Contribuire a mitigare dinamicamente i rischi con la protezione adattiva (anteprima)
Importante
Gestione dei rischi Insider Microsoft Purview correla vari segnali per identificare potenziali rischi insider dannosi o involontari, ad esempio furto ip, perdita di dati e violazioni della sicurezza. La gestione dei rischi Insider consente ai clienti di creare criteri per gestire la sicurezza e la conformità. Creati con la privacy in base alla progettazione, gli utenti vengono pseudonimizzati per impostazione predefinita e sono disponibili controlli degli accessi e dei log di controllo basati sui ruoli per garantire la privacy a livello di utente.
La protezione adattiva in Microsoft Purview usa l'apprendimento automatico per identificare i rischi più critici e applicare in modo proattivo e dinamico i controlli di protezione da:
- criteri Prevenzione della perdita dei dati Microsoft Purview (DLP)
- Microsoft Entra criteri di accesso condizionale
L'integrazione con la prevenzione della perdita dei dati e l'accesso condizionale può aiutare le organizzazioni ad automatizzare la risposta ai rischi Insider e a ridurre il tempo necessario per identificare e correggere le potenziali minacce. Sfruttando le funzionalità di tutte e tre le soluzioni, le organizzazioni possono creare un framework di sicurezza più completo che affronti le minacce interne ed esterne.
La protezione adattiva consente di attenuare i potenziali rischi usando:
- Rilevamento compatibile con il contesto. Consente di identificare i rischi più critici con l'analisi basata su ML sia del contenuto che delle attività degli utenti.
- Controlli dinamici. Consente di applicare controlli efficaci agli utenti ad alto rischio, mentre altri mantengono la produttività.
- Mitigazione automatica. Consente di ridurre al minimo l'impatto di potenziali eventi imprevisti di sicurezza dei dati e di ridurre il sovraccarico dell'amministratore.
La protezione adattiva assegna in modo dinamico agli utenti criteri di accesso condizionale appropriati Prevenzione della perdita dei dati Microsoft Purview e Microsoft Entra in base ai livelli di rischio Insider definiti e analizzati dai modelli di Machine Learning nella gestione dei rischi Insider. I criteri diventano adattivi in base al contesto utente, assicurando che i criteri più efficaci, ad esempio bloccare la condivisione dei dati tramite la prevenzione della perdita di dati o bloccare l'accesso alle applicazioni tramite l'accesso condizionale, vengano applicati solo agli utenti ad alto rischio, mentre gli utenti a basso rischio mantengono la produttività. La prevenzione della perdita di dati e i controlli dei criteri di accesso condizionale vengono costantemente modificati, quindi quando cambia il livello di rischio Insider di un utente, viene applicato dinamicamente un criterio appropriato per corrispondere al nuovo livello di rischio Insider.
Importante
La gestione dei rischi Insider è attualmente disponibile nei tenant ospitati in aree geografiche e paesi supportati dalle dipendenze dei servizi di Azure. Per verificare che la soluzione di gestione dei rischi Insider sia supportata per l'organizzazione, vedere Disponibilità delle dipendenze di Azure per paese/area geografica. La gestione dei rischi Insider è disponibile per i cloud commerciali, ma al momento non è disponibile per i programmi cloud per enti pubblici degli Stati Uniti.
Guardare il video seguente per un riepilogo del modo in cui la protezione adattiva può aiutare a identificare e attenuare i rischi più critici nell'organizzazione:
Consiglio
Se non si è un cliente E5, usare la versione di valutazione delle soluzioni Microsoft Purview di 90 giorni per esplorare in che modo funzionalità aggiuntive di Purview possono aiutare l'organizzazione a gestire le esigenze di sicurezza e conformità dei dati. Iniziare ora dall'hub delle versioni di valutazione Portale di conformità di Microsoft Purview. Informazioni dettagliate sull'iscrizione e le condizioni di valutazione.
Livelli di rischio Insider e controlli preventivi
Con la protezione adattiva, gli amministratori possono configurare i fattori di rischio o le attività per i livelli di rischio Insider personalizzabili in base alle esigenze dell'organizzazione. I livelli di rischio Insider per la protezione adattiva vengono aggiornati in modo continuo e automatico in base ai fattori di rischio e alle informazioni dettagliate degli utenti, quindi quando i rischi di sicurezza dei dati degli utenti aumentano o diminuiscono, i livelli di rischio Insider vengono regolati di conseguenza. In base ai livelli di rischio Insider, i criteri di prevenzione della perdita dei dati e i criteri di accesso condizionale applicano automaticamente il livello corretto di controlli preventivi configurati dagli amministratori (ad esempio blocco, blocco con override o avviso).
A seconda dei criteri di gestione dei rischi Insider assegnati nella protezione adattiva, vengono usati criteri diversi (utenti, gruppi, indicatori, soglie e così via) per determinare i livelli di rischio Insider applicabili. I livelli di rischio Insider si basano sulle informazioni dettagliate degli utenti, non solo sul numero di istanze di attività utente specifiche. Le informazioni dettagliate sono un calcolo del numero aggregato di attività e del livello di gravità di queste attività.
Ad esempio, i livelli di rischio Insider per l'utente A non sarebbero determinati dall'utente A che esegue un'attività potenzialmente rischiosa più di tre volte. I livelli di rischio Insider per l'utente A sono determinati da un'analisi del numero aggregato di attività e i punteggi di rischio vengono assegnati all'attività in base alle soglie configurate nei criteri selezionati.
