Исследования по безопасности данных

Исследования по безопасности данных Microsoft Purview Microsoft Purview помогает группам кибербезопасности в вашей организации использовать генеративный искусственный интеллект (ИИ) для анализа и реагирования на инциденты безопасности данных, рискованные инсайдеры и утечки данных. Расследования помогают быстро выявить риски, связанные с раскрытием конфиденциальных данных, и эффективнее сотрудничать с командами партнеров для устранения проблем. Он упрощает задачи, которые традиционно требуют много времени и являются сложными.

Аналитики в вашей организации могут использовать функции исследования по безопасности данных для следующих целей:

  • Быстрый и эффективный поиск, обнаружение и идентификация затронутых данных.
  • Используйте глубокий анализ контента ИИ для обнаружения точных рисков, скрытых в данных.
  • Примите меры для уменьшения влияния инцидентов безопасности данных и быстрого устранения текущих рисков.
  • Совместно работайте с внутренними и внешними заинтересованными лицами над деталями расследования.
  • Получайте уведомления через центр уведомлений Microsoft Purview и по электронной почте, когда настройка завершена и исследования готовы к использованию.

Чтобы получить дополнительные сведения о том, как исследования по безопасности данных могут помочь вам реагировать на инциденты безопасности данных, посмотрите следующие видео:

Интеграция ИИ

Исследования по безопасности данных используют генеративный ИИ для проведения глубокого анализа контента и выявления ключевых рисков безопасности и конфиденциальных данных для данных, включенных в расследования. ИИ помогает аналитикам быстро и с высокой точностью анализировать большие объемы данных, экономя критически важное время для сортировки, анализа и принятия мер по смягчению последствий.

Существует три основных возможности расследования, связанные с ИИ:

  • Векторный поиск: Семантический поиск на основе векторов позволяет извлекать информацию на основе сходства и понимает намерения пользователя за пределами буквальных слов. Аналитики запрашивали затронутые данные, чтобы найти все ресурсы, связанные с определенной темой, даже если отсутствуют ключевые слова.
  • Категоризация: чтобы получить начальное представление о серьезности инцидента, аналитики могут использовать параметры Standard или Advanced AI для классификации затронутых данных, сужая фокус до активов с высоким риском. Исследования по безопасности данных автоматически сортируют данные по категориям по умолчанию, пользовательским или предложенным ИИ. Классифицируемые элементы также включают группировку по тематике и уровню риска.
  • Изучение: Исследования по безопасности данных позволяют аналитикам легко решать приоритетную задачу номер один для большинства инцидентов безопасности данных - поиск рисков безопасности, скрытых в затронутых данных. Изучая затронутые данные на предмет рисков безопасности, аналитики могут обнаружить скомпрометированные учетные данные, сетевые риски, раскрытие личных данных или свидетельства обсуждений со стороны злоумышленников, связанных с инцидентами безопасности.

Дополнительные сведения об интеграции ИИ и этих инструментах см. в разделе Сведения об анализе ИИ в разделе «Исследования по безопасности данных».

Распространенные действия по утечке данных

Большинство организаций обеспокоены растущими рисками и последствиями, связанными с внутренними и внешними нарушениями безопасности данных. Ваша команда кибербезопасности отвечает за выявление затронутых данных в сценарии утечки данных и сокращение времени, необходимого для снижения риска, связанного с уязвимостями, обнаруженными в сценарии утечки данных. В случае утечки данных необходимо быстро и эффективно реагировать, чтобы снизить риски и защитить конфиденциальную информацию.

Ваша команда по кибербезопасности должна:

  • Оценка утечки данных: аналитики должны понимать области и последствия утечки данных. Это понимание включает в себя идентификацию всех затронутых систем, затронутых данных, а также любых внешних и внутренних пользователей, связанных с утечкой данных.
  • Сдерживание и взаимодействие: Аналитики должны изолировать затронутые системы, чтобы свести к минимуму и предотвратить дальнейший ущерб. Кроме того, внутренним заинтересованным лицам и отделам вашей организации (ИТ-отделу, юридическому отделу, исполнительному руководству) требуется уведомление и сведения об утечке данных.
  • Судебная экспертиза и сохранение доказательств: Аналитикам может потребоваться поддержка при взаимодействии с экспертами по криминалистике данных. Необходимо сохранить сведения о системе и состоянии (журналы, системные снимки, сетевой трафик) для потенциальных юридических и нормативных требований.
  • Оценка и снижение рисков: Аналитики должны оценивать потенциальные риски и расставлять приоритеты действий по смягчению в зависимости от серьезности риска. Эти сведения помогают при реализации обновлений конфигурации и политик, в том числе при реализации применимых исправлений безопасности.
  • Очистка и защита данных: аналитикам может потребоваться удалить ненужные или скомпрометированные данные, а также удалить избыточные копии. Исследования по безопасности данных поддерживают параметры «мягкой очистки» и «жесткой очистки» для удаления или окончательного удаления элементов из источников данных. Другие задачи могут включать усиление контроля доступа, шифрование данных и мониторинг.
  • Отчетность и соответствие требованиям: в зависимости от характера задействованных данных и затронутых юрисдикций аналитикам может потребоваться соблюдение нормативных требований для уведомления об утечках. Эти требования могут включать информирование затронутых лиц, регулирующих органов и других заинтересованных сторон о характере нарушения и шагах, предпринятых для его устранения.

Общие сценарии

Расследование утечки данных

После инцидента, связанного с защитой данных, может быть сложно понять влияние раскрытия конфиденциальных данных. В рамках стратегии устранения рисков необходимо определить интеллектуальную собственность, персональные данные и финансовую информацию, которые могут быть скомпрометированы. Кроме того, некоторые организации создают и поддерживают пользовательские инструменты для исследования этих проблем.

При использовании Microsoft Defender XDR для расследования инцидентов, связанных с защитой данных, вы можете обнаружить документ, содержащий неподанные патенты. При создании расследования инцидента в Исследования по безопасности данных дальнейший анализ показывает, какие пользователи скачали документ и был ли доступ к нему с рискованного IP-адреса. Эта информация предоставляет критически важный контекст для принятия мер по смягчению последствий, таких как защита или удаление конфиденциального документа из вашей организации.

Расследуйте потенциальную утечку данных от рискованного инсайдера

При использовании службы управления внутренними рисками для изучения оповещений об утечках данных для рискованных пользователей в организации может оказаться, что этот пользователь предоставил общий доступ к электронным письмам и файлам с помощью внешнего хранилища. Благодаря встроенной интеграции вы можете создать новое расследование в области исследования по безопасности данных на основе дела Insider Risk Management, чтобы быстро просмотреть предварительные аналитические сведения об общем контенте. Прежде чем использовать какие-либо дополнительные вычислительные ресурсы или расходы, вы можете решить, нуждается ли это содержимое в дополнительном анализе.

Если вы добавите общие элементы в области исследования, обработка начнется автоматически, чтобы вы могли углубиться в детали содержимого. После завершения обработки все данные классифицируются и оцениваются на степень серьезности риска. Аналитики могут быстро просматривать элементы с самой высокой степенью серьезности и выявлять проблемы, требующие более тщательного изучения. Сведения об именах пользователей, паролях, содержимом документации и исходном коде доступны для просмотра при необходимости. Затем аналитики могут сотрудничать с другими заинтересованными лицами в вашей организации, чтобы принять меры по наиболее важным элементам и снизить текущие риски, связанные с утечкой данных.

Утечка конфиденциальных данных

В сценариях, когда конфиденциальная, чувствительная или защищенная информация преднамеренно раскрывается за пределами предполагаемой среды, вы можете использовать исследования по безопасности данных для дальнейшего расследования потенциальной утечки данных, лучшего понимания последствий инцидента и принятия необходимых следующих шагов.

Упреждающая оценка безопасности данных

Вы также можете использовать функцию исследования по безопасности данных для упреждающей оценки объема данных на предмет рисков, связанных с данными. Вы можете проанализировать выборку важных источников данных и пользователей на предмет рисков, связанных с данными, или провести упреждающее сканирование отдельных источников ценных данных или более широкой области в масштабах организации. Эта оценка помогает определить возможности для уточнения политик или организационных изменений с целью укрепления методов обеспечения безопасности и потенциального предотвращения или уменьшения влияния будущих инцидентов защиты данных.

Когда вы включаете упреждающую аналитику ИИ из Управление состоянием безопасности данных (предварительная версия), исследования безопасности данных автоматически анализируют недавно украденные конфиденциальные данные по пяти категориям риска, обеспечивая непрерывную видимость раскрытия данных без ручного исследования творение.

Интеграция с другими платформами и решениями Майкрософт

Исследования по безопасности данных — это единое специализированное решение, тесно интегрированное с другими службами безопасности Майкрософт. Исследования по безопасности данных, интегрированные с подходом Microsoft Graph к безопасности, проводят корреляции между затронутыми данными, пользователями и действиями. Эта интеграция помогает быстро выявлять затронутые данные, расследовать инциденты с помощью генеративного ИИ и безопасно сотрудничать с другими участниками группы безопасности для снижения рисков.

Microsoft Defender XDR

Microsoft Defender XDR — это единый корпоративный пакет средств защиты до и после взлома, который по умолчанию координирует обнаружение, предотвращение, исследование и реагирование на конечных точках, удостоверениях, электронной почте и приложениях для обеспечения интегрированной защиты от изощренных атак. Благодаря встроенной интеграции с исследования по безопасности данных вы можете расширить анализ сигналов угроз и глубже изучить данные, связанные с атаками и инцидентами безопасности.

На портале Microsoft Defender можно оценивать оповещения и быстро начинать расследование в отделе исследования по безопасности данных для получения более глубокого представления о данных и пользователях, связанных с инцидентом. Исследование помогает проанализировать детали оповещения, понять их значение, а также собрать и изучить данные для более глубокого анализа и принятия мер по смягчению последствий.

Дополнительные сведения о функциях Microsoft Defender XDR см. в статье Начало работы с Microsoft Defender XDR.

Управление внутренними рисками Microsoft Purview

Благодаря сочетанию возможностей интеграции и расследования Исследования по безопасности данных с функциями упреждающего управления рисками Управление внутренними рисками Microsoft Purviewваша организация имеет целостное представление о потенциальных рисках и возможность своевременно принять меры для защиты конфиденциальных данных. Следователи Insider Risk Management могут не располагать важными сведениями о содержимом файлов, связанных с рискованными оповещениями. Этот пробел может привести к неправильному обращению с оповещениями и в конечном итоге снизить эффективность защиты от внутренних угроз.

Интеграция между отделом исследования по безопасности данных и управлением инсайдерскими рисками обеспечивает беспроблемное взаимодействие между вашими командами по кибербезопасности и управлению рисками. Такое взаимодействие позволяет эффективнее выявлять и быстрее устранять внутренние угрозы. Дополнительные сведения о функциях управления внутренними рисками см. в следующих статьях:

Управление состоянием безопасности данных Microsoft Purview

Если вы используете Управление состоянием безопасности данных Microsoft Purview (DSPM), вы можете передать потенциальные результаты кражи данных в исследования по безопасности данных для более глубокого анализа контента на базе искусственного интеллекта. Вы можете вручную создать исследование на основе аналитики DSPM (предварительная версия) или включить упреждающую аналитику ИИ, которая автоматически создает и обновляет исследование для вашего клиента каждые 24 часа. Расследования, созданные с помощью DSPM, автоматически охватываются всеми конфиденциальными данными, недавно похищенными из вашей организации, что позволяет вашей команде быстро понять, что было раскрыто, оценить их конфиденциальность и принять обоснованные меры по исправлению.

Единый журнал аудита

Решения аудита Microsoft Purview предоставляют интегрированное решение, помогающее организациям эффективно реагировать на события безопасности, судебные расследования, внутренние расследования и обязательства по обеспечению соответствия требованиям. В едином журнале аудита организации регистрируются, записываются и хранятся тысячи операций пользователей и администраторов, выполняемых в десятках служб и решений Майкрософт.

Исследования по безопасности данных интегрируются с единым журналом аудита двумя способами.

  • Аудит поиска. Используйтепоиск аудита для определения и сбора контента на основе действий пользователей, записанных в едином журнале аудита. Аудит поиска запрашивает в едином журнале аудита действия, связанные с содержимым, такие как доступ к файлам, загрузки и изменения меток конфиденциальности, и добавляет связанное содержимое непосредственно в области исследования.
  • Ведение журнала действий: Исследования по безопасности данных предоставляют мощные средства расследования, для которых может потребоваться возможность аудита действий, предпринимаемых для обеспечения безопасного и утвержденного использования решения. Чтобы соответствовать этим требованиям, действия исследования по безопасности данных автоматически регистрируются в едином журнале аудита.

Дополнительные сведения об этих действиях см. в разделе "Исследования по безопасности данных" статьи "Действия в журнале аудита".

Защита от потери данных в конечной точке Microsoft Purview

Защита от потери данных (DLP) конечной точки Microsoft Purview отслеживает и защищает конфиденциальные элементы на встроенных устройствах Windows и macOS. Общий обзор возможностей защиты от потери данных см. в разделе Защита от потери данных. Если политики защиты от потери данных в конечной точке настроены со сбором доказательств для действий с файлами на устройствах, копии файлов, соответствующих политикам, записываются и сохраняются для проверки.

Исследования по безопасности данных интегрируются со сбором доказательств защиты от потери данных в конечной точке, позволяя следователям запрашивать захваченные данные конечной точки и добавлять их в области исследования для анализа на базе искусственного интеллекта. Вместо того, чтобы сортировать оповещения DLP отдельных конечных точек одно за другим, следователи могут агрегировать события конечных точек и анализировать их коллективно, чтобы обнаружить такие закономерности, как массовое хищение или скоординированное хищение данных.

Дополнительные сведения об использовании данных защиты от потери данных конечной точки в исследованиях см. в статье Сбор доказательств защиты от потери данных в конечной точке.

Модели выставления счетов

Исследования по безопасности данных помогают выявлять риски, связанные с данными, связанными с взломанным контентом, с помощью больших языковых моделей (LLM) и Microsoft Copilot for Security. Так как служба исследования по безопасности данных предоставляет анализ ИИ по требованию и интегрируется с другими решениями Microsoft Purview, она использует модели оплаты по мере использования и выставления счетов за пропускную способность. Такая структура выставления счетов означает, что вы платите за функции хранилища и емкости ИИ, используемые в решении. Однако для использования функции "Исследования по безопасности данных" вам не нужен выделенный корпоративный план или лицензия.

При включении упреждающей аналитики ИИ от DSPM затраты на хранилище и емкость ИИ возникают постоянно, пока переключатель остается включенным, поскольку автоматически созданное исследование обновляется каждые 24 часа.

Дополнительные сведения о выставлении счетов см. в разделе "Модели выставления счетов" в разделе "Исследования по безопасности данных".

Готовы приступить к работе?

  • Последнее обновление: