Ano ang Windows Information Protection (WIP) at kung paano ito ilapat sa iyong kumpanya

Windows Information Protection (WIP) Isa itong teknolohiyang kasama sa Windows 10 at mas bago na nakakatulong na maiwasan ang mga pagtagas ng data nang hindi humahadlang sa iyong pang-araw-araw na trabaho. Sa madaling salita, nagbibigay-daan sa iyo na paghiwalayin at protektahan ang data ng kumpanya sa mga device na maaaring maging personal at corporate, na kinokontrol kung paano ibinabahagi, kinopya, o inililipat ang data sa pagitan ng mga application at network.

Sa WIP, maaaring tukuyin ng mga organisasyon tumpak na mga direktiba na tumutukoy kung aling mga app maaaring magbukas ng mga dokumento ng kumpanya, kung kinokopya ang nilalaman sa clipboard at i-paste ito sa ibang konteksto, o kung bumagsak ito nang buo. Salamat sa pagsasama nito sa pamamahala ng device (MDM) at pamamahala ng aplikasyon (MAM), Ang WIP ay maraming nalalaman sa mga sitwasyon ng BYOD at sa ganap na pinamamahalaang mga device, pinapaliit ang epekto sa personal na data ng user.

Ano ang Windows Information Protection (WIP)

Sa esensya, Ang WIP ay isang hanay ng mga tampok Mga solusyon sa Windows na naglalayong protektahan ang impormasyon ng kumpanya sa mga desktop, laptop, mga tablet, at telepono na pinamamahalaan ng organisasyon sa pamamagitan ng MDM o, kung saan naaangkop, sa antas lang ng app na may MAM. Simula sa Windows 10, bersyon 1607, binibigyang-daan ka ng mga kakayahang ito na ipatupad ang mga patakaran sa proteksyon sa data ng kumpanya nang hindi nakikialam o nakakasira sa mga pribadong file ng user.

Gamit ang MDM o MAM, tinutukoy ng isang administrator ang listahan ng mga pinapayagang aplikasyon at mga panuntunan sa paggamit ng data. Kung ang isang app ay kasama sa patakaran, lahat ng ginagawa o manipulahin nito sa loob ng konteksto ng kumpanya ay napapailalim sa itinatag na mga paghihigpit: halimbawa, kopyahin at i-paste Mula sa isang dokumento ng kumpanya hanggang sa isang personal, maaari itong mai-block o mangailangan ng babala sa user, at mga elemento tulad ng access sa network VPN o pagbabahagi sa pagitan ng mga app.

Para sa mga device na naka-enroll sa MDM, malinaw ang karaniwang daloy: nirerehistro ng user ang device sa platform ng organisasyon at ang tagapangasiwa ay naghahatid ng mga direktiba sa pamamagitan ng Microsoft Intune o System Center Configuration Manager (SCCM). Para sa mga hindi naka-enroll na device (BYOD), pinapayagan ng MAM na direktang mailapat ang mga patakaran sa mga partikular na app, nang sa gayon kapag nag-i-install ng mga app na iyon Natatanggap ng user ang nauugnay na patakaran.

Kapag na-unenroll ang device mula sa MDM o na-uninstall ng user ang mga app na pinamamahalaan ng MAM, magagawa ng mga administrator piliing tanggalin ang data ng kumpanya ng pangkat. Ang pagbawi ng access na ito ay nakakaapekto sa mga file na naka-encrypt sa ilalim ng WIP, na inaalis ang panganib ng nakalantad ang mga sensitibong dokumento lampas sa kontrol ng kumpanya.

Paano gumagana ang WIP sa mga application

Kung ang isang aplikasyon ay nasa listahan ng pinapayagan ng patakaran, lahat ng data na nabuo sa ilalim ng konteksto ng negosyo ay napapailalim sa proteksyon: ito ay maaaring mangahulugan na kung ang pag-access ng user ay binawi, mawalan ng access sa corporate data ng app na iyon. Ang logic na ito ay umaangkop sa puro pangnegosyong app, ngunit hindi sa mga ginagamit ng mga user para sa trabaho at personal na aktibidad.

Para sa mga kasong iyon, inirerekomenda ng Microsoft ang pagbuo mga application na pinagana ng enterprise (enlightened/enterprise-enabled), may kakayahang matalinong tukuyin kung ano ang corporate at kung ano ang personal. Sa ganitong paraan, inilalapat lang ng app ang patakaran sa kung ano ang naaangkop at pinapanatili ang integridad ng pribadong data ng user, pag-iwas sa mga abala gaya ng mga hindi kinakailangang senyas o hindi makatarungang pagharang.

Bukod pa rito, sa pamamagitan ng pagpapagana ng app na may mga WIP API, posible ito isapersonal ang karanasan- Halimbawa, kung pinapayagan ng patakaran ang pag-paste ng data ng negosyo sa isang personal na dokumento, maiiwasan ng app na magtanong sa bawat oras at sa halip ay ipakita ito. sariling mga mensaheng nagbibigay-kaalaman kapag nakakita ito ng ilang partikular na pagkilos ng user.

Para sa mga developer, may mga partikular na gabay: UWP apps sa C# y desktop application sa C++ Maaari silang umasa sa teknikal na dokumentasyon ng WIP upang ipatupad ang pagtuklas ng konteksto, pag-label ng data, at pagsunod sa mga panuntunang tinukoy ng IT.

Hindi pinagana ang mga app para sa enterprise: kailan at paano

Kung gagawa ka ng isa linya ng negosyo (LOB) application nilayon para sa corporate na paggamit lamang, maaaring hindi mo ito kailangang paganahin sa mga WIP API. Gayunpaman, magandang ideya na subukan ito sa ilalim ng patakaran upang kumpirmahin iyon funciona correctamente at hindi sinasadyang i-encrypt ang mga personal na file ng user gaya ng metadata, mga larawan, o iba pang pantulong na mapagkukunan.

Sa kaso ng Windows desktop applicationMagandang kasanayan na ilunsad ang app, gamitin ito, i-unenroll ang device mula sa MDM, at i-verify na maaari itong ilunsad muli. Kung ang anumang kritikal na file ay na-encrypt ng WIP at hindi naa-access, maaaring hindi magsimula ang applicationPagkatapos ng pagsubok, inirerekomenda na idagdag mo ang flag ng compatibility sa iyong proyekto upang maprotektahan ng Windows ang data ng iyong negosyo para sa iyo at hindi makagambala sa iyong personal na data:

MICROSOFTEDPAUTOPROTECTIONALLOWEDAPPINFO
EDPAUTOPROTECTIONALLOWEDAPPINFOID
BEGIN 0x0001
END

Ang flag na ito ay hindi sapilitan para sa mga direktiba na na-deploy sa pamamagitan ng MDM, ngunit ito ay nasa mga senaryo MAM, kung saan inilalapat ang pamamahala sa mga partikular na application nang hindi ini-enroll ang buong device.

Sa UWP apps na mapapaloob sa saklaw ng isang patakaran ng MAM, ang pagpapagana sa mga ito ay mahalaga. Bagama't hindi palaging kinakailangan sa MDM, sa mga kapaligiran na may mga consumer ng organisasyon, mahirap hulaan kung aling sistema ng pamamahala ang gagamitin, kaya paganahin ang app tinitiyak na gagana ito nang tama sa parehong konteksto.

Pagsasama sa Microsoft Enter ID at Workplace Join (WPJ)

Sumasama ang WIP sa Serbisyo ng Microsoft Sign In ID para sa user at sa device, sa panahon ng pag-enroll at pag-download ng patakaran. Sa mga personal na device, ginagamit ito Workplace Join (WPJ): Idinaragdag ng user ang kanilang account sa trabaho o paaralan bilang pangalawang account, pinapanatili ang kanilang personal na account bilang pangunahin, at nakarehistro ang device sa WPJ.