Livelli di rischio Insider
I livelli di rischio Insider nella protezione adattiva definiscono il livello di rischio dell'attività di un utente e possono essere basati su criteri quali il numero di attività di esfiltrazione eseguite o se l'attività ha generato un avviso di rischio Insider con gravità elevata. Questi livelli di rischio Insider hanno definizioni predefinite del livello di rischio Insider, ma queste definizioni possono essere personalizzate in base alle esigenze:
- Livello di rischio elevato: si tratta del livello di rischio Insider più alto. Include le definizioni predefinite per gli utenti con avvisi con gravità elevata, gli utenti con almeno tre informazioni dettagliate di sequenza con un avviso di gravità elevata per attività di rischio specifiche o uno o più avvisi di gravità elevata confermati.
- Livello di rischio moderato: il livello di rischio insider medio include definizioni predefinite per gli utenti con avvisi di gravità media o per gli utenti con almeno due attività di esfiltrazione dei dati con punteggi di gravità elevati.
- Livello di rischio minore: il livello di rischio Insider più basso include definizioni predefinite per gli utenti con avvisi di gravità bassa o per gli utenti con almeno un'attività di esfiltrazione dei dati con un punteggio di gravità elevato.
Per assegnare un livello di rischio Insider a un utente, il numero di informazioni dettagliate e la gravità assegnata all'attività devono corrispondere alla definizione per il livello di rischio Insider. Il numero di attività per un'informazione dettagliata può essere una singola attività o più attività che si accumulano alla singola informazione. Il numero di informazioni dettagliate viene valutato per la definizione del livello di rischio Insider, non per il numero di attività contenute in un'analisi dettagliata.
Si supponga, ad esempio, che le condizioni nei criteri di gestione dei rischi Insider assegnati alla protezione adattiva siano con ambito per identificare i download dai siti di SharePoint nell'organizzazione. Se il criterio rileva che un utente ha scaricato 10 file da un sito di SharePoint in un solo giorno che sono determinati come gravità elevata, questo verrà considerato come una singola informazione che consiste in 10 eventi di attività. Affinché questa attività possa qualificarsi per l'assegnazione di un livello di rischio elevato all'utente, per l'utente sono necessarie due informazioni dettagliate aggiuntive (con gravità elevata). Le informazioni dettagliate aggiuntive possono contenere o meno una o più attività.
Personalizzazione dei livelli di rischio Insider
I livelli di rischio Insider personalizzati consentono di creare livelli di rischio Insider in base alle esigenze dell'organizzazione. È possibile personalizzare i criteri su cui si basa il livello di rischio Insider e quindi definire le condizioni da controllare quando il livello di rischio Insider viene assegnato agli utenti.
Si considerino gli esempi seguenti per l'uso della protezione adattiva insieme alla prevenzione della perdita dei dati e ai criteri di accesso condizionale.
- Criteri di prevenzione della perdita dei dati:
- Consentire agli utenti con il livello di rischio Insider minore o medio di ricevere suggerimenti sui criteri e formazione sulle procedure consigliate per la gestione dei dati sensibili. In questo modo, è possibile influenzare le modifiche positive del comportamento nel tempo e ridurre i rischi per i dati dell'organizzazione.
- Impedire agli utenti con il livello di rischio elevato di salvare o condividere dati sensibili per ridurre al minimo l'impatto di potenziali eventi imprevisti dei dati.
- Criteri di accesso condizionale:
- Richiedere agli utenti a livello di rischio secondario di confermare le Condizioni per l'utilizzo prima di usare un'applicazione.
- Impedire agli utenti a livello di rischio medio di accedere a determinate applicazioni.
- Blocca completamente l'uso di applicazioni da parte degli utenti con livello di rischio elevato. Altre informazioni sui criteri di accesso condizionale applicati comunemente
Criteri e condizioni del livello di rischio Insider
La personalizzazione dei criteri e delle condizioni del livello di rischio Insider può essere basata sulle aree seguenti:
- Avvisi generati o confermati per un utente: questa opzione consente di scegliere le condizioni in base al livello di gravità per gli avvisi generati o confermati per un utente per i criteri di gestione dei rischi Insider selezionati. Le condizioni per gli avvisi non sono additive e il livello di rischio Insider viene assegnato a un utente se viene soddisfatta una delle condizioni.
- Attività utente specifica: questa opzione consente di scegliere le condizioni per il rilevamento dell'attività, la relativa gravità e il numero di occorrenze giornaliere durante la finestra di rilevamento attività precedente (facoltativo). Le condizioni per l'attività utente sono additive e il livello di rischio Insider viene assegnato a un utente solo se vengono soddisfatte tutte le condizioni.
Rilevamento attività precedenti
Questa impostazione del livello di rischio Insider determina quanti giorni dopo la protezione adattiva esamina per rilevare se un utente soddisfa le condizioni definite da uno dei livelli di rischio Insider. L'impostazione predefinita è 7 giorni, ma è possibile scegliere tra 5 e 30 giorni dell'attività precedente per applicare le condizioni del livello di rischio Insider. Questa impostazione si applica solo ai livelli di rischio Insider basati sull'attività quotidiana di un utente ed esclude i livelli di rischio Insider in base agli avvisi.
L'esempio seguente illustra come interagiscono le impostazioni di rilevamento delle attività passate e i livelli di rischio Insider per determinare se l'attività precedente di un utente è nell'ambito:
- Impostazione del livello di rischio elevato : l'utente esegue almeno tre sequenze, ognuna con un punteggio di rischio di gravità elevato (da 67 a 100)
- Impostazione rilevamento attività precedenti : 3 giorni
| Attività utente | Attività nell'ambito del livello di rischio Insider |
|---|---|
| L'utente ha 1 sequenza di gravità elevata ogni giorno nel giorno T-3, T-2, T-1 | Sì |
| L'utente ha 3 sequenze di gravità elevata nel giorno T-3 | Sì |
| L'utente ha 1 sequenza di gravità elevata nel giorno T-4 e 2 sequenze di gravità elevata nel giorno T-3 | No |
Intervallo di tempo del livello di rischio Insider
Questa impostazione del livello di rischio Insider determina per quanto tempo un livello di rischio Insider rimane assegnato a un utente prima che venga reimpostato automaticamente. L'impostazione predefinita è 7 giorni, ma è possibile scegliere tra 5 e 30 giorni prima di reimpostare il livello di rischio Insider per un utente.
I livelli di rischio Insider vengono reimpostati anche per un utente quando:
- L'avviso associato per l'utente viene ignorato
- Il caso associato per l'utente viene risolto
- La data di fine del livello di rischio Insider è scaduta manualmente
Nota
Se a un utente è attualmente assegnato un livello di rischio Insider e tale utente soddisfa nuovamente i criteri per tale livello di rischio Insider, l'intervallo di tempo del livello di rischio Insider viene esteso per il numero definito di giorni per l'utente.
Autorizzazioni per la protezione adattiva
A seconda di come si usano i gruppi di ruoli predefiniti di gestione dei rischi Insider e i gruppi di ruoli per la prevenzione della perdita di dati o l'accesso condizionale, potrebbe essere necessario aggiornare le autorizzazioni per amministratori, analisti e investigatori dell'organizzazione.
Nella tabella seguente vengono descritte le autorizzazioni necessarie per specifiche attività di protezione adattiva.
| Attività | Gruppo di ruoli obbligatorio |
|---|---|
| Configurare le impostazioni di protezione adattiva e aggiornamento | Amministratori di Insider Risk Management o Insider Risk Management |
| Create e gestire i criteri di prevenzione della perdita dei dati con la condizione di protezione adattiva | Uno dei seguenti: Compliance Administrator, Compliance Data Administrator, Data Loss Prevention Compliance Management, Global Administrator |
| Create e gestire i criteri di accesso condizionale con la condizione di protezione adattiva | Uno dei seguenti: amministratore globale, amministratore dell'accesso condizionale, amministratore della sicurezza |
| Visualizzare i dettagli sui livelli di rischio Insider assegnati agli utenti | Insider Risk Management, Insider Risk Management Analyst o Insider Risk Management Investigators |
Importante
Le quattro categorie di gruppi di ruoli corrispondono alle schede seguenti nella pagina Protezione adattiva: Livelli di rischio Insider, Livelli di rischio Insider assegnati agli utenti, Prevenzione della perdita dei dati, Accesso condizionale. Se non si è assegnati al gruppo di ruoli appropriato, la scheda non verrà visualizzata nella pagina Protezione adattiva.
Configurare la protezione adattiva
A seconda delle esigenze dell'organizzazione o della posizione in cui si è attualmente configurati con la gestione dei rischi Insider, la prevenzione della perdita dei dati e l'accesso condizionale, sono disponibili due opzioni per iniziare a usare la protezione adattiva:
- Configurazione rapida
- Configurazione personalizzata
Configurazione rapida
L'opzione di configurazione rapida è il modo più rapido per iniziare a usare la protezione adattiva. Con questa opzione non sono necessari criteri di gestione dei rischi Insider, prevenzione della perdita di dati o accesso condizionale preesistenti e non è necessario preconfigurare impostazioni o funzionalità. Se l'organizzazione non ha una sottoscrizione o una licenza corrente che supporta la gestione dei rischi Insider o la prevenzione della perdita di dati, iscriversi a una versione di valutazione delle soluzioni di conformità e rischi di Microsoft Purview prima di avviare il processo di configurazione rapida. È anche possibile iscriversi per una versione di valutazione Microsoft Entra.
Per iniziare, selezionare Attiva protezione adattiva dalle schede di protezione adattiva nella home page del portale di Microsoft Purview o nella pagina Panoramica della prevenzione della perdita dei dati. È anche possibile iniziare a usare il processo di configurazione rapida passando allaconfigurazione rapida deldashboard>protezione adattivaper la gestione> dei > rischi Insider.
Nota
Se si è già un amministratore con ambito per Microsoft Purview, non è possibile attivare la configurazione rapida.
Ecco cosa viene configurato quando si usa il processo di configurazione rapida per la protezione adattiva:
| Area | Configurazione |
|---|---|
| Impostazioni di rischio Insider (se non sono già configurate) | - Privacy: mostra le versioni anonime dei nomi utente. Nota: I nomi utente non vengono resi anonimi nell'accesso condizionale o nella prevenzione della perdita di dati - Intervalli di tempo dei criteri: valori predefiniti - Indicatori dei criteri: subset di indicatori di Office (è possibile visualizzare le impostazioni di gestione dei rischi Insider) - Ripetitori di punteggio di rischio: Tutti - Rilevamenti intelligenti: Volume avvisi = Volume predefinito - Analisi: attivato - Amministrazione notifiche: inviare un messaggio di posta elettronica di notifica quando viene generato il primo avviso a tutti |
| Impostazioni di rischio Insider (se già configurate) | - Indicatori dei criteri: indicatori di Office non già configurati (è possibile visualizzare le impostazioni di gestione dei rischi Insider). - Tutte le altre impostazioni configurate in precedenza non vengono aggiornate o modificate. - Analisi: attivato (le soglie per l'attivazione di eventi nei criteri sono le impostazioni predefinite determinate dalle raccomandazioni di Analisi). |
| Un nuovo criterio di rischio Insider | - Modello di criteri: perdite di dati - Nome dei criteri: Criteri di protezione adattiva per Insider Risk Management - Ambito dei criteri per utenti e gruppi: tutti gli utenti e i gruppi - Contenuto prioritario: Nessuno - Eventi di attivazione: eventi di esfiltrazione selezionati (è possibile visualizzare le impostazioni di gestione dei rischi Insider) - Indicatori dei criteri: subset di indicatori di Office (è possibile visualizzare le impostazioni di gestione dei rischi Insider) - Potenziamenti del punteggio di rischio: l'attività è superiore all'attività consueta dell'utente per quel giorno |
| Livelli di rischio Insider di protezione adattiva | - Livello di rischio elevato: gli utenti devono avere almeno tre sequenze di esfiltrazione di gravità elevata - Livello di rischio moderato: gli utenti devono avere almeno due attività di gravità elevata (esclusi alcuni tipi di download) - Livello di rischio minore: gli utenti devono avere almeno un'attività di gravità elevata (esclusi alcuni tipi di download) |
| Due nuovi criteri di prevenzione della perdita di dati | Criteri di protezione adattiva per la prevenzione della perdita dei dati degli endpoint - Regola livello di rischio elevato : Bloccata - Moderata/Regola del livello di rischio secondario : Controllo - I criteri vengono avviati in modalità test (solo controllo) Criteri di protezione adattiva per Teams ed Exchange DLP - Regola livello di rischio elevato : Bloccata - Moderata/Regole relative al livello di rischio secondario : Controllo - I criteri vengono avviati in modalità test (solo controllo) |
| Nuovi criteri di accesso condizionale (creati in modalità solo report in modo che gli utenti non vengano bloccati) | 1-Blocca l'accesso per gli utenti con rischio Insider (anteprima) - Utenti inclusi: tutti gli utenti - Utenti guest o esterni esclusi: B2bDirectConnect User; OtherExternalUser; Serviceprovider - App cloud: tutte le app - Livelli di rischio Insider: elevati - Blocca l'accesso: selezionato |
Dopo l'avvio del processo di configurazione rapida, potrebbero essere necessarie fino a 72 ore prima del completamento dell'analisi, la gestione dei rischi Insider, la prevenzione della perdita dei dati e i criteri di accesso condizionale associati e si prevede che vengano visualizzati i livelli di rischio Insider per la protezione adattiva, la prevenzione della perdita dei dati e le azioni di accesso condizionale applicate alle attività utente applicabili. Gli amministratori ricevono un messaggio di posta elettronica di notifica al termine del processo di configurazione rapida.
Configurazione personalizzata
L'opzione di configurazione personalizzata consente di personalizzare i criteri di gestione dei rischi Insider, i livelli di rischio Insider e i criteri di prevenzione della perdita di dati e accesso condizionale configurati per la protezione adattiva. Questa opzione consente anche di configurare questi elementi prima di abilitare effettivamente le connessioni di protezione adattiva tra la gestione dei rischi Insider e la prevenzione della perdita dei dati. Nella maggior parte dei casi, questa opzione deve essere usata dalle organizzazioni che dispongono già di criteri di gestione dei rischi Insider e/o di prevenzione della perdita dei dati.
Completare la procedura seguente per configurare la protezione adattiva usando l'installazione personalizzata:
Passaggio 1: Create criteri di gestione dei rischi Insider
I livelli di rischio Insider vengono assegnati agli utenti quando un criterio assegnato nella protezione adattiva rileva l'attività utente o genera avvisi che corrispondono alle condizioni del livello di rischio Insider definite nel passaggio successivo. Se non si vuole usare un criterio di gestione dei rischi Insider esistente (selezionato nel passaggio 2), è necessario creare un nuovo criterio di gestione dei rischi Insider. I criteri di gestione dei rischi Insider per la protezione adattiva devono includere:
- Utenti di cui si vuole rilevare l'attività. Possono essere tutti gli utenti e i gruppi dell'organizzazione o solo un subset per scenari di mitigazione dei rischi specifici o per scopi di test.
- Attività considerate soglie rischiose e personalizzate che influiscono sul punteggio di rischio di un'attività. Le attività rischiose possono includere la posta elettronica di persone esterne all'organizzazione o la copia di file in dispositivi USB.
Selezionare Create criteri di rischio Insider per avviare la creazione guidata nuovi criteri. Il modello di criterio Perdite di dati viene selezionato automaticamente nella procedura guidata, ma è possibile selezionare qualsiasi modello di criterio, se necessario.
Importante
A seconda del modello di criterio selezionato, potrebbe essere necessario configurare impostazioni aggiuntive per il criterio in modo da rilevare correttamente le attività potenzialmente rischiose e creare avvisi applicabili.
Passaggio 2: Configurare le impostazioni del livello di rischio Insider
Selezionare la scheda Livelli di rischio Insider . Per iniziare, selezionare i criteri di gestione dei rischi Insider da usare per la protezione adattiva. Questo può essere il nuovo criterio creato nel passaggio 1 o un criterio o criteri esistenti già configurati.
Accettare quindi le condizioni di rischio insider predefinite applicabili o crearne di proprie. A seconda del tipo di criterio selezionato, le condizioni del livello di rischio Insider rifletteranno le condizioni applicabili associate agli indicatori e alle attività configurate nei criteri.
Ad esempio, se è stato scelto un criterio basato sul modello di criteri Perdite di dati , le scelte predefinite relative alle condizioni del livello di rischio Insider si applicano agli indicatori e alle attività disponibili in tale criterio. Se è stato selezionato un criterio basato sul modello di criterio Violazioni dei criteri di sicurezza , le condizioni predefinite del livello di rischio Insider vengono automaticamente definite in base agli indicatori e alle attività disponibili in tale criterio.
Personalizzare un livello di rischio Insider per i criteri
Selezionare la scheda appropriata per il portale in uso. Per altre informazioni sul portale di Microsoft Purview, vedere Portale di Microsoft Purview. Per altre informazioni sul portale di conformità, vedere Portale di conformità di Microsoft Purview.
Accedere al portale di Microsoft Purview usando le credenziali per un account amministratore nell'organizzazione di Microsoft 365.
Passare alla soluzione Gestione dei rischi Insider .
Selezionare Protezione adattiva (anteprima) nel riquadro di spostamento sinistro e quindi selezionare Livelli di rischio Insider.
Nella pagina Livelli di rischio Insider selezionare Modifica per il livello di rischio Insider che si vuole personalizzare (Elevato, Moderato o Minore).
Nel riquadro Livello di rischio Insider personalizzato selezionare un'opzione nella sezione Livello di rischio Insider in base a :
- Avviso generato o confermato per un utente
- Attività utente specifica
Se è stata selezionata l'opzione Avviso generato o confermato per un utente , è possibile scegliere i livelli di gravità per gli avvisi generati o confermati per un utente che deve usare questo livello di rischio Insider. È possibile mantenere la gravità per gli avvisi generati e la gravità per le condizioni degli avvisi confermati o rimuovere una di queste condizioni se si vuole usarne solo una. Se è necessario aggiungere una di queste condizioni, selezionare Aggiungi condizione e quindi selezionare la condizione. Per ogni condizione, scegliere il livello di gravità da applicare per la condizione (Alta, Media o Bassa). Se viene soddisfatta una delle condizioni, il livello di rischio Insider viene assegnato a un utente.
Se è stata selezionata l'opzione Attività utente specifica, scegliere l'attività da rilevare, la gravità e il numero di occorrenze giornaliere durante la finestra di rilevamento attività precedente. È necessario configurare le attività, la gravità dell'attività e le occorrenze delle attività durante le condizioni della finestra di rilevamento per questo livello di rischio Insider.
Per la condizione Attività , le opzioni tra cui è possibile scegliere vengono aggiornate automaticamente per i tipi di attività definiti con gli indicatori configurati nei criteri associati. Se necessario, selezionare la casella di controllo Assegna questo livello di rischio a tutti gli utenti che hanno confermato un avviso futuro, anche se le condizioni precedenti non sono soddisfatte . Se vengono soddisfatte tutte le condizioni, il livello di rischio Insider viene assegnato a un utente.
Per la condizione di gravità dell'attività , specificare il livello di gravità per le attività incluse nelle informazioni dettagliate sulle attività quotidiane. Le opzioni sono High, Medium e Low e si basano su intervalli di punteggio di rischio.
Per le occorrenze dell'attività durante la condizione della finestra di rilevamento , specificare il numero di volte in cui le attività selezionate devono essere rilevate entro il periodo di rilevamento attività passato specificato. Questo numero non è correlato al numero di eventi che potrebbero verificarsi per un'attività. Ad esempio, se il criterio rileva che un utente ha scaricato 20 file da SharePoint in un giorno, questo viene considerato come un'informazione sulle attività giornaliera costituita da 20 eventi.
Selezionare Conferma per applicare le condizioni del livello di rischio Insider personalizzato o Annulla per eliminare le modifiche.
Come viene assegnato il livello di rischio Insider se un utente è nell'ambito di più criteri
Se un utente è nell'ambito di più criteri, se riceve avvisi di livelli di gravità diversi, per impostazione predefinita all'utente viene assegnato il livello di gravità più alto ricevuto. Si consideri, ad esempio, un criterio che assegna un livello di rischio elevato se gli utenti ricevono un avviso di gravità elevata. Se un utente riceve un avviso di gravità bassa dal criterio 1, un avviso di gravità media dal criterio 2 e un avviso di gravità elevata dal criterio 3, all'utente viene assegnato un livello di rischio elevato , ovvero il livello di gravità dell'avviso più elevato ricevuto.
Si noti che le condizioni del livello di rischio Insider devono essere presenti nei criteri selezionati da rilevare. Ad esempio, se si seleziona l'attività Copia in USB per assegnare un livello di rischio Moderato, ma l'attività è selezionata in uno solo dei tre criteri selezionati, solo l'attività di tale criterio assegnerà un livello di rischio moderato per tale attività.
Passaggio 3: Create o modificare i criteri di prevenzione della perdita dei dati
Successivamente, creare (o modificare) un criterio di prevenzione della perdita di dati esistente per limitare le azioni per gli utenti che corrispondono alle condizioni del livello di rischio Insider nella protezione adattiva. Usare le linee guida seguenti per la configurazione dei criteri di prevenzione della perdita dei dati:
- È necessario includere il livello di rischio Insider dell'utente per La protezione adattiva è una condizione nei criteri di prevenzione della perdita dei dati. Questo criterio di prevenzione della perdita dei dati può includere altre condizioni in base alle esigenze.
- Anche se è possibile includere altre posizioni nei criteri di prevenzione della perdita dei dati, la protezione adattiva supporta attualmente solo Exchange, Microsoft Teams e dispositivi.
Selezionare Create criterio per avviare la procedura guidata dei criteri di prevenzione della perdita dei dati e creare un nuovo criterio di prevenzione della perdita dei dati. Se si dispone di un criterio di prevenzione della perdita dei dati esistente che si vuole configurare per la protezione adattiva, passare aCriteri di prevenzione> della perdita dei dati nel portale di conformità e selezionare i criteri di prevenzione della perdita dei dati che si vuole aggiornare per la protezione adattiva. Per indicazioni su come configurare un nuovo criterio di prevenzione della perdita dei dati o aggiornare un criterio di prevenzione della perdita dei dati esistente per la protezione adattiva, vedere Informazioni sulla protezione adattiva nella prevenzione della perdita dei dati: configurazione manuale.
Consiglio
È consigliabile testare i criteri di prevenzione della perdita dei dati (con suggerimenti per i criteri) in modo da poter esaminare gli avvisi di prevenzione della perdita dei dati per verificare che i criteri funzionino come previsto prima di abilitare la protezione adattiva.
Passaggio 4: Create o modificare un criterio di accesso condizionale
Successivamente, creare (o modificare) un criterio di accesso condizionale esistente per limitare le azioni per gli utenti che corrispondono alle condizioni del livello di rischio Insider nella protezione adattiva. Usare le linee guida seguenti per la configurazione dei criteri di accesso condizionale:
- Nella pagina Accesso condizionale in cui si controlla l'accesso in base ai segnali provenienti dalle condizioni, impostare la condizione di rischio Insider su Sì e quindi selezionare un livello di rischio Insider (elevato, moderato o minore). Si tratta del livello di rischio Insider che gli utenti devono avere per applicare i criteri.
Selezionare Create criterio per avviare la procedura guidata dei criteri di accesso condizionale e creare un nuovo criterio di accesso condizionale. Se si dispone di un criterio di accesso condizionale esistente che si vuole configurare per la protezione adattiva, passare a Protezione>accesso condizionale nel Interfaccia di amministrazione di Microsoft Entra e selezionare i criteri di accesso condizionale da aggiornare per la protezione adattiva. Per indicazioni su come configurare un nuovo criterio di accesso condizionale o aggiornare un criterio di accesso condizionale esistente per la protezione adattiva, vedere Criteri comuni di accesso condizionale: criteri basati sui rischi Insider.
Passaggio 5: Attivare la protezione adattiva
Dopo aver completato tutti i passaggi precedenti, è possibile abilitare la protezione adattiva. Quando si attiva la protezione adattiva:
- I criteri di gestione dei rischi Insider iniziano a cercare attività utente corrispondenti alle condizioni del livello di rischio Insider. Se vengono rilevati, i livelli di rischio Insider vengono assegnati agli utenti.
- Gli utenti a cui sono assegnati livelli di rischio Insider vengono visualizzati nella scheda Livelli di rischio Insider assegnati agli utenti nella protezione adattiva.
- I criteri di prevenzione della perdita dei dati applicano le azioni di protezione per qualsiasi utente assegnato ai livelli di rischio Insider inclusi nei criteri di prevenzione della perdita dei dati. I criteri di prevenzione della perdita dei dati sono stati aggiunti alla scheda Prevenzione della perdita dei dati in Protezione adattiva (anteprima). È possibile visualizzare i dettagli sui criteri di prevenzione della perdita dei dati e modificare le condizioni dei criteri dal dashboard.
- I criteri di accesso condizionale applicano le azioni di protezione per qualsiasi utente assegnato ai livelli di rischio Insider inclusi nei criteri di accesso condizionale. I criteri di accesso condizionale sono stati aggiunti alla scheda Accesso condizionale in Protezione adattiva (anteprima). È possibile visualizzare i dettagli sui criteri di accesso condizionale e modificare le condizioni dei criteri dal dashboard.
Per abilitare la protezione adattiva, selezionare la scheda Impostazioni protezione adattiva e quindi impostare Protezione adattiva su Attivato. Potrebbero essere necessarie fino a 36 ore prima di poter visualizzare i livelli di rischio insider della protezione adattiva e la prevenzione della perdita di dati e le azioni di accesso condizionale applicate alle attività degli utenti applicabili.
Guardare il video seguente sul canale Microsoft Mechanics per vedere in che modo la protezione adattiva può regolare automaticamente la forza della protezione dei dati in base ai livelli di rischio insider della sicurezza dei dati calcolati degli utenti.
Gestire la protezione adattiva
Dopo aver abilitato la protezione adattiva e aver configurato la gestione dei rischi Insider, la prevenzione della perdita dei dati e i criteri di accesso condizionale, sarà possibile accedere alle informazioni sulle metriche dei criteri, sugli utenti nell'ambito corrente e sui livelli di rischio Insider attualmente inclusi nell'ambito.
Dashboard
Dopo aver completato il processo di configurazione rapida o personalizzata , nella scheda Dashboard in Protezione adattiva (anteprima) vengono visualizzati i widget per informazioni di riepilogo sui livelli di rischio Insider degli utenti, i criteri di accesso condizionale e i criteri di prevenzione della perdita dei dati.
- Livelli di rischio Insider assegnati agli utenti: visualizza il numero di utenti per ogni livello di rischio Insider (rischio elevato, rischio moderato e rischio secondario).
- Criteri che usano livelli di rischio Insider: visualizza lo stato dei criteri (non avviati o completi), il tipo di criteri (accesso condizionale o prevenzione della perdita di dati) e il numero di criteri configurati per ogni tipo di criterio. Se non è stato configurato un tipo di criterio, è possibile selezionare il pulsante Configurazione rapida per configurare il criterio.
Livelli di rischio Insider assegnati agli utenti
Gli utenti a cui è stato assegnato un livello di rischio Insider nella protezione adattiva vengono visualizzati nella scheda Livelli di rischio Insider assegnati agli utenti . È possibile esaminare le informazioni seguenti per ogni utente:
Utenti: Elenchi il nome utente. Per i criteri di prevenzione della perdita dei dati, se l'opzione Mostra versioni anonime dei nomi utente è selezionata nelle impostazioni di gestione dei rischi Insider, verranno visualizzati i nomi utente anonimi. Per i criteri di accesso condizionale, i nomi utente non vengono resi anonimi anche se è selezionata l'impostazione Mostra versioni anonime dei nomi utente .
Importante
Per mantenere l'integrità referenziale, l'anonimizzazione dei nomi utente (se attivata) non viene mantenuta per gli utenti della protezione adattiva che hanno avvisi o attività visualizzati al di fuori della gestione dei rischi Insider. I nomi utente effettivi verranno visualizzati negli avvisi di prevenzione della perdita dei dati correlati e in Esplora attività.
Livello di rischio Insider: il livello di rischio Insider corrente assegnato all'utente.
Assegnato all'utente: numero di giorni o mesi trascorsi da quando all'utente è stato assegnato un livello di rischio Insider.
Reimpostazione del livello di rischio: numero di giorni prima che il livello di rischio Insider venga reimpostato automaticamente per l'utente.
Per reimpostare manualmente il livello di rischio Insider per un utente, selezionare l'utente e quindi selezionare Scadenza. A questo utente non verrà più assegnato un livello di rischio Insider. Gli avvisi o i casi esistenti per questo utente non verranno rimossi. Se questo utente è incluso nei criteri di gestione dei rischi Insider selezionati, verrà assegnato di nuovo un livello di rischio Insider se viene rilevato un evento di attivazione.
Avvisi attivi: numero di avvisi di gestione dei rischi Insider correnti per l'utente.
Casi confermati come violazione: numero di casi confermati per l'utente.
Case: nome del caso.
Se necessario, è possibile filtrare gli utenti in base al livello di rischio Insider.
Per visualizzare informazioni dettagliate sul rischio Insider e sulla protezione adattiva per un utente specifico, selezionare l'utente per aprire il riquadro dei dettagli dell'utente. Il riquadro dei dettagli contiene tre schede, Profilo utente, Attività utente e Riepilogo protezione adattiva. Per informazioni sulle schede Profilo utente e Attività utente , vedere Visualizzare i dettagli utente.
La scheda Riepilogo protezione adattiva aggrega le informazioni in quattro sezioni:
- Protezione adattiva: in questa sezione vengono visualizzate informazioni sul livello di rischio corrente, sul livello di rischio assegnato e sulla reimpostazione del livello di rischio per l'utente.
- Criteri di prevenzione della perdita dei dati nell'ambito (dinamico): in questa sezione vengono visualizzati tutti i criteri di prevenzione della perdita dei dati attualmente nell'ambito per l'utente e la data di inizio e fine per i criteri. Questo si basa sul livello di rischio Insider per la configurazione dei criteri di prevenzione della perdita dei dati e dell'utente per i livelli di rischio Insider. Ad esempio, se un utente ha attività definite come livello di rischio elevato per i criteri di gestione dei rischi Insider e due criteri di prevenzione della perdita dei dati sono configurati con la condizione Livello di rischio elevato , questi due criteri di prevenzione della perdita dei dati verranno visualizzati qui per l'utente.
- Criteri di accesso condizionale nell'ambito (dinamico): in questa sezione vengono visualizzati tutti i criteri di accesso condizionale attualmente inclusi nell'ambito per l'utente e la data di inizio e fine per i criteri. Si basa sul livello di rischio Insider per l'utente e sulla configurazione dei criteri di accesso condizionale per i livelli di rischio Insider. Ad esempio, se un utente ha attività definite come livello di rischio elevato per i criteri di gestione dei rischi Insider e un criterio di accesso condizionale è configurato con la condizione Livello di rischio elevato , i criteri di accesso condizionale verranno visualizzati qui per l'utente.
