Suchen, Überprüfen und Verfeinern der Ergebnisse in Untersuchungen zur Datensicherheit

Verwenden Sie die Suche in Untersuchungen zur Datensicherheit, um Microsoft 365-Inhalte wie E-Mails, Dokumente und Chatunterhaltungen in Ihrer Organization zu finden, die für einen Sicherheitsvorfall relevant sind. Verwenden Sie die Suche, um Inhalte in diesen cloudbasierten Microsoft 365-Datenquellen zu finden:

Erstellen Sie verschiedene Suchvorgänge, die mit einer Untersuchung verbunden sind, und führen Sie sie durch. Verwenden Sie Bedingungen wie Schlüsselwörter, Dateitypen, Vorfälle und mehr, um Suchabfragen zu erstellen, die Suchergebnisse mit den für die Untersuchung relevantesten Daten zurückgeben. Sie können auch folgende Aktionen ausführen:

• Zeigen Sie Suchstatistiken an, mit deren Hilfe Sie eine Suchabfrage verfeinern können, um die Ergebnisse einzugrenzen.
• Zeigen Sie eine Vorschau der Suchergebnisse an, um schnell zu überprüfen, ob Sie die relevanten Daten finden.
• Überarbeiten einer Abfrage, und die Suche erneut ausführen.
• Verwenden Sie die Überwachungssuche , um Inhalte basierend auf Benutzeraktivitäten zu identifizieren, die im einheitlichen Überwachungsprotokoll aufgezeichnet wurden.
• Verwenden Sie die Endpunkt-DLP-Beweissammlung , um Daten abzufragen, die von Endpunkt-DLP-Richtlinien auf integrierten Geräten erfasst wurden.

Betrachten Sie die Aktivitäten, die die Untersuchung ausgelöst haben. Beispielsweise gemeldete Kennwortfreigabe oder -leck, eine verdächtige Datei, die Zusammenarbeit mit einem externen Entwicklungsteam oder eine Warnung über Datenexfiltration oder bestimmte Personen oder Teams, die möglicherweise beteiligt sind. Verwenden Sie diese Informationen, um Ihre anfängliche Suchabfrage zu entwickeln. Wenn ein Administrator beispielsweise gemeldet hat, dass Kennwörter in SharePoint als Nur-Text gespeichert werden können, suchen Sie zunächst nach bekannten Kennwortschlüsselwörtern oder Dateinamen in SharePoint und OneDrive oder auf bestimmten SharePoint-Websites, die von Entwicklerteams verwaltet werden.

Wenn Sie mit den Ergebnissen einer Suche zufrieden sind und bereit sind, die Ergebnisse zu überprüfen und zu analysieren, fügen Sie sie einem Untersuchungsbereich in der Untersuchung hinzu. Das Hinzufügen von Kopien der Originaldaten zu einem Untersuchungsumfang erleichtert auch den KI-Analyse - und Überprüfungsprozess, indem es Ihnen erweiterte Kategorisierungs-, Untersuchungs- und Vektorsuchwerkzeuge zur Verfügung stellt.

Auf Suchtools zugreifen

Wählen Sie in den Navigationsoptionen oben auf jeder Seite innerhalb einer bestimmten Untersuchung die Option Zusammenfassung aus, um auf die Suchwerkzeuge auf der Seite Identifizieren zuzugreifen.

Die Seite "Identifizieren" ist in die folgenden Registerkarten unterteilt:

• Suche: Erstellen Sie Suchabfragen, um für die Untersuchung relevante Inhalte zu identifizieren. Die Registerkarte "Suchen " enthält drei Optionen:
  • Abfrage-Generator: Suchen Sie nach Inhalten basierend auf Schlüsselwörtern, Dateitypen, Datumsangaben und anderen Bedingungen.
  • Überwachung: Verwenden Sie die Überwachungssuche , um Inhalte basierend auf Benutzeraktivitäten zu identifizieren, die im einheitlichen Überwachungsprotokoll aufgezeichnet wurden.
  • Endpunkt-DLP: Verwenden Sie die Endpunkt-DLP-Beweissammlung , um Daten abzufragen, die von Endpunkt-DLP-Richtlinien auf integrierten Geräten erfasst wurden.
• Überprüfen von Schätzungen: Überprüfen Sie den Umfang und die Beispielstatistik für Suchergebnisse, um Ihre Abfrage zu verfeinern, bevor Sie Ergebnisse zu einem Untersuchungsumfang hinzufügen.

Sie können die Datenquellen und -bedingungen für Suchabfragen jederzeit während der Untersuchung verfeinern und die Ergebnisse einem Untersuchungsumfang hinzufügen.

Datenquellen

In Microsoft 365 werden Daten auf drei Plattformen gespeichert: Exchange, Teams und SharePoint. Diese Plattformen dienen als Rückgrat für die Organisation und Verwaltung von Daten in Microsoft 365-Anwendungen.

Die meisten Microsoft 365-Apps speichern Daten in einem oder mehreren der folgenden Container:

• Benutzer: Daten, die einzelnen Benutzern zugeordnet sind, z. B. deren E-Mails, 1:1-Teams-Nachrichten und OneDrive-Dateien.
• Gruppen: Daten, die der organization oder einer Gruppe von Benutzern innerhalb einer organization gehören. Diese Gruppen werden häufig als einheitliche Gruppen oder Teams bezeichnet.

In Untersuchungen zur Datensicherheit optimiert das Konzept der Datenquellen den Prozess der Identifizierung und Verwaltung von Daten auf Microsoft 365-Plattformen. Analysten wählen einen Benutzer oder eine Gruppe aus und durchsuchen diese Datenquellen. Analysten können den Umfang verfeinern, indem sie bestimmte Standorte auswählen oder ausschließen.

Analysten können auch organizationweite Quellen verwenden, um eine Suche in Ihrer organization durchzuführen. Organisationsweite Quellen umfassen:

• Alle Personen und Gruppen: Umfasst alle Benutzer und alle Gruppen in Ihrer organization.
• Alle öffentlichen Ordner: Schließt alle Inhalte in den Postfächern der öffentlichen Exchange-Ordner ein.

Abfrage-Generator

Die Option "Abfrage-Generator" auf der Registerkarte "Suchen" bietet eine visuelle Filtererfahrung, wenn Sie Suchabfragen in Untersuchungen zur Datensicherheit erstellen. Da Sie KI-Analysetools verwenden, um zutreffende Daten in den von Ihrer Suche zurückgegebenen Elementen schnell zu identifizieren, besteht eine Strategie darin, Ihren Suchbereich zu erweitern, um mehr Datenquellen einzubeziehen. Durch diesen Ansatz wird die Wahrscheinlichkeit verringert, dass relevante Inhalte für die Überprüfung ausgeschlossen werden.

Verwenden Sie den Abfrage-Generator, um komplexe Abfragen mit zusätzlichen Funktionen zu erstellen, einschließlich UND, ODER und Gruppierung von Bedingungen. Diese Features im Abfrage-Generator helfen Ihnen, Abfragen effektiver zu erstellen, bieten eine visuelle Schnittstelle für die Gruppierung von Unterabfragen und bieten zusätzlichen Platz für komplexe Schlüsselwortabfragen (Keyword), die erstellt und überprüft werden können.

Verwenden des Abfrage-Generators

Verwenden Sie zum Erstellen einer Abfrage und benutzerdefinierten Filterung für Ihre Suche die folgenden Steuerelemente:

• UND/ODER: Diese bedingten logischen Operatoren helfen Ihnen bei der Auswahl der Abfragebedingung, die für bestimmte Filter und Filteruntergruppen gilt. Verwenden Sie diese Operatoren, um mehrere Filter oder Untergruppen, die mit einem einzelnen Filter verbunden sind, in Ihre Abfrage einzuschließen.
• Wählen Sie einen Filter aus: Wählen Sie Filter für die spezifischen Datenquellen und Speicherortinhalte aus, die Sie für die Sammlung auswählen.
• Filter hinzufügen: Fügen Sie Ihrer Abfrage mehrere Filter hinzu. Diese Option wird verfügbar, nachdem Sie mindestens einen Abfragefilter definiert haben.
• Operator auswählen: Wählen Sie je nach ausgewähltem Filter aus kompatiblen Operatoren aus. Wenn Sie beispielsweise den Datumsfilter auswählen, können Sie zwischen "Vor", "Nach" und "Zwischen" wählen. Wenn Sie den Filter "Größe" (in Bytes) auswählen, können Sie zwischen "Größer als", "Größer oder gleich", "Kleiner als", "Weniger oder gleich", "Zwischen und Gleich" wählen.
• Wert: Geben Sie je nach ausgewähltem Filter kompatible Werte ein. Einige Filter unterstützen mehrere Werte, während andere einen einzelnen spezifischen Wert unterstützen. Wenn Sie beispielsweise den Datumsfilter auswählen, geben Sie Datumswerte ein. Wenn Sie den Filter Größe (in Bytes) auswählen, geben Sie einen Wert für Bytes ein.
• Untergruppe hinzufügen: Nachdem Sie einen Filter definiert haben, fügen Sie eine Untergruppe hinzu, um die vom Filter zurückgegebenen Ergebnisse zu verfeinern. Sie können einer Untergruppe auch eine Untergruppe hinzufügen, um mehrschichtige Abfrageverfeinerungen zu ermöglichen.
• Entfernen einer Filterbedingung: Um einen einzelnen Filter oder eine Untergruppe zu entfernen, wählen Sie rechts neben jeder Filterzeile oder Untergruppe das Symbol "Entfernen" aus.
• Alle löschen: Um die gesamte Abfrage aller Filter und Untergruppen zu löschen, wählen Sie Alle löschen aus.

Szenariobeispiel

Ein Analyst für Untersuchungen zur Datensicherheit muss eine Abfrage für jedes Element erstellen, das das Schlüsselwort (Keyword) enthält, das zwischen dem 1. Januar 2025 und dem 16. März 2025* verwendet wurde. In diesem Beispiel erstellt der Analyst die folgende Abfrage mit dem Abfrage-Generator:

1. Für den ersten Filter wählt der Analyst "Schlüsselwort" aus, wählt dann den Operator "Gleich" aus und gibt dann "vertraulich " in das Steuerelement "Wert " ein.
2. Als nächstes wählt der Analyst Untergruppe hinzufügen und den UND-Operator und dann Filter hinzufügen aus.
3. Der Analyst wählt den Datumsfilter , den Zwischen-Operator sowie Start- und Enddaten für den Wert aus.
4. Der Analyst wählt Speichern aus, um die Abfrage zu speichern, und dann Bereich überprüfen , um die Suchabfrage auszuführen.

Beispiele für Suchabfragen

Sie können die Syntax der Keyword Query Language (KeyQL) im Abfrage-Generator verwenden, um gezielte Suchabfragen für gängige Untersuchungsszenarien zu erstellen. Verwenden Sie diese Beispiele als Ausgangspunkte, und passen Sie die Datumsbereiche, Pfade und Schlüsselwörter an Ihre Untersuchung an.

Exchange Online:

Nur nach E-Mails suchen

Um Postfächer nur nach E-Mail-Nachrichten zu durchsuchen und andere Elemente wie Kalendereinladungen, Aufgaben und Aufgabenelemente auszuschließen, verwenden Sie die Kind Eigenschaft. In diesem Beispiel werden E-Mails zurückgegeben, die nach einem bestimmten Datum gesendet wurden.

Datenquellen: Alle Personen und Gruppen

(Kind=email) AND (Date>2025-01-01)

Microsoft Teams

Alle Teams-Inhalte durchsuchen

Um nach allen Teams-Inhalten zu suchen, einschließlich Chatnachrichten, Kanalbeiträgen, Besprechungseinträgen und Anrufen, verwenden Sie den Kind=microsoftTeams Filter.

Datenquellen: Alle Personen und Gruppen

(Kind=microsoftTeams) AND (Date>2025-01-01)

Nur Chatnachrichten durchsuchen

Um Ihre Suche nur auf Teams-Chatnachrichten einzugrenzen und Besprechungen und Kanalbeiträge auszuschließen, verwenden Sie Kind=IM.

Datenquellen: Alle Personen und Gruppen

(Kind=IM)

SharePoint Online

Durchsuchen einer bestimmten SharePoint-Website

Verwenden Sie die Path Eigenschaft, um den gesamten Inhalt einer bestimmten SharePoint-Website zu durchsuchen.

(Path="https://contoso.sharepoint.com/sites/ProjectAlpha")

Eine Website durchsuchen und vom System generierte Inhalte ausschließen

Um eine SharePoint-Website nach Dokumenten zu durchsuchen, die nach einem angegebenen Datum erstellt wurden, wobei vom System generierte Inhalte ausgeschlossen werden, verwenden Sie die Author Eigenschaft mit dem Operator NOT (-).

((Date>2025-01-01) AND (Path="https://contoso.sharepoint.com/sites/EngineeringTeam/Shared Documents") AND ((-Author="System Account") AND (-Author="SHAREPOINT\System")))

Mehrere Websites nach bestimmten Dateinamen durchsuchen

Wenn Sie mehrere SharePoint-Websites nach Dateien durchsuchen möchten, deren Namen mit einem bestimmten Begriff beginnen, verwenden Sie den OR Operator, um Pfade zu kombinieren, und die filename Eigenschaft, um nach Namen zu filtern.

(((Path="https://contoso.sharepoint.com/sites/ProjectAlpha") OR (Path="https://contoso.sharepoint.com/sites/ProjectBeta")) AND (filename="proposal*"))

Suchen nach bestimmten Dateien

Um nach bekannten Dateien anhand ihres vollständigen Pfads zu suchen, verwenden Sie die Identifier Eigenschaft und den Operator OR , um mehrere Dateipfade zu kombinieren.

((Identifier="https://contoso.sharepoint.com/sites/EngineeringTeam/Docs/SecurityReport.docx") OR (Identifier="https://contoso.sharepoint.com/sites/EngineeringTeam/Docs/IncidentLog.xlsx"))

Microsoft Copilot

Copilot-Eingabeaufforderungen und -antworten durchsuchen

Copilot-Interaktionen werden in den Exchange Online-Postfächern der Benutzer gespeichert. Um nach Copilot-Eingabeaufforderungen und -Antworten nach einem angegebenen Datum zu suchen, verwenden Sie die ItemClass Eigenschaft mit dem Copilot-Elementklassenwert.

Datenquellen: Alle Personen und Gruppen

(ItemClass=IPM.SkypeTeams.Message.Copilot.*) AND (Date>2025-01-01)

Weitere Informationen zu Copilot-Elementklassen und zur Suche nach Copilot-Daten finden Sie unter Suchen und Löschen von Copilot- und anderen KI-Daten in eDiscovery.

Überwachungssuche

Verwenden Sie die Überwachungssuche in Untersuchungen zur Datensicherheit, um Inhalte basierend auf Benutzeraktivitäten zu identifizieren und zu sammeln, die im einheitlichen Microsoft Purview-Überwachungsprotokoll aufgezeichnet wurden. Während der Abfrage-Generator Microsoft 365-Inhalte direkt durchsucht, fragt die Überwachungssuche das einheitliche Überwachungsprotokoll für bestimmte Benutzeraktivitäten ab, z. B. den Zugriff, das Kopieren oder Herunterladen von Dateien, und zieht die zugehörigen Inhalte in Ihre Untersuchung ein. Sie können Audit-Suchergebnisse auch nach Schlüsselwörtern, bestimmten Benutzern und Datei- oder Websitespeicherorten filtern.

Beispielszenario: Exfiltration von Daten eines ausscheidenden Mitarbeiters

Ein Sicherheitsteam erhält eine Warnung, dass ein ausscheidender Mitarbeiter möglicherweise vertrauliche Dateien vor seinem letzten Tag exfiltriert hat. Mithilfe der Überwachungssuche fragt der Prüfer Aktivitäten wie "Heruntergeladene Datei " und "Gesendete E-Mails" ab, die in den letzten zwei Wochen für diesen Benutzer bestimmt waren. Bei Untersuchungen zur Datensicherheit werden die zugehörigen Inhalte direkt in den Untersuchungsumfang übernommen – eine manuelle Dateisuche ist nicht erforderlich. So kann das Team schnell beurteilen, auf welche Daten zugegriffen wurde und ob etwas extern freigegeben wurde.

Erste Schritte mit der Überwachungssuche

Wenn Sie eine Überwachungssuche erstellen, fragt "Untersuchungen zur Datensicherheit" das einheitliche Überwachungsprotokoll für die angegebenen Aktivitäten ab und fügt den zugehörigen Inhalt direkt Ihrem Untersuchungsumfang hinzu. Die Überwachungssuche verwendet die Berechtigungen und rollenbasierten Zugriffssteuerungsanforderungen aus dem einheitlichen Überwachungsprotokoll.

Für die Überwachungssuche muss Ihre organization für das Überwachungsprotokoll und die Überwachungssuche konfiguriert sein. Weitere Informationen zu Überwachungsprotokollanforderungen finden Sie unter Durchsuchen des Überwachungsprotokolls.

Unterstützte Aktivitäten

Die Überwachungssuche unterstützt einen zusammengestellten Satz inhaltsbezogener Aktivitäten aus dem einheitlichen Überwachungsprotokoll. Sie können nur Suchaktivitäten überwachen, die identifizierbaren Inhaltselementen wie Dateien und E-Mails zugeordnet sind. Die Überwachungssuche unterstützt keine Aktivitäten, die keinem bestimmten Inhalt zugeordnet sind, z. B. das Anmelden bei einer Lösung.

Die folgenden Aktivitäten werden für die Überwachungssuche unterstützt:

Erstellen einer Überwachungssuche

Führen Sie die folgenden Schritte aus, um eine Überwachungssuche zu erstellen und den zugeordneten Inhalt Ihrem Untersuchungsumfang hinzuzufügen:

1. Wechseln Sie im Microsoft Purview-Portal zu Untersuchungen zur Datensicherheit, und starten Sie eine Untersuchung.

2. Wählen Sie in den Navigationsoptionen oben auf der Seite die Option Zusammenfassung aus.

3. Wählen Sie auf der Registerkarte Suchendie Option Überwachung aus.

4. Konfigurieren Sie die Suchparameter:

   • Datums- und Uhrzeitbereich (UTC) (erforderlich): Geben Sie ein Start - und Enddatum und eine Uhrzeit für die Aktivitätssuche an.
   • Aktivitäten – Anzeigenamen: Wählen Sie in der Aktivitätenliste eine oder mehrere unterstützte Aktivitäten anhand ihres Anzeigenamens aus.
   • Aktivitäten – Vorgangsnamen: Wählen Sie eine oder mehrere unterstützte Aktivitäten anhand ihres Vorgangsnamens aus.
   • Benutzer: Wählen Sie Benutzer aus, um nach Aktivitäten zu suchen, die von bestimmten Benutzern ausgeführt wurden.
   • ObjectID (Datei, Ordner oder Website): Geben Sie eine Datei, einen Ordner oder einen Websitepfad ein, um die Suche auf Aktivitäten einzugrenzen, die einem bestimmten Ort zugeordnet sind.
   • Schlüsselwortsuche: Geben Sie Schlüsselwörter ein, nach denen in Überwachungsprotokolleinträgen gesucht werden soll.

