Почему DLP не работает в Exchange: причины и решения

By Mirko Peters · 2026-04-20

Если вы попали сюда, значит, вы уже знаете, насколько сложно держать конфиденциальные данные под замком в Microsoft Exchange Online. Предотвращение утечки данных (DLP) должно быть вашей автоматической страховочной сеткой, которая перехватывает утечки ещё до того, как пользователи нажмут «Отправить». Но что делать, когда правила не срабатывают так, как должны, или DLP просто «засыпает за рулём»?

Automatically translated with AI from the original post. Read the English original

Titelbild: DLP Not Working in Exchange: Causes and Solutions

Это руководство отсекает лишнее и подводит к сути: почему политики DLP дают сбой в Exchange Online. Здесь вы найдёте то, что документация Microsoft редко излагает прямо: реальные причины сбоев DLP, упущенные нюансы лицензирования, скрытые подводные камни в Outlook и неверно понятые параметры политик. Если большинство справочных статей повторяют общие шаги, то мы разбираем детали, чтобы вы действительно закрыли утечки данных и выполнили требования комплаенса.

Независимо от того, являетесь ли вы опытным администратором Microsoft 365 или просто пытаетесь понять, почему не пропадает предупреждение «DLP mismatch», это ваше практическое руководство по устранению неполадок без лишних слов.

Почему политики DLP не работают в Exchange Online

Предотвращение утечки данных должно работать как незаметное ограждение: автоматически блокировать отправку конфиденциальных данных по электронной почте. Но слишком часто эта защита не срабатывает именно тогда, когда она нужнее всего. Прежде чем копаться в журналах или бороться с PowerShell, стоит понять основные причины, по которым DLP подводит.

Отправная точка — лицензирование. DLP — это не функция «включил и работает»: в клиенте должны быть подключены нужные планы и службы Microsoft 365. Пропустили обязательное дополнение или неверно прочитали матрицу продуктов? Это верный путь к незамеченным утечкам и скрытым сбоям.

Помимо лицензирования, создание политик DLP тоже таит ловушки. Политику можно настроить быстро, но неправильно: например, забыть ключевую группу получателей, использовать шаблон по умолчанию или не учесть особенности данных и рабочих процессов вашей организации. Даже одно неверное условие может оставить участки без защиты.

В этом разделе вы получите общее представление об этих базовых ловушках DLP: пробелах в лицензировании, технических предварительных требованиях и важных правилах «что делать и чего не делать» при создании политик. Понимание этих основ ставит вас впереди большинства администраторов и позволяет перейти к реальной диагностике, а не к догадкам.

Если вам нужен подробный обзор или другой взгляд на тему, посмотрите этот подробный материал о настройке DLP в Microsoft 365, где есть практический пошаговый подход.

Проверка лицензирования и предварительных требований для политик DLP в Microsoft 365

Убедитесь, что есть поддерживаемые лицензии Microsoft 365: DLP в Exchange Online входит не во все планы. Вам понадобятся Microsoft 365 E3, E5, A3, A5, F5 Compliance или эквивалентные отдельные лицензии. Если ваши пользователи работают на Business Premium, Essentials или других более простых планах, DLP может не работать, даже если пункты меню видны.
Проверьте, что Exchange Online Protection (EOP) включён: EOP — базовая служба для DLP в Exchange. Если входящая и исходящая почта не проходит через EOP, правила DLP не могут проверять или блокировать сообщения.
Проверьте зависимости, например Azure Information Protection: Если вы используете расширенные действия DLP (например, автоматическое шифрование сообщений или интеграцию с метками конфиденциальности), то Azure Information Protection и Microsoft Purview (ранее Centre комплаенса) должны быть настроены и иметь нужные лицензии.
Активация функций клиента (важно расположение): Некоторые функции DLP становятся доступны только тогда, когда данные почтовых ящиков размещены в нужном регионе или когда новые функции распространились после обновлений клиента.
Хранение политик и настройка коннекторов: Не забудьте о требованиях DLP в Power Platform, если в вашей организации используется обработка на основе потоков. Подробнее об этом — в этом материале для продвинутых пользователей.

Лучшие практики создания и развёртывания политик DLP

Начинайте с тестирования в небольшом масштабе: Сначала разворачивайте новые политики DLP на тестовой группе, а не на всей пользовательской базе. Это ограничивает неожиданные сбои и упрощает диагностику.
Настройте типы конфиденциальных данных под себя: Не полагайтесь только на стандартные типы Microsoft. Измените существующие или создайте новые типы информации, которые действительно соответствуют структуре данных вашей организации.
Чётко определите область действия и условия: Убедитесь, что политики нацелены на нужных получателей и рабочие нагрузки (почту, SharePoint, OneDrive), а условия составлены точно, без расплывчатости и пересечений.
Регулярно проверяйте эффективность политик: Отслеживайте срабатывания, количество переопределений и отзывы пользователей, чтобы понимать, не слишком ли строги политики, не слишком ли они слабы или попросту не попадают в цель.
Документируйте всё: Ведите учёт изменений политик, того, кто их запросил, и причин. Это критически важно, если потребуется аудит или расследование будущих инцидентов.

Хотите практический обзор развёртывания DLP? В этом выпуске подкаста рассказывается о настройке DLP, типичных ловушках и подходах, которые одновременно повышают производительность и безопасность.

Диагностика ошибок конфигурации и неподдерживаемых параметров Outlook

Многие сбои DLP связаны не с отсутствием функций, а с тем, как всё настроено, особенно когда речь идёт о разных версиях Outlook и параметрах политик. Даже при правильной лицензии одна ошибка в конфигурации может открыть брешь, в которую пройдёт грузовик.

Клиенты Outlook, в частности, создают собственные проблемы. Некоторые функции DLP отлично работают в Outlook Web App (OWA), но спотыкаются в классическом Outlook для настольных систем, особенно в старых выпусках или при нестандартных установках. Неподдерживаемые параметры и устаревшие политики часто и становятся причиной того, что одни пользователи видят применение DLP, а другие — нет.

В этом разделе разбираются ошибки конфигурации и слепые зоны на стороне клиента, с которыми рано или поздно сталкивается почти каждый ИT-администратор. Зная о них заранее, можно сэкономить часы на поиск неисправностей и взаимные обвинения и исправить DLP там, где это действительно важно, — в реальной работе.

Распространённые ошибки конфигурации, из-за которых DLP не работает

Неверные условия и логика правил: Многие сбои DLP возникают потому, что условия политики слишком широкие, слишком узкие или содержат логические ошибки. Например, сочетание «Отправитель является» и «Получатель является» так, что ни один реальный пользователь им не соответствует, или использование взаимоисключающих условий.
Неправильная область действия политики: Иногда правила DLP применяются только к небольшой части пользователей, почтовых ящиков или рабочих нагрузок, оставляя большие участки среды незащищёнными. Если в Microsoft Purview Compliance Portal не выбран пункт «Почта Exchange», политика вообще не будет проверять исходящие сообщения.
Неверные или пользовательские типы конфиденциальных данных: Пользовательские определения могут сбить работу политик, если они реализованы или протестированы неправильно. Несоответствие между определениями сущностей (например, шаблонами номеров банковских карт) и реальными данными приводит к пропущенным срабатываниям или ложным срабатываниям.
Отсутствующие или неверно настроенные действия: Такие действия, как «блокировать», «шифровать» или «уведомлять», могут быть не заданы, ссылаться на неверный шаблон или не выполняться из-за недостающих разрешений. Из-за этих пробелов политики формально существуют, но фактически не вмешиваются.
Устаревшие или пересекающиеся политики: Наложение новых правил на старые может привести к конфликтам политик, переопределениям или незаметным обходам, особенно в гибридных средах Exchange или в многорегиональных развёртываниях. Всегда проверяйте приоритет правил и то, не отключает ли новая политика действия старых.

