Управление судебно-медицинскими доказательствами по управлению внутренними рисками

После завершения действий по настройке и создания политики судебно-медицинских доказательств вы увидите оповещения о потенциально рискованных действиях пользователей, связанных с безопасностью, которые соответствуют условиям для индикаторов, определенных в политике.

Использование панели мониторинга судебно-медицинских доказательств

Панель мониторинга судебно-медицинских доказательств предоставляет сводное представление ключевых областей конфигурации судебно-медицинских доказательств в организации. В этом предварительном выпуске панель мониторинга содержит только раздел работоспособности устройства для судебно-медицинской экспертизы . Выберите Просмотреть отчет о работоспособности устройства , чтобы открыть вкладку работоспособности устройства и отчет.

Управление пользователями и утверждениями судебно-медицинских доказательств

Вы должны запросить и утвердить конкретных пользователей, прежде чем они будут иметь право на запись судебно-медицинских доказательств. Простое добавление пользователей в политику судебно-медицинских доказательств не делает этих пользователей автоматически право на запись. Вы можете запрашивать и утверждать пользователей до или после создания политик судебного доказательства, но записи клипов, связанные с индикаторами политики, создаются и доступны для просмотра только после утверждения пользователей.

Пользователи, назначенные группам ролей "Управление внутренними рисками " или "Администраторы управления внутренними рисками ", могут отправлять запросы на утверждение пользователям, назначенным группе ролей Утверждающие управление внутренними рисками .

Запрос на сбор утверждений

Запрос на включение судебно-медицинских доказательств для сбора информации для конкретных пользователей. Когда вы отправляете запрос, утверждающие в вашей организации получают уведомление по электронной почте и могут утвердить или отклонить запрос. В случае утверждения пользователь отображается на вкладке Утвержденные пользователи и имеет право на запись. Если запрос не был решен, срок действия запроса истекает через шесть месяцев с момента его отправки.

1. Войдите на портал Microsoft Purview с учетными данными для учетной записи администратора в организации Microsoft 365.

2. Перейдите к решению для управления внутренними рисками .

3. Выберите Судебно-медицинские доказательства в области навигации слева, а затем выберите Управление пользователями.

4. Перейдите на вкладку Управление запросами судебно-медицинских доказательств .

5. Выберите Создать запрос.

6. На странице Пользователи выберите Добавить пользователей.

7. Используйте поиск , чтобы найти определенного пользователя или выбрать одного или нескольких пользователей из списка. Нажмите кнопку Добавить, а затем Далее.

8. На странице Политика судебно-медицинских доказательств выберите политику судебно-медицинских доказательств для добавленных пользователей. Выбранная политика определяет область действий, которые необходимо записать для пользователей.

9. Нажмите кнопку Далее.

10. На странице Обоснование объясните, почему вы запрашиваете включение записи для пользователей, добавленных в текстовое поле Обоснование включения записи судебно-медицинских доказательств . Это поле обязательно для заполнения. После завершения выберите Далее.

11. На странице уведомлений Email используйте шаблон уведомления, чтобы отправить пользователям сообщение электронной почты о том, что запись судебно-медицинских доказательств включена для их устройства в соответствии с политиками вашей организации. Сообщение электронной почты отправляется пользователям только в том случае, если их запрос утвержден.

    Установите флажок Отправить уведомление по электронной почте утвержденным пользователям проверка. Выберите существующий шаблон или создайте новый. Чтобы создать новый шаблон, выберите Создать шаблон уведомления и заполните обязательные поля в области Новый шаблон уведомления по электронной почте .

12. Нажмите кнопку Далее.

13. На странице Готово проверьте параметры перед отправкой запроса. Выберите Изменить пользователей или Изменить обоснование , чтобы изменить любое из значений запроса, или нажмите кнопку Отправить , чтобы создать и отправить запрос рецензентам.

Чтобы просмотреть ожидающие запросы на утверждение, перейдите к разделу Insider Risk Management>Forensic Evidence>Pending Requests . Здесь вы увидите пользователей с ожидающих запросов, их адрес электронной почты, дату отправки запроса и отправивших запрос на утверждение. Если пользователи не отображаются, нет ожидающих запросов на утверждение для пользователей.

