Исследование оповещений защиты от потери данных с помощью Microsoft Defender XDR

Вы можете управлять оповещениями и инцидентами Защита от потери данных Microsoft Purview (DLP) и реагировать на них на портале Microsoft Defender. Откройте Инциденты и оповещения>Инциденты на панели быстрого запуска портала Microsoft Defender. На этой странице вы можете:

• Просмотрите все оповещения защиты от потери данных, сгруппированные по инцидентам в очереди инцидентов Microsoft Defender XDR.
• Просматривайте оповещения защиты от потери данных, связанные с другими оповещениями защиты от потери данных, или с оповещениями из других решений (Defender для конечной точки, Defender для Office 365, Microsoft Sentinel и т. д.) в рамках одного инцидента.
• Поиск угроз безопасности с помощью запросов, объединяющих журналы соответствия требованиям с журналами безопасности, в разделе Расширенная охота.
• Выполните действия по исправлению на месте для пользователей, файлов и устройств.
• Назначайте пользовательские теги инцидентам DLP и фильтруйте их по этим тегам.
• Отфильтруйте единую очередь инцидентов по имени политики защиты от потери данных, тегу, дате, источнику службы, состоянию инцидента и пользователю.

Предварительные условия

Прежде чем приступить к расследованию предупреждений DLP, ознакомьтесь со следующими требованиями к лицензированию, ролям и настройке.

Требования к лицензированию

Чтобы расследовать инциденты функции Защита от потери данных Microsoft Purview на портале Microsoft Defender, вам потребуется лицензия, включенная в одну из следующих подписок:

• Microsoft Office 365 E5/A5
• Microsoft 365 E5/A5
• Соответствие требованиям Microsoft 365 E5 или A5
• Защита информации и управление данными в Microsoft 365 E5/A5

Роли

Рекомендуется предоставлять только минимальные разрешения для оповещений на портале Microsoft Defender. Вы можете создать пользовательскую роль с этими ролями и назначить ее пользователям, которым необходимо исследовать оповещения защиты от потери данных.

Подготовьтесь к расследованию оповещений DLP

Включите оповещения для всех политик защиты от потери данных на портале Microsoft Purview.

Изучение оповещений защиты от потери данных на портале Microsoft Defender

Выполните следующие действия, чтобы найти и просмотреть оповещения защиты от потери данных на портале Microsoft Defender.

1. Перейдите на портал Microsoft Defender и выберите Инциденты в меню навигации слева, чтобы открыть страницу инцидентов.

2. Выберите Добавить фильтр на панели инструментов и выберите фильтр Источники службы и обнаружения . Затем выберите фильтр Служба/источники обнаружения и укажите Предотвращение потери данных Microsoft, чтобы просмотреть все инциденты с оповещениями DLP. Вы также можете фильтровать очередь по именам пользователей и устройств (с помощью фильтра сущностей ), а также по политикам. С помощью фильтра правила политики можно выполнять поиск по именам файлов, пользователям, именам устройств и путям к файлам.

   1. (в предварительной версии) В очереди Инциденты>Политики оповещений> Название политики оповещений. Вы можете выполнить поиск по имени политики защиты от потери данных.

3. Найдите название политики защиты от потери данных для интересующих вас оповещений и инцидентов.

4. Чтобы просмотреть страницу сводки по инцидентам, выберите инцидент из очереди. Аналогичным образом выберите оповещение, чтобы открыть страницу оповещения DLP. Выберите Суммировать (предварительная версия), чтобы Security Copilot создал сводку оповещения. Сводка оповещения, созданная Security Copilot, будет содержать следующее:

• Серьезность оповещений
• Заголовок оповещения
• название политики, для которой найдено совпадение
• имя задействованного файла и ссылка на файл
• Состояние оповещения
• адрес электронной почты пользователя, выполнившего действие, соответствующее политике.

1. Дополнительные сведения о политике и типах конфиденциальной информации, обнаруженных в оповещении, см. в этой статье . Выберите событие в разделе Связанные события , чтобы просмотреть сведения о действиях пользователя.

2. Просмотрите соответствующий конфиденциальный контент во вкладке «Типы конфиденциальной информации» и содержимое файла во вкладке «Источник», если у вас есть необходимое разрешение (см. «Обязательные роли и права»).

Расширьте расследование DLP-оповещений с помощью расширенного поиска

Расширенная охота — это средство охоты на угрозы на основе запросов, которое позволяет просматривать журналы аудита пользователей, файлов и расположений сайтов на срок до 30 дней, чтобы помочь в исследовании. Вы можете проводить инспекцию событий в своей сети для поиска индикаторов и объектов угроз на профилактической основе. Гибкий доступ к данным обеспечивает неограниченную охоту на известные и потенциальные угрозы.

Таблица CloudAppEvents содержит все журналы аудита во всех расположениях, таких как SharePoint, OneDrive, Exchange и устройства.

Перед началом

Если вы новичок в расширенной охоте на Microsoft Defender, ознакомьтесь с продвинутой охотой.

Прежде чем использовать расширенный поиск, необходимо иметь доступ к таблице CloudAppEvents, содержащей данные аудита Microsoft Purview DLP.

Используйте встроенные запросы расширенного поиска угроз для расследований DLP

Портал Defender предлагает несколько встроенных запросов, которые можно использовать при расследовании оповещений DLP.

1. Перейдите на портал Microsoft Defender и выберите Инциденты & оповещения в меню навигации слева, чтобы открыть страницу инцидентов. Выберите Инциденты.
2. Выберите Фильтры в правом верхнем углу и выберите Источник службы: защита от потери данных , чтобы просмотреть все инциденты с оповещениями защиты от потери данных.
3. Откройте инцидент DLP.
4. Выберите оповещение, чтобы просмотреть связанные с ним события.
5. Выберите событие.
6. В области сведений о событии выберите элемент управления Go Hunt .
   1. В Defender отображается список встроенных запросов, относящихся к исходному расположению события. Например, если событие происходит из SharePoint, вы увидите
      1. Файл, к которым предоставлен общий доступ
      2. Действия с файлами
      3. Действия на сайте
      4. Нарушения политики DLP пользователями за последние 30 дней
7. Вы можете выполнить запрос немедленно, изменить диапазон времени, изменить или сохранить запрос для последующего использования.
8. После выполнения запроса просмотрите результаты на вкладке Результаты .

Если оповещение предназначено для сообщения электронной почты, его можно скачать, выбрав Действия>Скачать сообщение электронной почты.

Если оповещение предназначено для файла в SharePoint Online или One Drive for Business, можно выполнить следующие действия по исправлению:

• Применение метки хранения
• Отменить общий доступ
• Удалить
• Применить метку конфиденциальности
• Скачать (для выполнения этого действия требуется роль для просмотра содержимого классификации данных)
• Отозвать отзыв

Чтобы предпринять меры по устранению пользователя, связанного с оповещением, выберите карту пользователя в верхней части страницы оповещения, чтобы открыть данные пользователя.

Для DLP-оповещений устройств выберите карту устройства в верхней части страницы уведомления, чтобы увидеть информацию о связанном с уведомлением устройстве и принять меры по устранению.

Перейдите на страницу сводки по инцидентам и выберите Управление инцидентом , чтобы добавить теги инцидента, назначить или разрешить инцидент.

Статьи по теме

• Обзор инцидентов
• Расставьте приоритеты для инцидентов
• Управление инцидентами