Чтобы глубже разобраться, почему сбои управления часто восходят к неверной конфигурации, ознакомьтесь с системным анализом сбоев управления в Microsoft 365.

Неподдерживаемые конфигурации DLP в версиях Outlook

Не все функции DLP одинаково хорошо работают везде. Outlook 2013 (и даже некоторые новые классические клиенты) не поддерживают в полной мере определённые действия политик DLP, например подсказки политик в реальном времени, динамическую блокировку или мгновенные предупреждения MailTip. Функции, которые опираются на облачные или современные компоненты интерфейса, могут отсутствовать или работать нестабильно.

Если пользователи работают в разных версиях Outlook, подсказки политик часто показываются в OWA и новых выпусках Outlook, а в устаревших клиентах они работают наполовину или не видны вовсе. Аналогично, автономный режим и кэшированные параметры Exchange могут замедлять процесс оценки политик, а иногда и полностью его нарушать. Всегда проверяйте поддержку функций, прежде чем считать, что политика DLP гарантированно применяется на каждом устройстве.

Устранение неполадок с подсказками политик DLP и MailTips в Exchange Online

Политики DLP полезны только тогда, когда пользователи действительно знают, что что-то пошло не так. Подсказки политик и MailTips — это предупреждения или уведомления внутри приложения, которые побуждают пользователей пересмотреть решение об отправке, пересылке или раскрытии конфиденциальных данных. Однако такие подсказки часто не работают: иногда они не появляются вовсе или отображаются только у одних пользователей, но не у других.

Этот раздел посвящён тому, почему подсказки политик DLP пропадают (или вообще не появляются) в Outlook и Outlook Web App. По ходу дела вы увидите, какую роль играют серверные настройки Exchange и конфигурация клиентов. Повторное включение этих функций важно не только для соответствия требованиям: оно также помогает пользователям лучше понимать, что поставлено на карту, ещё до отправки рискованного сообщения.

Ниже приведено пошаговое руководство по устранению неполадок и рекомендации, которые помогут сделать предупреждения заметными именно там, где им и место.

Подсказки политик DLP не отображаются в Outlook и OWA

MailTips отключены на клиенте: пользователи могут отключить MailTips в параметрах Outlook, либо групповая политика может их отключить. Без MailTips предупреждения DLP не появятся при составлении письма.
Вызов GetDLPPolicyTip не выполняется: клиенты Outlook должны обращаться к Exchange Online, чтобы получить подсказки политик DLP. Если API-вызов «GetDLPPolicyTip» не выполняется, что часто происходит из-за блокировки брандмауэрами, параметрами прокси-сервера или автономным режимом, подсказки не запрашиваются и не отображаются.
Неподдерживаемая или устаревшая версия клиента Outlook: подсказки политик обычно требуют Outlook 2016 или более новую версию либо веб-версию (OWA). Outlook 2013 и некоторые мобильные клиенты могут не отображать их вовсе. Пользователи в устаревших или не обновлённых средах не увидят предупреждений DLP.
Для почтового ящика не включены MailTips: даже если функция включена глобально, некоторые почтовые ящики могут быть исключены из MailTips или иметь нарушенное наследование атрибутов, из-за чего подсказки, связанные с DLP, не появляются.
Медленная синхронизация и кэширование клиента: в режиме кэширования обновления политик или новые подсказки могут задерживаться, поскольку Outlook ждёт следующего цикла синхронизации. Из-за этой задержки DLP может показаться неработающим, хотя на самом деле он просто запаздывает.

Как включить и настроить MailTips для DLP в Exchange Online

Чтобы подсказки политик DLP отображались корректно, сначала убедитесь, что MailTips включены как для всего клиента, так и для конкретных почтовых ящиков. В центре администрирования Exchange перейдите в раздел MailFlow > MailTips. Проверьте, что нужные подсказки, особенно связанные с нарушениями политик, выбраны и включены.

Администраторы также могут использовать PowerShell: выполните Set-Mailbox -Identity "user" -MailTip "enabled" или проверьте организационные настройки командой Get-OrganizationConfig | fl MailTips. Тонко настройте MailTips в портале соответствия требованиям, чтобы контролировать, какие подсказки отображаются и когда. Для более подробных пошаговых инструкций подкаст о настройке DLP в Microsoft 365 содержит подробные шаги и практические стратегии.

Расширенное устранение неполадок сбоев DLP в Exchange Online

Иногда вы устраняете очевидные причины, а DLP всё равно не работает как надо. Тогда пора обратиться к расширенным инструментам: сетевым трассировкам, правкам реестра и серверной диагностике, которая идёт глубже, чем действия в центре администрирования. Здесь собраны стратегии поиска упорных, периодических или необъяснимых сбоев DLP, которые продолжают проскальзывать мимо.

Fiddler здесь незаменим: он позволяет видеть HTTP-трафик между Outlook и Exchange Online. Это помогает определить, выполняются ли служебные вызовы, например GetDLPPolicyTip, или они завершаются с незаметными ошибками. Но техническое расследование не ограничивается сетью: иногда причина находится на самом клиенте. Параметры реестра могут вызывать задержки в оценке DLP или нарушать тайминг применения политик.

Этот раздел даёт план использования профессиональных инструментов для проверки служебных вызовов, выявления ошибок связи и устранения скрытых узких мест в оценке, чтобы DLP начинал работать тогда и там, где это нужно.

Использование трассировок Fiddler для проверки вызовов GetDLPPolicyTip

Fiddler — это отладочный веб-инструмент, который перехватывает HTTP/HTTPS-трафик между клиентами Outlook и Exchange Online. Используйте его, чтобы подтвердить, что запросы «GetDLPPolicyTip» успешно отправляются при составлении письма, которое предположительно содержит конфиденциальные данные. В успешной трассировке вы увидите запросы к конечной точке Exchange Online и получите в ответ структурированные данные подсказок политик.

Если в трассировке видны пропущенные вызовы, сбои аутентификации или неожиданные HTTP-ошибки, значит, есть проблема со связью — обычно её вызывают сетевые фильтры, отсутствующие обновления клиента или «дрейф» аутентификации. Выявление таких аномалий помогает понять, где именно подсказки политик теряются по пути.

Правки реестра и задержки при оценке содержимого в DLP

Настройка ключа PolicyEvaluationDelay: Если подсказки DLP появляются слишком поздно или уже после того, как пользователь отправил сообщение, увеличьте значение параметра реестра PolicyEvaluationDelay в разделе HKEY_CURRENT_USER\Software\Microsoft\Office\<version>\Outlook\Security. Это даст Outlook дополнительное время на получение ответа DLP перед продолжением обработки.
Сброс интервалов синхронизации политик: Тонко настройте частоту обновления политик для Outlook с помощью ключа DlpPolicyRefreshInterval, который определяет, как часто локальный кэш обновляется новыми или изменёнными политиками.
Откат или удаление устаревших переопределений: Удалите неподдерживаемые или устаревшие правки реестра, оставшиеся после предыдущих попыток устранения неполадок, чтобы избежать непредсказуемого применения политик DLP.
Всегда создавайте резервную копию реестра перед изменениями: Редактирование реестра может иметь непреднамеренные последствия — создайте точки восстановления и задокументируйте текущие параметры перед внесением изменений.

Устранение проблем DLP с правилами транспорта Exchange и гибридными развёртываниями

DLP — не единственный механизм управления потоком сообщений: правила транспорта Exchange (ETR) часто работают параллельно с ним, особенно в сложных или гибридных средах. Иногда иерархия политик или конфликтующие условия между облачным DLP и локальными ETR приводят к тому, что ни одно правило не срабатывает или приоритет получает не то правило.

В гибридных развёртываниях маршрутизация почты может полностью обходить сканирование DLP, если коннекторы настроены неправильно. Учитывайте, что DLP и ETR оценивают сообщения в определённом порядке; пересекающиеся или конфликтующие правила необходимо разрешить, чтобы данные не обходили средства контроля. Подробнее о многоуровневом доверии к политикам и их совместной работе можно узнать в этом обсуждении условного доступа и доверия к политикам в гибридных средах.

Проверка применения политик DLP и обеспечение соответствия требованиям

Итак, вы настроили, протестировали и, будем надеяться, устранили проблемы DLP. Но на этом не стоит останавливаться. Убедиться, что исправления действительно работают, так же важно, как и само устранение неполадок. Начните с отслеживания отзывов пользователей и того, видят ли они теперь надлежащие предупреждения и блокировки в реальных тестовых сценариях во всех целевых почтовых ящиках.

Внимательно изучайте журналы аудита и журналы событий соответствия требованиям на предмет записей, связанных с DLP, ища закономерности в неверных данных, переопределениях политик или повторяющихся сбоях. Если в вашей политике DLP включена отчётность, используйте центр соответствия требованиям Microsoft 365, чтобы просмотреть, какие сообщения были помечены, заблокированы или пропущены.

Не полагайтесь только на принцип «отсутствие новостей — хорошие новости». Свяжитесь с представителями бизнеса, проводите учения по имитации утечки данных и следите как за техническими сбоями, так и за обходными путями, которые придумывают люди. Интеграция стратегии на уровне среды, о которой говорится в таких руководствах, как этот выпуск о адаптивной безопасности DLP, позволяет выявить скрытые риски, которые одни только инструменты могут пропустить.

Наконец, помните, что влияние DLP выходит за рамки журналов и всплывающих подсказок. Политики эффективны ровно настолько, насколько пользователи готовы их уважать и соблюдать. Сочетайте техническом мониторинг с регулярными обучающими занятиями и внутренними коммуникациями, чтобы вопросы соответствия требованиям всегда оставались на первом плане. Более глубокое обсуждение реального поведения пользователей в сравнении с панелями соответствия требованиям см. в этом разборе дрейфа соответствия требованиям в Microsoft 365.

Заключение и регулярный контрольный список соответствия требованиям для DLP в Microsoft 365

Регулярно проверяйте область действия политик и лицензирование: Перепроверяйте новых сотрудников и перемещения почтовых ящиков, чтобы правила DLP всегда охватывали нужных пользователей и рабочие нагрузки.
Контролируйте эффективность политик: Используйте журналы аудита, отслеживание подсказок и прямую обратную связь от пользователей, чтобы постоянно проверять, работают ли функции блокировки, предупреждения и мониторинга так, как задумано.
Обновляйте и документируйте изменения конфигурации: Фиксируйте каждое изменение, связанное с DLP, чтобы всегда быть готовыми к аудиту, предотвращать пробелы, вызванные сменой сотрудников, и упрощать будущее устранение неполадок.
Проводите регулярное обучение и информирование: ротируйте курсы по соблюдению требований, отправляйте напоминания и персонализируйте содержание подсказок, чтобы снизить «усталость от оповещений» и отказы сотрудников от подсказок.
Координируйте работу между командами: поощряйте взаимодействие специалистов по безопасности, HR и юристов в циклах проверки политик DLP и при реагировании на инциденты с использованием таких инструментов, как Microsoft Purview, — см. рекомендации по управлению документами и соблюдению требований здесь.

Регулярные проверки — как технические, так и организационные — критически важны для того, чтобы ваши политики DLP оставались актуальными и надёжными по мере развития Microsoft 365. Оставайтесь бдительными, оставайтесь в безопасности и никогда не предполагайте, что история вашего соответствия требованиям напишется сама собой.