Создание поиска обращения при обнаружении электронных данных

Используйте поиск в разделе обнаружения электронных данных, чтобы находить материалы на месте, например электронную почту, документы и мгновенные сообщения в вашей организации, которые имеют отношение к делу. Используйте поиск для поиска контента в этих облачных источниках данных Microsoft 365:

• Почтовых ящиках Exchange Online.
• Сайты SharePoint
• Учетные записи OneDrive
• Microsoft Teams
• Группы Microsoft 365
• Viva Engage

Можно создавать и выполнять различные операции поиска, связанные с обращением. Используйте условия, например ключевые слова, для формирования поисковых запросов, которые возвращают результаты поиска с данными, которые с наибольшей вероятностью имеют отношение к данному случаю. Кроме того, у вас есть следующие возможности.

• Просмотр статистики поиска, которая может помочь уточнить поисковый запрос и сузить результаты поиска.
• Предварительно просматривать результаты поиска, чтобы быстро проверить, найдены ли нужные данные.
• Изменять запрос и повторять поиск.

После поиска и нахождения данных, которые имеют отношение к расследованию, вы можете отправить результаты в набор проверки для дальнейшего изучения или экспортировать их для проверки людьми, не входящими в группу расследования.

Примечание.

Организации, для которых действуют требования Общего регламента по защите данных ЕС (GDPR) для защиты и реализации прав пользователей на конфиденциальность в Европейском союзе (ЕС), также могут управлять расследованиями в ответ на запросы субъектов данных (DSR), отправленные человеком в вашей организации. Поддержка средства поиска обращений по пользовательским данным прекращена, а его функциональность объединена с обнаружением электронных данных. Теперь вы можете использовать поиск для поиска контента для поддержки запросов субъекта данных во всех расположениях, поддерживаемых поиском eDiscovery.

Совет

Начните работу с Microsoft Security Copilot, чтобы исследовать новые способы более эффективной и быстрой работы с помощью возможностей ИИ. Дополнительные сведения о Microsoft Security Copilot в Microsoft Purview.

Советы по поисковым запросам для дел по обнаружению электронных данных

Используйте следующие советы при создании и выполнении поиска при обнаружении электронных данных.

• Часовой пояс для всех поисковых запросов — UTC. Изменить часовой пояс для организации нельзя. Параметры отображения часовых поясов в представлении поиска применяются только к значениям в столбце "Данные " и не влияют на метки времени в собранных элементах.

• Поиск по ключевым словам всегда производится без учета регистра, без отказа по запросу или термину. Например, команды cat и CAT возвращают одинаковые результаты и subject:"Apple" совпадают как с яблоками , так и с яблоками. Это правило применяется к тексту и property:value синтаксису ключевых слов во всех областях поиска при обнаружении электронных данных (поиск, удержания на основе запросов и поиск по набору отзывов). Единственными маркерами, чувствительными к регистру, в KeyQL являются сами логические операторы: операторы AND,OR, NOT и NEAR должны быть прописными буквами, чтобы их можно было проанализировать как операторы.

  Примечание.

  Поиск с учетом регистра не поддерживается при поиске при обнаружении электронных данных. Если в вашем сценарии требуется отличить Apple (компанию) от apple (фрукт) или идентифицировать идентификаторы, такие как ID и id, используйте следующий шаблон: (1) запустите намеренно широкую коллекцию без учета регистра, (2) добавьте элементы в набор для проверки, (3) экспортируйте набор отзывов или его текст и метаданные и (4) примените фильтрацию с учетом регистра после экспорта с помощью внешних инструментов (например, PowerShell Select-String -CaseSensitive, регулярные выражения или стороннюю платформу для проверки).

• Пустое условие ключевого слова возвращает все содержимое в выбранных источниках данных, а не содержимое. Если не ввести ключевые слова или условия, поиск вернет все элементы в каждом выбранном почтовом ящике, на каждом сайте и группе по всему диапазону дат.

  Важно!

  В случаях широкой области пустое условие ключевого слова может вернуть миллионы элементов, превысить ограничения на результаты и значительно задержать поиск. Чтобы сохранить определенную область поиска, перед выполнением поиска введите хотя бы одно ключевое слово или условие. Чтобы намеренно собрать все содержимое в область (например, для snapshot хранения хранилища), проверьте размер область, сначала запустив команду "Создать статистику".

• Логические операторы И, ИЛИ, НЕ и NEAR должны быть прописными.

  Важно!

  Используйте эти операторы в поле условия KeyQL. Поиск не поддерживает эти операторы в поле условия ключевого слова . Поиск обрабатывает эти операторы как буквальные ключевые слова.

• Использование кавычек останавливает подстановочные знаки и любые операции внутри кавычек.

• Пробел между двумя ключевыми словами или двумя property:value выражениями аналогичен оператору OR. Например, from:"Sara Davis" subject:reorganization возвращает все сообщения, отправленные Ольгой Дэвис, или сообщения, содержащие слово реорганизация в строке темы. Однако использование сочетания пробелов и условных операторов ИЛИ в одном запросе может привести к неожиданным результатам. Используйте пробелы или оператор OR в одном запросе.

• Используйте синтаксис, соответствующий формату property:value . Значения не чувствительны к регистру и не могут содержать пробелы после оператора. Если в ячейке есть пробел, значение будет полнотекстовым. Напримерto: pilarp, выполняется поиск "pilarp" в качестве ключевого слова, а не сообщений, отправленных в pilarp.

• При поиске свойства получателя, например To, From, Cc или Recipients, можно использовать SMTP-адрес, псевдоним или отображаемое имя получателя. Например, можно использовать pilarp@contoso.comслова , pilarp или "Pilar Pinilla".

• Можно использовать только поиск префиксов; Например, Cat* или Set*. Поиск суффиксов (*cat), инфиксов (c*t) и поиск по подстрокам (*cat*) не поддерживаются.

• Если искомое значение состоит из нескольких слов, то используйте двойные кавычки (" "). Например, subject:budget Q1 возвращает сообщения, содержащие бюджет в строке темы и Q1 в любом месте сообщения или каком-либо из его свойств. Использование возвращает subject:"budget Q1" все сообщения, содержащие бюджет КВ1 в строке темы.

• Чтобы исключить из результатов поиска контент с определенным значением свойства, поставьте знак минус (-) перед именем свойства. Например, исключаются все сообщения, -from:"Sara Davis" отправленные Ольгой Дэвис.

• Вы можете экспортировать элементы в зависимости от типа сообщения. Например, чтобы экспортировать беседы и чаты Skype в Microsoft Teams, используйте синтаксис kind:im. Чтобы возвращать только сообщения электронной почты, используйте kind:email. Чтобы отвечать на звонки в чаты, собрания и звонки в Microsoft Teams, используйте kind:microsoftteams.

• При поиске сайтов необходимо добавлять конец / URL-адреса, если свойство path возвращает только элементы на указанном сайте. Если не добавить конечные /знаки, также возвращаются элементы с сайта с похожим именем пути. Например, если вы используете path:sites/HelloWorld then элементы с сайтов с именами sites/HelloWorld_East или sites/HelloWorld_West также возвращаются. Чтобы вернуть товары только с сайта HelloWorld, вы должны использовать path:sites/HelloWorld/.

• Вы можете определить страну или регион запроса в поисковом запросе до сбора контента. Для получения более точных результатов теста на китайском, японском или корейском языках может потребоваться специальная обработка, например разбиение фразы или предложения на отдельные слова или символы. Дополнительные сведения см. в статье Поддержка языков двухбайтовых символов при обнаружении электронных данных.

• При поиске сообщений электронной почты в папках "Отправленные " невозможно использовать SMTP-адрес для отправителя. Элементы в папке "Отправленные " содержат только отображаемые имена.

• При поиске содержимого из источников данных оптическое распознавание символов (OCR) использует сканирование OCR на уровне клиента. После сбора данных в наборе для проверки обнаружения электронных данных функция OCR использует сканирование OCR.

• Параметр "Включить частично индексированные элементы" во время поиска влияет только на статистику и предварительный просмотр. Отображение частично индексированных элементов в более позднем экспорте определяется независимо во время экспорта. Если они нужны для экспорта, также выберите параметр частичного индекса в диалоговом окне экспорта. Подробные сведения см. в статье Параметры времени поиска и времени экспорта не зависят друг от друга.

