本文解释了如何为您的账户配置 Microsoft SharePoint 连接器的应用 & 数据 API 保护策略，并为数据保护策略创建一个 SharePoint 规则
应用程序和数据 API 保护 政策需要单独从 Cato 获取许可证。 有关更多信息，请联系您的 Cato 代表或官方经销商。
注意：
请联系SaaSecAPI@catonetworks.com或您的官方Cato经销商，了解更多关于使用应用和数据API保护访问权限策略的信息。
Microsoft连接器概述
为 Microsoft 365 和 SharePoint SaaS 应用创建连接器。
每个 Microsoft SharePoint 应用程序和 Azure 租户（根据 365 应用）都受 Microsoft 的速率限制。 欲了解更多信息，请参阅Microsoft文档。
Prerequisites
Microsoft 365 连接器需要具有全局管理员角色的管理员为 数据保护 API 授予权限
SharePoint API 连接器所需的权限
为了使数据保护 API扫描 SharePoint 文件和文件夹的资产和内容，连接器为 Cato 提供 SharePoint 应用程序的以下权限和操作：
使用 Oauth2 授予对应用的访问权限
从应用接收令牌以建立和维持安全连接
连接到 Microsoft API 并根据数据保护 API数据保护策略获取数据并扫描文件，包括：
读取所有站点集合中的项目和文件
登录并读取用户的完整个人资料
在所有站点集合中编写文件（即将推出）
使用 Microsoft SharePoint API 连接器
本节说明如何为 Microsoft 365 和 SharePoint 创建 API 连接器，并将它们连接到您的 Cato 账户。
了解 Microsoft SharePoint 的 API 连接器
为了使数据保护 API能够扫描 Microsoft SharePoint 的资产和内容，首先需要将 Microsoft 365 连接器配置为父应用程序，以便为 SharePoint 连接器提供读取权限。 父应用程序仅具有管理Microsoft连接器的权限。 之后，如有必要，您可以为每个 Azure 租户创建单独的 Microsoft 365 连接器。
步骤1：创建Microsoft 365连接器
使用Cato管理应用程序为Azure租户创建Microsoft SharePoint应用程序的Microsoft 365 SaaS应用连接器，以使用数据保护API进行扫描。 为了将Microsoft SharePoint应用添加到您的Cato账户，您必须拥有正确的凭据进行身份验证。
首先，将MS租户集成配置为父连接器。 该连接器可用于所有Microsoft集成。 如果您已创建父连接器，请进入步骤2。
创建Microsoft 365父连接器：
从导航菜单中选择 资源 > 集成 并点击 集成应用程序 标签。
单击 新建。 新连接器 面板打开。
在 新连接器 面板中，选择 MS租户（配置一个新的MS租户） 应用程序。
点击授权并保存。
打开新的浏览器标签到Microsoft 365应用。
在新的浏览器标签中，对Microsoft 365应用程序进行认证：
选择用于Microsoft 365应用程序的Microsoft账户。
否则，可能会发生Microsoft认证错误。
输入应用程序的密码并批准它。
接受 权限以允许Cato访问Microsoft 365应用程序。
屏幕显示您已成功应用应用的权限。
您可以关闭浏览器标签返回到Cato管理应用程序。
Microsoft 365 SaaS应用程序已添加到 集成应用程序 标签。
步骤2: 创建Microsoft SharePoint连接器
Microsoft SharePoint连接器允许Cato SaaS API引擎扫描数据保护策略中您定义的内容的电子邮件。
注意：
当您为Microsoft 365应用创建API连接器时，该连接器会创建一个有效期为3个月的认证证书，并在到期前7天更新证书。
创建Microsoft SharePoint连接器：
从导航菜单中选择 资源 > 集成，然后点击集成 API 标签页。
新建集成 面板打开。 新连接器 面板打开。
在SaaS应用程序中，选择Microsoft SharePoint。
在连接器租户中，选择您在上一部分中创建的父Microsoft 365连接器。
输入 连接器名称。
在权限中，选择读/写。
单击 保存。 Cato连接器应用程序已创建。 这可能需要长达30秒。
点击授权以授权创建连接器。
在新的浏览器标签页中，认证SharePoint应用程序。
选择SharePoint应用程序的Microsoft账户。
输入应用的密码并批准。
接受权限以允许Cato访问应用程序。
屏幕显示您已成功为应用程序申请权限。
您可以关闭浏览器标签返回到Cato管理应用程序。
Microsoft SharePoint可能需要几秒钟来处理请求，所以如果收到错误，请刷新浏览器。
SharePoint SaaS 应用程序已添加到集成 API标签页。
了解连接器状态
连接器设置屏幕上的 状态 列显示 Microsoft 应用程序与您的 Cato 账户之间连接的状态。 以下是状态的解释：
已连接 - 您的账户已连接到应用并正常工作
连接警告 - Azure 租户中的某些用户没有正确配置以支持 数据保护 API（例如，用户未定义电子邮件地址）。 请打开与支持的票据。
连接错误 - Microsoft连接器存在连接性或权限问题，或限流（Microsoft限制）。 请打开与支持的票据。
将 SharePoint 规则添加到数据保护政策
本节说明如何使用数据保护策略监控和管理用户对SharePoint文件执行的操作。 例如，共享文件、创建新文件、上传等。
有关DLP内容配置文件的更多信息，请参阅创建DLP内容配置文件。
理解 SharePoint 操作
当您创建数据保护规则时，可定义不同的操作来监控或补救策略违规情况。 每个操作自动生成事件，您也可以选择接收电子邮件通知。 有关数据保护 API事件的更多信息，请参见分析数据保护 API事件。
您可以为数据保护引擎设置以下动作以便在规则匹配时执行：
监控 - 生成事件以便您监控与规则匹配的流量。
隔离 - 当用户尝试上传文件时，数据保护API引擎会将其移至隔离文件夹，之后用户将无法再访问。 SharePoint管理员可以访问隔离文件夹中的文件。 For information about configuring quarantine folders, see below Preparing for File Quarantine.
准备文件隔离
为数据保护和威胁防护规则配置隔离文件夹，并定义具有访问文件夹权限的SharePoint管理员。 您可以为租户的每位SharePoint管理员配置隔离文件夹。 配置文件夹后，您可以创建包含隔离操作的规则，并定义文件移动到的文件夹。
为SharePoint管理员配置隔离文件夹：
从导航窗格中，选择安全性 > 应用 & 数据 API 保护，然后选择设置选项卡。
新建集成 面板打开。 隔离文件夹 面板打开。
选择SharePoint应用连接器。
选择SharePoint管理员以访问这些隔离文件夹。
单击 保存。
为管理员创建一个数据保护文件夹和一个威胁预防文件夹，并可以在规则中配置隔离操作。 文件夹以管理员的电子邮件地址命名，并位于以下的 SharePoint 目录中：
数据保护文件夹：Cato_Qarantine/Cato_Qarantine_DataProtection
威胁预防文件夹：Cato_Qarantine/Cato_Qarantine_ThreatPrevention
配置 SharePoint 规则
使用数据保护页面在您的数据保护策略中添加 SaaS 应用程序规则。
创建数据保护规则以定义由数据保护 API扫描的流量。 为每个 SaaS 应用连接器创建单独的规则，然后定义哪些流量将被扫描的标准。
扫描的文件还包括与 SharePoint 共享的 Teams 和 OneNote 文件。
For more information about the SharePoint rule settings, see below Understanding the SharePoint Rules.
要为 SharePoint 应用创建新的数据保护规则：
从导航窗格中，选择安全性>应用与数据API保护，然后选择或展开数据保护。
新建集成 面板打开。 新建规则 窗格打开。
在应用连接器中，选择 SharePoint 应用。
在 常规 部分中，输入规则的设置。
在所有者中，选择一个或多个 SharePoint 文件所有者（默认值是任何）。
当您选择多个所有者时，它们之间存在“或”关系。
在共享选项中选择一个或多个文件权限类型（默认值为任意）。
当您选择多个选项时，它们之间存在“或”关系。
在附件中，定义指定要扫描的文件的条件（默认设置是扫描所有文件）。
在内容配置文件中，为此规则选择DLP内容配置文件。
有关DLP内容配置文件的更多信息，请参阅创建DLP内容配置文件。
选择一个 操作。
对于隔离操作，请选择一个隔离文件夹路径。 有关隔离文件夹的更多信息，请参见准备文件隔离。
（可选） 配置跟踪选项以生成 事件 并发送通知。
有关通知的更多信息，请参阅在警报部分中关于订阅组、邮件列表和警报集成的相关文章。
单击 保存。 该规则已添加到数据保护政策中。
理解 SharePoint 规则
本部分解释如何为数据保护规则定义设置，以扫描正确的SharePoint流量。 每个规则可以根据以下标准定义：
所有者 - 相关SharePoint目录的个别站点或Azure用户类型（默认值为任意）
共享选项 - 选择与此规则匹配的文件共享权限类型（默认值为任何）
例如，要监控与任何外部用户共享的文件，选择外部链接。
附件 - 扫描的附件标准（默认值为所有附件）
文件类型
文件名称
文件大小（最大文件大小为100 MB）
内容配置文件 - 定义数据泄露防护内容检测的内容配置文件（安全 > DLP 配置文件 > 内容配置文件）
操作 - 选择是否要在规则匹配时生成事件
定义规则的文件或附件
您可以为规则定义特定文件（或附件），并限制 SaaS API 引擎仅扫描指定文件以查看它们是否匹配 DLP 内容配置文件。
当您向规则添加多个文件时，选择它们之间的关系：
满足任一条件（或） - 符合规则中的任何文件类型
全部满足（与） - 与规则中的所有文件类型匹配（否则，规则被忽略）
您可以在规则中使用文件名称设置来定义确切的文件名称，或使用通配符定义关键词。 例如，您可以将文件名称定义为 内部，以匹配所有包含单词 内部 的文件名称。
使用有序数据保护规则
数据保护 API引擎顺序检查数据，并查看是否符合规则。 如果数据不符合规则，则不会检查。 在规则库顶部的规则具有更高优先级，并在规则库中的较低规则之前应用。 每种类型的应用程序或连接器仅应用于数据一次。
最佳实践 - 为了最大化规则库的效率，我们建议对于每种连接器类型，对特定用户的规则应具有比应用于任何用户的规则更高的优先级。
例如，如果数据符合规则 #2 中的连接器，则数据将由数据保护 API引擎检查。 引擎不会继续对同一连接器应用规则 #3 及以下。 但是，数据可能符合具有不同连接器的较低优先级规则。
添加威胁保护到连接器
您可以为连接器创建威胁防护规则，使用已启用对于您账户的反恶意软件和下一代反恶意软件引擎来扫描文件和附件中的恶意软件和病毒。 数据保护 API 引擎扫描连接器流量，并应用您为规则配置的操作和跟踪选项：
监控流量（很快将支持阻止）
生成事件
发送电子邮件通知
当您创建应用程序及数据 API 防护规则时，已启用的用于您的账户的反恶意软件引擎（安全 > 反恶意软件）会对发送给该连接器应用程序的文件执行恶意软件扫描。
以下截图显示了用于 OneDrive 连接器的威胁防护规则，扫描由内部用户或访客发送的文件：
为文件创建异常
有时，Cato 的 数据保护 API 引擎阻止了您知道是安全的文件，您需要在网络中允许它。 文件哈希值策略中的反恶意软件例外也适用于 应用 & 数据API保护。 有关将文件添加到文件哈希策略的更多信息，请参阅 管理反恶意软件例外。
分析 数据保护 API 事件
主页 > 事件页显示了您账户的所有 数据保护 API 事件。 强大的搜索工具可以让您深入挖掘并识别包含您所需相关数据的少量事件。
数据保护 API 事件可以通过以下字段识别：
事件类型 - 安全性
子类型 - SaaS 安全 API 数据保护和 SaaS 安全 API 反恶意软件
您可以在这里了解有关使用事件页面的更多信息。
解释 数据保护 API 事件字段
字段名称 | 说明 |
|---|---|
协作者 | 收到文件的用户的电子邮件地址 |
连接器名称 | 规则中定义的连接器的名称 |
连接类型 | 为该连接器定义的 SaaS 应用程序 |
DLP配置文件 | 生成此事件的 DLP 内容配置文件 |
文件名称 | 附加文件的名称 |
匹配的数据类型 | 在内容配置文件中符合规则的数据类型 |
父连接类型 | 父 Microsoft 365 连接器 |
规则 | 在数据保护策略中的规则名称 |
所有者 | 文件所有者 |
严重程度 | 已定义规则的严重程度 |
共享范围 | SharePoint文件的共享选项 |