步：创建带敏感信息类型的 DLP 策略 Purview 内置 300 多个 SIT（信用卡号、社会安全号、护照号、健康记录等）。可创建针对 Exchange、SharePoint、OneDrive、Teams 的 DLP 策略，设置检测条件、阻止访问范围、通知用户、生成事件报告和警报级别，并支持用户覆盖（需理由）。也可用正则表达式定义组织特有的自定义 SIT（如 EMP-XXXXXX 格式员工 ID），通过 RulePackage XML 导入。还可将敏感度标签作为 DLP 条件，按标签应用不同限制。
第 3 步：部署终结点 DLP 规则 将 DLP 保护扩展到受管 Windows 和 macOS 终结点。先验证设备是否已通过 Intune 或本地脚本加入。通过 Set-PolicyConfig -EndpointDlpGlobalSettings 配置不允许的应用（浏览器、云同步客户端）、不允许的蓝牙应用、网络共享组、敏感服务域（允许/阻止的云目的地）、授权 USB 设备（按供应商/产品 ID）和打印机组。创建终结点规则控制复制到可移动介质、网络共享、剪贴板、打印、云上传和蓝牙操作。
第 4 步：配置自动标记策略 部署服务端自动标记，对静态和传输中的内容自动分类。可为 Exchange 邮件和 SharePoint/OneDrive 文档创建自动标记策略，基于 SIT 匹配自动应用敏感度标签。务必先在模拟模式下运行，在 Purview 门户查看模拟结果（估算匹配数和样本内容），确认准确性后再切换到启用模式。
第 5 步：使用 Activity Explorer 监控和管理 DLP 警报 在 Purview 门户 > 数据分类 > Activity Explorer 中，按活动类型 "DLPRuleMatch" 筛选查看所有 DLP 策略匹配。关键列包括活动时间戳、用户主体名称、匹配的 SIT 及置信度、触发的策略和规则、采取的操作、位置、文件名和站点 URL。分析误报率：导出按 "Override" 操作筛选的数据，覆盖率高（>20%）表明规则可能过于激进。DLP 警报在 DLP 规则内配置，可调整高流量规则的警报量阈值。
限制与注意事项
- 无适当的 Microsoft 365 E5、E5 Compliance 或 E5 Information Protection 许可时不得使用
- 不得在未经模拟期的情况下直接将 DLP 策略部署到生产强制执行模式
- 未与负责设备加入的终结点管理团队协调时，不得配置终结点 DLP
- 需协调终结点管理团队；模拟验证是必要步骤