Introduzione al dashboard Avvisi per la prevenzione della perdita dei dati
Articolo
I criteri Prevenzione della perdita dei dati Microsoft Purview (DLP) possono intraprendere azioni protettive per impedire la condivisione involontaria di elementi sensibili. È possibile ricevere una notifica quando viene eseguita un'azione su un elemento sensibile configurando gli avvisi per la prevenzione della perdita dei dati. Questo articolo illustra come configurare gli avvisi nei criteri di prevenzione della perdita dei dati. Si vedrà come usare il dashboard di gestione degli avvisi DLP nel portale di Microsoft Purview per visualizzare avvisi, eventi e metadati associati per le violazioni dei criteri DLP.
Introduzione a Microsoft Security Copilot per esplorare nuovi modi per lavorare in modo più intelligente e veloce usando la potenza dell'IA. Altre informazioni su Microsoft Security Copilot in Microsoft Purview.
Un altro strumento che è possibile usare per valutare gli avvisi Microsoft Security Copilot. Security Copilot è una piattaforma di intelligenza artificiale basata sul cloud che può aiutare i professionisti della sicurezza e della conformità a proteggere i dati dell'organizzazione. È possibile usarlo per riepilogare gli avvisi di Microsoft Purview, valutare gli avvisi e per eseguire il drill-down dei dati di Microsoft Puview. È disponibile nel dashboard avvisi DLP e in Gestione della postura di sicurezza dei dati (anteprima).
Prima di iniziare
Prima di iniziare, assicurarsi di avere i prerequisiti necessari:
Licenze per il dashboard di gestione degli avvisi DLP
Licenze per le opzioni di configurazione degli avvisi
Ruoli obbligatori
Licenze per il dashboard di gestione degli avvisi DLP
I clienti che usano endpoint DLP idonei per la prevenzione della perdita dei dati di Teams visualizzano gli avvisi dei criteri DLP degli endpoint e gli avvisi dei criteri DLP di Teams nel dashboard di gestione degli avvisi DLP.
Licenze per le opzioni di configurazione degli avvisi
Se si vuole visualizzare il dashboard di gestione degli avvisi DLP o modificare le opzioni di configurazione degli avvisi in un criterio DLP, è necessario essere membri di uno di questi gruppi di ruoli:
Amministratore di conformità
Amministratore dati di conformità
Amministratore della sicurezza
Operatore della sicurezza
Ruolo con autorizzazioni di lettura per la sicurezza
Per accedere al dashboard di gestione degli avvisi DLP, sono necessari il ruolo Gestisci avvisi e uno di questi due ruoli:
Gestione della conformità DLP
View-Only gestione della conformità DLP
Per accedere alla funzionalità anteprima contenuto e alle funzionalità di contesto e contenuto sensibili corrispondenti, è necessario essere un membro del gruppo di ruoli Visualizzatore contenuto di Esplora contenuto , con il ruolo Visualizzatore contenuto classificazione dati preassegnato.
La configurazione dei criteri di conservazione dei log di controllo dell'organizzazione controlla per quanto tempo un avviso rimane visibile nella console. Per altre informazioni, vedere Gestire i criteri di conservazione dei log di controllo .
Configurazione dell'avviso di evento di aggregazione
Se l'organizzazione ha una licenza per le opzioni di configurazione degli avvisi aggregati, queste opzioni vengono visualizzate quando si creano o si modificano criteri di prevenzione della perdita dei dati.
Questa configurazione consente di configurare un criterio per generare un avviso ogni volta che un'attività corrisponde alle condizioni dei criteri o quando viene superata una determinata soglia, in base al numero di attività o in base al volume di dati esfiltrati.
Configurazione dell'avviso di un singolo evento
Se l'organizzazione ha una licenza per le opzioni di configurazione degli avvisi a evento singolo, queste opzioni vengono visualizzate quando si creano o si modificano criteri DLP. Usare questa opzione per creare un avviso generato ogni volta che si verifica una corrispondenza di regola DLP.
Analizzare un avviso DLP
Selezionare la scheda appropriata per il portale in uso. A seconda del piano di Microsoft 365, il Portale di conformità di Microsoft Purview viene ritirato o verrà ritirato a breve.
Selezionare Avvisi per visualizzare il dashboard Avvisi DLP .
Usare i campi Filtro per perfezionare l'elenco degli avvisi.
Scegliere Personalizza colonne per elencare le proprietà che si desidera visualizzare.
