Untersuchen von Microsoft Purview Insider Risk Management-Aktivitäten

Um Insider-Risiken in Ihrer Organization zu minimieren, untersuchen Sie potenziell riskante Benutzeraktivitäten. Bei diesen Risiken kann es sich um Aktivitäten handeln, die Warnungen von Richtlinien des Insider-Risikomanagements generieren. Es kann sich auch um Risiken durch Compliance-bezogene Aktivitäten handeln, die von den Richtlinien erkannt werden, aber nicht sofort Insider-Risikomanagement-Warnungen für Benutzer erstellen.

Sie können diese Arten von Aktivitäten untersuchen, indem Sie Benutzeraktivitätsberichte oder den Triage-Agent in den Dashboards "Insider Risk Management" und "Standard" verwenden.

Selektieren von Warnungen

Untersuchen Sie Warnungen im Insider-Risikomanagement und reagieren Sie darauf, indem Sie die folgenden Schritte ausführen:

1. Überprüfen Sie die Dashboards auf Warnungen. Filtern Sie im Standard Dashboard Warnungen nach Warnungsstatus, um Warnungen zu finden, die überprüft werden müssen. Sie können auch Spotlight-Warnungen auf dem Dashboard verwenden, um priorisierte Warnungen schnell anzuzeigen. Wählen Sie im Dashboard "Agent für die Warnungstriage" den Filter "Aufmerksamkeit erforderlich" aus, um Warnungen mit der höchsten Priorisierung anzuzeigen.

2. Beginnen Sie mit den Warnungen mit dem höchsten Schweregrad. Filtern Sie Warnungen nach dem Schweregrad der Warnung, falls erforderlich, um diese Art von Warnungen zu finden.

3. Wählen Sie eine Warnung aus, um weitere Informationen zu erhalten und die Warnungsdetails zu überprüfen. Überprüfen Sie Details und Verbindungen, die der Warnung zugeordnet sind:

   1. Zeigen Sie die Registerkarte "Agent-Zusammenfassung " an, um intelligent destillierte Benutzeraktivitäts- und Risikomusterberichte zu überprüfen.
   2. Verwenden Sie die Registerkarte "Aktivitäts-Explorer", um eine Zeitleiste des zugehörigen potenziell riskanten Verhaltens zu überprüfen und alle Risikoaktivitäten für die Warnung zu identifizieren.
   3. Verwenden Sie das Datenrisikodiagramm , um Verbindungen und Details zu Benutzern und Dateien für die Warnung zu überprüfen.

   Tipp

   Wenn für den Inhalt innerhalb der Warnung eine Inhaltsvorschau (Vorschau) verfügbar ist, können Sie relevante Dateien aus SharePoint, Exchange und OneDrive for Business im Aktivitäts-Explorer überprüfen, um falsch positive Ergebnisse zu identifizieren, zu bestätigen, dass vertrauliche Daten vorhanden sind, und schnell entscheiden, ob die Warnung eine Eskalation rechtfertigt.

4. Reagieren Sie auf die Warnung. Sie können entweder bestätigen und einen Fall für eine Warnung erstellen oder die Warnung ablehnen und auflösen.

Sie können Warnungen selektieren, indem Sie zur Seite Warnungsdetails wechseln, um in einem der beiden Dashboards eine Warnung zu erhalten. Auf der Seite "Warnungsdetails " können Sie Informationen zur Warnung überprüfen. Sie können die Warnung bestätigen und einen neuen Fall erstellen, die Warnung bestätigen und einem vorhandenen Fall hinzufügen oder die Warnung schließen.

Die Seite "Warnungsdetails" enthält auch den aktuellen Status für die Warnung und den Schweregrad des Warnungsrisikos, der als hoch, mittel oder niedrig aufgeführt ist. Der Schweregrad kann im Laufe der Zeit zunehmen oder abnehmen, wenn Sie die Warnung nicht selektieren. Bei falsch positiven Ergebnissen können Sie mehrere Warnungen auswählen und sie in einem Massenvorgang schließen, indem Sie Warnungen verwerfen auswählen.

