Создание исследований в Исследования по безопасности данных (предварительная версия) на портале Microsoft Defender

Теперь вы можете начать расследование инцидентов безопасности данных на портале Microsoft Defender с интеграцией Исследования по безопасности данных Microsoft Purview (предварительная версия) и Microsoft Defender XDR.

Команды центра управления безопасностью (SOC) могут воспользоваться этой интеграцией, чтобы улучшить свое исследование и реагирование на потенциальные инциденты безопасности данных, такие как нарушения безопасности данных или утечка данных. Исследования по безопасности данных (предварительная версия) использует генерируемый ИИ для анализа затронутых данных, подключения для выявления рисков и предоставления практических аналитических сведений для защиты организации.

Команды SOC могут начать исследование в Исследования по безопасности данных (предварительная версия) со страницы инцидента, где потенциально затронутый набор данных находится на портале Microsoft Defender.

Предварительные условия

Для создания исследований в Исследования по безопасности данных (предварительная версия) на портале Microsoft Defender необходимо иметь следующие разрешения:

• Администратор безопасности
• Оператор безопасности

Для просмотра исследования и доступа к ней в Исследования по безопасности данных (предварительная версия) на портале Microsoft Purview требуется разрешениеадминистратора Исследования по безопасности данных.

Создание исследования безопасности данных

Microsoft Defender XDR определяет, возможно, затронутые конфиденциальными данными в инцидентах, где можно приступить к созданию исследования в Исследования по безопасности данных (предварительная версия). Исследования поддерживают почтовые ящики, файлы и почтовые сообщения в качестве область исследования.

Чтобы создать исследование в Исследования по безопасности данных (предварительная версия) на портале Microsoft Defender, выполните следующие действия.

1. Войдите на портал Microsoft Defender на security.microsoft.com.
2. В области навигации выберите Исследование & реагирования>Инциденты & оповещения Инциденты, чтобы открыть очередьинцидентов>. Выберите инцидент из очереди, чтобы открыть страницу инцидента.
3. Если выбранный инцидент содержит потенциально затронутые данные, на баннере сообщения страницы инцидента появится возможность создать исследование безопасности данных. Выберите Исследовать этот инцидент.
4. Во всплывающем окне укажите имя и описание для исследования. Имена исследований должны быть уникальными.
5. В область исследования вложите в исследование почтовые ящики или файлы и почтовые сообщения.

   Примечание.

   Вы можете вложить в исследование почтовые ящики или файлы и почтовые сообщения, но не одновременно. Если инцидент связан как с почтовыми ящиками, так и с файлами или почтовыми сообщениями, необходимо создать отдельные исследования. Например, создайте одно исследование для всех почтовых ящиков, а другое — для всех файлов и почтовых сообщений. Файлы и почтовые сообщения можно вкреплять в одном исследовании.

6. Выберите Создать расследование , чтобы завершить создание исследования безопасности данных.

После создания исследования в Исследования по безопасности данных (предварительная версия) на баннере сообщения на странице инцидента появится ссылка на портал Microsoft Purview. Приведем пример.

Вы также можете создать исследование в Исследования по безопасности данных (предварительная версия) на странице инцидента следующими способами:

• На странице Инциденты нажмите кнопку с многоточием Дополнительные действия , чтобы просмотреть параметры, а затем выберите Исследовать безопасность данных с помощью ИИ.

  

• При выборе сущности, например электронной почты, в графе инцидентов выберите Исследовать безопасность данных с помощью ИИ в контекстном меню сущности.

  

Каждое исследование в созданном Исследования по безопасности данных (предварительная версия) записывается в журнал действий портала Microsoft Defender. Запись журнала действий также содержит соответствующую ссылку на исследование, созданное на портале Microsoft Purview.

Следующее действие