5. Wählen Sie "Suchen " aus, um die Überwachungsabfrage auszuführen. Untersuchungen zur Datensicherheit fragt das einheitliche Überwachungsprotokoll ab und zeigt die Ergebnisse im Ergebnisabschnitt unten auf der Überwachungsseite an. Überprüfen Sie die Ergebnisse, um sicherzustellen, dass die Abfrage die erwarteten Daten zurückgibt. Um die Suche zu verwerfen, ohne Ergebnisse hinzuzufügen, wählen Sie Abbrechen aus.

6. Wählen Sie "Zum Bereich hinzufügen" aus, um den mit den Suchergebnissen verknüpften Inhalt Ihrem Untersuchungsbereich hinzuzufügen.

Nachdem Sie den Bereich hinzugefügt haben, beginnt die Untersuchung zur Datensicherheit mit der Verarbeitung der Ergebnisse. Sie können den Fortschritt von Überwachungssuchaufträgen auf der Seite "Aktivitäten " für die Untersuchung überwachen. Zuvor übermittelte Überwachungssuchen werden auch im Überwachungssuchverlauf unten auf der Überwachungsseite aufgeführt.

Überwachen von Suchaufträgen und Abfragechunking

Die Überwachungssuche verwendet Abfrageblöcke, um die Ergebnisse zu verarbeiten. Diese Methode erstellt mehrere Aufträge, um Daten in den Untersuchungsbereich aufzunehmen. Wenn Sie eine Überwachungssuche übermitteln, werden die folgenden Jobs auf der Seite Aktivitäten angezeigt:

• Ein Überwachungssuchauftrag: Der primäre Auftrag, der das einheitliche Überwachungsprotokoll für die angegebenen Aktivitäten abfragt.
• Mehrere Add-to-Scope-Aufträge: Zusätzliche Aufträge, die den zugeordneten Inhalt verarbeiten und Ihrem Untersuchungsbereich hinzufügen. Die Anzahl der Add-to-Scope-Aufträge hängt von der Menge der von der Suche zurückgegebenen Daten ab.

Nach Abschluss aller Aufträge vektorisiert das System die Daten automatisch für die KI-Analyse. Sie können die Untersuchung der Daten fortsetzen, nachdem das Hinzufügen zum Bereich abgeschlossen ist.

Überwachungssuche und das einheitliche Überwachungsprotokoll

Überwachungssuchen, die Sie in Untersuchungen zur Datensicherheit erstellen, werden auch im Suchverlauf des einheitlichen Microsoft Purview-Überwachungsprotokolls angezeigt. Dieses Verhalten wird erwartet, da Untersuchungen zur Datensicherheit das einheitliche Überwachungsprotokoll direkt als Datenquelle für Überwachungssuchen abfragen.

Endpunkt-DLP-Beweissammlung

Sie können die Endpunkt-DLP-Beweissammlung in Untersuchungen zur Datensicherheit verwenden, um Daten abzufragen, die von Endpunktrichtlinien zur Verhinderung von Datenverlust auf integrierten Geräten erfasst wurden, und die zugehörigen Inhalte Ihrem Untersuchungsumfang hinzuzufügen. Anstatt einzelne Endpunkt-DLP-Warnungen einzeln zu selektieren, können Ermittler Endpunktereignisse aggregieren und sie gemeinsam analysieren, indem sie KI-Tools für Untersuchungen zur Datensicherheit verwenden.

Die Endpunkt-DLP-Beweissammlung fragt die Daten ab, die durch das Feature "Beweissammlung für Dateiaktivitäten auf Geräten " gespeichert sind. Diese Daten enthalten Dateien, die den Endpunkt-DLP-Richtlinien entsprachen, wenn Benutzer Aktivitäten wie das Kopieren auf USB, Drucken, Hochladen in Clouddienste oder den Zugriff auf Dateien mit nicht autorisierten Apps versuchten.

Voraussetzungen

Bevor Sie die Endpunkt-DLP-Beweissammlung in Untersuchungen zur Datensicherheit verwenden können, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

• Geräte werden in Microsoft Purview eingebunden.
• Eine Endpunkt-DLP-Richtlinie ist konfiguriert und in Ihrer organization aktiv.
• In der Endpunkt-DLP-Richtlinie ist die Beweissammlung für Dateiaktivitäten auf Geräten aktiviert, wobei die Option Originaldatei als Beweis für alle ausgewählten Dateiaktivitäten auf dem Endpunkt sammeln aktiviert ist.
• Der von Microsoft verwaltete Speicher ist für die Beweiserhebung konfiguriert.

Wichtige Überlegungen

Beachten Sie die folgenden Überlegungen, wenn Sie die Endpunkt-DLP-Beweissammlung in Untersuchungen zur Datensicherheit verwenden:

• Die Datenverfügbarkeit hängt von der Aufbewahrung der Beweiserhebung ab: Wenn die DLP-Beweisdaten des Endpunkts aufgrund eines Ablaufs der Aufbewahrung nicht mehr im Beweisspeicher verfügbar sind, können Untersuchungen zur Datensicherheit sie nicht abfragen. Dieselbe Abfrage, die zu unterschiedlichen Zeiten ausgeführt wird, kann je nach aktuellem Zustand des Beweisspeichers zu unterschiedlichen Ergebnissen führen.
• Daten sind vor der Aufnahme nicht unveränderlich: Endpunkt-DLP-Beweisaufnahme Die Daten können sich im Beweisspeicher ändern, bevor Sie sie Ihrem Untersuchungsumfang hinzufügen. Nachdem Sie dem Bereich Elemente hinzugefügt haben, sind die Daten innerhalb der Untersuchung statisch.
• Nur Dateiinhalt: Die Untersuchungen zur Datensicherheit nehmen den Dateiinhalt auf, der Endpunkt-DLP-Ereignissen zugeordnet ist. Einige kontextbezogene Metadaten aus Endpunkt-DLP, z. B. Gerätedetails pro Ereignis, werden im Untersuchungsbereich nicht beibehalten. Verwenden Sie für einen detaillierten Kontext pro Ereignis das DLP-Warnungen-Dashboard oder den Aktivitätsexplorer.
• Latenz bei der Datenverfügbarkeit: Die Daten zur Beweissammlung werden möglicherweise nicht unmittelbar nach einem Richtlinienabgleich angezeigt. Die Verfügbarkeit hängt von der Gerätekonnektivität und dem Upload-Zeitpunkt ab.
• Nur Endpunkt-DLP: Dieses Feature fragt nur Daten aus Endpunkt-DLP-Richtlinien ab. Browser-DLP, Netzwerk-DLP und Nicht-Endpunkt-DLP-Szenarien werden für diese Suchoption nicht unterstützt.

Erstellen einer Endpunkt-DLP-Suche

Führen Sie die folgenden Schritte aus, um Endpunktdaten der DLP-Beweissammlung abzufragen und die zugehörigen Inhalte Ihrem Untersuchungsumfang hinzuzufügen:

1. Wechseln Sie im Microsoft Purview-Portal zu Untersuchungen zur Datensicherheit, und starten Sie eine Untersuchung.

2. Wählen Sie in den Navigationsoptionen oben auf der Seite die Option Zusammenfassung aus.

3. Wählen Sie auf der Registerkarte "Suchen " die Option Endpunkt-DLP aus.

4. Konfigurieren Sie die Suchparameter:

   • Datumsbereich (erforderlich): Geben Sie ein Start- und Enddatum für die abzufragenden Endpunkt-DLP-Ereignisse an.
   • Benutzer (optional): Wählen Sie einen oder mehrere Benutzer aus, um die Suche auf Endpunkt-DLP-Ereignisse für bestimmte Benutzer einzugrenzen. Wenn Sie keine Benutzer auswählen, gibt die Suche Ergebnisse für alle Benutzer in Ihrer organization zurück.

5. Wählen Sie "Suchen " aus, um die Abfrage auszuführen. Untersuchungen zur Datensicherheit fragt die Daten der DLP-Beweissammlung am Endpunkt ab und zeigt die Ergebnisse an.

6. Überprüfen Sie den Schätzwert vor der Aufnahme, der eine Zusammenfassung der übereinstimmenden Warnungen, Benutzer, Aktionen und Richtlinien enthält.

7. Wählen Sie "Zum Bereich hinzufügen" aus, um den mit den Suchergebnissen verknüpften Inhalt Ihrem Untersuchungsbereich hinzuzufügen.

Nachdem Sie dem Bereich Elemente hinzugefügt haben, beginnt die Untersuchung zur Datensicherheit mit der Verarbeitung der Ergebnisse. Sie können den Fortschritt auf der Seite "Aktivitäten" für die Untersuchung überwachen.

Arbeiten mit umfangreichen Überwachungssuchergebnissen

Wenn eine Untersuchung eine große Anzahl von Benutzeraktivitäten umfasst, können Überwachungssuchen das Limit von etwa 3.000 Elementen überschreiten. Um mit großen Resultsets zu arbeiten, verwenden Sie die Audit-Lösung , um den gesamten Umfang der Ergebnisse zu analysieren. Teilen Sie dann die Daten in kleinere zeitbasierte Intervalle auf, die in das Suchlimit der Überwachung von Untersuchungen zur Datensicherheit passen.

Analysieren von Überwachungsergebnissen außerhalb von Untersuchungen zur Datensicherheit

Die Überwachungslösung hat nicht das gleiche Limit pro Suchelement wie die Überwachungssuche für Untersuchungen zur Datensicherheit. Verwenden Sie die Überwachungslösung, um zuerst die vollständige Abfrage auszuführen und die Gesamtmenge der Ergebnisse zu bestimmen, bevor Sie sie in kleinere Suchen aufteilen.

Führen Sie zum Analysieren der Überwachungsergebnisse die folgenden Schritte aus:

1. Wechseln Sie im Microsoft Purview-Portal zu Überwachung .

2. Konfigurieren Sie die gleichen Suchparameter, die Sie in Untersuchungen zur Datensicherheit verwenden möchten:

   • Datums- und Uhrzeitbereich: Geben Sie den vollständigen Datums- und Uhrzeitbereich für die Untersuchung an.
   • Aktivitäten: Wählen Sie die gleichen Aktivitäten aus, die Sie für die Untersuchung benötigen.
   • Benutzer: Geben Sie dieselben Benutzer an, die Sie suchen möchten.

3. Führen Sie die Suche aus, und exportieren Sie die Ergebnisse in eine CSV-Datei.

Identifizieren von Zeitscheiben für Überwachungssuchen

Verwenden Sie nach dem Exportieren der Überwachungsergebnisse die CSV-Daten, um Zeiträume mit jeweils weniger als ca. 3.000 Elementen zu identifizieren. Diese Zeiträume werden zu den einzelnen Überwachungssuchen, die Sie in Untersuchungen zur Datensicherheit durchführen.

Um Zeitscheiben zu identifizieren, führen Sie die folgenden Schritte aus:

1. Öffnen Sie die exportierte CSV-Datei in Microsoft Excel.

2. Fügen Sie Hilfsspalten hinzu, um den Zeitstempel in Komponenten für die CreationDate Gruppierung aufzuteilen:

   Spaltenname	Formel	Beschreibung
   Datum	=LEFT(B2,10)	Extrahiert die Datumskomponente (JJJJ-MM-TT).
   Stunde	=MID(B2,12,2)	Extrahiert die Stunde (HH).
   Day-Hour	=I2&" "&J2&":00"	Kombiniert Datum und Stunde für stündliche Gruppierung.
   Tag-Stunde-Minute	=I2&" "&J2&":"&MID(B2,15,2)	Kombiniert Datum, Stunde und Minute für eine feinere Gruppierung.

   Hinweis

   Ersetzen Sie B2 den Spaltenverweis für CreationDate im Export und I2/J2 durch die Spaltenverweise für die Hilfsspalten Datum und Uhrzeit. Passen Sie Spaltenbezüge basierend auf Ihrem Exportformat an.

3. Erstellen Sie eine PivotTable, um Datensätze nach Benutzer und Zeitraum zu zählen:

   • Legen Sie Zeilen auf die Benutzerspalte und die Tag-Stunde-Hilfsspalte fest.
   • Legen Sie Werte für die Anzahl der Datensätze fest.
   • Identifizieren Sie Zeitgruppen, die weniger als ca. 3.000 Elemente enthalten.

4. Wenden Sie für Zeitgruppen mit mehr als 3.000 Elementen eine feinere Gruppierung an:

   • Teilen Sie stündliche Gruppen mithilfe der Spalte Tag-Stunde-Minute in Intervalle auf Minutenebene auf.
   • Optional wird nach Aktivitätstyp aufgeteilt, wenn ein einzelner Zeitraum das Limit dennoch überschreitet.

Führen Sie unterteilte Überwachungssuchen in Untersuchungen zur Datensicherheit aus

Nachdem Sie die Zeitscheiben identifiziert haben, führen Sie separate Überwachungssuchen in Untersuchungen zur Datensicherheit für jede Scheibe durch, und fügen Sie alle Ergebnisse demselben Untersuchungsbereich hinzu.

Führen Sie die folgenden Schritte aus, um segmentierte Überwachungssuchen auszuführen:

1. Wechseln Sie im Microsoft Purview-Portal zu Untersuchungen zur Datensicherheit, und starten Sie eine Untersuchung.

2. Wählen Sie in den Navigationsoptionen oben auf der Seite die Option Zusammenfassung aus.

3. Wählen Sie auf der Registerkarte Suchendie Option Überwachung aus.

4. Konfigurieren Sie die Suchparameter für das erste Zeitsegment:

   • Datums- und Uhrzeitbereich (UTC): Geben Sie die Start- und Endzeit für das Slice ein.
   • Aktivitäten: Wählen Sie die gleichen Aktivitäten wie in der ursprünglichen Abfrage aus.
   • Benutzer: Wählen Sie dieselben Benutzer wie in der ursprünglichen Abfrage aus.

5. Wählen Sie "Suchen " aus, um die Überwachungsabfrage auszuführen.

6. Wählen Sie "Zum Bereich hinzufügen" aus, um die Ergebnisse Ihrem Untersuchungsbereich hinzuzufügen.

7. Wiederholen Sie diesen Vorgang für jede verbleibende Zeitscheibe, bis alle Daten in die Untersuchung aufgenommen wurden.

Bereichs-Dashboard

Auf der Registerkarte "Schätzungen überprüfen " werden Statistiken und Metriken für die in der Suchabfrage enthaltenen Datenergebnisse angezeigt. Anhand dieser Ansicht können Sie feststellen, ob die Suchabfrageergebnisse in den Untersuchungsbereich aufgenommen werden können oder ob Sie Ihre Abfrage für breitere oder engere Ergebnisse verfeinern müssen.