Verwenden von Copilot zum Zusammenfassen einer Warnung

Wählen Sie "Mit Copilot zusammenfassen " oder das Copilot-Symbol aus, um eine Warnung schnell zusammenzufassen und die Warnungen zu priorisieren, die weiter untersucht werden müssen. Sie können ausgewählte Warnungen zusammenfassen, ohne die Warnung zu öffnen oder nachdem Sie die Details der Warnung angezeigt haben. Wenn Sie eine Warnung mit Microsoft Copilot in Microsoft Purview zusammenfassen, wird auf der rechten Seite des Bildschirms ein Copilot-Bereich mit einer Warnungszusammenfassung angezeigt.

Die Warnungszusammenfassung enthält alle wesentlichen Details zur Warnung, z. B. die Richtlinie, die die Warnung ausgelöst hat, die Aktivität, die die Warnung generiert hat, das auslösende Ereignis, den betroffenen Benutzer, das letzte Arbeitsdatum (falls zutreffend), alle wichtigen Benutzerattribute und die wichtigsten Risikofaktoren des Benutzers. Copilot in Microsoft Purview konsolidiert Informationen über den Benutzer aus allen Warnungen und Richtlinien im Bereich und hebt die wichtigsten Risikofaktoren des Benutzers hervor.

Vorgeschlagene Eingabeaufforderungen werden automatisch angezeigt, um Ihre Zusammenfassung weiter zu verfeinern und zusätzliche Einblicke in die mit der Warnung verbundenen Aktivitäten zu erhalten. Wählen Sie aus den folgenden vorgeschlagenen Eingabeaufforderungen aus:

• Listen Sie alle Datenexfiltrationsaktivitäten auf, an denen dieser Benutzer beteiligt ist.
• Listen Sie alle sequenziellen Aktivitäten auf, an denen dieser Benutzer beteiligt ist.
• Hat der Benutzer ungewöhnliches Verhalten an den Tag gelegt?
• Anzeigen der wichtigsten Aktionen, die vom Benutzer in den letzten 10 Tagen ausgeführt wurden.
• Fassen Sie die Aktivität des Benutzers in den letzten 30 Tagen zusammen.

Warnungen (Vorschau)

Die neue einheitliche Warnungsoberfläche kombiniert den Triage-Agent und klassische Warnungsdashboards auf einer einzigen Warnungslistenseite. Diese einheitliche Ansicht ermöglicht es Ihnen, sowohl klassische als auch Agent-triagierte Warnungen von einem Ort aus zu verwalten, was die Untersuchung von Warnungen und die Reaktion auf Warnungen erleichtert, ohne zwischen Dashboards wechseln zu müssen.

Die einheitliche Warnungsoberfläche umfasst die folgenden Funktionen:

• Sehen Sie sich Agent-Zusammenfassungen, Warnungen und Benutzerdetails direkt auf der Seite "Warnungsliste" an, ohne die vollständigen Warnungsdetails zu öffnen.
• Filtern Sie nach allen klassischen und Agent-Attributen auf einer Seite, einschließlich eines Filters für vom Agent selektierte Warnungen, die Aufmerksamkeit erfordern.
• Verwalten Sie den Selektierungs-Agent direkt auf der Seite mit der Warnungsliste, einschließlich der Anzeige der Details zur Agent-Kategorisierung.
• Neue Spalte "Agent-Kategorisierung " zur Warnungsliste hinzugefügt, um schnell zu erkennen, wie der Agent jede Warnung kategorisiert hat.

Um auf die einheitliche Warnungsoberfläche zuzugreifen, wählen Sie die Registerkarte Warnungen (Vorschau) in der linken Navigation der Insider Risk Management-Lösung aus.

Vom System generierte Hinweise für Warnungen (Vorschau)

In der einheitlichen Warnungsoberfläche werden vom System generierte Notizen automatisch zu Warnungen hinzugefügt, wenn sich der Status der Warnung, der zugewiesene Benutzer ändert oder eine Warnung geschlossen wird. Diese Notizen werden auf der Registerkarte "Notizen " im Bereich "Warnungsdetails" angezeigt, sodass Analysten und Ermittler über alle Aktivitäten zu einer Warnung auf dem Laufenden bleiben, ohne Änderungen manuell nachverfolgen zu müssen. Einige vom System generierte Notizen werden möglicherweise nicht für Aktivitäten vor dem 1. Juli angezeigt. Informationen zu systemgenerierten Hinweisen zu Fällen finden Sie unter Fallnotizen.

Warnungshinweise (Vorschau)

Analysten und Ermittler können Notizen direkt zu Warnungen im Purview-Portal hinzufügen und anzeigen.

Benutzerprofildetails (Vorschau)

In der einheitlichen Warnungsoberfläche können Sie erweiterte Benutzerprofildetails direkt aus einer Warnung anzeigen. Das erweiterte Benutzerprofil fasst alle Benutzersignale des Insider-Risikomanagements in einer einheitlichen Ansicht zusammen, wodurch das vollständige Benutzerrisiko auf einen Blick leichter zu verstehen ist.

So greifen Sie auf erweiterte Benutzerprofildetails zu:

1. Wählen Sie in der linken Navigationsleiste Warnungen (Vorschau) aus.
2. Wählen Sie eine Warnung aus.
3. Scrollen Sie nach unten zu Benutzerdetails.
4. Wählen Sie "Benutzerdetails anzeigen" aus.

Das erweiterte Benutzerprofil enthält die folgenden zusätzlichen Signale aus dem Microsoft Entra-Profil des Benutzers:

• Bürostandort
• Mitarbeitertyp
• Department
• Letztes Arbeitsdatum
• Löschdatum des Entra-Kontos

Das Profil aggregiert auch die folgenden Insider-Risikomanagementsignale:

• Frühere Warnungen und Fallverlauf
• Status der Prioritätsbenutzergruppe
• Einbindung von Richtlinien
• HR Connector last working date

Weitere Informationen zu Benutzerprofildetails finden Sie unter Anzeigen von Benutzerdetails.

Verwenden von Spotlight zum Priorisieren von Warnungen (Vorschau)

Das Spotlight für Warnungen im Warnungs-Dashboard hilft Ihnen, Warnungen für die Triage zu priorisieren. Jede generierte Warnung verfügt über eine Risikobewertung, eine Liste der ausgeführten Aktivitäten, Tags und Trigger. Das Spotlighting von Warnungen verwendet diese Informationen, um zu bestimmen, ob eine Warnung im Spotlight angezeigt wird.

Eine Warnung wird automatisch hervorgehoben, wenn sie eine Risikobewertung von 85 oder höher aufweist und wenn mindestens drei der folgenden Bedingungen erfüllt sind:

• Eine Erkenntnis aus der folgenden Tabelle entspricht der höchsten Erkenntnis der Warnung.
• Die Warnung enthält Inhalte mit hoher Priorität oder der Benutzer wird als potenzieller Benutzer mit hoher Auswirkung erkannt.
• Der Benutzer wird manuell in den Geltungsbereich gebracht.
• Die Warnungsaktivität enthält zwei oder mehr Erkenntnisse mit hoher Zuverlässigkeit aus der folgenden Tabelle.

Triage-Agent im Insider Risk Management-Dashboard

Wenn Sie den Selektierungsagent im Insider-Risikomanagement in Ihrer organization aktivieren, überprüft der Agent Warnungen und zeigt sie im Triage-Agent-Dashboard an. Dieses Dashboard enthält automatisch priorisierte Warnungen und Filter, damit Insider-Risikomanagement-Analysten Probleme schnell untersuchen und beheben können.

Sie können die Dashboard-Spalten anpassen und Warnungen filtern, die vom Agent nach Priorität, Datum, Warnungs-Status oder Warnungsbereich selektiert wurden. Um das Triage-Agent-Dashboard anzuzeigen, wählen Sie oben auf der Seite des Dashboards die Option Triage-Agent aus.

Wählen Sie eine Warnung aus, um die Agent-Zusammenfassung und Übersichtsdetails für die Warnung anzuzeigen. Wählen Sie "Details anzeigen " aus, um Details für die Warnung und für den Zugriff auf die Detailabschnitte wie Risikofaktoren, Risikomusterbeschreibungen (Vorschau), den Aktivitätsexplorer und mehr anzuzeigen.

Wenn Sie mit der Agent-Kategorisierung nicht einverstanden sind, wählen Sie Ist dies falsch? (Vorschau), um Feedback zu den Gründen dafür zu geben.

