Поиск, просмотр и уточнение результатов в Исследования по безопасности данных

Используйте поиск в Исследования по безопасности данных, чтобы найти содержимое Microsoft 365, например электронную почту, документы и беседы с мгновенными сообщениями в вашей организации, относящееся к инциденту безопасности. Используйте поиск, чтобы найти содержимое в этих облачных источниках данных Microsoft 365:

Создание и выполнение различных поисковых запросов, связанных с исследованием. Используйте условия, такие как ключевые слова, типы файлов, инциденты и т. д., для создания поисковых запросов, возвращающих результаты поиска с данными, наиболее подходящими для исследования. Кроме того, у вас есть следующие возможности.

• Просмотрите статистику поиска, которая помогает уточнить поисковый запрос, чтобы сузить результаты.
• Просмотрите результаты поиска, чтобы быстро проверить, находите ли нужные данные.
• Изменять запрос и повторять поиск.
• Используйте поиск аудита , чтобы определить содержимое на основе действий пользователей, записанных в едином журнале аудита.

Рассмотрим действия, которые вызвали расследование. Например, сообщалось о совместном использовании паролей или утечке, подозрительном файле, работе с внешней командой разработчиков или оповещении о краже данных или о конкретных лицах или командах, которые могут быть вовлечены. Используйте эти сведения для разработки исходного поискового запроса. Например, если администратор сообщил, что пароли могут храниться в SharePoint в виде обычного текста, начните с поиска известных ключевых слов паролей или имен файлов в SharePoint и OneDrive или на определенных сайтах SharePoint, управляемых группами разработчиков.

Когда вы удовлетворены результатами поиска и готовы к просмотру и анализу результатов, добавьте их в область расследования. Добавление копий исходных данных в область исследования также упрощает процесс анализа и проверки ИИ, предоставляя расширенные средства классификации, изучения и поиска векторов.

Доступ к средствам поиска

Выберите Сводка в параметрах навигации в верхней части любой страницы конкретного исследования, чтобы получить доступ к средствам поиска на странице Идентификация.

Страница Идентификация организована на следующих вкладках:

• Поиск. Создайте поисковые запросы для выявления содержимого, относящемся к расследованию. Вкладка Поиск включает два варианта:
  • Построитель запросов: поиск контента на основе ключевых слов, типов файлов, дат и других условий.
  • Аудит. Используйте поиск аудита , чтобы определить содержимое на основе действий пользователей, записанных в едином журнале аудита.
• Проверка оценок. Просмотрите область и выборку статистики для результатов поиска, чтобы уточнить запрос, прежде чем добавлять результаты в область исследования.
• Подготовка к ИИ. Подготовка данных для анализа ИИ после добавления элементов в область исследования.

Вы можете уточнить источники данных и условия поисковых запросов в любое время во время исследования и добавить результаты в область исследования.

Источники данных

В Microsoft 365 данные хранятся на трех платформах: Exchange, Teams и SharePoint. Эти платформы служат основой для организации данных в приложениях Microsoft 365 и управления ими.

Большинство приложений Microsoft 365 хранят данные в одном или нескольких из следующих контейнеров:

• Пользователи: данные, связанные с отдельными пользователями, такие как их почта, сообщения Teams 1:1 и файлы OneDrive.
• Группы: данные, принадлежащие организации или группе пользователей в организации. Эти группы часто называются объединенными группами или Teams.

В Исследования по безопасности данных концепция источников данных упрощает процесс идентификации данных и управления ими на платформах Microsoft 365. Аналитики выбирают пользователя или группу и область поиск в этих источниках данных. Аналитики могут уточнить область путем выбора или исключения определенных расположений.

Аналитики также могут использовать источники в масштабах всей организации для выполнения поиска в вашей организации. Источники в масштабах всей организации:

• Все люди и группы. Включает всех пользователей и все группы в вашей организации.
• Все общедоступные папки. Включает все содержимое в почтовых ящиках общедоступных папок Exchange.

Построитель запросов

Параметр построитель запросов на вкладке Поиск обеспечивает визуальную фильтрацию при создании поисковых запросов в Исследования по безопасности данных. Так как вы будете использовать средства анализа ИИ для быстрого выявления применимых данных в элементах, возвращаемых поиском, одной из стратегий является расширение область поиска, чтобы включить больше источников данных. Такой подход помогает снизить вероятность исключения любого соответствующего содержимого для проверки.

Построитель запросов используется для создания сложных запросов с дополнительными функциями, включая AND, OR и группирование условий. Эти функции в построителе запросов помогают более эффективно создавать запросы, предоставляют визуальный интерфейс для группирования вложенных запросов и предоставляют дополнительное пространство для создания и проверки сложных ключевое слово запросов.

Использование построителя запросов

Чтобы создать запрос и настраиваемую фильтрацию для поиска, используйте следующие элементы управления:

• AND/OR. Эти условные логические операторы помогают выбрать условие запроса, которое применяется к определенным фильтрам и подгруппам фильтров. Используйте эти операторы, чтобы включить в запрос несколько фильтров или подгрупп, подключенных к одному фильтру.
• Выберите фильтр. Выберите фильтры для конкретных источников данных и содержимого расположения, выбранного для коллекции.
• Добавить фильтр. Добавьте несколько фильтров в запрос. Этот параметр становится доступен после определения по крайней мере одного фильтра запросов.
• Выберите оператор. В зависимости от выбранного фильтра выберите один из совместимых операторов. Например, если выбрать фильтр Дата , можно выбрать пункты "До", "После" и "Между". При выборе фильтра Размер (в байтах) можно выбрать варианты Больше, Больше или равно, Меньше, Меньше или равно, Между и Равно.
• Значение. В зависимости от выбранного фильтра введите совместимые значения. Некоторые фильтры поддерживают несколько значений, а другие — одно конкретное значение. Например, если выбран фильтр Дата , введите значения даты. Если выбран фильтр Размер (в байтах), введите значение для байтов.
• Добавить подгруппу. После определения фильтра добавьте подгруппу для уточнения результатов, возвращаемых фильтром. Вы также можете добавить подгруппу в подгруппу для уточнения многослойного запроса.
• Удалить условие фильтра. Чтобы удалить отдельный фильтр или подгруппу, щелкните значок удаления справа от каждой строки фильтра или подгруппы.
• Очистить все. Чтобы очистить весь запрос от всех фильтров и подгрупп, выберите Очистить все.

Пример сценария

Аналитику Исследования по безопасности данных необходимо создать запрос для любого элемента, который включает ключевое слово конфиденциальности, использованные в период с 1 января 2025 г. по 16 марта 2025 г.*. В этом примере аналитик создает следующий запрос с помощью построителя запросов:

1. Для первого фильтра аналитик выбирает ключевое слово, затем выбирает оператор Equal , а затем вводит конфиденциальность в элементе управления Значение .
2. Затем аналитик выбирает Добавить подгруппу и оператор AND , а затем фильтр Добавить.
3. Аналитик выбирает фильтр Дата , оператор Between и начальную и конечную даты для значения.
4. Аналитик выбирает Сохранить, чтобы сохранить запрос, а затем просмотрите область для выполнения поискового запроса.

Примеры поисковых запросов

Вы можете использовать синтаксис язык KeyQL (KeyQL) в построителе запросов для создания целевых поисковых запросов для распространенных сценариев исследования. Используйте эти примеры в качестве отправных точек и настройте диапазоны дат, пути и ключевые слова в соответствии с исследованием.

Exchange Online.

Поиск только сообщений электронной почты

Чтобы найти в почтовых ящиках только сообщения электронной почты и исключить другие элементы, такие как приглашения календаря, задачи и задачи, используйте Kind свойство . В этом примере возвращаются сообщения электронной почты, отправленные после указанной даты.

Источники данных: все люди и группы

(Kind=email) AND (Date>2025-01-01)

Microsoft Teams

Поиск по всему содержимому Teams

Чтобы найти все содержимое Teams, включая сообщения чата, публикации каналов, записи собраний и звонки, используйте Kind=microsoftTeams фильтр.

Источники данных: все люди и группы

(Kind=microsoftTeams) AND (Date>2025-01-01)

Поиск сообщений только в чате

Чтобы ограничить поиск только сообщениями чата Teams и исключить собрания и публикации каналов, используйте Kind=IM.

Источники данных: все люди и группы

(Kind=IM)

SharePoint Online

Поиск по определенному сайту SharePoint

Для поиска всего содержимого на определенном сайте SharePoint используйте Path свойство .

(Path="https://contoso.sharepoint.com/sites/ProjectAlpha")

Поиск по сайту и исключение содержимого, созданного системой

Чтобы найти на сайте SharePoint документы, созданные после указанной даты, исключив созданное системой содержимое, используйте Author свойство с оператором NOT (-).

((Date>2025-01-01) AND (Path="https://contoso.sharepoint.com/sites/EngineeringTeam/Shared Documents") AND ((-Author="System Account") AND (-Author="SHAREPOINT\System")))

Поиск определенных имен файлов на нескольких сайтах

Чтобы найти на нескольких сайтах SharePoint файлы с именами, начинающимися с определенного OR термина, используйте оператор для объединения путей и filename свойства для фильтрации по имени.