Die Suchergebnisse für das Bereichs-Dashboard finden Sie in den folgenden Abschnitten:

• Zusammenfassung: Zeigt die Anzahl der Suchtreffer, Speicherorte, Datenquellen und die Gesamtgröße der teilweise indizierten Elemente an.

  • Gesamtübereinstimmungen: Zeigt die Gesamtzahl der Suchtreffer und das Suchvolumen aller Elemente an, die den Abfragekriterien von den durchsuchten Standorten entsprechen.
  • Standorte: Zeigt den Anteil aller Orte mit Treffern aus allen durchsuchten Orten an. Der Zähler zeigt die Speicherorte mit Treffern und der Nenner die Anzahl der durchsuchten Speicherorte an. Speicherorte mit Fehlern werden rot angezeigt. Um alle Details zu allen Speicherorten und den zugehörigen Treffern und Fehlern anzuzeigen, wählen Sie Bericht herunterladen aus, um den vollständigen .csv Bericht herunterzuladen.
  • Datenquellen: Zeigt den Anteil der Datenquellen mit Treffern aus allen durchsuchten Datenquellen an. Der Zähler zeigt die Datenquellen mit Treffern und der Nenner die Anzahl der Datenquellen an, die in die Suche einbezogen werden. Diese Datenquelle stimmt mit der Datenquelle im Suchentwurfsablauf überein und sollte mit der Anzahl der Personen oder Gruppen übereinstimmen, die in der Suche enthalten sind. Eine mandantenweite Datenquelle Alle Personen und alle Gruppen zählt als eine einzige Datenquelle.
  • Teilweise indizierte Elemente oder "Erweiterte Treffer indizierter Elemente": Zeigt die Anzahl und das Volumen der teilweise oder nicht indizierten Elemente an, die im Rahmen der Suche zurückgegeben werden. Die erweiterte Anzahl der indizierten Treffer stammt aus einer statistischen Stichprobe der teilweise indizierten Elemente. Die tatsächlichen Treffer könnten höher sein, was Sie mit den Aktionen "Zu einem Prüfdateisatz hinzufügen " und "Suchergebnisse exportieren " bestätigen können.
  • Wichtigste Datenquellen: Zeigt die fünf wichtigsten Datenquellen an, die die meisten Suchtreffer ausmachen, die Ihrer Abfrage entsprechen. Die Namen dieser Datenquellen (Namen von Benutzern, Gruppen oder organization-weiten Standorten) werden mit der Trefferanzahl aufgeführt. Diese Datenquellen sollten mit dem übereinstimmen, was Sie beim Erstellen der Suchabfrage im Datenquellenworkflow ausgewählt haben.
  • IndizierungsStatus: Aufschlüsselung der nicht indizierten (einschließlich teilweise indizierten) und vollständig indizierten Datenelemente.
  • Top-Standorttyp: Trefferanzahl nach Standorttyp (Postfach versus Standort).

Wählen Sie Ansicht neu generieren aus, um die Abfrage erneut auszuführen und die aktuellsten Ergebnisse zu überprüfen. Wählen Sie Bericht herunterladen aus, um alle Bereichsergebnisse in einer einzigen .csv zu kombinieren. Wenn Sie die Top-100-Ergebnisse für einen Trendbereich anzeigen, wählen Sie Bericht herunterladen aus, um eine .csv-Datei mit den Top-100-Ergebnissen des ausgewählten Treffertrends zu erhalten.

Beispiele Dashboard

Anhand von Stichproben können Sie eine repräsentative Teilmenge der einzelnen Elemente sowie Details zu jedem bei der Suche zurückgegebenen Element untersuchen. Die Anzahl der Stichproben pro Standort und die Anzahl der Probenstandorte, die in der Suche definiert sind, bestimmen die Anzahl der Stichprobenelemente und die Ortsrepräsentation in den Stichprobenelementen.

Die Suchergebnisse für die Spalten des Dashboards "Beispiele" enthalten die folgenden Informationen zu jedem Element:

• Betreff/Titel: Der Betreff oder Titel der Elemente im Beispiel.
• Datum: Das Datum, an dem das Element erstellt oder gesendet wurde.
• Absender/Autor: Der Absender oder Autor des Elements.

Wählen Sie ein Beispielelement aus, um die Quellinformationen für das Element anzuzeigen. Wenn dies für das Element verfügbar ist, zeigt diese Ansicht eine umfassende Ansicht eines ausgewählten Elements an, sodass Sie die Relevanz des Elements in Bezug auf die definierte Suchdatenquelle und die definierten Suchbedingungen auswerten können.

Wählen Sie Berichte herunterladen aus, um alle Beispielergebnisse in einer einzigen .csv Datei zu kombinieren. Wählen Sie Ansichtseinstellungen aus, um die Einstellungen anzuzeigen, die auf die Beispielansichtsgenerierung angewendet wurden.