Создание поискового запроса

Совет

Предпочитаете ли вы интерактивное руководство по настройке? Ознакомьтесь с руководством по проектированию поиска .

При создании нового обращения вы автоматически перенаправляетесь на вкладку "Поиск " в обращении, и вы готовы создать поиск для этого обращения. Вы также можете создать новый поиск в случае поиска контента в вашей организации. Поиск поможет вам найти элементы, которые вы хотите собрать для дела.

Поддержка контейнеров SharePoint Embedded в процессе обнаружения электронных данных (предварительная версия) включает обнаружение контейнеров и фильтрацию приложений при добавлении пользователя в качестве источника данных. Кроме того, поддерживаемый контейнер можно добавить напрямую, используя его URL-адрес.

1. Выберите "Создать поиск в запросе или в случае поиска контента". Если для этого нового обращения нет предыдущих поисков, вы также можете выбрать "Создать поиск" на главной панели в разделе "Начать поиск релевантных данных".

2. На странице "Введите сведения, чтобы приступить к работе " заполните следующие поля:

   • Имя поиска: присвойте поиску имя (обязательно). Имя поиска должно быть уникальным для вашей организации.
   • Описание поиска: Добавьте необязательное описание, чтобы помочь другим пользователям понять результаты поиска.

3. Нажмите "Создать ", чтобы создать новый поиск, и начинайте запросы для поиска релевантных данных для обращения.

4. На вкладке "Запрос " добавьте источники данных для поиска. Полное руководство и ограничения см. в статье Источники данных при обнаружении электронных данных.

   Для поддержки контейнеров SharePoint Embedded в режиме обнаружения электронных данных (предварительная версия) выберите пользователя, чтобы обнаружить соответствующие поддерживаемые контейнеры, принадлежащие пользователям и клиентам, или введите известный поддерживаемый URL-адрес контейнера в качестве расположения сайта.

5. Нажмите кнопку "Управление", чтобы просмотреть расположения почтовых ящиков и сайтов, связанные с выбранными источниками. В противном случае выберите "Сохранить и закрыть".

   Если вы добавили пользователя в качестве источника данных, при необходимости используйте фильтр по приложению , а затем выберите или снимите флажок для поддерживаемых контейнеров SharePoint Embedded, имеющих отношение к исследованию.

6. Просмотрите выбранные параметры и подтвердите включенные ресурсы для каждого источника данных. Выберите Сохранить. Вы определили области источников данных, которые изучают поисковые запросы.

7. В разделе " Источники данных " выберите меню с многоточием для любого источника данных, чтобы настроить параметры управления этим источником данных.

   Что касается вариантов управления, выберите один из следующих вариантов:

   • Управление источником данных: Управление источниками данных для выбранного пользователя или сайта.
   • Отключить почтовые ящики: отключает почтовые ящики для выбранного пользователя или сайта. Выберите этот параметр еще раз, чтобы включить почтовый ящик для пользователя или сайта.
   • Отключить сайты: Отключить сайт для выбранного пользователя или сайта. Выберите этот параметр еще раз, чтобы включить сайт для пользователя или сайта.
   • Частые участники совместной работы: выбор связанных почтовых ящиков и сайтов для пользователей, которые часто взаимодействуют с выбранным пользователем.
   • Руководитель: выбор связанных почтовых ящиков и сайтов руководителя пользователя.
   • Непосредственные подчиненные: выбор связанных почтовых ящиков и сайтов непосредственных подчиненных пользователя.
   • Группы, владельцем которых является пользователь: выбор связанных почтовых ящиков и сайтов групп, владельцем которых является пользователь.
   • Группы, в которых состоит пользователь: выбор связанных почтовых ящиков и сайтов групп, участником которых является пользователь.

   Для источников группы выберите один из следующих вариантов:

   • Участники: выбор связанных почтовых ящиков и сайтов пользователей, которые являются участниками группы.

8. С помощью элементов управления панели команд источников данных добавьте, обновите, синхронизируйте и найдите другие источники данных для поиска по мере необходимости.

   • Поиск и добавление: нажмите значок "+", чтобы добавить источники данных.
   • Управление: выберите значок карандаша для управления назначенными источниками данных.
   • Синхронизация: выберите значок синхронизации, чтобы синхронизировать источники данных и обновить источники данных с учетом последних версий в вашей организации.
   • Поиск: выберите значок поиска, чтобы найти источники данных, которые в настоящее время включены в поисковый запрос.