(((Path="https://contoso.sharepoint.com/sites/ProjectAlpha") OR (Path="https://contoso.sharepoint.com/sites/ProjectBeta")) AND (filename="proposal*"))

Поиск определенных файлов

Чтобы найти известные файлы по их полному Identifier пути, используйте свойство и OR оператор для объединения нескольких путей к файлам.

((Identifier="https://contoso.sharepoint.com/sites/EngineeringTeam/Docs/SecurityReport.docx") OR (Identifier="https://contoso.sharepoint.com/sites/EngineeringTeam/Docs/IncidentLog.xlsx"))

Microsoft Copilot

Поиск запросов и ответов Copilot

Взаимодействия с Copilot хранятся в Exchange Online почтовых ящиках пользователей. Чтобы найти запросы и ответы Copilot после указанной даты, используйте ItemClass свойство со значением класса элемента Copilot.

Источники данных: все люди и группы

(ItemClass=IPM.SkypeTeams.Message.Copilot.*) AND (Date>2025-01-01)

Дополнительные сведения о классах элементов Copilot и поиске данных Copilot см. в статье Поиск и удаление Copilot и других данных ИИ в eDiscovery.

Поиск аудита

Используйте поиск аудита в Исследования по безопасности данных для выявления и сбора содержимого на основе действий пользователей, записанных в едином журнале аудита Microsoft Purview. В то время как построитель запросов выполняет поиск содержимого Microsoft 365 напрямую, аудит выполняет запросы к единому журналу аудита для конкретных действий пользователей, таких как доступ, копирование или скачивание файлов, и извлекает связанное содержимое в исследование. Вы также можете фильтровать результаты поиска аудита по ключевым словам, определенным пользователям и расположениям файлов или сайтов.

Пример сценария: кража данных уходящего сотрудника

Команда безопасности получает оповещение о том, что уходящий сотрудник мог вывести конфиденциальные файлы за последний день. Используя поиск аудита, следователь запрашивает действия скачанных файлов и отправленных сообщений электронной почты, доступные для этого пользователя в течение последних двух недель. Исследования по безопасности данных извлекает связанное содержимое непосредственно в область исследования ( не требуется охота за файлами вручную), чтобы команда могла быстро оценить, к каким данным был предоставлен доступ и был ли предоставлен общий доступ извне.

Начало работы с поиском аудита

При создании поиска аудита Исследования по безопасности данных запрашивает единый журнал аудита для указанных действий и добавляет связанное содержимое непосредственно в область исследования. Поиск аудита использует разрешения и требования к управлению доступом на основе ролей из единого журнала аудита.

Для поиска аудита требуется, чтобы ваша организация была настроена для поиска по журналам аудита и аудита. Дополнительные сведения о требованиях к журналу аудита см. в разделе Поиск в журнале аудита.

Поддерживаемые действия

Поиск аудита поддерживает курируемый набор действий, связанных с содержимым, из единого журнала аудита. Вы можете выполнять аудит только действий поиска, связанных с идентифицируемыми элементами контента, такими как файлы и сообщения электронной почты. Поиск аудита не поддерживает действия, которые не связаны с определенным содержимым, например вход в решение.

Для поиска аудита поддерживаются следующие действия:

Создание поиска аудита

Чтобы создать поиск аудита и добавить связанное содержимое в область исследования, выполните следующие действия.

1. Перейдите к Исследования по безопасности данных на портале Microsoft Purview и откройте исследование.

2. Выберите Сводка в параметрах навигации в верхней части страницы.

3. На вкладке Поиск выберите Аудит.

4. Настройте параметры поиска:

   • Диапазон даты и времени (UTC) (обязательный): укажите дату и час начала и окончания для поиска действия.
   • Действия — понятные имена. Выберите одно или несколько поддерживаемых действий по отображаемого имени в списке действий.
   • Действия — имена операций. Выберите одно или несколько поддерживаемых действий по имени операции.
   • Пользователи. Выберите пользователей для поиска действий, выполняемых определенными пользователями.
   • ObjectID (файл, папка или сайт): введите файл, папку или путь к сайту, чтобы сузить поиск до действий, связанных с определенным расположением.
   • Поиск по ключевым словам: введите ключевые слова для поиска в записях журнала аудита.

5. Выберите Поиск , чтобы выполнить запрос аудита. Исследования по безопасности данных запрашивает единый журнал аудита и отображает результаты в разделе результатов в нижней части страницы Аудит. Просмотрите результаты, чтобы убедиться, что запрос возвращает ожидаемые данные. Чтобы отменить поиск без добавления результатов, нажмите кнопку Отмена.

6. Выберите Добавить в область, чтобы добавить содержимое, связанное с результатами поиска, в область исследования.

После добавления в область Исследования по безопасности данных начинает обработку результатов. Ход выполнения заданий поиска аудита можно отслеживать на странице Действия для исследования. Ранее отправленные запросы аудита также отображаются в журнале поиска аудита в нижней части страницы Аудит.

Аудит заданий поиска и фрагментирования запросов

Аудит поиска использует фрагментирование запросов для обработки результатов. Этот метод создает несколько заданий для приема данных в область исследования. При отправке поиска аудита на странице Действия отображаются следующие задания:

• Одно задание поиска аудита: основное задание, запрашивающее единый журнал аудита для указанных действий.
• Несколько заданий надстройки к область. Дополнительные задания, которые обрабатывают и добавляют связанное содержимое в область исследования. Количество заданий надстройки к область зависит от объема данных, возвращаемых поиском.

После завершения всех заданий можно приступить к подготовке данных к анализу ИИ и продолжить изучение данных.

Поиск аудита и единый журнал аудита

Поисковые запросы аудита, создаваемые в Исследования по безопасности данных также отображаются в журнале поиска единого журнала аудита Microsoft Purview. Это ожидаемо, так как Исследования по безопасности данных запрашивает единый журнал аудита непосредственно в качестве источника данных для поиска по аудиту.

Работа с большими результатами поиска аудита

Если исследование связано с большим объемом действий пользователей, поиск по аудиту может превысить приблизительно 3000 элементов. Для работы с большими результирующих наборами используйте решение Аудит для анализа полного область результатов. Затем разделите данные на более мелкие срезы на основе времени, которые помещаются в Исследования по безопасности данных ограничение поиска аудита.

Анализ результатов аудита за пределами Исследования по безопасности данных

Решение аудит не имеет того же ограничения на количество элементов поиска, что и Исследования по безопасности данных поиска аудита. Используйте решение аудит, чтобы сначала выполнить полный запрос и определить общий объем результатов, прежде чем разделить его на более мелкие поисковые запросы.

Чтобы проанализировать результаты аудита, выполните следующие действия.

1. Перейдите в раздел Аудит на портале Microsoft Purview.

2. Настройте те же параметры поиска, которые планируется использовать в Исследования по безопасности данных:

   • Диапазон даты и времени. Укажите полный диапазон даты и времени для исследования.
   • Действия. Выберите те же действия, что и для исследования.
   • Пользователи. Укажите пользователей, которые вы планируете искать.

3. Выполните поиск и экспортируйте результаты в CSV-файл.

Определение временных срезов для поиска аудита

После экспорта результатов аудита используйте данные CSV для определения периодов времени, каждый из которых содержит менее 3000 элементов. Эти периоды времени становятся отдельными поисковыми запросами аудита, которые вы выполняете в Исследования по безопасности данных.

Чтобы определить срезы времени, выполните следующие действия.

1. Откройте экспортируемый CSV-файл в Microsoft Excel.

2. Добавьте вспомогательные столбцы, чтобы разбить CreationDate метку времени на компоненты для группировки:

   Столбец	Формула	Описание
   Date	=LEFT(B2,10)	Извлекает часть даты (ГГГГ-ММ-ДД).
   Hour	=MID(B2,12,2)	Извлекает час (HH).
   Day-Hour	=I2&" "&J2&":00"	Объединяет дату и час для почасовой группировки.
   День-час-минута	=I2&" "&J2&":"&MID(B2,15,2)	Объединяет дату, час и минуту для более точной группировки.

   Примечание.

   Замените B2 ссылкой на столбец для CreationDate при экспорте и I2/J2 ссылки на столбец для вспомогательных столбцов даты и часа. Настройте ссылки на столбцы в соответствии с форматом экспорта.

3. Создайте сводную таблицу для подсчета записей по пользователям и периодам времени:

   • Задайте для строк столбец user и столбец day-hour вспомогательный столбец.
   • Задайте для параметра Значения количество записей.
   • Определите группы времени, содержащие менее 3000 элементов.

4. Для групп времени, превышающих приблизительно 3000 элементов, примените более тонкую группировку:

   • Разбейте ежечасные группы на срезы на уровне минут с помощью столбца Day-Hour-Minute .
   • При необходимости разбиение по типу действия, если один период времени по-прежнему превышает ограничение.

Выполнение поиска срезов аудита в Исследования по безопасности данных

После определения временных срезов выполните отдельные поисковые запросы аудита в Исследования по безопасности данных для каждого среза и добавьте все результаты в один и тот же область исследования.

Чтобы выполнить поиск по срезу аудита, выполните следующие действия.

1. Перейдите к Исследования по безопасности данных на портале Microsoft Purview и откройте исследование.

2. Выберите Сводка в параметрах навигации в верхней части страницы.

3. На вкладке Поиск выберите Аудит.

4. Настройте параметры поиска для первого среза:

   • Диапазон даты и времени (UTC): введите время начала и окончания для среза.
   • Действия. Выберите те же действия, что и исходный запрос.
   • Пользователи. Выберите пользователей, которые совпадают с исходным запросом.

5. Выберите Поиск , чтобы выполнить запрос аудита.

6. Выберите Добавить в область, чтобы добавить результаты в область исследования.

7. Повторяйте для каждого оставшегося среза времени, пока все данные не будут приниматься в исследование.

Панель мониторинга области

На вкладке Проверка оценок отображается статистика и метрики для результатов данных, включенных в поисковый запрос. Это представление помогает определить, готовы ли результаты поискового запроса к добавлению в область исследования или нужно ли уточнить запрос для более широких или узких результатов.

Результаты поиска для панели мониторинга Области включены в следующие разделы:

• Сводка. Показывает количество попаданий поиска, расположения, источники данных и общий размер файла частично индексированных элементов.

  • Общее количество совпадений. Отображает общее количество попаданий в поиск и объем всех элементов, соответствующих условиям запроса из мест поиска.
  • Расположения. Отображает долю расположений с попаданиями из всех мест поиска. Числитель показывает расположения с хитами, а знаменатель — количество мест поиска. Расположения с ошибками отображаются красным цветом. Чтобы просмотреть полные сведения обо всех расположениях и связанных с ними попаданиях и ошибках, выберите Скачать отчет , чтобы скачать полный отчет .csv.
  • Источники данных. Отображает долю источников данных с попаданиями из всех искомых источников данных. Числитель отображает источники данных с попаданиями, а знаменатель — количество источников данных, включенных в поиск. Этот источник данных согласуется с источником данных в потоке разработки поиска и должен соответствовать количеству людей или групп, включенных в поиск. Источник данных на уровне клиента для всех пользователей и всех групп считается одним источником данных.
  • Частично индексированные элементы или "Расширенные индексированные элементы попадают": отображает количество и объем частично и неиндексированных элементов, возвращенных в ходе поиска. Расширенное индексированное число попаданий происходит из статистической выборки по частично индексируемым элементам, фактические попадания могут быть больше, и вы можете подтвердить с помощью действий Добавить в набор проверки и Экспорт результатов поиска .
  • Основные источники данных. Отображает пять основных источников данных, которые составляют наибольшее число попаданий, соответствующих запросу. Имена этих источников данных (имена пользователей, групп или расположений на уровне организации) указываются с количеством попаданий. Эти источники данных должны соответствовать тому, что вы выбрали в рабочем процессе источников данных при создании поискового запроса.
  • Состояние индексирования: разбивка неиндексированных (включая частично индексированные) и полностью индексированных элементов данных.
  • Тип верхнего расположения: количество попаданий по типу расположения (почтовый ящик и сайт).

Выберите Повторное представление , чтобы повторно выполнить запрос и просмотреть последние результаты. Выберите Скачать отчет , чтобы объединить все результаты области в один .csv файл. При просмотре первых 100 результатов для любой области тренда выберите Скачать отчет для .csv файла 100 лучших результатов выбранной тенденции попадания.

Панель мониторинга примеров

Примеры позволяют проверить репрезентативное подмножество отдельных элементов и сведения для каждого элемента, возвращенного для поиска. Количество выборок для каждого расположения и количество расположений выборок, определенных в поиске, определяют количество образцов элементов и представление расположения в образце элементов.

Результаты поиска для столбцов панели мониторинга Примеры содержат следующие сведения для каждого элемента:

• Тема и заголовок: тема или название элементов, включенных в пример.
• Дата: дата создания или отправки элемента.
• Sender/Author: отправитель или автор элемента.

Выберите пример элемента, чтобы просмотреть сведения об источнике элемента. Если он доступен для элемента, в этом представлении отображается расширенное представление выбранного элемента, чтобы можно было оценить релевантность элемента в том виде, в котором он связан с определенным источником данных поиска и условиями.

Выберите Скачать отчеты , чтобы объединить все примеры результатов в один .csv файл. Выберите Просмотр параметров , чтобы просмотреть параметры, примененные к образцу создания представления.