Просмотр действий с помощью журнала аудита управления внутренними рисками

Важно!

Управление внутренними рисками Microsoft Purview сопоставляет различные сигналы для выявления потенциальных вредоносных или непреднамеренных внутренних рисков, таких как кража IP-адресов, утечка данных и нарушения безопасности. Управление внутренними рисками позволяет клиентам создавать политики для управления безопасностью и соответствием требованиям. Созданные с учетом конфиденциальности по умолчанию, пользователи по умолчанию псевдонимизированы, а элементы управления доступом на основе ролей и журналы аудита позволяют обеспечить конфиденциальность на уровне пользователя.

Журнал аудита управления внутренними рисками позволяет оставаться в курсе действий, выполняемых с функциями управления внутренними рисками. Этот журнал позволяет независимо просматривать действия, выполняемые пользователями, назначенными одной или нескольким группам ролей управления внутренними рисками. Журнал аудита управления внутренними рисками автоматически включается в вашей организации и не может быть отключен.

Журнал аудита автоматически и немедленно обновляется при каждом обнаружении определенных действий риска. Журнал аудита хранит сведения в течение 180 дней (около шести месяцев). Через 180 дней данные окончательно удаляются из журнала.

В обнаружении действий с определенными рисками относятся следующие области:

• Политики
• Случаях
• Оповещения
• Settings
• Пользователи
• Шаблоны уведомлений

Для просмотра и экспорта данных из журнала аудита пользователям необходимо назначить группы ролей Управление внутренними рисками или Аудиторы управления внутренними рисками . Дополнительные сведения о группах ролей управления внутренними рисками см. в статье Начало работы с управлением внутренними рисками, шаг 1. Включение разрешений.

Примечание.

Журнал аудита управления внутренними рисками не связан с журналом аудита Microsoft 365, так как он является независимыми системами аудита и собирает сведения об отдельных областях. Отключение аудита Microsoft 365 не влияет на аудит действий в рамках управления внутренними рисками.

Совет

Если вы не являетесь клиентом E5, используйте 90-дневную пробную версию решений Microsoft Purview, чтобы узнать, как дополнительные возможности Purview могут помочь вашей организации управлять безопасностью данных и соответствием требованиям. Начните сейчас, перейдя в центр пробных версий на портале соответствия требованиям Microsoft Purview. Сведения о регистрации и условиях пробной версии.

Просмотр действий в журнале аудита внутренних рисков

Чтобы просмотреть действия функций, обнаруженные для управления внутренними рисками, перейдите по адресу и выберите ссылку Журнал аудита внутренних рисков в правом верхнем углу вкладки управления внутренними рисками. По умолчанию для действий по управлению внутренними рисками отображаются следующие сведения:

• Деятельности: Описание выявленных действий по риску, выполняемых пользователем в решении для управления внутренними рисками.
• Категории: Область или элемент, в которых было выполнено действие по обнаружению риска. Например, в качестве категории при выполнении действий по изменению политики вы увидите политики .
• Действие, выполняемое: Имя пользователя, выполняющего действие по обнаружению риска.
• Дата: Дата и время выполнения действия по обнаружению риска. Дата и время — это локальная дата и время вашей организации.

Чтобы получить дополнительные сведения о зарегистрированном действии, выберите действие, чтобы отобразить область сведений о действии. Эта область содержит дополнительные сведения о действии, определяемом риском.

Столбцы и фильтрация

Чтобы упростить аудиторам проверку журналов аудита, фильтрация поддерживается в журнале аудита на основе внутренних рисков. Для базовой фильтрации доступны столбцы очередей, добавляемые в представление, чтобы предоставить различные сводки файлов и сообщений. Вы можете отфильтровать выявленные действия риска по полям Категория, Диапазон дат и Действия, выполняемые по .

Чтобы добавить или удалить заголовки столбцов для очереди, используйте элемент управления Настройка столбцов и выберите один из параметров столбца. Эти столбцы сопоставляются с распространенными условиями, поддерживаемыми в журнале аудита внутренних рисков , и перечислены далее в этой статье.

Экспорт журнала аудита

Пользователи, назначенные группам ролей "Управление внутренними рисками " или "Аудиторы управления внутренними рисками ", могут экспортировать действия журнала аудита в файл .csv (значения, разделенные запятыми), выбрав Экспорт на странице Журнал аудита внутренних рисков . В зависимости от действия журнала аудита некоторые поля могут не быть включены в отфильтрованную очередь, поэтому эти поля будут отображаться в экспортируемом файле как пустые.

Файл содержит сведения о действиях журнала аудита для следующих полей:

• Действие, выполняемое: Имя пользователя, изменяющего значение элемента. Перечисленным здесь пользователям назначена одна или несколько из следующих групп ролей управления внутренними рисками: управление внутренними рисками, администраторы управления внутренними рисками, аналитики по управлению внутренними рисками, следователи по управлению внутренними рисками. Каждая группа ролей имеет разные уровни разрешений для управления функциями внутренних рисков.
• Деятельности: Тип действия, принятого для элемента. Значения: Просмотр, Удаление, Добавлено, Измененная политика, Регистр, Пользователь, Оповещение и Параметры.
• Добавлено: объекты, добавленные во время действия с определенным риском, например пользователи, типы файлов или домены.
• Том оповещений: уровень объема оповещений, определенный в параметрах управления внутренними рисками.
• Сумма: выбранные в настоящее время пользовательские значения индикатора для политики.
• Идентификатор ресурса: идентификатор ресурса для приоритетного физического ресурса, в который было выполнено действие.
• Категории: Категория измененного элемента. Значениями являются Политики, Варианты, Пользователи, Оповещения, Параметры и Шаблоны уведомлений.
• Дата: Дата и время, перечисленные в локальной дате и времени вашей организации.
• Описание. Описание, введенное пользователем для объекта, с которым выполняется действие (например, политика или группа пользователей с приоритетом).
• Политика защиты от потери данных: политика Защита от потери данных Microsoft Purview (DLP), выбранная для включения в политику управления внутренними рисками.
• Индикатор: индикатор в параметрах внутренних рисков, с которым было выполнено действие (например, добавление или удаление индикатора).
• Шаблон уведомления: шаблон уведомления, с которым было выполнено действие по обнаружению риска.
• Количество дней: окно активации политики, определенное в параметрах внутренних рисков.
• Количество файлов: ограничение объема файлов, определенное в параметрах управления внутренними рисками.
• Шаблон политики. Шаблон политики, к которому относятся индикаторы.
• Предыдущая сумма: ранее выбранные настраиваемые значения индикатора для политики.
• Группа приоритетных пользователей: группа пользователей с приоритетом, в рамках которых было выполнено действие по обнаружению риска.
• Удалено: объекты, которые были удалены во время определенного действия риска, например пользователи, типы файлов или домены.
• Отправитель: поле отправителя шаблона уведомления, в отношении которых было выполнено действие по обнаружению риска.
• Целевая политика: политика, с помощью которых было выполнено действие по обнаружению риска (например, добавление пользователя в или удаление пользователя).
• Текст сообщения шаблона: текст сообщения шаблона уведомления, в который было выполнено действие по обнаружению риска.
• Тема шаблона: поле темы шаблона уведомления, с помощью которых было выполнено действие по обнаружению риска.
• Пользователя: Пользователь, на который был выполнен определенный риск.