Пользователи, назначенные группе ролей Утверждающие управление внутренними рисками , могут выбрать пользователя на вкладке Запрос на судебно-медицинские доказательства и просмотреть запрос. После просмотра запроса эти пользователи могут утвердить или отклонить запрос на сбор судебно-медицинских доказательств. Утверждение или отклонение запроса записи удаляет ожидающий запрос для пользователей из этого представления.

Утверждение или отклонение перехвата запросов

После отправки запроса на утверждение записи пользователи, назначенные группе ролей "Утверждающие управление внутренними рисками ", получают уведомление по электронной почте о запросе на утверждение.

1. Войдите на портал Microsoft Purview с учетными данными для учетной записи администратора в организации Microsoft 365.
2. Перейдите к решению для управления внутренними рисками .
3. Выберите Судебно-медицинские доказательства в области навигации слева, а затем выберите Ожидающие запросы.
4. Выберите пользователя для проверки.
5. В области Проверка запроса на судебно-медицинские доказательства (предварительная версия) проверьте обоснование, отправленное инициатором запроса. Выберите Утвердить или Отклонить , если применимо.
6. На странице Утверждение запроса или Отклонение запроса нажмите кнопку Закрыть.

Отзыв записей утверждений

При необходимости вы можете отозвать утверждение для конкретных пользователей и исключить их из сбора судебно-медицинских доказательств. Отзыв утверждения не приводит к удалению существующих записей для этих пользователей. Он отключает только запись действий в будущем для этих пользователей.

1. Войдите на портал Microsoft Purview в качестве участника группы ролей Утверждающие управление внутренними рисками .
2. Перейдите к решению для управления внутренними рисками .
3. Выберите Судебно-медицинские доказательства в области навигации слева, а затем выберите Управление пользователями.
4. Перейдите на вкладку Утвержденные пользователи .
5. Выберите пользователя, а затем нажмите кнопку Удалить.
6. На странице подтверждения удаления выберите Удалить , чтобы отозвать утверждение записи.

Создание шаблонов уведомлений о судебно-медицинских доказательствах и управление ими

Вы можете создать шаблон уведомлений и использовать его для отправки электронной почты пользователям, сообщая им о том, что запись судебно-медицинских доказательств включена для их устройства в соответствии с политиками вашей организации. Сообщение электронной почты отправляется пользователям только в том случае, если их запрос утвержден.

Создание шаблона уведомления

Чтобы создать шаблон уведомления, выполните следующие действия.

1. Войдите на портал Microsoft Purview с учетными данными для учетной записи администратора в организации Microsoft 365.
2. Перейдите к решению для управления внутренними рисками .
3. Выберите Судебно-медицинские доказательства в области навигации слева, а затем выберите Шаблоны уведомлений.
4. Выберите Создать шаблон уведомления.
5. В области Новый шаблон уведомления по электронной почте введите следующие обязательные поля:
   • Имя шаблона
   • Отправить из
   • Subject
   • Тело сообщения.
6. Выберите Сохранить.

Просмотр захваченных клипов и управление ими

Вы можете просматривать и просматривать захваченные клипы, открыв вкладку Доказательства судебной экспертизы при открытии Управление внутренними рисками Microsoft Purview. Вы также можете выбрать вкладку Судебно-медицинские доказательства из других областей решения, чтобы просмотреть список захваченных клипов в контексте:

• Панель мониторинга оповещений. Клипы, доступные на панели мониторинга Оповещений , соответствуют параметру для записи определенных действий пользователя при создании политики судебно-медицинских доказательств. Захваченные клипы определяются индикаторами, которые выбираются в политике судебно-медицинских доказательств.
• Отчеты о действиях пользователей. Клипы, доступные из отчетов о действиях пользователей , соответствуют параметру для записи любых действий, связанных с безопасностью , выполняемых пользователями, включенными в политики судебно-медицинских доказательств.
• Панель мониторинга вариантов. Клипы, доступные на панели мониторинга Варианты , представляют собой оповещения, которые вы передаете в обращения.

При выборе вкладки Доказательства судебной экспертизы в списке отображаются захваченные клипы и связанные с ними сведения. Если выбрать снятый клип в списке, в центре экрана появится видеопроигрыватель, а справа от видеопроигрывателя отобразится расшифровка действий и событий из клипа.

Каждый захваченный клип содержит следующие сведения:

• Дата и время (UTC): дата, время (UTC) и длительность записи. Длительность записи — это общее время, охватываемое записью. Фактическая длина записи может быть короче, так как управление внутренними рисками автоматически устраняет идентичные кадры.
• Устройство: имя устройства в Windows 10/11.
• Действия: тип действия Управления внутренними рисками, включенный в запись. Эти действия основаны на глобальных индикаторах и индикаторах политики, назначенных связанной политике.
• Пользователь: имя пользователя.
• URL-адрес (если применимо): URL-адрес, к которому пользователь получил доступ при выполнении действия.
• Приложение (если применимо): приложение, к которому пользователь получил доступ при выполнении действия.
• Заголовок активного окна: заголовок окна, к которому пользователь получил доступ при выполнении действия.

Чтобы просмотреть захваченный клип, выполните приведенные далее действия.

1. При необходимости настройте фильтры в верхней части списка.

2. Выберите клип из списка.

3. С помощью элементов управления видеопроигрыватель выберите элемент управления Воспроизведение , чтобы просмотреть весь клип от начала до конца.

4. Чтобы область проверку на определенное действие или событие в клипе, выберите действие или событие в расшифровке. Вы также можете использовать поле поиска для поиска определенных действий или событий.

   Примечание.

   Красный треугольник в расшифровке обозначает действие.

Фильтрация списка захваченных клипов

Вы можете использовать фильтры для списка захваченных клипов, чтобы отфильтровать определенные действия и сведения. Каждый фильтр поддерживает до 10 уникальных идентификаторов, поэтому, например, можно одновременно фильтровать до 10 пользователей. В следующей таблице описаны различные фильтры.

Удаление клипов

Пользователи, назначенные группе ролей Insider Risk Management Investigators , могут удалять отдельные клипы из списка захваченных клипов. Для этого сделайте следующее:

1. Выберите поле проверка рядом с записью.
2. Выберите Удалить.

Пользователи, назначенные группе ролей Администраторы управления внутренними рисками , могут выполнять массовое удаление с помощью параметров.

Массовое удаление

Чтобы удалить клипы для определенного пользователя, выполните следующие действия:

1. Войдите на портал Microsoft Purview в качестве участника группы ролей Администраторы управления внутренними рисками .
2. Перейдите к решению для управления внутренними рисками .
3. Выберите Судебно-медицинские доказательства в области навигации слева, а затем выберите Параметры судебно-медицинских доказательств.
4. Убедитесь, что параметр Разрешить удаление данных судебно-медицинских пользователей администратором или следователем установлен в значение Включено.
5. В разделе Удаление данных пользователя выберите Выбрать пользователя, а затем выберите пользователя, для которого нужно удалить клипы.

Просмотр захваченных клипов на панели мониторинга оповещений

Для оповещений, создаваемых политиками, можно просмотреть записи судебно-медицинских доказательств на вкладке Судебно-медицинские доказательства на панели мониторинга Оповещения . Если для оповещения доступно одно или несколько записей, вы также увидите ссылку Просмотреть уведомление о судебно-медицинских доказательствах в разделе действия, которое создает заголовок оповещения. Чтобы просмотреть список записей действий, можно щелкнуть ссылку уведомления или вкладку Судебно-медицинские доказательства .

Проверка оповещений о потенциально рискованных действиях, которые могут содержать записи судебно-медицинских доказательств, по сути, аналогична просмотру оповещения без захвата судебно-медицинских доказательств. Существенное различие заключается в включении всех применимых записей. Вкладка Судебно-медицинские доказательства предоставляет доступ ко всем доступным захватам, связанным с оповещением.

Просмотр захваченных клипов на панели мониторинга вариантов

При эскалации оповещений в дела включите все связанные записи судебно-медицинских доказательств в рамках дела. Проверка записей судебно-медицинских доказательств для случаев выполняется так же, как и проверка записей для оповещений.

Просмотр захваченных клипов в отчетах о действиях пользователей

Отчеты о действиях пользователей позволяют проверять действия конкретных пользователей за определенный период времени без необходимости назначать их временно или явно политике управления внутренними рисками. Если эти действия пользователей включают действия, поддерживаемые записью судебно-медицинских доказательств, отчет содержит клипы с действиями пользователя.

