Начало работы с обозревателем действий

Обозреватель действий позволяет отслеживать, что делается с помеченным содержимым. Обозреватель действий предоставляет представление журнала действий с помеченным содержимым. Сведения о действиях поступают из объединенных журналов аудита Microsoft 365. Он преобразуется и становится доступным в пользовательском интерфейсе обозревателя действий. Обозреватель действий сообщает о данных за 30 дней.

Обозреватель действий предоставляет несколько способов сортировки и просмотра данных.

При появлении действий

Обозреватель действий не является представлением в реальном времени. Поскольку данные берутся из единого журнала аудита Microsoft 365, действия отображаются по тому же расписанию, что и записи аудита, а не в момент их возникновения.

  • Для основных служб (Exchange, SharePoint, OneDrive и Teams) подождите от 60 до 90 минут после действия, чтобы оно отобразилось в обозревателе действий. Работа других служб может занимать больше времени, и Майкрософт не гарантирует конкретное время, когда действие станет доступным. Дополнительные сведения см. в разделе Поиск в журнале аудита.
  • После включения или изменения политики подождите время, пока она достигнет рабочей нагрузки и соответствующие действия вступят в систему. Пустое представление сразу после включения политики обычно означает, что конвейер данных еще не наверстал упущенное, а не то, что политика завершилась сбоем.
  • Устройства сообщают о действиях с конечной точкой, только когда они подключены к сети. Автономное устройство заполняет свои действия задним числом после повторного подключения.

Примечание.

Если недавнее действие еще не отображается, убедитесь, что оно попадает в 30-дневный период, который отчитывается обозревателем действий, и подождите время доступности журнала аудита, описанное ранее, прежде чем рассматривать отсутствующее действие как дефект. Чтобы подтвердить действие независимо, выполните поиск в разделе "Аудит".

Фильтры

Фильтры — это основные элементы обозревателя действий. Каждый фильтр фокусируется на отдельном измерении собранных данных. Можно использовать около 50 различных отдельных фильтров, в том числе:

  • Диапазон дат
  • Тип действия
  • Расположение
  • Метка конфиденциальности
  • Пользователь
  • IP-адрес клиента
  • Имя устройства
  • Защищен

Чтобы просмотреть все фильтры, откройте область фильтров в обозревателе действий и просмотрите раскрывающийся список.

Примечание.

Параметры фильтрации создаются на основе первых 500 записей для обеспечения оптимальной производительности. Это ограничение может привести к тому, что некоторые значения не будут отображаться в раскрывающемся списке фильтра. Для событий конечных точек отображается только самое строгое правило DLP. Фильтры, применяемые в обозревателе действий, также работают на основе этого наиболее строгого правила.

Наборы фильтров

Обозреватель действий поставляется с готовыми наборами фильтров, помогающих сэкономить время, когда вы хотите сосредоточиться на определенном действии. Используйте наборы фильтров, чтобы быстро получить представление о действиях более высокого уровня, чем отдельные фильтры. Некоторые из предопределенных наборов фильтров:

  • Действия защиты от потери данных в конечной точке
  • Применение, изменение и удаление меток конфиденциальности
  • Действия для исходящего трафика
  • Политики защиты от потери данных, обнаруживающие действия
  • Сетевые действия DLP
  • Защищенный браузер

Вы также можете создавать и сохранять собственные наборы фильтров, комбинируя отдельные фильтры.

Microsoft Security Copilot в обозревателе действий (предварительная версия)

В предварительной версииMicrosoft Security Copilot в Microsoft Purview внедрен в обозреватель действий. Это поможет эффективно детализировать данные о действиях и определить действия, файлы с конфиденциальной информацией, пользователей и другие детали, имеющие отношение к расследованию.

Важно!

Обязательно проверьте, насколько проверены ответы Security Copilot на предмет точности и полноты, прежде чем предпринимать какие-либо действия на основе предоставленной информации. Вы можете предоставить отзыв, чтобы повысить точность ответов.

Поиск данных

Навыки Security Copilot используют все данные, доступные в Microsoft Purview, фильтры и наборы фильтров, доступные в обозревателе действий, и используют машинное обучение для предоставления сведений о наиболее важных для вас действиях (иногда называемых поиском данных).

  • Показать 5 основных действий за прошедшую неделю
  • Фильтрация и исследование действий
  • Поиск файлов, используемых в определенных действиях

При выборе запроса автоматически открывается боковая карта Security Copilot и отображаются результаты запроса. Затем вы можете уточнить запрос.

Естественный язык для фильтрации генерации наборов

Ввод сложных запросов на естественном языке с помощью поля запроса для создания наборов фильтров. Например, можно ввести:

Filter and investigate files copied to cloud with sensitive info type credit card number for past 30 days.

Security Copilot создает набор фильтров для вашего запроса. Просмотрите фильтр, чтобы убедиться, что он соответствует вашим потребностям, а затем примените его к данным.

Предварительные условия

Лицензирование SKU/подписки

Дополнительные сведения о лицензировании см. в статье

Разрешения

Учетной записи должно быть явно назначено членство в любой из этих групп ролей или ей должна быть явно предоставлена роль.

Роли и группы ролей

Используйте роли и группы ролей для точной настройки элементов управления доступом. Дополнительные сведения см. в разделе Разрешения на портале Microsoft Purview.

Роли Microsoft Purview

  • Администратор Information Protection
  • Аналитик Information Protection
  • Исследователь Information Protection
  • Information Protection Reader (вместе с Information Protection Администратор)

Группы ролей Microsoft Purview

  • Защита информации
  • Исследователи Information Protection
  • Аналитики Information Protection
  • Information Protection Администраторы & Information Protection читатели (необходимо назначить обе группы ролей)

Роли Microsoft 365

  • Администраторы соответствия требованиям
  • Администраторы безопасности
  • Администраторы данных соответствия требованиям

Группы ролей Microsoft 365

  • Администратор соответствия требованиям
  • Администратор безопасности
  • Читатель сведений о безопасности

Типы действий

Обозреватель действий собирает сведения из журналов аудита нескольких источников действий.

Ниже приведены некоторые примеры действий с метками конфиденциальности и меток хранения из приложений, встроенных в Microsoft Office, клиента и сканера защиты информации Microsoft Purview, SharePoint, Exchange (только метки конфиденциальности) и OneDrive:

  • Метка применена
  • Метка изменена (обновление, возврат к предыдущей или удаление)
  • Имитация автоматического присвоения меток
  • Файл прочитан

Чтобы просмотреть текущий список действий, перечисленных в обозревателе действий, перейдите в обозреватель действий и откройте фильтр действий. Список действий доступен в раскрывающемся списке.

Действия по присвоению меток, относящиеся к клиенту и сканеру защиты информации Microsoft Purview, которые поступают в обозреватель действий, включают:

  • Применена защита
  • Защита изменена
  • Защита удалена
  • Обнаруженные файлы

Дополнительные сведения о том, какое действие добавления меток попадает в обозреватель действий, см. в разделе События добавления меток, доступные в обозревателе действий.

Кроме того, обозреватель активности собирает события соответствия политики защиты от потери данных из рабочих нагрузок Microsoft 365, таких как Exchange, SharePoint, OneDrive, чат и каналы Teams, а также локальные папки, библиотеки и файловые ресурсы SharePoint. Когда вы включаете защиту от потери данных (DLP) конечной точки, обозреватель действий также включает действия на уровне устройства из подключенных Windows 10, Windows 11 и трех последних основных версий macOS.