Kung sasali ang device sa isang Microsoft Entra ID, ay nakarehistro sa MDM. Sa pangkalahatan, ang isang device na may personal na account bilang pangunahing account ay itinuturing na isang personal na device at dapat na nakarehistro sa WPJ; Ang mga corporate device, sa kabilang banda, ay dapat na naka-link sa Entra ID at ibibigay sa MDM. Isang praktikal na detalye: maaaring gumanap ang karaniwang (hindi administrator) na mga user Pagpaparehistro ng MAM direkta, na pinapasimple ang pag-aampon.

Maaaring idagdag ng mga user ang kanilang Entra account mula sa isang katugmang app (halimbawa, aplikasyon ng Microsoft 365 kasalukuyan) o mula sa Mga Setting sa Account > I-access ang trabaho o paaralanAng daloy ng trabaho na ito ay tumutulong sa WIP na matukoy ang konteksto ng kumpanya upang ipatupad ang naaangkop na proteksyon sa pang-araw-araw na batayan.

Mga uri ng mga application sa ilalim ng WIP at kung paano sila kumikilos

Para protektahan ang mga app na pagmamay-ari ng user sa mga personal na device, nililimitahan ng WPJ ang pagpapatupad ng WIP sa dalawang kategorya: pinaganang mga application (may kakayahang mag-iba sa pagitan ng corporate at personal na data) at katugmang apps (na nagpapaalam sa Windows na hindi nila pinangangasiwaan ang personal na data, at samakatuwid ay mapoprotektahan ng Windows ang nilalaman ng negosyo sa kanilang ngalan).

Ang mga sumusunod na aplikasyon ay dapat magsama ng impormasyon sa pagmamarka ng proteksyon sa sarili sa kanilang mga mapagkukunan upang iyon Alam ng Windows na maaari itong maglapat ng WIP sa data ng kumpanya na kanilang pinoproseso, nang hindi naaapektuhan ang iba. Ang markang ito ay kapareho ng ipinahiwatig para sa mga desktop app at mga garantiyang a pare-parehong pag-uugali sa mga deployment ng MAM.

Ihanda ang iyong Microsoft Entra tenant para sa MAM

Ang pagpaparehistro ng MAM ay nangangailangan ng provider na i-publish ang kanilang aplikasyon sa pamamahala sa Microsoft Gallery. Karaniwan, ang parehong cloud-based na management app ay ginagamit para sa parehong MDM at MAM; kung mayroon na ito para sa MDM, dapat i-update ito gamit ang mga URL pagpaparehistro at mga tuntunin ng paggamit na partikular sa MAM.

Depende sa arkitektura ng kumpanya, maaaring mayroon isa o dalawang supplier: Kung ang MAM at MDM ay pinaglilingkuran ng parehong tao, sapat na ang isang aplikasyon ng administrasyon; kung magkaiba ang mga ito, kakailanganin nilang i-configure dalawang aplikasyon Sa Entra ID, isa para sa MAM at isa para sa MDM. Pinapanatili nitong magkahiwalay ang mga landas sa pagpapatala at pamamahagi ng patakaran sa bawat kaso.

Pagpapatala sa MAM: Protocol, Authentication, at Halimbawa

Ang pagpaparehistro ng MAM ay batay sa extension ng MAM ng protocol [MS-MDE2] at mga suporta bilang isang paraan ng pagpapatunay Microsoft Federated ID Sign InMay mga pagkakaiba kumpara sa MDM: walang MDM detection, ang APPAUTH node sa DMAcc CSP ay opsyonal at walang client authentication certificate ang ginagamit. [MS-XCEP]; sa halip, ang kliyente ay gumagamit ng a Entra token at ang mga sesyon ng pag-synchronize ay itinatag sa one-way na TLS/SSL na may pagpapatunay ng server.

Isang halimbawa ng pagbibigay ng XML para sa MAM ito ay maaaring:

<wap-provisioningdoc version="1.1">
  <characteristic type="APPLICATION">
    <parm name="APPID" value="w7" />
    <parm name="PROVIDER-ID" value="MAM SyncML Server" />
    <parm name="NAME" value="mddprov account" />
    <parm name="ADDR" value="http://localhost:88" />
    <parm name="DEFAULTENCODING" value="application/vnd.syncml.dm+xml" />
  </characteristic>
</wap-provisioningdoc>

Kung ang isang probe node ay hindi tinukoy (Pagbobotohan), gagawin ng device ang suriin tuwing 24 na oras bilang default, na nagtatakda ng bilis ng mga update sa patakaran sa mode ng pamamahala na ito.

Mga sinusuportahang CSP at Mga Patakaran sa Device Lock/EAS

Sinusuportahan ng WIP a tiyak na hanay ng mga CSP (Mga Configuration Service Provider) at hinaharangan ang natitira sa mga sitwasyon ng MAM; maaaring magbago ang listahang ito sa oras batay sa feedback ng customer, samakatuwid ay ipinapayong suriin ang kasalukuyang dokumentasyon bago i-deploy.

Tungkol sa mga kontrol sa pagharang, sinusuportahan ng MAM ang mga patakarang tulad ng MDM gamit ang lugar Patakaran sa CSP DeviceLock at ang CSP PassportForWork. Hindi inirerekomenda na pagsamahin ang mga patakaran ng EAS at MAM sa parehong device, ngunit kung mangyari ito, sinusuri ng Windows kung sumusunod ang mga patakaran ng MAM sa EAS at, kung gayon, nag-aabiso sa pagsunod upang payagan ang pag-synchronize ng mail.

Kung hindi sumunod ang device, maaaring ilapat ng EAS ang sarili nitong mga patakaran (nangangailangan mga karapatan ng administrator) at ang epektibong hanay ay magiging superset ng pareho. Kung ang isang device na may EAS ay na-enroll sa MAM sa ibang pagkakataon, ang dalawang pangkat ng patakaran ay magkakasamang mabubuhay, muli na may pinagsamang epekto.

Pag-synchronize ng patakaran at paglipat mula MAM patungong MDM

Pag-synchronize ng Patakaran ng MAM ay namodelo pagkatapos ng MDM, ngunit gumagamit ang kliyente ng mga token ng Microsoft Entra upang patotohanan ang serbisyo sa panahon ng mga siklo ng pag-synchronize. Pinapasimple ng diskarteng ito ang pag-authenticate sa gilid ng device at binabawasan ang mga dependencies ng mga sertipiko ng kliyente.

Hindi sinusuportahan ng Windows ang paglalapat ng MAM at MDM nang sabay-sabay sa parehong device. Kung pinapayagan ito ng administrator, magagawa ng mga user lumipat mula MAM patungong MDMUpang gawin ito, kailangan mong i-configure ang MDM detection URL sa CSP. DMClient; Matapos maibigay at ganap na maipatupad ang mga patakaran ng MDM, iretiro na ang mga patakaran ng MAM.

Karaniwan, ang pag-alis ng mga patakaran sa WIP mula sa device ay magdi-disable ng access ng user sa mga protektadong dokumento. bawiin (piling pagtanggal), maliban kung ang pagsasaayos EDP.RevokeOnUnenroll ay nakatakda sa false. Upang maiwasan ang pagtanggal na ito kapag lumipat mula sa MAM patungo sa MDM, dapat tiyakin ng administrator na: parehong direktiba (MAM at MDM) ay sumusuporta sa WIP, ang EDP ​​Enterprise ID ay magkapareho sa MAM at MDM, at EDP.RevokeOnMDMHandoff ay huwad.

Kapag handa na ang MAM device para sa paglipat, makikita ng user ang link "Mag-enroll sa pamamahala ng device lang" sa Mga Setting > Mga Account > Pag-access sa trabaho o paaralan. Ang pagpili nito at pagpasok ng mga kredensyal ay magbibigay-daan sa pagpaparehistro lumipat sa MDM at hindi apektado ang Microsoft account ng user.

Pamamahala ng Citrix XenMobile: Patakaran at Mga Setting ng WIP

Sa XenMobile (Citrix), WIP —dating tinatawag Enterprise Data Protection (EDP)— ay pinamamahalaan bilang patakaran sa device para sa Windows 10/11. Posibleng tukuyin ang mga application na may WIP at ang antas ng demand, na may baseng listahan ng mga karaniwang app at ang opsyong magdagdag ng mas manu-mano.

Maaaring markahan ang mga aplikasyon bilang Pinayagan (basahin, likhain at i-update ang data ng kumpanya), Tinanggihan (hindi nila ina-access ang data ng kumpanya) o Exempt (Maaari nilang basahin ang data ng kumpanya ngunit hindi ito gagawa o baguhin.) Bukod pa rito, sinusuportahan ng patakaran ang tatlong mode ng proteksyon: Tahimik (pag-audit nang walang pagharang), Palitan (nagbabala at nagpapahintulot sa pagkansela) at I-block (pinipigilan ang hindi secure na pagbabahagi), sa tabi ng opsyon Na-deaktibo.

Upang ibukod ang mga app na may mga kilalang isyu sa compatibility, nagbibigay ang Microsoft ng a AppLocker XML inirerekomenda. Kapag na-import sa XenMobile, isinasama ito sa mga setting ng desktop at store app sa loob ng patakaran na itinutulak sa device, na tumutulong na maiwasan ang mga salungatan sa totoong buhay na mga senaryo.

Mga pangunahing setting na maaaring i-configure sa XenMobile para sa WIP:

• Mga protektadong domain name: Mga domain na ginagamit ng pagkakakilanlan ng user (ang una ay gumaganap bilang pangunahing pagkakakilanlan ng negosyo). Pinaghiwalay ng "|".
• Sertipiko sa Pagbawi ng Data: DRA (EFS) certificate na ipinamahagi sa pamamagitan ng MDM para mabawi ang data mula sa mga naka-encrypt na file; mahalaga kung gusto mo i-unlock ang nilalaman sa kaso ng contingency.
• Mga pangalan ng domain ng network: mga domain ng perimeter ng kumpanya; ang trapiko sa mga domain na ito ay isinasaalang-alang protektado ng WIP.
• Mga saklaw ng IP: corporate IPv4/IPv6 saklaw; Itinuturing sila ng WIP bilang mga ligtas na destinasyon para sa magbahagi ng data.
• Ang listahan ng hanay ng IP ay may awtoridad: Kung pinagana, pinipigilan ang awtomatikong pag-detect ng IP ng Windows.
• Mga proxy server: mga papalabas na proxy para sa mga mapagkukunan ng enterprise; kailangan para ma-secure pare-parehong pag-access kapag ang kliyente ay nasa likod ng isang proxy.
• Mga panloob na proxy server: mga proxy na ginagamit upang kumonekta sa mga mapagkukunan ng ulap; ang trapiko sa pamamagitan ng mga proxy na ito ay itinuturing bilang corporate.
• Mga mapagkukunan ng ulap: Listahan ng mga mapagkukunan ng ulap na protektado ng WIP, na may opsyonal na pagtatalaga sa isang panloob na proxy.
• Bawiin ang WIP certificate sa pag-unregister: binawi o pinapanatili mga lokal na susi sa pag-encrypt sa pag-unsubscribe.
• Ipakita ang mga icon ng overlay: overlay ang icon ng WIP sa mga file ng negosyo at corporate-only na apps sa Tahanan.

Upang lumikha ng sertipiko ng pagbawi ng data (kinakailangan sa patakaran), sa server na may XenMobile console, magbukas ng command prompt sa anumang folder at patakbuhin ang:

cipher /r:ESFDRA

Hihilingin ng wizard ang isang password at bubuo ng a .cer at isang .pfx; pagkatapos, sa XenMobile console, i-import ang .cer file sa ilalim ng Mga Setting > Mga Certificate at ilapat ito sa mga Windows 10/11 na device. Kapag nakalagay ang patakaran, makikita mo Mga icon ng WIP sa mga app at file, at kung susubukan ng user na kopyahin o i-save ang protektadong nilalaman sa isang hindi protektadong lokasyon, lalabas ang mga ito mga babala o mga bloke depende sa antas ng demand.

WIP gamit ang Dropbox para sa mga koponan

Maaaring isama ang WIP sa desktop app ng Dropbox sa Windows 10 o mas bago. Pagkatapos i-set up ang iyong device, idagdag ang Dropbox sa iyong account. payagan ang listahan mula sa software sa pamamahala ng negosyo: sini-synchronize ng application ang mga naka-encrypt na file sa loob ng domain na pinamamahalaan ng WIP ng iyong organisasyon.

Ang mga bagong file na idinagdag sa mga Dropbox account mula sa mga computer na may WIP ay magiging protektado bilang defaultAng pag-sync ay normal na gumagana hangga't ang Dropbox account ay nauugnay sa isang domain na may wastong pag-access; kung ang file ay kabilang sa isang domain na hindi magagamit ng account, hindi magsi-sync. Ang pagsasamang ito ay magagamit lamang sa mga account ng koponan mula sa Dropbox.

Pagkakatugma, mga kinakailangan at praktikal na mga tala

Tandaan na ang WIP ay nalalapat sa Windows 10, bersyon 1607 o mas bago, at ang suporta nito ay isinama sa system. Sa mga personal na kapaligiran, karaniwan ito para sa gumagamit huwag irehistro ang aparato Sa MDM, ginagawa ng MAM ang pagkakaiba sa pamamagitan ng pagkontrol sa mga partikular na app at pagbibigay sa kanila ng mga patakaran nang hindi pinamamahalaan ang buong team.

Upang magdagdag ng pangalawang Microsoft work account at irehistro ang device sa WPJ, magagawa ito ng user mula sa Microsoft 365 apps o mula sa Mga Setting > Mga Account > Access sa trabaho o paaralan. Ang pagkilos na ito ay nagtatatag ng pagkakakilanlan ng korporasyon sa computer, na nagbibigay-daan sa WIP na uriin at protektahan ang trapiko, mga file, at mga operasyon nang tuluy-tuloy.

Binary marking at AppLocker halimbawa

Ang pagmamarka ng mga binary bilang Pinapayagan para sa WIP (EDP) nagsasabi sa Windows na mapoprotektahan nito ang data ng negosyo sa ngalan ng app nang hindi nakikialam sa personal na data. Ang isang halimbawa ng flag sa mga mapagkukunan ay ang ipinapakita sa itaas (EDPAUTOPROTECTIONALLOWEDAPPINFO), at maaari mo ring pamahalaan ang saklaw gamit ang mga panuntunan. Applocker sa XML.

Maaaring magmukhang ganito ang isang naglalarawang snippet ng panuntunan ng AppLocker na pinagsasama ang mga panuntunan sa editor at path, na may default na panuntunan na nagpapahintulot sa lahat, isang panuntunang tumatanggi sa WordPad, at isang panuntunang nagbibigay-daan sa Notepad:

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePathRule Name="(Default Rule) All files" Description="" UserOrGroupS Action="Allow">
    <Conditions>
      <FilePathCondition Path="*" />
    </Conditions>
  </FilePathRule>
  <FilePublisherRule Name="WORDPAD.EXE, from O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" Description="" UserOrGroupS Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="WORDPAD.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Name="NOTEPAD.EXE, from O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" Description="" UserOrGroupS Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="NOTEPAD.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>

Bagama't generic ang mga halimbawang ito, nagsisilbi itong maunawaan kung paano isama ang AppLocker sa WIP sa isang diskarte sa pagkontrol ng aplikasyon, tiyak na tinutukoy kung aling mga binary ang maaaring magproseso ng data ng kumpanya at sa ilalim ng kung anong mga kundisyon.

Nag-aalok ang WIP ng makatotohanang balanse sa pagitan seguridad at pagiging produktibo: Nagbibigay-daan sa IT na magtakda ng malinaw na mga patakaran sa paligid ng data, app, at network, iginagalang ang personal na espasyo ng user, at isinasama sa Entra ID, MDM/MAM, at mga tool tulad ng XenMobile at Dropbox. Kung kailangan mong protektahan ang impormasyon nang hindi nagpapabagal sa iyong mga team, ang kumbinasyong ito ng mga patakaran, pag-flag ng app, at nababaluktot na pangangasiwa Ito ay isang matibay na pundasyon upang magsimula.