Если вы настроили судебно-медицинские доказательства для отслеживания всех действий пользователей, связанных с безопасностью, независимо от того, включены ли они в политику судебно-медицинских доказательств, просмотрите эти записи, выполнив следующие действия.

1. Выберите Общиесведения обуправлении внутренними рисками>.
2. В нижней части экрана Обзор в разделе Исследование действий пользователей выберите Управление отчетами.
3. Выберите конкретного пользователя, а затем перейдите на вкладку Судебно-медицинские доказательства .
4. Выберите клип из списка, а затем используйте элементы управления видеопроигрыватель для просмотра клипа. Чтобы область проверку на определенное действие или событие, выберите действие или событие в расшифровке.

Отчет о работоспособности устройства (предварительная версия)

Настроив устройства для поддержки судебно-медицинских доказательств, вы можете просмотреть состояние работоспособности клиента Microsoft Purview для всех устройств в организации, перейдя в раздел Insider Risk ManagementForensic Evidence>Device Health (Состояние работоспособности устройств для управления внутренними рисками>).

Список минимальных требований к устройству и конфигурации см. в статье Сведения о судебно-медицинских доказательствах. Чтобы подключить поддерживаемые устройства, выполните действия, описанные в статье Общие сведения о подключении Windows 10 и Windows 11 устройств в Microsoft 365.

Отчет о работоспособности устройства позволяет просматривать состояние и работоспособность всех устройств, на которых установлен агент судебно-медицинских доказательств. В каждом мини-приложении отчета отображаются сведения за последние 24 часа.

• Устройства в сети. Общее количество устройств, подключенных в данный момент.
• Устройства в автономном режиме. Общее количество устройств, которые в настоящее время находятся в автономном режиме.
• Устройства с предупреждениями. Общее количество устройств с предупреждением.
• Устройства с ошибками: общее количество устройств с ошибкой.

В очереди работоспособности устройств перечислены все устройства, настроенные для судебно-медицинских доказательств в вашей организации. Кроме того, в отчете перечислены состояния следующих атрибутов устройства:

• Имя устройства: имя устройства, определенное атрибутом ComputerName устройства.
• Состояние устройства: состояние клиента Microsoft Purview на устройстве. Ниже приведены значения состояния.
  • Работоспособно. Клиент на устройстве работает должным образом, и функции записи судебно-медицинских доказательств полностью поддерживаются.
  • Предупреждение. Клиент на устройстве имеет предупреждение, и функции записи судебно-медицинских доказательств могут поддерживаться не полностью.
  • Ошибка. Клиент на устройстве имеет ошибку, а функции записи судебно-медицинских доказательств отключены или поддерживаются не полностью.
• Сведения о состоянии. Дополнительные сведения о состоянии устройства.
• Последняя синхронизация (UTC): дата и время последней синхронизации состояния устройства.
• Имя пользователя: имя пользователя, вошедшего в устройство при синхронизации состояния.
• Версия Windows: версия Microsoft Windows, установленная на устройстве.
• Версия клиента: версия клиента Microsoft Purview, установленного на устройстве.

Состояние работоспособности устройства позволяет получить представление о потенциальных проблемах с устройствами и клиентом Microsoft Purview. Столбец Состояние устройства на странице Работоспособность устройства может оповещать вас о проблемах с устройством, которые могут препятствовать захвату действий пользователей или о том, почему объем судебно-медицинских доказательств является необычным. Состояние работоспособности устройства также может подтвердить, что устройства, включенные в запись судебно-медицинских доказательств, работоспособны и не требуют внимания или изменения конфигурации. В следующей таблице перечислены потенциальные сообщения с подробными сведениями о состоянии и рекомендуемые действия, которые можно предпринять для устранения предупреждений и ошибок.

Если рекомендуемые действия не устраняют проблемы с клиентом, обратитесь к служба поддержки Майкрософт.

Емкость и выставление счетов

При настройке судебно-медицинских доказательств вы можете приобрести надстройку судебно-медицинских доказательств для управления внутренними рисками для захваченных клипов. Организации с любой из следующих лицензий могут получить надстройку: Microsoft 365 E5, Microsoft Purview Suite (прежнее название — Соответствие требованиям Microsoft 365 E5) или управление внутренними рисками Microsoft 365 E5.

Организации могут приобретать надстройку в единицах по 100 ГБ в месяц. Приобретенная емкость применяется к приему судебно-медицинских доказательств, начиная с даты покупки, и сбрасывается в первом месяце. Неиспользуемая емкость не переносится. Мы рекомендуем приобрести лицензию в начале месяца, чтобы максимально увеличить ее стоимость. Сто гигабайт примерно равно около 1100 часов судебно-медицинских доказательств на каждого арендатора при разрешении видео 1080p. Вы можете скачать калькулятор емкости судебно-медицинских доказательств , чтобы оценить количество ГБ, необходимое в месяц.

После приема судебно-медицинских доказательств система сохраняет их в течение 120 дней. При необходимости вы можете экспортировать судебно-медицинские доказательства после 120-дневного срока хранения.

Сравнение планов оплаты судебно-медицинских доказательств

При покупке надстройки через Центр администрирования Microsoft 365 доступны два плана оплаты:

• Платить ежегодно (доступно во всех каналах). С параметром ежегодного обязательства вы покупаете количество лицензий, указанное каждый месяц в течение 12 месяцев. Этот вариант подходит для клиентов, которые хотят убедиться, что у них есть емкость, доступная каждый месяц для приема судебно-медицинских доказательств без прерывания. Этот план оплаты автоматически пополняет количество лицензий, приобретенных каждый месяц. Приобретенная емкость применяется к приему судебно-медицинских доказательств, начиная с даты покупки, и сбрасывается в первом месяце. Неиспользуемая емкость не переносится. Клиенты могут выбрать выставление счетов один раз или разделить счет на 12 ежемесячных платежей.
• Оплата ежемесячно (доступна только в веб-прямой). Если вы не хотите принимать ежегодные обязательства, вы можете приобрести количество лицензий, необходимых каждый месяц. Приобретенная емкость применяется к приему судебно-медицинских доказательств, начиная с даты покупки, и сбрасывается в первом месяце. Неиспользуемая емкость не переносится.

Можно ли опробовать возможность судебной экспертизы, прежде чем приобрести ее?

Каждый клиент с Microsoft 365 E5, Microsoft Purview Suite (ранее — Соответствие требованиям Microsoft 365 E5) или лицензией Microsoft 365 E5 Insider Risk Management может зарегистрироваться для получения пробной лицензии на 20 ГБ, чтобы попробовать возможности судебно-медицинских доказательств.

Пробная лицензия предоставляет 20 ГБ емкости до тех пор, пока вы не будете использовать ее до одного года с даты активации, в зависимости от того, что наступит раньше. Если вы приобрели лицензию на надстройку судебно-медицинских доказательств перед использованием всей пробной емкости, вы можете использовать оставшуюся пробную емкость до того, как система начнет измерять приобретенную емкость.

Если вы используете 20 ГБ пробной емкости без приобретения криминалистической надстройки для управления внутренними рисками, вы можете просматривать любые подаваемые клипы, но не сможете принимать новые клипы.

Зарегистрируйтесь для получения пробной лицензии на 20 ГБ

Чтобы запросить пробную лицензию на 20 ГБ, выполните следующие действия.

1. Войдите на портал Microsoft Purview с учетными данными для учетной записи администратора в организации Microsoft 365.

2. Перейдите к решению для управления внутренними рисками .

3. Выберите Судебно-медицинские доказательства в области навигации слева, а затем выберите Емкость и выставление счетов.

   Примечание.

   Вы также можете зарегистрироваться для получения пробной лицензии на вкладкеПанель мониторингасудебно-медицинских доказательств>управления внутренними рисками>.

4. Выберите Утверждение 20 ГБ емкости.

5. Следуйте инструкциям в Центр администрирования Microsoft 365.

Приобретение криминалистической надстройки для управления внутренними рисками

Чтобы приобрести надстройку для судебно-медицинских доказательств, выполните следующие действия.

1. Перейдите в Центр администрирования Microsoft 365>Marketplace>Все продукты.
2. Поиск "судебно-медицинских доказательств".

Анализ емкости

После приобретения емкости или регистрации пробной лицензии на 20 ГБ используйте страницу Емкость, чтобы проверка, сколько ресурсов вы использовали и сколько осталось. Вы также можете узнать, сколько емкости вы используете каждый месяц, выбрав параметр из списка Использование емкости в ГБ или выбрав Просмотреть все использование емкости.