Condividi tramite


Visualizzazione dei report di rilevamento dei criteri di prevenzione della perdita dei dati

Si applica a: Exchange Server 2013

La gestione del rilevamento dei criteri di prevenzione della perdita dei dati definisce in modo ampio le attività eseguite da un'organizzazione per identificare, analizzare e risolvere le violazioni dei criteri DLP. Per gestire gli eventi imprevisti, è necessario accedere a informazioni che identificano ciò che è stato rilevato dai criteri di prevenzione della perdita dei dati. Queste informazioni di rilevamento sono integrate con i formati di dati e log Microsoft Exchange Server 2013 esistenti, in modo da poter sfruttare un sistema di dati completo esistente per gestire gli eventi imprevisti del flusso di posta.

Per informazioni sulla creazione di un report sugli eventi imprevisti insieme a un singolo evento di rilevamento dei criteri, vedere Creare report sugli eventi imprevisti per i rilevamenti dei criteri DLP. Per altre informazioni sui log dei messaggi, vedere Tenere traccia dei messaggi con i report di recapito.

Nota

Exchange 2013: Prevenzione perdita dati (DLP) è una funzionalità premium che richiede una licenza di accesso client (CAL, Client Access License) di Enterprise di Exchange. Per altre informazioni sulle licenze CAL e sui server, vedere Domande frequenti sulle licenze di Exchange.

Informazioni di controllo

I dati relativi alla gestione del rilevamento DLP in Exchange sono integrati nei log di rilevamento dei messaggi, noti anche come report di recapito. Le funzionalità riutilizzano gran parte del framework di registrazione esistente disponibile nel sistema. Per informazioni generali, inclusa la comprensione della struttura dei file di log di rilevamento dei messaggi, esaminare il contenuto esistente in Informazioni sul rilevamento deimessaggi o Tenere traccia dei messaggi con i report di recapito.

Il report di recapito è un log dettagliato di tutte le attività dei messaggi quando i messaggi vengono trasferiti da e verso un computer che esegue il servizio Trasporto in un server Cassette postali. È possibile accedere al log di rilevamento dei messaggi tramite Exchange Management Shell usando il cmdlet Get-MessageTrackingLog . I dati DLP sono integrati nel report di recapito seguendo i formati e le convenzioni di dati esistenti.

Formato di registrazione dati

I log di rilevamento dei messaggi contengono i dati degli agenti coinvolti nell'elaborazione del contenuto del flusso di posta. Per la prevenzione della perdita dei dati, l'agente della regola di trasporto (TRA) viene usato per richiamare l'analisi approfondita del contenuto dei messaggi e per applicare i criteri definiti come parte degli ETP. L'evento AgentInfo esistente viene usato per aggiungere voci correlate alla prevenzione della perdita dei dati nel log di rilevamento dei messaggi.

Il nome dell'agente sarà TRA o Transport Rule Agent nell'evento AgentInfo. Verrà registrato un singolo evento AgentInfo per ogni messaggio che descrive l'elaborazione DLP applicata al messaggio. Il campo CustomData del campo di immissione del log di rilevamento messaggi è il punto in cui verranno visualizzati i dati DLP registrati dall'agente della regola di trasporto. Questo campo può contenere più voci: una classificazione dei dati e una riga di informazioni client per ogni classificazione dei dati trovata nel messaggio, una riga di regola per ogni regola applicabile al messaggio e una riga di monitoraggio dell'integrità per ogni regola che supera la soglia del tempo di caricamento o di esecuzione.

Un esempio della voce del log DLP viene visualizzato qui. L'output è stato formattato in modo da visualizzare le stringhe in righe separate con nuove righe.

Source: AGENT

EventId: AGENTINFO

CustomData: S:TRA=DC|dcid=41BFDBC6C9D811E0816A3CD34824019B|count=10|conf=77;

S:TRA=DC|dcid=C7ECCBA0CA0011E0B6C00B124924019B|count=3|conf=81;

S:TRA=CI|sndOverride=or|just=Business Reason;

S:TRA=CI|sndOverride=fp;

S:TRA=ETR|ruleId=FC2AA60C9D811E0AFC076D34824019B|dlpid=1B81CC82C9DB11E09052C5D64824019B|st=2010-11-03 15:30T|action=PrependSubject|action=Encrypt|sev=2|mode=audit|dcid=41BFDBC6C9D811E0816A3CD34824019B|sndOverride=or;

S:TRA=ETR|ruleId=AB2AA60C9D811E0AFC076D34824019B|dlpid=1B81CC82C9DB11E09052C5D64824019B|st=2010-11-03 15:30T|action=Encrypt|sev=1|mode=enabled|dcid=C7ECCBA0CA0011E0B6C00B124924019B|sndOverride=fp;

S:TRA=ETRP|ruleId=C27D21EECA0311E0BCB896154924019B|LoadW=200|LoadC=100|ExecW=5500|ExecC=200;

L'agente della regola di trasporto richiede il raggruppamento dell'ID regola, dell'ID criterio DLP (facoltativo), della data dell'ultima modifica, dell'azione, della gravità, della modalità, della classificazione dei dati rilevata (facoltativa) e dell'override del mittente (facoltativo) in base all'ID regola (indicato da "TRA=ETR" nella riga di log). Richiede anche che l'ID di classificazione dei dati, il conteggio e il livello di attendibilità delle classificazioni siano raggruppati in base al nome di classificazione (indicato da "TRA=DC" nella riga di log).

I raggruppamenti aggiuntivi includono l'ID di classificazione dei dati, l'override del mittente (facoltativo) e la giustificazione dell'override (facoltativo) in base all'ID di classificazione dei dati per tutte le classificazioni rilevate nel client (indicato da "TRA=CI" nella riga di log). L'agente della regola di trasporto richiede anche che l'ID regola, l'orologio a muro di carico (facoltativo), il clock della CPU di caricamento (facoltativo), l'orologio a muro di esecuzione (facoltativo) e l'orologio della CPU di esecuzione (facoltativo) siano raggruppati in base all'ID regola per tutte le regole che superano le soglie di caricamento o esecuzione del muro o del clock della CPU (indicate da "TRA=ETRP" nella riga di log).

Di seguito è riportato un elenco completo dei campi dati. Tutti i dati in MTL sono di tipo string. La colonna Format descrive come riconoscere ogni campo nel log di rilevamento messaggi. La colonna Campo facoltativo specifica quali campi potrebbero non essere registrati quando una regola corrisponde. Colonna specifica DLP che mostra i campi specifici della funzionalità DLP.

Nome del campo Descrizione Formato Campo facoltativo Specifica DLP
TRA Agente della regola di trasporto; type AgentName TRA=DC, ETR, CI o ETRP Obbligatorio No
Dc Classificazione dei dati; type groupName TRA=DC Facoltativo
Etr Regola di trasporto di Exchange; type groupName TRA=ETR Obbligatorio No
CI Informazioni client, tipo groupName TRA=CI Facoltativo
ETRP Prestazioni delle regole di trasporto di Exchange; type groupName TRA=ETRP Facoltativo No
dcid ID della classificazione dei dati dcid=GUID Facoltativo
Conteggio Conteggio della classificazione dei dati count=Integer Facoltativo
conf Livello di attendibilità della classificazione dei dati conf=Integer (Percent) Facoltativo
sndOverride Override del mittente; il campo è facoltativo.

Nella riga TRA=CI, quando il campo è impostato su "o" indica che la classificazione dei dati è stata sottoposta a override. Se il campo è impostato su "fp" significa che la classificazione dei dati è stata segnalata come falso positivo.

Nella riga TRA=ETR, quando il campo è impostato su "o" indica che la regola o parte della regola è stata sottoposta a override. Se il campo è impostato su "fp" indica che la regola o parte della regola è stata segnalata come falso positivo.
sndOverride=o o fp

Dove "or" rappresenta override e "fp" significa falso positivo. Il campo sndOverride è presente quando un utente finale ha segnalato un override o un falso positivo per una regola.
Facoltativo
Solo Giustificazione; il campo è facoltativo e disponibile solo quando il campo di sostituzione del mittente è uguale a "o" nella riga TRA=CI. Testo di giustificazione fornito dall'utente finale come motivo per cui la classificazione dei dati deve essere sottoposta a override. just=IW input justification string

Il campo di giustificazione viene registrato solo quando l'utente finale segnala un override.
Facoltativo
ruleId ID per una regola ruleId=GUID Obbligatorio No
dlpId ID per un criterio DLP. Il campo è facoltativo; se non è presente alcun dlpId, la regola non appartiene a un criterio DLP. dlpId=GUID Facoltativo
San Data ultima modifica di una regola st=UTC data-ora Obbligatorio No
action Azione eseguita da una regola; potrebbero avere più azioni per regola action=singola azione

Se sono applicate più azioni per una regola, saranno presenti più campi azione.
Obbligatorio No
Sev Controllare la gravità della regola sev=1, 2 o 3

Dove 1 rappresenta basso, 2 è medio e 3 significa alto.
Facoltativo No
Modalità Stato della regola quando è stata raggiunta (imposizione, controllo o auditandnotify). mode=audit, auditandnotify o enforcement Obbligatorio No
loadW Carica orologio a muro; il campo è facoltativo loadW=time in ms Facoltativo No
loadC Carica orologio CPU; il campo è facoltativo loadC=time in ms Facoltativo No
execW Esegui orologio a muro; il campo è facoltativo execW=time in ms Facoltativo No
execC Eseguire il clock della CPU; il campo è facoltativo execC=time in ms Facoltativo No
message-id ID del messaggio message-id=ID del messaggio Obbligatorio No
Data-ora Data e ora in cui il messaggio è stato inviato in ora universale date-time=UTC date-time Obbligatorio No
sender-address Email indirizzo specificato nel campo mittente sender-address=Email address Obbligatorio No
destinatario-indirizzo Email indirizzo o gli indirizzi dei destinatari del messaggio recipient-address=Email address Obbligatorio No
oggetto del messaggio Dati trovati nel campo dell'oggetto del messaggio message-subject=end-user input subject string Obbligatorio No

Ulteriori informazioni

Prevenzione della perdita di dati

Creare i rapporti operazioni non consentite per i rilevamenti di criteri DLP

Verifica i messaggi con i rapporti di recapito