Eine Übersicht darüber, wie Warnungen Details, Kontext und verwandte Inhalte für riskante Aktivitäten bereitstellen und wie Sie Ihren Untersuchungsprozess effektiver gestalten können, finden Sie im Video zur Selektierung von Insider-Risikomanagement-Warnungen.

Informationen zur Registerkarte "Agent-Zusammenfassung"

Der Abschnitt Agent-Zusammenfassung auf der Seite "Warnungsdetails" ist nur verfügbar, wenn Sie eine Warnung aus dem Triage-Agent im Insider-Risikomanagement-Dashboard ausgewählt haben. Die Zusammenfassungsinformationen des Agents enthalten Details zur Kategorisierung der Warnung sowie Details zu den zugehörigen Risiken, die im Selektierungsprozess verwendet werden. Diese Ansicht enthält die folgenden Informationen:

• Agent-Kategorisierung: Warnungen werden als "Aufmerksamkeit erforderlich" oder "Weniger dringend" kategorisiert.
• Benutzerinformationen: Enthält den Warnungsverlauf, den Titel, die Organisation und das letzte Arbeitsdatum für den Benutzer. Wählen Sie die Kachel aus, um zusätzliche Details anzuzeigen (Vorschau).
• Risikomuster: Bietet eine narrative Zusammenfassung jedes mit der Warnung verbundenen Risikos (Vorschau).

Wählen Sie die narrative Zusammenfassung (Vorschau) für jedes aufgeführte Risiko aus, um die folgenden Details zu überprüfen:

• Zusammenfassung: Jedes Risikomuster enthält eine narrative Zusammenfassung, in der die riskanten Aktivitäten, die betroffenen vertraulichen Daten und die betroffenen Dateien detailliert beschrieben werden.
• Akteure: Das an der Warnung beteiligte Gerät und die Client-IP-Adresse, sofern verfügbar.
• Zeitrahmen: Enthält das Start- und Enddatum sowie die Uhrzeit in UTC.
• Betroffene vertrauliche Daten: Listet die Typen vertraulicher Informationen, Klassifizierer und Dateivertraulichkeitsbezeichnungen auf, die an der Warnung beteiligt sind.
• Aktivitätsnamen: Die Arten von Aktionen, die vom Benutzer ausgeführt werden.
• Aktivitätsdetails: Erläutert wichtige Aspekte der beobachteten Aktivität, wie z. B. den Umfang der Ereignisse, sensible Daten und Dateien sowie andere kontextbezogene Signale, die zur Risikobewertung beitragen.

Wählen Sie Aktivität filtern aus, um eine gefilterte Ansicht der relevanten Informationen im Aktivitätsexplorer zu erhalten, die zur ausgewählten Erzählung beigetragen haben.

Standard-Warnungs-Dashboard

Richtlinien für das Insider-Risikomanagement generieren automatisch Warnungen basierend auf den von Ihnen definierten Risikoindikatoren und zeigen sie auf dem Standard-Warnungs-Dashboard an. Diese Warnungen geben Compliance-Analysten und -Ermittlern einen umfassenden Überblick über den aktuellen Risiko-Status und ermöglichen es Ihrer Organization, erkannte potenzielle Risiken zu selektieren und Maßnahmen zu ergreifen. Standardmäßig generieren Richtlinien eine bestimmte Anzahl von Warnungen mit niedrigem, mittlerem und hohem Schweregrad, aber Sie können das Warnungsvolumen entsprechend Ihren Anforderungen erhöhen oder verringern . Darüber hinaus können Sie den Warnschwellenwert für Richtlinienindikatoren konfigurieren, wenn Sie eine neue Richtlinie mit dem Richtlinienerstellungstool erstellen. Um die Standard Dashboard anzuzeigen, wählen Sie oben auf der Dashboard Seite Standard aus.

