Gerenciamento de direitos de informação em Exchange Server
Todos os dias, as pessoas usam email para trocar informações confidenciais, como informações confidenciais ou relatórios. Como o email está acessível de praticamente qualquer lugar, as caixas de correio se transformaram em repositórios que contêm grandes quantidades de informações potencialmente confidenciais. Como resultado, o vazamento de informações pode ser uma séria ameaça para as organizações. Para ajudar a evitar o vazamento de informações, Exchange Server inclui recursos do IRM (Information Rights Management), que fornecem proteção on-line e offline persistente para mensagens de email e anexos. Esses recursos IRM são basicamente inalterados em relação ao Exchange 2013.
O que é o vazamento de informações?
O vazamento de informações é a divulgação de informações confidenciais para usuários não autorizados. O vazamento de informações pode ser caro para uma organização e pode ter um amplo impacto nos negócios, funcionários, clientes e parceiros da organização. Para evitar violar quaisquer regulamentos aplicáveis, as organizações precisam se proteger contra vazamentos de informações acidentais ou intencionais.
Estas são algumas consequências que podem resultar do vazamento de informações:
Danos financeiros: a organização pode incorrer em perda de negócios, multas ou cobertura negativa da mídia.
Danos à imagem e à credibilidade: mensagens de email vazadas podem potencialmente ser uma fonte de constrangimento para o remetente e a organização.
Perda de vantagem competitiva: esta é uma das consequências mais graves. A divulgação de negócios estratégicos ou planos de fusão e aquisição pode levar a perdas de receita ou capitalização de mercado para a organização. Outras ameaças à vantagem competitiva incluem a perda de informações de pesquisa, dados analíticos e outras propriedades intelectuais.
Soluções tradicionais para vazamento de informações
Embora as soluções tradicionais para o vazamento de informações possam proteger o acesso inicial aos dados, elas geralmente não fornecem proteção constante. Esta tabela descreve algumas soluções tradicionais para o vazamento de informações.
| Solução | Descrição | Limitações |
|---|---|---|
| Segurança da Camada de Transporte (TLS) | O TLS é um protocolo padrão da Internet usado para criptografar comunicações de rede. Em um ambiente de mensagens, o TLS é usado para criptografar comunicações de servidor/servidor e cliente/servidor. Por padrão, o Exchange usa o TLS para todas as transferências de mensagens internas. O TLS oportunista também está habilitado por padrão para sessões SMTP com hosts externos (a criptografia TLS é tentada primeiro, mas se não estiver disponível, a comunicação não criptografada será permitida). Você também pode configurar a segurança de domínio para impor o TLS mútuo com organizações externas. |
O TLS protege apenas a sessão SMTP entre dois hosts SMTP. Em outras palavras, o TLS protege as informações em movimento e não fornece proteção no nível da mensagem ou para informações em repouso. A menos que as mensagens sejam criptografadas usando outro método, as mensagens nas caixas de correio do remetente e do destinatário permanecem desprotegidas. Para email enviado fora da organização, você pode exigir TLS somente para o primeiro salto. Depois que um host SMTP remoto recebe a mensagem, ela pode retransmiti-la para outro host SMTP em uma sessão não criptografada. Como o TLS é uma tecnologia de camada de transporte usada no fluxo de email, ele não pode fornecer controle sobre o que o destinatário faz com a mensagem. |
| Criptografia de mensagens | Os usuários podem usar tecnologias como S/MIME para criptografar mensagens. | Os usuários decidem se uma mensagem é criptografada. Há custos adicionais de uma implantação de PKI (infraestrutura de chave pública), com a sobrecarga que acompanha o gerenciamento de certificados para usuários e a proteção de chaves privadas. Depois que uma mensagem é descriptografada, não há controle sobre o que o destinatário pode fazer com as informações. As informações descriptografadas podem ser copiadas, impressas ou encaminhadas. Por padrão, os anexos salvos não são protegidos. Os servidores de mensagens não podem abrir e inspecionar mensagens criptografadas pelo S/MIME. Portanto, os servidores de mensagens não podem impor políticas de mensagens, verificar mensagens em busca de vírus ou tomar outras ações que exijam acesso ao conteúdo nas mensagens. |
Finalmente, as soluções tradicionais geralmente não têm as ferramentas de imposição que aplicam as políticas de mensagens uniformes para evitar o vazamento de informações. Por exemplo, um usuário marca uma mensagem com o Company Confidential e o Não Encaminhar. Depois que a mensagem é entregue ao destinatário, o remetente ou a organização não têm mais controle sobre a mensagem. O destinatário pode encaminhar intencionalmente ou acidentalmente a mensagem (usando recursos como regras de encaminhamento automático) para contas de email externas, o que submete sua organização a riscos substanciais de vazamento de informações.
