Microsoft Purview データ損失防止 (DLP) ポリシーを構成すると、ルールの条件が一致したときにアラートを生成できます。 アラートは、DLP ポリシー ルールで構成されます。
アラートの概要については、次を参照してください。
この記事には、ライセンスとアクセス許可の詳細、およびアラートを操作するときに必要となるその他の重要な情報が含まれています。
DLP アラートの調査と管理は、Microsoft Defender XDR ダッシュボードと Microsoft Purview ポータルで行うことができます。 Microsoft Defender XDR ダッシュボードは、DLP アラートの調査と管理に推奨される場所です。 DLP ポリシーを作成および編集するには、Microsoft Purview ポータルをお勧めします。
ヒント
Microsoft Security Copilot の使用を開始して、AI の力を使用して、よりスマートかつ迅速に作業するための新しい方法を発見しましょう。 Microsoft Purview の Microsoft Security Copilot に関する詳細情報をご覧ください。
DLP アラートの種類
アクティビティがルールに一致するたびにアラートを送信するか、ノイズを削減するために集約することができます。 DLP ポリシーで構成できるアラートには 2 種類あります。
単一イベントのアラート単一イベント アラートは通常、organization外部に送信される 10 以上の顧客のクレジット カード番号を含む 1 つのメールなど、少量で発生する機密性の高いイベントを監視するポリシーで使用されます。 既定では、1 つのルールからのイベントが互いに 1 分の時間枠で発生すると、E5 ライセンスの場合、E3 ライセンスの場合は 15 分に集計されます。 プレビューでは、単一イベント アラートは、ユーザーごとにルールごとに集計できます。 これは、ユーザーおよびルールベースのアラートの集約と呼ばれます。
集約イベント・アラート は、通常、一定期間にわたって大量に発生するイベントをモニターするポリシーで使用されます。 たとえば、顧客のクレジット カード番号が 1 つの個別の 10 通の電子メールが 48 時間にわたって組織外に送信されると、集計アラートをトリガーできます。
開始する前に
開始する前に、次の前提条件があることを確認してください。
アラート構成オプションのライセンス
次のライセンス要件は、各アラート構成オプションに適用されます。
- 単一イベント アラートの構成: DLP サブスクリプション (E1、E3、E5、F1、G1、E3、G3、E5、G5) を持つすべての組織は、トリガー アクティビティが発生するたびにアラートを生成するようにポリシーを構成できます。
- 集約されたアラート設定:しきい値に基づいて集約されたアラート・ポリシーを構成するには、次のいずれかの構成が必要です。
- A5 サブスクリプション
- E5 または G5 サブスクリプション
- 次のいずれかの機能を含む E1、F1、G1 サブスクリプション、または E3 か G3 サブスクリプション:
- Office 365 高度な脅威保護 プラン 2
- Microsoft Purview スイート (旧称 Microsoft 365 E5 Compliance)
- Microsoft 365 電子情報開示および監査アドオン ライセンス
エンドポイント DLP を使用し、Teams DLP の対象となるお客様は、DLP アラート管理ダッシュボードにエンドポイント DLP ポリシー アラートと Teams DLP ポリシー アラートが表示されます。
ロールと役割グループ
DLP アラート管理ダッシュボードを表示する場合、または DLP ポリシーでアラート構成オプションを編集する場合は、次の役割グループのいずれかのメンバーである必要があります。
- コンプライアンス管理者
- コンプライアンス データ管理者
- セキュリティ管理者
- セキュリティ オペレーター
- セキュリティ閲覧者
- Information Protection 管理者
- Information Protection アナリスト
- Information Protection 調査員
これらの役割グループの詳細については、「Microsoft Purview ポータルのアクセス許可」を参照してください
該当する役割グループの一覧を次に示します。 これらの役割グループの詳細については、「 Microsoft Purview ポータルのアクセス許可」を参照してください。
- 情報保護
- Information Protection レベル
- Information Protection アナリスト
- Information Protection 調査担当者
DLP アラート管理ダッシュボードにアクセスするには、 アラートの管理 ロールと、次の 2 つのロールのいずれかが必要です。
- DLP コンプライアンス管理
- 表示専用の DLP コンプライアンス管理
コンテンツ プレビュー機能と、一致する機密コンテンツとコンテキスト機能にアクセスするには、データ分類コンテンツ ビューアー ロールが事前に割り当てられているコンテンツ エクスプローラー コンテンツ ビューアー ロール グループのメンバーである必要があります。
ヒント
管理者がアラートへのアクセスは必要なが、コンテキスト/機密情報へのアクセスは必要な場合は、データ分類コンテンツ閲覧者のアクセス許可を含まないカスタムロールを作成して割り当てることができます。
DLP アラートの構成
DLP ポリシーでアラートを構成する方法については、「 データ損失防止ポリシーを作成して展開する」を参照してください。 ライセンスに応じて、さまざまなアラートの構成エクスペリエンスがあります。
注:
DLP ポリシーで既存のアラートを構成または変更した後、アラートの生成に最大 3 時間かかる場合があります。
アラート メール、インシデント レポート メール、およびユーザー通知は、ドキュメント 1 つにつき 1 回だけ送信されます。 [コンテンツを共有] 条件のドキュメントが 2 回共有されている場合でも、通知は 1 つのみです。
集計イベント アラートの構成
集約アラート構成オプションのライセンスをお持ちの場合は、DLP ポリシーを作成または編集するときに、しきい値が満たされたとき、定義された時間枠内に、ルールの一致ごとにアラートを生成するためのオプションが表示されます。
この構成では、アラートを生成するポリシーを設定できます:
- アクティビティがルールに基づく既定の集計、またはユーザーとルール ベースの集計のルールの条件に一致するたびに。
- 一致数、または流出したデータの量または流出データの量に基づいて、定義されたしきい値が満たされるか超えたとき
- 特定の時間枠内に定義した基準を満たすアクティビティの場合
単一イベント アラートの構成
単一イベント アラート構成オプションのライセンスをお持ちの場合は、DLP ポリシーを作成または編集するときに単一イベント アラート設定が表示されます。 このオプションを使用して、DLP ルールの一致が発生するたびに発生するアラートを作成します。
ユーザーとルールベースのアラートの集計 (プレビュー)
テナント レベルの DLP 設定でユーザー ベースのアラート集計を有効にすると、1 つのイベント アラートがユーザーに基づいて集計されます。 ルール一致イベントは、構成可能な時間枠 (15、30、45、60 分) 内に発生する必要があります。 アラートは、ユーザーごとのルール マッチ イベントごとに生成されます。
アラート集計オプションの比較
| DLP で... | 期間の長さ | 集計の種類 | 備考 |
|---|---|---|---|
| ...クレジット カード情報を含むメールが任意の数のユーザーから送信されたときに、単一のアラートを生成します。 | これらのウィンドウ は 管理者が構成できません -E5: 60 秒 -E3: 15 分 |
- ユーザー ベースのアラート集計は、テナント レベルで [オフ ] に設定されています。 - 単一のイベント アラートの集約は、ルール レベルで構成され、一致が時間枠内で発生した場合に使用可能です。 - 複数のユーザーの DLP ルールの一致を 1 つのアラートに集約します。 |
- 1つのルールに対して複数のユーザーに適用されます。 |
| ...クレジットカード情報を含むメールが送信されたときに、メール送信者ごとに1つのアラートを生成します。 | この時間枠は、管理者がテ ナント レベルで構成 できます。 - 15 - 60 分 |
- ユーザー ベースのアラート集約は、テナント レベルで [ オン ] に設定されます。
- ルール レベルで構成された単一のイベント アラートの集約。 - 1 人のユーザーによる DLP ルールの一致を 1 つのアラートに集約します。 |
- ルールごとに 1 人のユーザーの場合。
- アラート量の増加が予想されます。 - アラートが集計時間枠内で閉じられ、同じユーザーおよびルールに対して新しい一致が発生した場合、新しいルールの一致は同じアラートに集約されます。 |
| ...60 分以内に複数のユーザーが 100 を超える機密ファイルにアクセスした場合にアラートを生成します。 | - ルール レベル (60 〜 999 分) で構成されます。 | - しきい値ベースの集計 - 一致数に基づいて DLP ルールの一致を集約します。 - ユーザーベースのアラート集約は適用されません。 |
- ルールのピボット - 1つのルールに対して複数のユーザーに対して使用します。 - [すべてのユーザー ] オプションに対してのみ機能します。 |
| ...60 分以内に複数のユーザーによって 25 MB を超えるデータが流出されたときにアラートを生成します。 | ルール レベル (60 〜 999 分) で構成されます。 | -データ量に基づくしきい値ベースの集計。 - ユーザーベースのアラート集約は適用されません。 |
- ルールのピボット - 1つのルールに対して複数のユーザーに対して使用します。 - [すべてのユーザー ] オプションに対してのみ機能します。 |
DLP アラート イベントの種類
アラートに関連付けられているイベントの一部を次に示します。 アラート ダッシュボードでは、特定のイベントを選択してその詳細を表示できます。
イベントの詳細の確認
次の表では、アラート イベントについて表示されるイベントの詳細について説明します。
| プロパティ名 | 説明 | イベントの種類 |
|---|---|---|
| ID | イベントに関連付けられた一意の ID | すべてのイベント |
| 場所 | イベントが検出されたワークロード | すべてのイベント |
| アクティビティ時間 | DLP ポリシーの条件に一致したユーザー アクティビティの時刻 |
アラートで影響を受けるエンティティを確認する
次の表に、DLP アラート イベントに関連付けることができるエンティティの一覧を示します。
| プロパティ名 | 説明 | イベントの種類 |
|---|---|---|
| ユーザー | ポリシーの一致の原因となったアクションを実行したユーザー | すべてのイベント |
| hostname | DLP ポリシーの一致が発生したコンピューターのホスト名 | デバイス イベント |
| IP アドレス | DLP ポリシーの一致が発生したコンピューターの IP アドレス | デバイス イベント |
| SHA1 | ファイルの SHA-1 ハッシュ | デバイス イベント |
| SHA256 | ファイルの SHA-256 ハッシュ | デバイス イベント |
| MDATP デバイス ID | エンドポイント デバイスの MDATP ID | |
| ファイル サイズ | ファイルのサイズ | SharePoint、OneDrive、およびデバイス イベント |
| ファイル パス | DLP ポリシーが一致する項目の絶対パス | SharePoint、OneDrive、およびデバイス イベント |
| 電子メールの受信者 | メールが DLP ポリシーに一致する機密アイテムである場合、このフィールドにはそのメールの受信者が含まれます | Exchange イベント |
| メールの件名 | DLP ポリシーに一致したメールの件名 | Exchange イベント |
| メールの添付ファイル | DLP ポリシーに一致したメールの添付ファイルの名前 | Exchange イベント |
| サイト所有者 | サイト所有者の名前 | SharePoint と OneDrive のイベント |
| サイト URL | DLP ポリシーの一致が発生した SharePoint または OneDrive サイトの URL のいっぱいです | SharePoint と OneDrive のイベント |
| ファイルが作成されました | DLP ポリシーに一致したファイルの作成時刻 | SharePoint と OneDrive のイベント |
| ファイルの最終更新日時 | DLP ポリシーに一致するファイルが前回変更された時刻 | SharePoint と OneDrive のイベント |
| ファイル サイズ | DLP ポリシーに一致したファイルのサイズ | SharePoint と OneDrive のイベント |
| ファイル所有者 | DLP ポリシーに一致したファイルの所有者 | SharePoint と OneDrive のイベント |
アラートのポリシーの詳細を確認する
次の表では、アラート イベントで使用できるポリシー関連の詳細について説明します。
| プロパティ名 | 説明 | イベントの種類 |
|---|---|---|
| DLP ポリシーの一致 | 一致した DLP ポリシーの名前 | すべてのイベント |
| 一致したルール | 一致した DLP ポリシー ルールの名前 | すべてのイベント |
| 検出された機密情報の種類 (SIT) | DLP ポリシー一致の一部として検出された SIT | すべてのイベント |
| 実行された処理 | DLP ポリシーの一致を引き起こすために実行されたアクション | すべてのイベント |
| 違反しているアクション | DLP アラートを発生させたエンドポイント デバイスでのアクション | デバイス イベント |
| ユーザーオーバーライド ポリシー | ユーザーがポリシー ヒントを通じてポリシーをオーバーライドしましたか? | すべてのイベント |
| 優先の正当な理由を使用する | オーバーライドのためにユーザーが指定した理由のテキスト | すべてのイベント |
重要
organization の監査ログ保持ポリシー設定は、アラートがコンソールに表示される期間を制御します。 詳細については、「監査ログ保持ポリシーを管理する」を参照してください。
関連項目
- DLP ポリシーのアラート: DLP ポリシーにおけるアラートについて説明します。
- データ損失防止アラートの概要: DLP アラートに必要なライセンス、アクセス許可、前提条件、およびアラート参照の詳細について説明します。
- データ損失防止ポリシーの作成と展開: DLP ポリシーの作成におけるアラート構成に関するガイダンスが含まれています。
- データ損失防止アラートの調査: DLP アラートを調査するためのさまざまな方法について説明します。
- Microsoft Defender XDR によるデータ損失インシデントの調査: Microsoft Defender ポータルで DLP アラートを調査する方法。