- Criteri di rischio Insider per la protezione adattiva: in questa sezione vengono visualizzati tutti i criteri di gestione dei rischi Insider in cui l'utente è attualmente incluso nell'ambito.
Criteri di accesso condizionale
Nella pagina Criteri di accesso condizionale vengono visualizzati tutti i criteri di accesso condizionale che usano la condizione di rischio Insider . È possibile esaminare le informazioni seguenti per ogni criterio:
- Nome criterio: nome dei criteri di accesso condizionale.
- Stato dei criteri: stato corrente dei criteri. I valori sono Attivi o Inattivi.
- Livelli di rischio Insider: i livelli di rischio Insider inclusi nei criteri di accesso condizionale usando la condizione di rischio Insider . Le opzioni sono Livelli di rischio elevati, Moderati o Minori .
- Stato dei criteri: stato corrente dei criteri di accesso condizionale. Le opzioni sono Sì o Testa con le notifiche.
- Creato in: data di creazione dei criteri di accesso condizionale.
- Ultima modifica: data dell'ultima modifica dei criteri condizionali.
Criteri di prevenzione della perdita dei dati
Nella pagina Criteri di prevenzione della perdita dei dati vengono visualizzati tutti i criteri di prevenzione della perdita dei dati che usano il livello di rischio Insider per La protezione adattiva è una condizione. È possibile esaminare le informazioni seguenti per ogni criterio:
- Nome criterio: nome dei criteri di prevenzione della perdita dei dati.
- Stato dei criteri: stato corrente dei criteri. I valori sono Attivi o Inattivi.
- Posizione dei criteri: le posizioni incluse nei criteri di prevenzione della perdita dei dati. Attualmente, la protezione adattiva supporta solo Exchange, Teams e Dispositivi.
- Livelli di rischio Insider: i livelli di rischio Insider inclusi nei criteri di prevenzione della perdita dei dati usando il livello di rischio Insider per la protezione adattiva sono condizione. Le opzioni sono Livelli di rischio elevati, Moderati o Minori .
- Stato dei criteri: stato corrente dei criteri di prevenzione della perdita dei dati. Le opzioni sono Sì o Testa con le notifiche.
- Creato: data di creazione dei criteri di prevenzione della perdita dei dati.
- Ultima modifica: data dell'ultima modifica dei criteri di prevenzione della perdita dei dati.
Ottimizzare le impostazioni del livello di rischio Insider
Dopo aver esaminato gli utenti con livelli di rischio, è possibile che siano presenti troppi o troppo pochi utenti a cui è assegnato un livello di rischio Insider. È possibile usare due metodi per ottimizzare le configurazioni dei criteri per ridurre o aumentare il numero di utenti a cui sono assegnati livelli di rischio Insider:
- Modificare le impostazioni del livello di rischio Insider. È possibile modificare le soglie per assegnare un livello di rischio Insider a un utente:
- Aumentare o ridurre la gravità dell'attività necessaria per assegnare un livello di rischio Insider. Ad esempio, se vengono visualizzati troppo pochi utenti con livelli di rischio Insider, è possibile ridurre l'attività o la gravità degli avvisi.
- Se il livello di rischio Insider si basa su un'attività utente specifica, aumentare o ridurre le occorrenze dell'attività durante la finestra di rilevamento. Ad esempio, se vengono visualizzati troppi utenti con livelli di rischio Insider, è possibile ridurre le occorrenze dell'attività.
- Modificare la base del livello di rischio Insider. Ad esempio, se vengono visualizzati troppi utenti con livelli di rischio Insider, per ridurre il numero di utenti, è possibile assegnare un livello di rischio Insider solo se l'avviso viene confermato.
- Modificare le soglie dei criteri. Poiché i livelli di rischio Insider vengono assegnati in base ai rilevamenti dei criteri, è anche possibile modificare i criteri, modificando a sua volta i requisiti per assegnare un livello di rischio Insider. È possibile modificare un criterio aumentando o riducendo le soglie dei criteri che comportano attività e avvisi di gravità alta/media/bassa.
Disabilitare la protezione adattiva
Potrebbero esserci alcuni scenari in cui potrebbe essere necessario disabilitare temporaneamente la protezione adattiva. Per disabilitare la protezione adattiva, selezionare la scheda Impostazioni protezione adattiva e quindi impostare Protezione adattiva su Disattivata.
Se la protezione adattiva è disattivata dopo essere stata attiva e attiva, i livelli di rischio Insider smetteranno di essere assegnati agli utenti e condivisi con la prevenzione della perdita dei dati e l'accesso condizionale e tutti i livelli di rischio Insider esistenti per gli utenti verranno reimpostati. Dopo aver disattivato la protezione adattiva, potrebbero essere richieste fino a 6 ore per interrompere l'assegnazione dei livelli di rischio Insider all'attività dell'utente e reimpostarli tutti. La gestione dei rischi Insider, la prevenzione della perdita dei dati e i criteri di accesso condizionale non vengono eliminati automaticamente.
Commenti e suggerimenti
Presto disponibile: Nel corso del 2024 verranno gradualmente disattivati i problemi di GitHub come meccanismo di feedback per il contenuto e ciò verrà sostituito con un nuovo sistema di feedback. Per altre informazioni, vedere https://aka.ms/ContentUserFeedback.
Invia e visualizza il feedback per