Streamen von Daten aus Microsoft Purview Information Protection an Microsoft Sentinel

In diesem Artikel wird beschrieben, wie Sie Daten aus Microsoft Purview Information Protection (früher Microsoft Information Protection oder MIP) an Microsoft Sentinel streamen. Sie können die von den Microsoft Purview-Bezeichnungsclients und -Scannern erfassten Daten verwenden, um die Daten nachzuverfolgen, zu analysieren, zu melden und für Compliancezwecke zu verwenden.

Übersicht

Überwachung und Berichterstellung sind ein wichtiger Bestandteil der Sicherheits- und Compliancestrategie von Organisationen. Mit der kontinuierlichen Erweiterung der Technologielandschaft mit einer ständig wachsenden Anzahl von Systemen, Endpunkten, Vorgängen und Vorschriften wird es noch wichtiger, über eine umfassende Protokollierungs- und Berichterstellungslösung zu verfügen.

Mit dem Microsoft Purview Information Protection-Konnektor streamen Sie Überwachungsereignisse, die von Unified Labeling-Clients und -Scannern generiert werden. Die Daten werden dann in das Microsoft 365-Überwachungsprotokoll für die zentrale Berichterstellung in Microsoft Sentinel ausgegeben.

Mit dem Connector haben Sie folgende Möglichkeiten:

• Nachverfolgen der Einführung von Bezeichnungen, Untersuchen, Abfragen und Erkennen von Ereignissen.
• Überwachen bezeichneter und geschützter Dokumente und E-Mails.
• Überwachen Sie den Benutzerzugriff auf bezeichnete Dokumente und E-Mails, während Sie Klassifizierungsänderungen nachverfolgen.
• Erhalten Sie Einblick in Aktivitäten, die für Bezeichnungen, Richtlinien, Konfigurationen, Dateien und Dokumente ausgeführt werden. Diese Sichtbarkeit hilft Sicherheitsteams dabei, Sicherheitsverletzungen sowie Risiko- und Complianceverstöße zu identifizieren.
• Verwenden Sie die Connectordaten während eines Audits, um nachzuweisen, dass die Organisation konform ist.

Azure Information Protection-Connector im Vergleich zu Microsoft Purview Information Protection-Connector

Dieser Konnektor ersetzt den Azure Information Protection (AIP)-Datenkonnektor. Der AIP-Datenconnector (Azure Information Protection) verwendet das Feature für AIP-Überwachungsprotokolle (Public Preview).

Wenn Sie den Microsoft Purview Information Protection-Connector aktivieren, werden Überwachungsprotokolle in die standardisierte MicrosoftPurviewInformationProtectionTabelle übertragen. Die Daten werden über die Office Management-API gesammelt, die ein strukturiertes Schema verwendet. Das MicrosoftPurviewInformationProtection Tabellenschema verbessert das veraltete Schema, das von AIP verwendet wird, mit mehr Feldern und einfacherem Zugriff auf Parameter.

Überprüfen Sie die Liste der unterstützten Überwachungsprotokolldatensatztypen und -aktivitäten.

Voraussetzungen

Bevor Sie beginnen, überprüfen Sie, ob Sie über Folgendes verfügen:

• Die Microsoft Sentinel Lösung aktiviert.
• Ein definierter Microsoft Sentinel Arbeitsbereich.
• Eine gültige Lizenz für M365 E3, M365 A3, Microsoft Business Basic oder eine andere audit-berechtigte Lizenz. Erfahren Sie mehr über Überwachungslösungen in Microsoft Purview.
• Vertraulichkeitsbezeichnungen für Office aktiviert und Überwachung aktiviert.
• Die Rolle "Sicherheitsadministrator" für den Mandanten oder die entsprechenden Berechtigungen.

Einrichten des Connectors

Führen Sie die folgenden Schritte aus, um den Microsoft Purview Information Protection Connector einzurichten.

1. Öffnen Sie die Azure-Portal, und navigieren Sie zum Microsoft Sentinel Dienst.

2. Geben Sie auf dem Blatt Datenconnectors in der Suchleiste Purview ein.

3. Wählen Sie den Microsoft Purview Information Protection-Connector (Vorschau) aus.

4. Wählen Sie unter der Connectorbeschreibung die Option Connectorseite öffnen aus.

5. Wählen Sie unter Konfiguration die Option Verbinden aus.

   Wenn eine Verbindung hergestellt wird, ändert sich die Schaltfläche Verbinden in Trennen. Sie sind jetzt mit dem Microsoft Purview Information Protection verbunden.

Überprüfen Sie die Liste der unterstützten Überwachungsprotokolldatensatztypen und -aktivitäten.

Trennen des Azure Information Protection-Connectors

Es wird empfohlen, den Azure Information Protection-Connector und den Microsoft Purview Information Protection-Connector (beide aktiviert) für einen kurzen Testzeitraum gleichzeitig zu verwenden. Nach dem Testzeitraum wird empfohlen, den Azure Information Protection Connector zu trennen, um Datenduplizierung und redundante Kosten zu vermeiden.

Gehen Sie wie folgt vor, um den Azure Information Protection Connector zu trennen:

1. Geben Sie auf dem Blatt Datenconnectors in der Suchleiste Azure Information Protection ein.
2. Wählen Sie Azure Information Protection aus.
3. Wählen Sie unter der Connectorbeschreibung die Option Connectorseite öffnen aus.
4. Wählen Sie unter Konfigurationdie Option Azure Information Protection Protokollen verbinden aus.
5. Deaktivieren Sie die Auswahl für den Arbeitsbereich, von dem Sie die Verbindung trennen möchten, und wählen Sie OK aus.

Bekannte Probleme und Einschränkungen

Beachten Sie bei der Verwendung dieses Connectors die folgenden bekannten Probleme und Einschränkungen:

• Über die Office Management-API gesammelte Vertraulichkeitsbezeichnungsereignisse werden nicht in die Bezeichnungsnamen eingetragen. Kunden können Watchlists oder Anreicherungen verwenden, die in KQL wie im folgenden Beispiel definiert sind.

• Die Office Management-API erhält keine Downgradebezeichnung mit den Namen der Bezeichnungen vor und nach dem Downgrade. Um diese Informationen abzurufen, extrahieren Sie die labelId der einzelnen Labels und reichern Sie die Ergebnisse an.

  Hier sehen Sie ein Beispiel für eine KQL-Abfrage:

  let labelsMap = parse_json('{'
   '"566a334c-ea55-4a20-a1f2-cef81bfaxxxx": "MyLabel1",'
   '"aa1c4270-0694-4fe6-b220-8c7904b0xxxx": "MyLabel2",'
   '"MySensitivityLabelId": "MyLabel3"'
   '}');
   MicrosoftPurviewInformationProtection
   | extend SensitivityLabelName = iff(isnotempty(SensitivityLabelId), 
  tostring(labelsMap[tostring(SensitivityLabelId)]), "")
   | extend OldSensitivityLabelName = iff(isnotempty(OldSensitivityLabelId), 
  tostring(labelsMap[tostring(OldSensitivityLabelId)]), "")
  

• Die MicrosoftPurviewInformationProtection Tabelle und die OfficeActivity Tabelle können einige duplizierte Ereignisse enthalten.

Weitere Informationen finden Sie in der Kusto-Dokumentation zu den Funktionen und Operatoren, die in der Beispiel-KQL-Abfrage verwendet werden:

• let-Anweisung
• erweitern operator
• parse_json() -Funktion
• iff() -Funktion
• tostring() -Funktion

Weitere Informationen zu KQL finden Sie unter übersicht über Kusto-Abfragesprache (KQL).

Weitere Ressourcen:

• KQL-Kurzübersicht
• Kusto-Abfragesprache Lernressourcen

Nächste Schritte

In diesem Artikel haben Sie erfahren, wie Sie den Microsoft Purview Information Protection Connector einrichten, um die Daten zu verfolgen, zu analysieren, zu melden und für Compliancezwecke zu verwenden. Weitere Informationen zu Microsoft Sentinel finden Sie in den folgenden Artikeln:

• Erfahren Sie, wie Sie Einblick in Ihre Daten und potenzielle Bedrohungen erhalten.
• Erste Schritte beim Erkennen von Bedrohungen mit Microsoft Sentinel.
• Verwenden Sie Arbeitsmappen , um Ihre Daten zu überwachen.