Analýza a centrální vytváření sestav pro Azure Information Protection (public preview)

Platí pro:Azure Information Protection

Relevantní pro:AIP unified labeling client and classic client

Tento článek popisuje, jak používat analýzu Azure Information Protection (AIP) pro centrální vytváření sestav, která vám pomůže sledovat přijetí štítků, které klasifikují a chrání data vaší organizace.

Analýza AIP vám taky umožňuje provést následující kroky:

• Sledování štítků a chráněných dokumentů a e-mailů ve vaší organizaci

• Identifikace dokumentů, které obsahují citlivé informace ve vaší organizaci

• Sledujte přístup uživatelů k označeným dokumentům a e-mailům a sledujte změny klasifikace dokumentů.

• Identifikujte dokumenty, které obsahují citlivé informace, které můžou vaši organizaci vystavovat riziku, pokud nejsou chráněné, a zmírňujte riziko podle doporučení.

• Určete, kdy mají interní nebo externí uživatelé přístup k chráněným dokumentům z Windows počítačů a jestli byl přístup udělen nebo odepřen.

Data, která vidíte, se agregují z vašich klientů a skenerů Azure Information Protection, z Programu Microsoft Defender pro cloudové aplikace a z protokolů využití ochrany.

Analýza Azure Information Protection pro centrální vytváření sestav je momentálně ve verzi PREVIEW. Doplňkové podmínky Azure Preview zahrnují další právní podmínky, které se vztahují na funkce Azure, které jsou v beta verzi, ve verzi Preview nebo jinak ještě nejsou vydané do obecné dostupnosti.

AIP reporting data

Například analýza Azure Information Protection pro centrální vytváření sestav zobrazuje následující data:

Sestavy používají Azure Monitor k ukládání dat v pracovním prostoru Log Analytics, který vlastní vaše organizace. Pokud znáte jazyk dotazu, můžete dotazy upravit a vytvářet nové sestavy a Power BI řídicí panely. Následující kurz může být užitečný pro pochopení jazyka dotazu: Začínáme s dotazy protokolu Azure Monitoru.

Může trvat až 24 hodin, než se protokoly auditování AIP zobrazí v pracovním prostoru Analýzy protokolů.

Další informace najdete v tématu Zjišťování, vytváření sestava analýzy dat pro všechna data pomocí Microsoft Information Protection .

Shromažďované a odeslané informace analýze protokolů

Pokud chcete vygenerovat tyto sestavy, koncové body odesílaly zákazníkově analýze protokolů následující typy informací:

• Akce popisku Můžete třeba nastavit popisek, změnit popisek, přidat nebo odebrat ochranu, automatické a doporučené popisky.

• Název popisku před a za akcí popisku

• ID tenanta vaší organizace.

• ID uživatele (e-mailová adresa nebo hlavní název uživatele).

• Jméno zařízení uživatele.

• IP adresa zařízení uživatele.

• Název příslušného procesu, například outlook nebo msip.app.

• Název aplikace, která prováděla popisek, například Outlooknebo Průzkumníka souborů

• Dokumenty: Cesta k souboru a název souboru dokumentů, které jsou označené.

• E-maily: Předmět e-mailu a odesílatel e-mailu pro e-maily, které jsou označené.

• Typy citlivých informací(předdefinované a vlastní), které byly zjištěny v obsahu.

• Verze klienta Azure Information Protection.

• Verze klientského operačního systému.

Tyto informace jsou uložené v pracovním prostoru Azure Log Analytics, který vlastní vaše organizace, a uživatelé, kteří mají přístupová práva k tomuto pracovnímu prostoru, si je mohou prohlížet nezávisle na Azure Information Protection.

Další podrobnosti najdete v tématu:

• Oprávnění požadovaná pro analýzu Azure Information Protection
• Správa přístupu k pracovnímu prostoru Log Analytics pomocí oprávnění Azure
• Referenční informace o protokolu auditování Azure Information Protection

Zabránění klientům AIP v odesílání dat auditování

Unified labeling client

Pokud chcete, aby klient s jednotným popiskem Azure Information Protection odesílal data auditování, nakonfigurujte rozšířené nastavení zásad popisků.

Klasický klient

Pokud chcete klasickému klientovi Azure Information Protection zabránit v odesílání těchto dat, nastavte nastavení zásad Odesílání dat auditování do analýzy Azure Information Protection na Vypnuto:

Obsah odpovídá hlubší analýze

Azure Information Protection umožňuje shromažďovat a ukládat skutečná data identifikovaná jako typ citlivých informací (předdefinovaný nebo vlastní). Může to například zahrnovat nalezená čísla kreditních karet a čísla sociálního pojištění, čísla pasů a čísla bankovních účtů. Shody obsahu se zobrazí, když vyberete položku z protokolů aktivita zobrazíte podrobnosti o aktivitě.

Ve výchozím nastavení klienti Azure Information Protection neposílat shody obsahu. Pokud chcete toto chování změnit tak, aby se shoda obsahu odesílala:

Předpoklady

Pokud chcete zobrazit sestavy Azure Information Protection a vytvořit si vlastní, ujistěte se, že jsou splněny následující požadavky.

Oprávnění požadovaná pro analýzu Azure Information Protection

Specifické pro analýzu Azure Information Protection: Po nakonfigurování pracovního prostoru Azure Log Analytics můžete jako alternativu k ostatním rolím Azure AD, které podporují správu Azure Information Protection na portálu Azure Portal, použít roli správce Azure AD čtečky zabezpečení. Tato další role je podporovaná jenom v případě, že váš tenant není na jednotné platformě štítků.

Vzhledem k tomu, že analýza Azure Information Protection používá Azure Monitoring, řídí přístup k pracovnímu prostoru taky řízení přístupu založené na rolích (RBAC) pro Azure. Ke správě analýzy Azure Information Protection proto potřebujete roli Azure i roli správce Azure AD. Pokud s rolemi Azure ještě nejste, může být užitečné přečíst rozdíly mezi rolemi Azure RBACa rolemi správce Azure AD.

Další informace najdete v těchto článku:

• Povinné role správce Azure AD
• Povinné role Azure Log Analytics
• Minimální role pro zobrazení sestav

Povinné role správce Azure AD

Abyste měli přístup k podokně analýzy Azure Information Protection, musíte mít jednu z následujících rolí správce Azure AD:

• Vytvoření pracovního prostoru Log Analytics nebo vytvoření vlastních dotazů:

  • Správce Azure Information Protection
  • Správce zabezpečení
  • Správce dodržování předpisů
  • Správce dat dodržování předpisů
  • Globální správce

• Po vytvoření pracovního prostoru pak můžete pomocí následujících rolí s menším počtem oprávnění zobrazit shromažďováná data:

  • Čtečka zabezpečení
  • Globální čtečka

Povinné role Azure Log Analytics

Abyste měli přístup k pracovnímu prostoru Azure Log Analytics, musíte mít jednu z následujících rolí Azure Log Analytics nebo standardní role Azure:

• Pokud chcete vytvořit pracovní prostor nebo vytvořit vlastní dotazy, jednu z těchto možností:

  • Přispěvatel analýzy protokolů
  • Přispěvatel
  • Vlastník

• Po vytvoření pracovního prostoru pak můžete pomocí jedné z následujících rolí s menším počtem oprávnění zobrazit shromažďováná data:

  • Čtečka analýzy protokolů
  • Čtečka

Minimální role pro zobrazení sestav

Po nakonfigurování pracovního prostoru pro analýzu Azure Information Protection jsou minimální role potřebné k zobrazení sestav analýzy Azure Information Protection následující:

• Role správce Azure AD: Čtečka zabezpečení
• Role Azure: Čtečka analýzy protokolů

Typickým přiřazením rolí pro mnoho organizací je ale role Azure AD čtečky zabezpečení a role Azure Readeru.

Storage a uchovávání dat

Množství dat shromážděných a uložených v pracovním prostoru Azure Information Protection se výrazně liší pro každého tenanta v závislosti na faktorech, jako je počet klientů Azure Information Protection a dalších podporovaných koncových bodů, ať už shromažďujete data zjišťování koncových bodů, nasadili jste skenery, počet chráněných dokumentů, ke kterým se dostanete atd.

Jako výchozí bod ale můžou být užitečné následující odhady:

• U auditovaných dat generovaných jenom klienty Azure Information Protection: 2 GB na 10 000 aktivních uživatelů měsíčně.

• U auditovaných dat generovaných klienty Azure Information Protection a skenery: 20 GB na 10 000 aktivních uživatelů měsíčně.

Pokud používáte povinné označování nebo jste pro většinu uživatelů nakonfigurovali výchozí popisek, budou vaše sazby pravděpodobně výrazně vyšší.

Protokoly azure monitoru mají funkci Využití a odhadované náklady, která vám pomůže odhadnout a zkontrolovat množství uložených dat a můžete taky řídit dobu uchovávání dat v pracovním prostoru Analýzy protokolů. Další informace najdete v tématu Správa využití a nákladů pomocí protokolů Azure Monitor.