9. Чтобы определить параметры поискового запроса, выберите один из следующих параметров на вкладке "Запрос ":

   • Построитель условий: параметр построителя условий в поиске обеспечивает простой для пользователя интерфейс поиска при создании поисковых запросов в режиме обнаружения электронных данных. Используйте ключевые слова или настраиваемые условия, чтобы сфокусировать области поисковых запросов. Кроме того, в поиске можно использовать параметр условия запроса язык KeyQL (KeyQL), который предоставляет рекомендации и позволяет быстро вставлять длинные и сложные запросы непосредственно в редактор. Он также помогает создавать поисковые запросы с нуля, выявляет потенциальные ошибки и отображает подсказки о том, как устранить проблемы.

     Вы также можете быстро создавать запросы KeyQL для поиска с помощью Microsoft Security Copilot. Инструкции см. в статье Создание поискового запроса KeyQL с помощью Microsoft Copilot (предварительная версия).

10. Выберите Выполнить запрос. Если вы хотите сохранить определенные параметры запроса и запустить его позже, выберите Сохранить как черновик.

Создание поискового запроса KeyQL с помощью Microsoft Copilot (предварительная версия)

Параметр построителя запросов на естественном языке (предварительная версия) KeyQL в поиске позволяет использовать естественный язык и Microsoft Security Copilot для быстрого создания выражения языка запросов ключевых слов (KeyQL). Используйте построитель для создания сложных запросов с дополнительными функциями, включая операторы И, ИЛИ и группирование условий, используя запросы на естественном языке.

Эта функция помогает вам легко создавать запросы, используя, например, готовые запросы. Это также позволяет уточнять и улучшать пользовательские запросы для более точных поисковых запросов. Вы также можете использовать предложения в качестве отправной точки для создания и уточнения запросов KeyQL для распространенных или пользовательских сценариев поиска.

Чтобы создать поисковый запрос с помощью Copilot, выполните следующие действия:

1. Выбрав источники данных для своего запроса, выберите "Составить запрос с помощью Copilot".
2. В области запросов на естественном языке выберите один из следующих параметров.
   • Введите вопрос для поискового запроса. При необходимости вы можете включить сведения о пользователе, источнике данных и другом содержимом.
   • Выберите "Просмотреть запросы", чтобы выбрать один из следующих вариантов запросов:
     • Поиск всех сообщений со словами "бюджет" и "финансы" и с вложениями
     • Выполните поиск всех чатов в январе 2020 года, которые содержат слово "финансовый год"
     • Выполните поиск файлов типа .docx, которые содержат слова "конфиденциально" и "бюджет"
3. Просмотрите подсказку на естественном языке. Чтобы уточнить запрос с Copilot, выберите "Уточнить".
4. Когда запрос будет завершен, выберите "Сгенерировать KeyQL".
5. Просмотрите запрос KeyQL в области результатов "Язык запросов ключевых слов" (KeyQL). Если вам нужно уточнить результаты запроса KeyQL, обновите запрос на панели запросов на естественном языке и снова выберите "Создать KeyQL". 1. Когда результаты KeyQL будут получены, выберите «Копировать KeyQL».
6. Вставьте результаты KeyQL в поле запроса на вкладке Язык запросов по ключевым словам (KeyQL). Вы можете закрыть функцию создания черновика запроса с помощью Copilot.
7. Выберите Выполнить запрос. Если вы хотите сохранить определенные параметры запроса и запустить его позже, выберите Сохранить как черновик.

Запуск поискового запроса

Создав поисковый запрос вручную или с помощью Security Copilot, запустите его, чтобы сгенерировать результаты поиска.

Чтобы выполнить поисковый запрос, выполните следующие действия.

1. Перейдите на портал Microsoft Purview и войдите в систему, используя учетные данные для учетной записи, которой назначены разрешения на обнаружение электронных данных.

2. Выберите карту решения для обнаружения электронных данных, а затем выберите "Случаи" в области навигации слева.

3. Выберите дело. На вкладке "Поиски " выберите сохраненный поиск.

4. Выберите Выполнить запрос.

5. После выбора варианта "Выполнить запрос" отобразится всплывающая панель выбора результатов поиска . Выберите представление, которое вы хотите создать для запроса, и его параметры. Можно выбрать представление "Статистика " или "Выборка ".

   • Статистика: этот вид создает сводку оценок собранных данных, упорядоченных по основным показателям. Выберите один или несколько из следующих вариантов:

   • Включение категорий: уточните представление, чтобы включить людей, типы конфиденциальной информации, элементы и ошибки.

   • Отчет о ключевых словах для включения запроса: оценивайте релевантность ключевых слов для различных частей поискового запроса.

   • Исследование частично индексированных элементов: частично индексированные элементы обычно составляют примерно 1 % контента в источниках данных по количеству. При выборе этого параметра (и только его) создаются сводные данные (количество элементов и расположение) о частично индексированных элементах, включенных в выбранные для поиска источники данных. Частично индексированные элементы не индексируются и не обрабатываются. Дополнительные сведения о том, как вычислить долю частично индексированных элементов в организации, см. в разделе Оценка частично индексированных элементов в организации. Для дальнейшей обработки частично индексированных элементов в определенных источниках данных используйте следующие расширенные параметры индексирования:

     • Исключение частично индексированных элементов в расположениях без результатов поиска: Выбор этого параметра уменьшает области частично индексированных элементов (или расширенное индексирование, если выбран этот параметр), ограничивая включение частично индексированных элементов только теми источниками данных, которые включают элементы, относящиеся к вашему поиску. Это исключение удаляет частично индексированные элементы из источников данных, которые не содержат элементов, релевантных для поиска.

       Например, в качестве источников данных для поиска вы выбираете несколько почтовых ящиков, сайты SharePoint и OneDrive. При выполнении поиска только несколько почтовых ящиков и сайтов имеют индексированные элементы, соответствующие условиям поиска. Остальные почтовые ящики и сайты не содержат индексированных элементов, соответствующих условиям поиска. Если выбран этот параметр, в результаты статистики поиска включаются частично индексированные элементы в почтовых ящиках и на сайтах, содержащие индексированные элементы, относящиеся к поиску. Частично индексированные элементы в почтовых ящиках и на сайтах, не содержащие индексированных элементов, относящихся к поиску, игнорируются и не отражаются в результатах статистики поиска.

     • Выполнение расширенного индексирования для частично индексированных элементов. Область выполнения расширенного индексирования зависит от того, выбран ли параметр «Исключить частично индексированные элементы в расположениях без результатов поиска». Процесс расширенного индексирования запускает статистическую выборку частично индексированных элементов в областях и определяет, соответствуют ли эти элементы запросу:

       • Выбрано с параметром Исключить частично индексированные элементы в расположениях без результатов поиска : Этот параметр применяется к частично индексированным элементам только к источникам данных с полностью индексированными элементами, соответствующими поисковому запросу. Эти элементы отбираются, индексируются, а элементы, соответствующие поисковому запросу, отображаются в статистике поиска (если применимо).
       • Выбрано без параметра Исключить частично индексированные элементы в расположениях без совпадений при поиске : Этот параметр применяется ко всем частично индексированным элементам во всех источниках данных, включенных в поиск. Все элементы отбираются, индексируются, а элементы, соответствующие поисковому запросу, отображаются в статистике поиска (если применимо).

       Важно!

       Эта функция недоступна для случаев ограниченного формата .

   • Выборка: в этом представлении создается репрезентативная выборка полных результатов поиска. Определите следующие параметры:

     • Выберите количество образцов элементов, которые нужно создать для каждого расположения: выберите 1, 10 или 100.
     • Выберите количество расположений, из которых нужно получить выборки: выберите 10, 100, 1000 или 10000.

6. Параметры конфигурации источника на уровне клиента в обнаружении электронных данных позволяют включать дополнительные источники данных при поиске в пределах организации. При добавлении дополнительных источников данных поиск может занять больше времени, чем обычно.

   Настройте источник "Все пользователи и группы" в пределах организации, включив в него один или несколько типов пользователей или контента:

   • Политика "Все пользователи и группы" должна включать нелицензированных и локальных пользователей
   • Параметр "Все пользователи и группы" должен включать гостевых пользователей
   • Параметр "Все пользователи и группы" должен включать общие каналы Teams
   • Параметр "Все пользователи и группы" должен включать ушедших пользователей

   Важно!