Per ordinare i risultati in ordine crescente o decrescente, fare doppio clic sull'intestazione di colonna.
Fare doppio clic su un avviso per altre informazioni.
La scheda Dettagli viene aperta per impostazione predefinita e fornisce informazioni generali sull'avviso.
Selezionare Riepilogo con Copilot. In questo modo il Security Copilot genera un riepilogo dell'avviso. Il riepilogo degli avvisi conterrà:
gravità dell'avviso
titolo avviso
nome del criterio corrispondente
il file del nome coinvolto e un collegamento al file
stato avviso
l'indirizzo di posta elettronica dell'utente che ha eseguito l'azione corrispondente ai criteri
Selezionare i puntini di sospensione nel riepilogo Security Copilot per:
copiare il riepilogo negli Appunti
rigenerare il riepilogo
aprire l'avviso nell'esperienza autonoma Security Copilot.
Selezionare Visualizza dettagli per aprire la scheda Panoramica . La scheda Panoramica fornisce un riepilogo delle informazioni seguenti:
Cos'è successo
Chi ha eseguito le azioni che hanno causato la corrispondenza dei criteri
Informazioni aggiuntive sulla corrispondenza dei criteri
Nella scheda Eventi sono elencati tutti gli eventi associati all'avviso. Selezionare qualsiasi evento nell'elenco per ottenere informazioni dettagliate sull'evento. Per ogni evento, scegliere l'elenco a discesa Azioni per un elenco di azioni che è possibile eseguire sull'avviso, ad esempio verificare se l'avviso ha identificato o meno una corrispondenza vera o un falso positivo.
Dopo aver eseguito l'analisi dell'avviso, tornare alla scheda Panoramica in cui è possibile visualizzare i dettagli per valutare e gestire l'eliminazione dell'avviso, aggiungere commenti e assegnare la proprietà dell'avviso. Per visualizzare la cronologia della gestione del flusso di lavoro.
Dopo aver eseguito l'azione necessaria per l'avviso, impostare Stato dell'avviso su Risolto.
Per usare il dashboard di gestione degli avvisi DLP:
Nel Portale di conformità di Microsoft Purview passare a Prevenzione della perdita dei dati e selezionare Avvisi.
Scegliere Personalizza colonne per elencare le proprietà che si desidera visualizzare. È anche possibile scegliere di ordinare gli avvisi in ordine crescente o decrescente in qualsiasi colonna.
Scegliere Applica.
Selezionare Visualizza dettagli per aprire la pagina Panoramica per l'avviso. La pagina di panoramica fornisce un riepilogo che identifica:
Cos'è successo
che ha eseguito le azioni che hanno causato la corrispondenza dei criteri
informazioni sui criteri corrispondenti
Selezionare la scheda Eventi per visualizzare tutti gli eventi associati all'avviso. Le schede in questa pagina forniscono informazioni su:
Contenuto di origine coinvolto
Dettagli dell'evento
Classificatori che hanno rilevato una corrispondenza
Selezionare un avviso per visualizzare i dettagli.
Nel riquadro Dettagli avviso è possibile selezionare Recupera un riepilogo da Security Copilot. In questo modo il Security Copilot genera un riepilogo dell'avviso. Il riepilogo degli avvisi conterrà:
gravità dell'avviso
titolo avviso
nome del criterio corrispondente
il file del nome coinvolto e un collegamento al file
stato avviso
l'indirizzo di posta elettronica dell'utente che ha eseguito l'azione corrispondente ai criteri
Selezionare i puntini di sospensione nel riepilogo Security Copilot per:
copiare il riepilogo negli Appunti
rigenerare il riepilogo
aprire l'avviso nell'esperienza autonoma Security Copilot.
Selezionare le azioni che si desidera eseguire sul file.
Dopo aver eseguito l'analisi dell'avviso, tornare alla scheda Panoramica in cui è possibile valutare e gestire l'eliminazione dell'avviso, aggiungere commenti e assegnare la proprietà dell'avviso.
Per visualizzare la cronologia della gestione del flusso di lavoro, scegliere Log di gestione.
Dopo aver eseguito l'azione necessaria per l'avviso, impostare lo stato dell'avviso su Risolto.
Creare un collegamento condivisibile a un evento di avviso
Gli utenti con le autorizzazioni appropriate possono visualizzare gli avvisi Prevenzione della perdita dei dati Microsoft Purview (DLP) nella console avvisi DLP. Tuttavia, poiché gli avvisi vengono triaged e analizzati, è possibile condividere gli eventi di avviso con gli utenti che non hanno accesso alla prevenzione della perdita dei dati e alla console degli avvisi. In anteprima è possibile creare un collegamento condivisibile a un evento di avviso:
Nel portale di Purview passare a Prevenzione della perdita dei dati e quindi selezionare Avvisi.
Selezionare un avviso e quindi selezionare Visualizza dettagli.
Nella schermata Dettagli avviso selezionare la scheda Eventi appena sotto il titolo dell'avviso per visualizzare gli eventi contenuti in questo avviso.
Selezionare l'evento da condividere e quindi fare clic sul pulsante Azioni nella parte inferiore della schermata per visualizzare il menu Azioni .
Selezionare Copia collegamento all'evento e quindi selezionare Copia per copiare il collegamento condivisibile all'evento.
Ora è possibile incollare il collegamento dagli Appunti per condividere il collegamento tramite chat, posta elettronica o altri mezzi.
Altre condizioni corrispondenti
Microsoft Purview supporta la visualizzazione di condizioni corrispondenti in un evento DLP per rivelare la causa esatta di un criterio DLP contrassegnato. Queste informazioni vengono visualizzate in:
Le informazioni sugli eventi corrispondenti sono supportate per queste condizioni
Condizione
Exchange
SharePoint
Teams
Endpoint
Il mittente è
Sì
No
Sì
No
Il dominio del mittente è
Sì
No
Sì
No
L'indirizzo del mittente contiene parole
Sì
No
No
No
L'indirizzo del mittente corrisponde ai criteri
Sì
No
No
No
Il mittente è un membro di
Sì
No
No
No
L'indirizzo IP del mittente è
Sì
No
No
No
Il mittente ha sostituito il suggerimento per i criteri
Sì
No
No
No
SenderAdAttribute Contiene parole
Sì
No
No
No
Modelli di corrispondenza di SenderAdAttribute
Sì
No
No
No
Il destinatario è
Sì
No
Sì
No
Il dominio del destinatario è
Sì
No
Sì
No
L'indirizzo del destinatario contiene parole
Sì
No
No
No
L'indirizzo del destinatario corrisponde ai criteri
Sì
No
No
No
Il destinatario è un membro di
Sì
No
No
No
RecipientAdAttribute Contiene parole
Sì
No
No
No
Modelli di corrispondenza di RecipientAdAttribute
Sì
No
No
No
Il documento è protetto da password
Sì
No
No
No
Impossibile analizzare il documento
Sì
No
No
No
Il documento non ha completato l'analisi
Sì
No
No
No
Il nome del documento contiene parole
Sì
Sì
No
No
Il nome del documento corrisponde ai modelli
Sì
No
No
No
La proprietà del documento è
Sì
Sì
No
No
Dimensioni del documento su
Sì
Sì
No
No
Il contenuto del documento contiene parole
Sì
No
No
No
Il contenuto del documento corrisponde ai modelli
Sì
No
No
No
Il tipo di documento è
No
No
No
Sì
L'estensione del documento è
Sì
Sì
No
Sì
Il contenuto viene condiviso da M365
Sì
Sì
Sì
No
Il contenuto viene ricevuto da
Sì
No
No
No
Il set di caratteri di contenuto contiene parole
Sì
No
No
No
L'oggetto contiene parole
Sì
No
No
No
Il soggetto corrisponde ai criteri
Sì
No
No
No
Oggetto o corpo contiene parole
Sì
No
No
No
Soggetto o corpo corrisponde ai modelli
Sì
No
No
No
L'intestazione contiene parole
Sì
No
No
No
L'intestazione corrisponde ai criteri
Sì
No
No
No
Dimensioni del messaggio su
Sì
No
No
No
Il tipo di messaggio è
Sì
No
No
No
L'importanza del messaggio è
Sì
No
No
No
Limitazione durante il download di messaggi di posta elettronica dall'interno di un avviso DLP
In generale, quando si usa il dashboard di gestione degli avvisi DLP, è possibile scaricare messaggi di posta elettronica specifici dall'interno di un avviso. Tuttavia, i messaggi di posta elettronica eliminati in uno degli scenari seguenti non possono essere scaricati.
Illustrare i concetti fondamentali della protezione dei dati, della gestione del ciclo di vita, della protezione delle informazioni e della conformità per proteggere una distribuzione di Microsoft 365.