Konfigurace pracovního prostoru Analýzy protokolů pro sestavy

1. Pokud jste to ještě neudělali, otevřete nové okno prohlížeče a přihlaste se k webu Azure Portal pomocí účtu, který má oprávnění potřebná pro analýzu Azure Information Protection. Pak přejděte do podokna Azure Information Protection.

   Například do vyhledávacího pole pro zdroje, služby a dokumenty: Začněte psát informace a vyberte Azure Information Protection.

2. Vyhledejte možnosti nabídky Spravovat a vyberte Konfigurovat analýzu (Náhled).

3. V podokně analýzy protokolů Azure Information Protection se zobrazí seznam všech pracovních prostorů Log Analytics, které vlastní váš tenant. Proveďte jednu z těchto akcí:

   • Vytvoření nového pracovního prostoru Analýzyprotokolů: Vyberte Vytvořit novýpracovní prostor a v podokně Pracovního prostoru Analýzy protokolů zadejte požadované informace.

   • Použití existujícího pracovního prostoru Analýzy protokolů:Vyberte pracovní prostor ze seznamu.

   Pokud potřebujete pomoct s vytvořením pracovního prostoru Log Analytics, podívejte se na stránku Vytvoření pracovního prostoru Log Analytics na portálu Azure Portal.

4. Jenom klasický klient AIP:Zaškrtněte políčko Povolit hlubší analýzu citlivých dat, pokud chcete uložit skutečná data, která jsou identifikována jako typ citlivých informací.

   Další informace o tomto nastavení najdete v části Obsah odpovídá podrobnější analýze na této stránce.

5. Vyberte OK.

Teď můžete sestavy zobrazit.

Zobrazení sestav analýzy AIP

V podokně Azure Information Protection vyhledejte možnosti nabídky Řídicí panely a vyberte jednu z následujících možností:

Úprava sestav analýzy AIP a vytváření vlastních dotazů

Výběrem ikony dotazu na řídicím panelu otevřete podokno Hledání protokolů:

Protokolovaná data pro Azure Information Protection jsou uložená v následující tabulce: InformationProtectionLogs_CL

Při vytváření vlastních dotazů použijte popisné názvy schémat implementované jako funkce InformationProtectionEvents. Tyto funkce jsou odvozené od atributů podporovaných pro vlastní dotazy (některé atributy jsou jenom pro interní použití) a jejich názvy se v průběhu času nezmění, i když se základní atributy mění pro vylepšení a nové funkce.

Popisný odkaz na schéma pro funkce událostí

V následující tabulce můžete identifikovat popisný název funkcí událostí, které můžete použít pro vlastní dotazy pomocí analýzy Azure Information Protection.

Příklady použití funkce InformationProtectionEvents

V následujících příkladech se můžete podívat, jak můžete k vytváření vlastních dotazů použít popisné schéma.

Příklad 1: Vrácení všech uživatelů, kteří odeslali data auditování za posledních 31 dní

InformationProtectionEvents 
| where Time > ago(31d) 
| distinct User 

Příklad 2: Vrátí počet štítků, které byly za posledních 31 dní sníženy na den.

InformationProtectionEvents 
| where Time > ago(31d) 
| where Activity == "DowngradeLabel"  
| summarize Label_Downgrades_per_Day = count(Activity) by bin(Time, 1d) 
 

Příklad 3: Vrátí počet štítků, které uživatel v posledních 31 dnech zhodnotil z funkce Důvěrné.

InformationProtectionEvents 
| where Time > ago(31d) 
| where Activity == "DowngradeLabel"  
| where LabelNameBefore contains "Confidential" and LabelName !contains "Confidential"  
| summarize Label_Downgrades_by_User = count(Activity) by User | sort by Label_Downgrades_by_User desc 

V tomto příkladu se downgradovaný popisek počítá jenom v případě, že název popisku před akcí obsahoval název Důvěrné a název popisku za akcí neobsahuje název Důvěrné.

Další kroky

Po prohlédněte si informace v sestavách, pokud používáte klienta Azure Information Protection, můžete se rozhodnout, že změníte zásady označování.

• Unified labeling client: Proveďte změny zásad označování v Centrum dodržování předpisů Microsoftu 365. Další informace najdete v Microsoft 365 dokumentaci.

• Klasický klient:Proveďte změny zásad na portálu Azure Portal. Další informace najdete v tématu Konfigurace zásad Azure Information Protection.

Protokoly auditování AIP se také posílají do průzkumníka Microsoft 365 aktivit, kde se mohou zobrazovat s různými názvy. Další informace najdete v těchto článku:

• Začínáme s průzkumníkem aktivit
• Odkaz na aktivitu popisků, včetně mapování mezi názvy zobrazenými v protokolech aktivit AIP a názvy zobrazenými v Průzkumníku aktivit