   Для крупных организаций поиск на уровне клиента во всех почтовых ящиках Exchange и на сайтах SharePoint занимает много времени. Регулирование службы может повлиять на количество почтовых ящиков и сайтов для поиска. Перед выполнением этих поисков на уровне клиента ознакомьтесь с ограничениями масштаба и рекомендациями по пропускной способности в разделе "Пределы обнаружения электронных данных " и планируйте проводить поиск в пакетах по мере необходимости. Чтобы повысить производительность и удобство работы, разбейте поиск на несколько серий с использованием границ соответствия требованиям (например, по регионам, бизнес-подразделениям или отделам), чтобы каждый поиск был нацелен на подмножество почтовых ящиков и сайтов.

7. Выберите "Выполнить запрос", чтобы немедленно выполнить запрос.

В зависимости от выбранных параметров представления запроса вы автоматически направляетесь на вкладку "Статистика " или "Выборка ". Начнется оценка поискового запроса и будет рассчитано время, оставшееся для обработки запроса. Дополнительные сведения об оценке и точной настройке результатов поиска см. в статье Просмотр и оценка результатов поиска.

Создание нового поиска из существующего поиска

В некоторых сценариях может быть полезно создать новый поиск на основе существующего. При таком подходе сохраняются исходные источники данных и поиск, но при этом вносятся изменения для получения новой статистики поиска без изменения исходного поиска. При создании повторяющегося поиска в новом поиске сохраняются все источники данных и результат исходного поиска. Такой подход сохраняет целостность исходного поиска и позволяет получить новые аналитические сведения.

Чтобы создать новый поиск из существующего, выполните следующие действия:

1. Выберите дело. На вкладке "Поиски " откройте окно поиска.
2. Выберите Дублировать.
3. В том же случае автоматически создается новый поиск.

Новое имя поиска включает в себя заголовок исходного поиска с копией и добавленной меткой времени. Например, если заголовок источника поиска — "Поиск сообщений о бюджете", то новый заголовок поиска будет "Копия поиска сообщений о бюджете + метка времени". Чтобы изменить новый заголовок поиска, выберите элемент управления редактированием рядом с текстом заголовка.

Создание нового поиска на основе существующего удержания

В некоторых сценариях может быть полезно создать новый поиск на основе существующей защитной меры. Этот подход позволяет использовать исходные источники данных и поиск, используемый для удержания, для выполнения нового поиска. При создании поиска из существующего удержания все источники данных и поиск из него сохраняются в новом поиске.

Примечание.

Чтобы создать поиск из существующей защитной меры, вам должна быть назначена роль "Поиск соответствия ". Сведения о добавлении пользователей в группу ролей см. в статье Назначение разрешений на обнаружение электронных данных.

Чтобы создать новый поиск из существующего удержания, выполните следующие действия:

1. Выберите дело. На вкладке политик удержания выберите и откройте политику удержания.
2. Выберите "Создать поиск".
3. Автоматически создается новый поиск, и вы автоматически перенаправляетесь к новому поиску.

Новое имя поиска включает имя политики удержания источника с копией кода перед заголовком и меткой времени. Например, если заголовок политики удержания источника — "Удержание для сохранения проекта Contoso", то новый заголовок поиска будет "Копия удержания для сохранения проекта Contoso + метка времени". Чтобы изменить новый заголовок поиска, выберите элемент управления редактированием рядом с текстом заголовка.

Удаление поиска

Чтобы уменьшить количество предыдущих поисков, связанных с делом, удалите определенные поисковые запросы в обнаружении электронных данных. Если поиск связан с экспортом и наборами отзывов, история этих экспорта и наборов отзывов остается доступной в диспетчере процессов и журналах аудита.

Чтобы удалить существующий поиск в обращении, выполните следующие шаги:

1. Выберите обращение и выберите поиск, который нужно удалить.
2. Нажмите многоточие (...) в правом верхнем углу страницы поиска и выберите Удалить поиск.
3. Выберите "Да " в диалоговом окне "Удалить поиск ", чтобы удалить поиск из обращения.

Примечание.

Пока процессы выполняются, удалить результат поиска нельзя. Перед удалением поиска дождитесь завершения всех процессов.