Начало работы с агентом Microsoft Purview Triage в управлении внутренними рисками

Выполните следующие действия, чтобы развернуть агент рассмотрения Microsoft Purview в Управление внутренними рисками Microsoft Purview.

Подготовка к работе

Если вы не знакомы с агентом рассмотрения Microsoft Purview в области управления внутренними рисками, ознакомьтесь с этой статьей.

• Security Copilot агентов в Microsoft Purview Overview (предварительная версия)

Лицензирование SKU/подписки

Агенту рассмотрения в управлении внутренними рисками требуется стандартная модель лицензирования для каждого места и модель выставления счетов с оплатой по мере использования. Ваша организация должна иметь следующие лицензии:

• Управление внутренними рисками Microsoft Purview использовать агент рассмотрения управления внутренними рисками.

Агенты проверки Microsoft Purview используют вычислительные единицы безопасности (SKU) при выполнении своих задач. Для работы агентов рассмотрения необходимо подготовить номера SKU. Количество используемых номеров SKU зависит от количества и типа обрабатываемых оповещений. Дополнительные сведения о SKU см. в разделе Единицы вычислений безопасности (SKU). Вы можете отслеживать потребление SCU в средстве мониторинга использования. Дополнительные сведения о подключении к Microsoft Security Copilot см. в статье Начало работы с Microsoft Security Copilot.

Сведения о лицензировании Security Copilot в E5 см. в статье Сведения о Security Copilot в Microsoft 365 E5

Сведения о лицензировании см. в разделе

• Планы Microsoft 365 корпоративный
• Описания служб Microsoft 365

Разрешения и роли

Для выполнения различных функций требуются различные разрешения и роли. Дополнительные сведения см. в разделах Разрешения на портале Microsoft Purview и Роли и группы ролей на порталах Microsoft Purview.

Назначьте эти роли для настройки агента с помощью рекомендуемого удостоверения агента, таких действий, как настройка или настройка, деактивация и удаление агентов:

Для администраторов (любой из каждой группы):

Группа A

Группа B

Для аналитиков (любой из каждой группы):

Группа A

Группа B

Группа C

Разрешения на просмотр оповещений управления внутренними рисками

Учетной записи, используемой для просмотра действия оповещения агента предварительной оценки рисков, должны быть назначены роли (любой из каждой группы):

Группа A

Группа B

Группа C

Стратегия развертывания и конфигурации

Реализация агентов Microsoft Purview включает несколько этапов:

1. Предварительные требования для инфраструктуры
2. Включение агентов
3. Агенты установки
4. Деактивация агентов
5. Удаление агентов

Предварительные требования для инфраструктуры

Агенты проверки Microsoft Purview работают на Microsoft Security Copilot.

1. Клиент должен быть подключен к Microsoft Security Copilot. Дополнительные сведения о подключении см. в статье Начало работы с Microsoft Security Copilot.
2. В Security Copilot необходимо включить общий доступ к данным Microsoft 365. Дополнительные сведения см. в статье Доступ к данным из служб Microsoft 365 .
3. Необходимо включить подключаемый модуль Microsoft Purview в Microsoft Security Copilot. Дополнительные сведения см. в разделе Включение источника Microsoft Purview в Microsoft Security Copilot.

Включение агентов

Эта процедура предназначена для организаций, которые не включили ни один из агентов Microsoft Purview или удалили агенты , и вы хотите снова включить их. После включения агентов они будут доступны для использования в Microsoft Purview. В клиенте может быть только один экземпляр каждого агента. Эта процедура работает как с агентом проверки защиты от потери данных Purview, так и с агентом проверки управления внутренними рисками.

1. Войдите на портал Microsoft Purview с учетной записью с необходимыми разрешениями.
2. В области навигации слева выберите Агенты.
3. Выберите Обзор агентов.
4. Выберите агент, который требуется включить, и нажмите кнопку Добавить. Откроется страница с требованиями к включению агента.
5. Выберите Программа установки, откроется страница Развертывание глобальной конфигурации агента . Варианты действий:
   1. Выберите запуск автоматически в соответствии с заданным расписанием. Если этот параметр не выбран, агент необходимо запускать вручную по одному. Запланированное устанавливается корпорацией Майкрософт и не настраивается организациями. Этот параметр можно изменить позже при изменении агента.
   2. Выберите временной интервал оповещений, который указывает на то, как далеко агент ищет оповещения для рассмотрения. Аналитики могут сократить сроки редактирования агента, но не удлинить его. Дополнительные сведения см. в разделе Выбор интервалов оповещений.
6. Нажмите Развернуть. При успешном развертывании агента анализа оповещений в <решении> отображается сообщение о развертывании агента.

Агенты установки

После включения агента необходимо задать определенные триггеры для агента. Триггеры используются для определения оповещений, которые выполняет агент. Это можно сделать на странице Агенты или для первого запуска на странице Оповещения для решения. Для этой процедуры мы будем использовать метод страницы оповещения первого запуска. Эта процедура предполагает, что портал Microsoft Purview по-прежнему открыт для страницы Обзор агентов из предыдущей процедуры.

1. Выберите Перейти к <решению>. Откроется страница Оповещения для решения.
2. Так как вы находитесь в первом запуске, вы увидите диалоговое окно с кнопкой Настроить , которое при выборе этого параметра открывает всплывающее окно Настройка агента рассмотрения оповещений .
3. Здесь выберите либо принять глобальный параметр по умолчанию для параметра Выбор интервала оповещений , либо измените его, чтобы он был короче, чем было настроено во время развертывания агента.
4. Введите настраиваемые инструкции для агента. Агент интерпретирует входные данные естественного языка и использует их для лучшего определения типов оповещений, наиболее важных для вас. Это помогает быстрее выявлять наиболее релевантные оповещения и реагировать на них.
5. Выберите Выбрать политики , чтобы выбрать политики, оповещения которых будут рассматриваться агентом. В предварительной версии все политики выбираются по умолчанию, их можно изменить здесь.
6. Нажмите кнопку Проверить.
7. Выберите Запустить агент. Предоставьте агенту до 2 часов, чтобы завершить рассмотрение в область оповещений и включенных ручных запусков из этой начальной настройки.

Деактивация агентов

1. Войдите на портал Microsoft Purview с учетной записью с необходимыми разрешениями.
2. В области навигации слева выберите Агенты.
3. Выберите Обзор агентов.
4. Выберите Просмотреть агент для агента, который вы хотите деактивировать. Откроется страница обзора агента.
5. В правом верхнем правом углу страницы обзора агента выберите многоточие (три точки), расположенные рядом с кнопкой Изменить агент .
6. Выберите Деактивировать агент. Деактивация агента останавливает агент от рассмотрения оповещений. Он не удаляет агент и не сбрасывает контрольную точку времени выбора интервала оповещений .

Удаление агентов

1. Войдите на портал Microsoft Purview с учетной записью с необходимыми разрешениями.
2. В области навигации слева выберите Агенты.
3. Выберите Обзор агентов.
4. Выберите Просмотреть агент для агента, который вы хотите приостановить. Откроется страница обзора агента.
5. В правом верхнем правом углу страницы обзора агента выберите многоточие (три точки), расположенные рядом с кнопкой Изменить агент .
6. Выберите Удалить агент. При удалении агента он удаляется из Microsoft Purview. Если вы хотите снова использовать его, необходимо снова выполнить процедуры включения агентов и настройки агентов . При удалении агента сбрасывается ссылка на момент времени выбора интервала оповещений .

Агенты редактирования

1. Войдите на портал Microsoft Purview с учетной записью с необходимыми разрешениями.
2. В области навигации слева выберите Агенты.
3. Выберите Обзор агентов.
4. Выберите Просмотреть агент для агента, который вы хотите изменить. Откроется страница обзора агента.
5. Выберите Изменить агент. Откроется страница Изменение агента .
6. Выберите Триггеры.
7. Здесь можно изменить время запуска агента: агент будет запускаться вручную по одному оповещению за раз или агент будет запускаться автоматически по заданному расписанию.
8. Выберите Изменить , чтобы изменить значение Выбор интервала оповещений и политики, с которыми агент будет рассматривать оповещения.
9. Если выбран параметр Агент будет запускаться вручную по одному оповещению за раз, можно выбрать одно оповещение на странице Оповещения для решения. Установите переключатель в значение Агент рассмотрения оповещений и выберите Запустить агент.
10. При желании вы также можете изменить намерение .

Мониторинг использования SCU

1. Войдите на портал Microsoft Purview с учетной записью с необходимыми разрешениями.
2. В области навигации слева выберите Агенты.
3. Выберите Обзор агентов.
4. Выберите Просмотреть агент для агента, который вы хотите изменить. Откроется страница обзора агента.
5. Выберите Изменить агент. Откроется страница Изменение агента .
6. Выберите Мониторинг использования.
7. Вы можете отслеживать потребление SCU в средстве мониторинга использования.

Обзор страницы оповещений

1. Войдите на портал Microsoft Purview с учетной записью с необходимыми разрешениями.
2. Откройте решение, для которого нужно просмотреть просмотр оповещений.
3. Откройте страницу Оповещения для решения.
4. В правом верхнем углу страницы есть новый переключатель, позволяющий выбрать между Standard представлением страницы оповещений и представлением агента рассмотрения страницы оповещений. Установите переключатель в представление Агента рассмотрения . В этом представлении отображаются оповещения, которые были проверены агентом. Оповещения группируются агентом по четырем категориям:
   • Все
   • Требует внимания
   • Менее срочный
   • Не классифицировано

Дальнейшие действия

Сведения о проверке оповещений см. в статьях для конкретных решений.

• Сведения об исследовании предупреждений для защиты от потери данных
• Начало работы с панелью мониторинга оповещений о защите от потери данных
• Агент рассмотрения на панели мониторинга управления внутренними рисками
• Индикаторы и агент рассмотрения оповещений для управления внутренними рисками