Улучшенные сопоставленные условия для событий защиты от потери данных в Exchange (предварительная версия)

Для событий DLP Exchange Online обозреватель действий отображает расширенные сведения об условиях, не связанных с конфиденциальным типом информации (SIT), в дополнение к совпадениям SIT. Каждое условие, не относящееся к SIT, которое способствовало сопоставлению политики защиты от потери данных, отображается с тремя уровнями детализации:

  • Имя условия: соответствие определенному условию политики, например домен отправителя или расширение файла вложения.
  • Совпадающее значение: фактическое значение, которое вызвало совпадение условия, например, contoso.com или .docx.
  • Источник: часть сообщения, в которой было найдено совпадение, например заголовок сообщения, конверт или вложение.

Расширенные сведения об условиях, сопоставленных с данными, отображаются во всплывающем окне сведений о событии для событий защиты от потери данных Exchange в обозревателе активности и на панели мониторинга оповещений о защите от потери данных. Поддерживаются следующие категории условий:

  • Условия отправителя: отправитель есть, домен отправителя есть, адрес отправителя содержит слова, адрес отправителя соответствует шаблонам, отправитель является участником, IP-адрес отправителя является, атрибут AD отправителя
  • Условия получателя: Получатель есть, Домен получателя является, Адрес получателя содержит слова, Адрес получателя соответствует шаблонам, Получатель является участником, Атрибут получателя AD
  • Условия вложения: расширение вложения; имя документа содержит слова; имя документа соответствует шаблонам; свойство документа равно или больше; документ защищен паролем; не удалось проверить документ, документ не завершен;
  • Условия содержания: набор символов контента содержит слова, содержимое передается из M365, содержимое получено от
  • Условия заголовка: заголовок содержит слова, заголовок соответствует шаблонам
  • Условия свойства сообщения: Превышен размер сообщения, Тип сообщения, Важность сообщения, Тема содержит слова, Тема соответствует шаблонам, Тема или тело содержит слова, Тема или тело соответствует шаблонам, Переопределил ли отправитель подсказку политики

Полное описание условий защиты от потери данных в Exchange см. в статье Защита от потери данных в справочнике по условиям и действиям Exchange.

Некоторые примеры событий, собранных с устройств, включают следующие действия, выполняемые с файлами:

  • Удаление
  • Создание
  • Копирование в буфер обмена
  • Изменение
  • Чтение
  • Print
  • Переименовать
  • Копировать в общую папку сети
  • Доступ через неразрешенное приложение

Понимание действий, которые выполняются с контентом с метками конфиденциальности, помогает определить, эффективны ли имеющиеся у вас элементы управления, такие как политики предотвращения потери данных Защита от потери данных Microsoft Purview. Если нет, или если вы обнаружите что-то неожиданное (например, большое количество элементов с понижением highly confidential версии до general), вы можете управлять своими политиками и предпринимать новые действия для ограничения нежелательного поведения.

Примечание.

  • Обозреватель действий не отслеживает действия хранения для Exchange.
  • Метки устаревших Azure Information Protection (AIP) не поддерживаются. В результате они могут отображаться в виде GUID в Обозреватель действий.

Примечание.

Если пользователь сообщает о вердикте DLP Teams как о ложном срабатывании, действие отображается как сведения о защите от потери данных в списке в обозревателе действий. Запись не содержит сведений о совпадении правил и политик, но показывает синтетические значения. Также не создается отчет об инцидентах для ложноположительных отчетов.

Тип активности, события и оповещения

В этой таблице показаны события, инициируемые обозревателем активности для трех примеров конфигураций политики. События зависят от того, обнаружено ли соответствие политики.

Конфигурация политик Событие обозревателя активности, запущенное для этого типа действия Событие обозревателя активности, запускаемое при совпадении правила защиты от потери данных Срабатывает оповещение обозревателя
Политика содержит одно правило, разрешающее действие без его аудита. Да Нет Нет
Политика содержит два правила: Совпадения для Правила #1 разрешены; Проводится аудит соответствий политики для правила #2. Да
(Только правило #2)		 Да
(Только правило #2)		 Да
(Только правило #2)
Политика содержит два правила: совпадения для обоих правил разрешены и не проверяются. Да Нет Нет

См. также

  • Последнее обновление: