Microsoft Purview的限制：E5升级无法解决的问题

2025年3月，MIND and Enterprise Strategy Group对100名美国安全和IT决策者进行的调查显示，MIND and Enterprise Strategy Group发现94%至少运行两种DLP工具，平均运行超过三种。

当以Microsoft为主的中型团队询问为何需要第二个DLP工具时，通常的回答是升级到E5并进行整合。然而，升级并未实现这一点。推动团队使用第二个工具的Microsoft Purview限制，如本地数据库、Linux端点和非Microsoft SaaS，均不在E5的变更范围内。

Microsoft在数十个独立页面中记录了这些边界，这就是为什么覆盖图很少能经受住许可数据表的考验。不过，只要仔细阅读，同样的形状会不断重复出现。

覆盖范围因存储库、端点类别、SaaS 应用以及合规程序实际需要的审计证据年限而异。

为何在续订讨论前Purview的限制很重要

续订对话回答的问题比安全或合规负责人实际提出的问题更狭窄，由此产生三种后果。

升级解决了许可问题

当一个以Microsoft为主的团队询问为什么Purview没有阻止某些事情时，反射性的回答是升级到下一个许可证等级。这个回答并不错误，因为E5确实增加了实际能力，但它把“E5包含什么”和“环境需要覆盖什么”当作同一个问题，而实际上并非如此。团队可以接受升级并支付一年的费用，但仍然暴露在签约前相同的本地数据库或相同的Linux环境中。这是因为这些边界是按平台和存储库划定的，而不是按用户数。

升级并不等同于映射覆盖范围

运行多个DLP工具的组织中有94%不是偶然，大多数情况下缺少的也不是许可证级别。一个升级并停止询问其受监管数据实际所在位置的团队，是用一个盲点换另一个盲点。

它停止了对E5包含内容的不了解，开始假设E5的包含意味着执行。第二种情况更难发现，因为租户中没有任何信息告诉你它已经发生，通常会在之后出现，通常比许可审核更糟糕的地方。

盲点在调查过程中显现

您可以在续订对话开始前映射所有这些限制。这意味着要指出哪些存储库包含受监管数据，哪些端点类别需要覆盖，哪些SaaS应用不在支持列表之外，以及合规计划实际需要多少年的证据。映射太晚，您可能会在调查需要Purview不再保存的记录时首次发现。

E5升级旨在解决的问题

Microsoft 365 E3 和 E5 几乎是两款不同的 DLP 产品。E3 是较窄的版本，涵盖 Exchange Online、SharePoint Online 和 OneDrive 的策略创建、监控和保护，以及手动敏感度标记和扫描报告发现。E5 在此基础上添加的所有功能，都是专门为逐一解决特定限制而设计，而非一般性地扩展覆盖范围。

超越 Exchange、SharePoint 和 OneDrive 的工作负载覆盖

E3 的 DLP 原生覆盖 Exchange、SharePoint 和 OneDrive，不覆盖其他位置。其 Teams 覆盖仅检查通过 SharePoint 和 OneDrive 共享的文件，不检查对话内容。E5 在这三个工作负载之外向两个方向扩展了执行范围。

适用于Windows和macOS的Endpoint DLP将在设备上实施策略，而不是仅停留在邮件和文件共享层，E5则增加了Teams中聊天和频道消息的检查，E3则完全不支持。

手动标记无法解决的标签瓶颈

E3 保持敏感度标签手动操作，这在文件量超过贴标签人员时仍然有效。E5 旨在打破这一限制。自动敏感度标签，包括可训练分类器和 Exact Data Match，使分类能够针对内容运行，而无需等待用户标记。自动标签不包含在 E3 或 Business Premium 中，是唯一针对手动标签无法解决的高容量问题的 E5 功能。

无事件记忆的DLP规则

DLP规则一次评估一次传输，不会记住上一次。Insider Risk Management和Adaptive Protection旨在解决这一问题，通过关联用户活动随时间的行为，而不是孤立地评分每个事件。这是临时、逐次传输策略结构上无法察觉的问题。

端点代理无法看到的流量

两个E5功能在许可证之外有单独费用。Network Data Security和Edge for Business中的内联保护运行在Azure按需付费计量器上，费用与Microsoft 365许可证分开计费。

两者都检查端点代理看不到的流量，这就是它们不包含在标准账单中的原因。这些计量器 已停止工作，对于2025年6月30日之后没有关联Azure订阅的租户，单独的E5 SKU无法启用此功能。

这两个层级仍假设受监管数据存储在Microsoft云中。本地文件服务器和数据库使用完全不同的机制，E5不涵盖此部分。

Microsoft Purview 的限制

即使开启了所有 E5 功能，以下界限仍超出许可等级的范围。它们是由平台、存储库或服务配额决定的，这就是为什么销售对话和覆盖对话会落在不同地方的原因。

本地存储库依赖于计划的爬虫

Purview 对于本地的file servers、网络共享和 SharePoint Server 只有一种机制：Information Protection 扫描器。该扫描器不会实时发现和标记内容。它会按计划爬取指定的数据存储，因此复制到部门共享的患者记录电子表格只有在下一次爬取到该文件夹后才会被覆盖。

这种延迟比部署本身更容易接受，比大多数团队预期的更繁重，也是许多人推迟的部分原因。部署需要专用的Windows Server、SQL Server实例和AD服务账户。

默认情况下，它仅涵盖Office和PDF（Portable Document Format）文件；其他类型的文件需要先添加PowerShell。

结构化数据遇到了更严重的问题。Data Map可以编目本地SQL Server，但敏感度标签仅适用于资产元数据，绝不适用于实际文件和数据库列，因此这里的内容不会被强制执行。

这还没算它实际检查的数据有多少，因为classification samples 仅检查每列的前128行或前1MB，以较小者为准。没有任何DLP措施覆盖到行或列，而这些正是医疗和金融服务存放其最受监管记录的地方。

Endpoint 覆盖范围未涵盖 Linux 及完整 macOS 等效功能

Endpoint 覆盖范围在签署前很容易被忽视，因为它由操作系统决定。

Purview没有Linux代理，微软自己的Q&A answer 2025年2月的回答中表示：“Microsoft Purview的Endpoint DLP和MIP [Microsoft Information Protection]不支持Linux设备进行分类或DLP监控。”

Engineering teams, research groups and manufacturing systems running Linux workstations are an endpoint population outside native enforcement entirely. The survey behind the Netwrix 2026 Data and Identity Security Report found that 69% of organizations can’t instantly and fully prevent sensitive data from leaving endpoints through external AI tools, personal email, or USB.

Windows 是 Purview 完全覆盖的唯一平台。macOS 在 2025 年前取得进展，但在两方面仍落后于 Windows。Purview 无法阻止 Mac 上通过 Remote Desktop Protocol (RDP) 的复制移动，也无法在 Mac 离线时强制执行 just-in-time 访问。

浏览器覆盖增加了第三个变量。Edge在Windows上本地强制执行，但Chrome和Firefox需要Purview扩展，域列表仅覆盖上传操作，绝不包括粘贴操作。Claude位于Edge for Business的非托管应用列表之外，而是通过上述描述的Network Data Security预览进行覆盖。

分类质量决定了Copilot治理的上限

Purview 的 Copilot 控制仅适用于已应用于正确项目的标签，因此 Copilot 的治理效果取决于其下的分类质量。

Built-in sensitive information types ship tuned for breadth, so they over-match out of the box, and since they can’t be edited directly, every tuning pass starts with copying one into a custom type.

Auto-labeling caps at 100,000 files per day per tenant, can’t replace a label a user already applied, and its trainable classifiers support English only.

The same ceiling shows up in how Purview watches Copilot. Microsoft’s own DSPM assessment reports exposure but leaves enforcement to other tools, so Copilot inherits the same blind spots, which show up directly in what it returns. Labeled items still appear in citations with only the content withheld, and DLP can’t scan a file uploaded straight into a prompt.

Even a correct fix takes time to land. A policy change takes up to four hours to reach Copilot, and until then an unlabeled file in a labeled site is still summarized in full, since it doesn’t inherit the site’s label. The same ceiling reaches oversharing remediation, where E5 tenants without SharePoint Advanced Management get no snapshot reports or remedial actions, just 28 days of activity across 10,000 sites.

Audit retention and investigation windows fall short of regulated evidence requirements

HIPAA sets a six-year documentation bar under Title 45 of the Code of Federal Regulations (CFR), section 164.316(b)(2), and Purview doesn’t clear it on the default plan. Purview Audit (Standard) keeps records for 180 days. Audit (Premium), included with E5, extends that to one year.

Longer retention requires the 10-Year Audit Log add-on, priced per user, and Microsoft doesn’t apply retention changes retroactively, so the add-on can’t produce history from before you buy it.

PCI DSS v4.0.1 requirement 10.5.1 requires 12 months of audit history, with three months immediately available. Premium clears that bar. Standard misses it.

Investigation windows run shorter than the retention tiers suggest, which matters because an investigation is exactly when that shortfall gets tested. The DLP alert dashboard and Activity Explorer each hold only 30 days, and the Defender portal holds six months.

On top of that shorter window, the count Purview displays is also an estimate, not a total. One side-by-side comparison put the Purview Audit interface at 172,951 records against the 415,406 the API returned for the same query, a discrepancy worth confirming before either number goes into an audit response.

Non-Microsoft SaaS coverage stops at visibility

Connected apps DLP is still in preview, and Slack isn’t on the supported list yet. Even where a Data Map connector does exist, it classifies without enforcing, which means visibility without protection. The one policy surface built specifically for third-party apps fares no better. Defender for Cloud Apps file policies retire January 6, 2027, landing inside a normal renewal cycle rather than safely beyond one.

Slack的缺席比支持列表所示更为重要，因为中端市场环境中的非微软协作集中在一个工具中，而非分散在多个工具中。一个以Slack为标准的团队完全不在支持列表内。

为补充工具建立内部论据

针对第二个工具的内部案例需要将限制条件集中在一个地方，并在旁边附上许可计算。微软的文档既不提供这两者，且具体数字像正文一样分散：

E5升级本身通常很值得，但它只将上表中的一项——审计保留期——从180天延长到一年。其他所有限制都保持不变，因为这些限制是由平台、存储库或服务配额决定的，而不是由许可证等级决定的。

将提升与附加组件及针对性工具进行权衡，为领导层提供每美元覆盖率的比较，而非每席位功能比较，这是National Association of Corporate Directors (NACD) cyber risk handbook推荐用于与量化风险降低相关的预算请求的框架。

Netwrix如何在Purview停止的地方提供帮助

覆盖剩余部分的内容有三项任务。它必须访问扫描器无法触及的存储库，强制执行代理未运行的终端类，并将两者关联到拥有访问权限的身份。

Netwrix 是一款以身份为中心的数据安全平台，面向运行以 Microsoft 为主的混合环境的中型市场组织，其三款产品对应这些需求。

扫描器无法访问的存储库

Netwrix Access Analyzer 发现并分类扫描器无法访问的数据，包括本地 SQL Server 以及本地和云文件存储库。它解析嵌套的 AD 组和 SharePoint 继承，因此每个发现都会显示谁可以打开该文件。需要架构和集成规划，因此请将其视为路线图项目并相应安排时间。

代理未运行的端点类别

Netwrix Endpoint Protector 从一个控制台应用相同的策略集于 Windows、macOS 和 Linux，具备Linux 支持，覆盖 Red Hat Enterprise Linux (RHEL) 10.x 和 Ubuntu 26.04 长期支持 (LTS) 版本。

在 Alloy，一家金融科技identity-risk平台，工作是将社会保障号码（SSN）、税务ID和客户记录保存在端点上。

Endpoint Protector通过实时监控数据传输、USB端口阻止和强制USB加密实现了这一点，Alloy的系统工程师报告自实施以来没有出现任何问题。

两者之下的身份层

Netwrix 1Secure™ 增加了Copilot交互的可见性，报告Copilot的交互及其访问的敏感数据。它不会强制或限制Copilot的行为。

攻击者使用有效凭据登录，这就是为什么文件级视图需要身份上下文。Netwrix 将文件与拥有有效访问权限的用户关联起来，跨越Active Directory和文件服务器，并且Netwrix DSPM将此发现扩展到包括本地文件存储、数据库和受支持云存储的混合存储库。

根据 Netwrix 2026 Data and Identity Security Report 的调查，73.6%的组织无法获得敏感数据所在位置及可访问该数据的身份的统一视图。

在下次续订前绘制边界

在下一次续订对话之前，写下四个问题。哪些存储库位于 Exchange、SharePoint、OneDrive 和 Teams 之外？哪些端点类别运行的是 Windows 或受管理 macOS 以外的系统？Microsoft 生态系统之外的哪些 SaaS 应用携带受监管的数据，合规程序实际上需要多少年的审计证据，这与当前层级保留的时间相比如何？

如果任何一个问题的答案不是“涵盖”，则需要第二个工具直接关闭该边界，而不是通过更大的E5发票。

本文开头提到的94%已经运行两个或更多DLP工具的组织，并非因为购买不足才如此。他们之所以如此，是因为平台和存储库划定了这些界限，而没有任何许可等级会重新划定它们。

解决本文中提到的端点盲点，首先需要对 Purview 无法覆盖的所有操作系统实现可见性。

请求演示，了解 Netwrix Endpoint Protector 如何阻止敏感数据上传到跨端点和浏览器会话的 AI 工具。