IRM no Exchange
O IRM no Exchange ajuda a evitar o vazamento de informações oferecendo esses recursos:
Evitar que um destinatário autorizado de conteúdo protegido por IRM encaminhe, modifique, imprima, envie por fax, salve ou copie-e-cole o conteúdo.
Proteger os formatos de arquivos anexos suportados com o mesmo nível de proteção da mensagem.
Suportar a expiração das mensagens e anexos protegidos por IRM, para que eles não possam mais ser exibidos após o período especificado.
Impedir que o conteúdo protegido por IRM seja copiado usando a Ferramenta de Snipping inWindows.
No entanto, o IRM no Exchange não pode impedir a divulgação de informações usando estes métodos:
Programas de captura de tela de terceiros.
Fotografar conteúdo protegido por IRM exibido na tela.
Os usuários se lembram ou transcrevem manualmente as informações.
O IRM usa o AD RMS (Active Directory Rights Management Services), uma tecnologia de proteção de informações no Windows Server que usa certificados e licenças baseados em XrML (linguagem de marcação de direitos extensíveis) para certificar computadores e usuários e proteger o conteúdo. Quando um documento ou mensagem é protegido usando o AD RMS, uma licença XrML que contém os direitos que os usuários autorizados têm ao conteúdo é anexada. Para acessar o conteúdo protegido pelo IRM, os aplicativos habilitados para AD RMS devem obter uma licença de uso para o usuário autorizado do servidor AD RMS. Aplicativos do Office, como Word, Excel, PowerPoint e Outlook, são habilitados para RMS e podem ser usados para criar e consumir conteúdo protegido.
Observação
O Agente Prelicense do Exchange anexa uma licença de uso a mensagens protegidas pelo servidor AD RMS em sua organização. Para obter mais informações, confira a seção Prelicensing mais tarde neste tópico.
Para saber mais sobre os Serviços de Gerenciamento de Direitos do Active Directory, consulte Active Directory Rights Management Services.
Modelos de política de direitos dos Serviços de Gerenciamento de Direitos do Active Directory
Os servidores do AD RMS fornecem um serviço Web que é usado para enumerar e adquirir os modelos de política de direitos baseados em XrML que você usa para aplicar proteção IRM às mensagens. Ao aplicar o modelo de política de direitos apropriado, você pode controlar se um destinatário tem permissão para responder, responder a todos, encaminhar, extrair informações de, salvar ou imprimir a mensagem.
Por padrão, o Exchange envia o modelo Não Encaminhar . Quando esse modelo é aplicado a uma mensagem, somente os destinatários endereçados na mensagem podem descriptografar a mensagem. Os destinatários não podem encaminhar a mensagem, copiar conteúdo dela ou imprimi-la. Você pode criar modelos RMS adicionais nos servidores do AD RMS em sua organização para atender aos seus requisitos.
Para mais informações sobre modelos de políticas de direitos, consulte Considerações sobre Modelos de Políticas do AD RMS.
Para mais informações sobre criar modelos de políticas de direitos do AD RMS, consulte Guia Passo a Passo Criando e Implantando Modelos de Políticas de Direitos do Active Directory Rights Management Services.
Aplicar proteção IRM a mensagens
Por padrão, uma organização do Exchange está habilitada para IRM, mas para aplicar a proteção IRM às mensagens, você precisa usar um ou mais desses métodos:
Manualmente por usuários no Outlook: os usuários podem proteger mensagens de IRM no Outlook usando os modelos de política de direitos do AD RMS que estão disponíveis para eles. Esse processo usa a funcionalidade IRM no Outlook, não no Exchange. Para obter mais informações sobre como usar o IRM no Outlook, consulte Introdução ao uso do IRM para mensagens de email.
Manualmente por usuários em Outlook na Web: quando um administrador habilita o IRM em Outlook na Web (anteriormente conhecido como Outlook Web App), os usuários podem proteger mensagens de IRM que enviam e exibir mensagens protegidas pelo IRM que recebem. Para obter mais informações sobre o IRM em Outlook na Web, consulte Noções básicas sobre IRM em Outlook Web App.
Manualmente pelos usuários no Exchange ActiveSync: quando um administrador habilita o IRM em Exchange ActiveSync os usuários podem exibir, responder, encaminhar e criar mensagens protegidas por IRM em dispositivos ActiveSync. Para obter mais informações, consulte Noções básicas sobre o Gerenciamento de Direitos de Informação em Exchange ActiveSync.
Automaticamente no Outlook: os administradores podem criar regras de proteção do Outlook para proteger automaticamente mensagens de proteção de IRM. As regras de proteção do Outlook são implantadas automaticamente em clientes do Outlook e a proteção IRM é aplicada pelo Outlook quando o usuário está compondo uma mensagem. Para obter mais informações, consulte Regras de Proteção do Outlook.
Automaticamente em servidores de caixa de correio: os administradores podem criar regras de fluxo de email (também conhecidas como regras de transporte) para proteger automaticamente mensagens de proteção de IRM que correspondam às condições especificadas. Para mais informações, consulte Understanding Transport Protection Rules.
Observação
A proteção de IRM não é aplicada novamente a mensagens que já estão protegidas por IRM. Por exemplo, se um IRM de usuário proteger uma mensagem no Outlook ou Outlook na Web, uma regra de proteção de transporte não aplicará proteção IRM à mesma mensagem.
Cenários para proteção de IRM
Esta tabela descreve os cenários para o envio de mensagens e se a proteção de IRM está disponível.
| Cenário | Há suporte para o envio de mensagens IRM-Protected? | Requisitos |
|---|---|---|
| Enviar mensagens dentro da mesma organização local do Exchange | Sim | Para obter os requisitos, consulte a seção Requisitos de IRM posteriormente neste tópico. |
| Enviando mensagens entre diferentes florestas do Active Directory em uma organização local. | Sim | Para obter os requisitos, consulte Configurando o AD RMS para integrar com Exchange Server 2010 em várias florestas. |
| Enviar mensagens entre uma organização local do Exchange e uma organização do Microsoft 365 ou Office 365 em uma implantação híbrida. | Sim | Para obter mais informações, consulte IRM em implantações híbridas do Exchange. |
| Enviar mensagens para destinatários externos | Não | O Exchange não inclui uma solução para enviar mensagens protegidas por IRM para destinatários externos em organizações não federadas. Para criar uma confiança federada entre duas florestas do Active Directory usando Serviços de Federação do Active Directory (AD FS) (AD FS), consulte Noções básicas sobre políticas de confiança do AD RMS. |
Descriptografar mensagens protegidas por IRM para impor políticas de mensagens
Para impor políticas de mensagens e para conformidade regulatória, o Exchange precisa de acesso ao conteúdo de mensagens criptografadas. Para atender aos requisitos de descoberta eletrônica devido a litígios, auditorias regulatórias ou investigações internas, um auditor designado também deve ser capaz de pesquisar mensagens criptografadas. Para ajudar nessas tarefas, o Exchange inclui os seguintes recursos de descriptografia:
Descriptografia de transporte: permite o acesso ao conteúdo da mensagem pelos agentes de transporte instalados nos servidores do Exchange. Para obter mais informações, consulte Noções básicas sobre descriptografia de transporte.
Descriptografia de relatório de diário: permite que o diário padrão ou premium salve uma cópia de texto claro de mensagens protegidas por IRM em relatórios de diários. Para obter mais informações, consulte Habilitar descriptografia de relatório de diário.
Descriptografia IRM para Pesquisa de Exchange: permite que o Exchange Search indexe o conteúdo em mensagens protegidas por IRM. Quando um gerenciador de descobertas executa uma pesquisa de descoberta eletrônica In-Place, as mensagens protegidas por IRM que foram indexadas são retornadas nos resultados da pesquisa. Para obter mais informações, consulte Configurar o IRM para descoberta eletrônica In-loco e de pesquisa do Exchange.
Para habilitar esses recursos de descriptografia, você precisa adicionar a caixa de correio Federação (uma caixa de correio do sistema criada pelo Exchange) ao grupo Super Users no servidor AD RMS. Para obter instruções, consulte Adicionar a caixa de correio de federação ao Grupo de Super Usuários do AD RMS.
Pré-licenciamento
Para permitir que usuários autorizados exibam mensagens e anexos protegidos por IRM, o Exchange anexa automaticamente uma prelicense às mensagens protegidas. Isso impede que o cliente façam viagens repetidas ao servidor AD RMS para recuperar uma licença de uso e permite a exibição offline de mensagens protegidas por IRM. O pré-licenciamento também permite que os usuários exibam mensagens protegidas por IRM em Outlook na Web. Quando você ativa recursos do IRM, o pré-licenciamento é ativado por padrão.
Agentes IRM
Os recursos do IRM usam os agentes de transporte internos que existem no serviço de transporte em servidores de caixa de correio. A maioria dos agentes de transporte internos é invisível e incontrolável pelos cmdlets de gerenciamento do agente de transporte no Shell de Gerenciamento do Exchange (*-TransportAgent).
Os agentes de transporte internos associados ao IRM são descritos nesta tabela:
| Nome do Agente | Gerenciável? | Evento SMTP ou categorizador | Descrição |
|---|---|---|---|
| Agente de Descriptografia do Relatório diário | Não | OnCategorizedMessage | Fornece uma cópia de texto claro das mensagens protegidas pelo IRM que são anexadas a relatórios de diários. |
| Agente Prelicense | Não | OnRoutedMessage | Anexa uma prelicense a mensagens protegidas por IRM. |
| Agente de Descriptografia do RMS | Não | OnSubmittedMessage, | Descriptografa mensagens protegidas pelo IRM para permitir o acesso ao conteúdo da mensagem por agentes de transporte. |
| Agente de Criptografia RMS | Não | OnRoutedMessage | Aplica a proteção do IRM às mensagens sinalizadas pelo agente de transporte e criptografa novamente as mensagens de descriptografadas de transporte. |
| Agente de Descriptografia de Protocolo RMS | Não | Onendofdata | Descriptografa mensagens protegidas pelo IRM para permitir o acesso ao conteúdo da mensagem por agentes de transporte. |
| Agente de Regra de Transporte | Sim | OnRoutedMessage | Sinaliza mensagens que correspondem às condições em uma regra de proteção de transporte para serem protegidas por IRM pelo agente de criptografia RMS. |
Para obter mais informações sobre agentes de transporte, consulte Agentes de Transporte em Exchange Server.
Requisitos de IRM
Por padrão, uma organização do Exchange está habilitada para IRM. Para realmente implementar o IRM em sua organização Exchange Server, sua implantação deve atender aos requisitos descritos nesta tabela.
| Servidor | Requisitos |
|---|---|
| Cluster do AD RMS |
Cluster do AD RMS é o termo usado para qualquer implantação do AD RMS, incluindo um único servidor AD RMS. O AD RMS é um serviço Web, portanto, você não precisa configurar um cluster de failover do Windows Server. Para alta disponibilidade e balanceamento de carga, você pode implantar vários servidores do AD RMS no cluster e usar o NLB (balanceamento de carga de rede). Ponto de conexão de serviço: aplicativos com reconhecimento do AD RMS, como o Exchange, usam o ponto de conexão de serviço registrado no Active Directory para descobrir um cluster do AD RMS e URLs. Há apenas um ponto de conexão de serviço para o AD RMS em uma floresta do Active Directory. Você pode registrar o ponto de conexão de serviço durante a Instalação do AD RMS ou após a conclusão da instalação.
Permissões: as permissões de leitura e execução para o pipeline de certificação do servidor do AD RMS (o
Super usuários do AD RMS: para habilitar a descriptografia de transporte, a descriptografia de relatório de diário, o IRM em Outlook na Web e a descriptografia IRM para o Exchange Search, você precisa adicionar a caixa de correio Federação ao grupo Super Users no servidor AD RMS. Para detalhes, consulte Adicionar a caixa de correio de Federação ao grupo de usuários do AD RMS Super. |
| Exchange | O Exchange 2010 ou posterior é necessário. Em um ambiente de produção, não é possível instalar o AD RMS e o Exchange no mesmo servidor. |
| Outlook | Modelos do AD RMS para proteger mensagens estão disponíveis no Outlook 2007 ou posterior. As regras de proteção do Outlook no Exchange exigem o Outlook 2010 ou posterior. |
| Exchange ActiveSync | O IRM está disponível em aplicativos móveis e dispositivos que dão suporte a Exchange ActiveSync protocolo versão 14.1 ou posterior e a marca RightsManagementInformation incluída (ambas introduzidas no Exchange 2010 Service Pack 1). Usuários com dispositivos com suporte podem usar o ActiveSync para exibir, responder, encaminhar e criar mensagens protegidas por IRM sem se conectar a um computador para ativar o dispositivo para IRM. Para obter mais informações, consulte Noções básicas sobre o Gerenciamento de Direitos de Informação em Exchange ActiveSync. |
Os recursos do Exchange IRM dão suporte a formatos de arquivo do Office. Você pode estender a proteção IRM a outros formatos de arquivo implantando protetores personalizados. Para obter mais informações sobre protetores personalizados, pesquise Proteção de Informações e parceiros de controle na página provedores de soluções da Microsoft.
Configurar e testar o IRM
Você usa o Shell de Gerenciamento do Exchange para configurar recursos de IRM no Exchange. Para procedimentos, consulte Gerenciando a Proteção de Direitos.
Depois de instalar e configurar um servidor da Caixa de Correio, você pode usar o cmdlet Test-IRMConfiguration para executar testes de ponta a ponta da implantação do IRM. O cmdlet executa estes testes:
Inspeciona a configuração do IRM para sua organização do Exchange.
Examina o servidor do AD RMS para obter informações de versão e hotfix.
Verifica se um servidor do Exchange pode ser ativado por RMS, recuperando Certificados de Contas de Direitos (RAC) e um certificado de licenciante do cliente.
Adquire modelos de política de direitos do AD RMS do servidor do AD RMS.
Verifica se o remetente especificado pode enviar mensagens protegidas com IRM.
Recupera uma licença de uso do Super Usuário para o destinatário especificado.
Adquire uma pré-licença para o destinatário especificado.
Para obter mais informações, consulte Test-IRMConfiguration.
Estenda o Gerenciamento de Direitos com o conector Rights Management.
O conector do Azure Rights Management (conector RMS) é um aplicativo opcional que aprimora a proteção de dados para seu servidor exchange empregando o serviço Azure Rights Management (Azure RMS) baseado em nuvem. Depois de instalar o conector RMS, ele fornece proteção de dados contínua durante o tempo de vida das informações. E, como esses serviços são personalizáveis, você pode definir o nível de proteção necessário. Por exemplo, você pode limitar o acesso de mensagens de email a usuários específicos ou definir direitos somente exibição para determinadas mensagens.
Para saber mais sobre o conector do RMS e como instalá-lo, confira Implantando o conector do Azure Rights Management.