Filtern von Warnungen, Speichern der Ansicht eines Filtersatzes, Anpassen von Spalten oder Suchen nach Warnungen

Je nach Anzahl und Typ der aktiven Richtlinien für das Insider-Risikomanagement in Ihrer organization kann die Überprüfung einer großen Warteschlange von Warnungen eine Herausforderung darstellen. Um Warnungen nachzuverfolgen, haben Sie folgende Möglichkeiten:

• Filtern Sie Warnungen nach verschiedenen Attributen.
• Speichern Sie eine Ansicht eines Filtersatzes für die spätere Wiederverwendung.
• Ein- oder Ausblenden von Spalten
• Suchen Sie nach einer Warnung.
• Anzeigen von Warnungsberichten.

Filtern von Warnungen

Führen Sie die folgenden Schritte aus, um die auf dem Dashboard angezeigten Warnungen einzugrenzen:

1. Wählen Sie Filter hinzufügen aus.

2. Wählen Sie eines oder mehrere der folgenden Attribute aus:

   Attribut	Beschreibung
   Aktivität, die die Warnung generiert hat	Zeigt die höchste potenziell riskante Aktivität und Richtlinienübereinstimmung während des Aktivitätsbewertungszeitraums an, der zu der Warnung führt. Dieser Wert kann sich im Laufe der Zeit aktualisieren.
   Grund für die Beendigung der Warnung	Der Grund für das Schließen der Warnung.
   Zugewiesen an	Der Administrator, dem die Warnung zur Selektierung zugewiesen ist (sofern zugewiesen).
   Richtlinie	Der Name der Richtlinie
   Risikofaktoren	Die Risikofaktoren, die dazu beitragen, das Risiko der Aktivitäten eines Benutzers zu bestimmen. Die möglichen Werte sind: Kumulative Exfiltrationsaktivitäten, Aktivitäten umfassen Prioritätsinhalt, Sequenzaktivitäten, Aktivitäten enthalten unzulässige Domänen, Mitglied einer Prioritätsbenutzergruppe und Potenzieller Benutzer mit hoher Auswirkung.
   Schweregrad	Der Risikoschweregrad des Benutzers. Die Optionen sind Hoch, Moderat und Niedrig.
   Status	Der Status der Warnung. Die Optionen sind Bestätigt, Abgelehnt, Überprüfung erforderlich und Behoben.
   Erkannte Zeit (UTC)	Das Start- und Enddatum, als die Warnung erstellt wurde. Der Filter sucht nach Warnungen zwischen UTC 00:00 am Startdatum und UTC 00:00 am Enddatum.
   Auslösendes Ereignis	Das Ereignis, das den Benutzer in den Geltungsbereich der Richtlinie gebracht hat. Das auslösende Ereignis kann sich im Lauf der Zeit ändern.

   Die von Ihnen ausgewählten Attribute werden der Filterleiste hinzugefügt.

3. Wählen Sie ein Attribut in der Filterleiste und dann einen Wert aus, nach dem gefiltert werden soll. Wählen Sie beispielsweise das Attribut Erkannte Zeit (UTC) aus, geben Sie die Datumsangaben in die Felder Startdatum und Enddatum ein, oder wählen Sie sie aus, und wählen Sie dann Anwenden aus.

   Tipp

   Um an einem beliebigen Punkt von vorn zu beginnen, wählen Sie auf der Filterleiste "Alle zurücksetzen " aus.

Speichern einer Ansicht eines für die spätere Wiederverwendung festgelegten Filters

Gehen Sie folgendermaßen vor, um den aktuellen Filtersatz für die spätere Wiederverwendung zu speichern:

1. Nachdem Sie die Filter wie im vorherigen Verfahren beschrieben angewendet haben, wählen Sie "Speichern" aus, geben Sie einen Namen für den Filtersatz ein, und wählen Sie dann "Speichern" aus.

   Der Filtersatz wird als Karte hinzugefügt. Es enthält eine Zahl, die die Anzahl der Warnungen anzeigt, die den Kriterien im Filtersatz entsprechen.

   Hinweis

   Sie können bis zu fünf Filtersätze speichern. Wenn Sie einen Filtersatz löschen möchten, wählen Sie die Auslassungspunkte (drei Punkte) in der oberen rechten Ecke der Karte und dann "Löschen" aus.

2. Um einen gespeicherten Filtersatz erneut anzuwenden, wählen Sie die Karte für den Filtersatz aus.

Ein- oder Ausblenden von Spalten

Führen Sie die folgenden Schritte aus, um anzupassen, welche Spalten in der Ansicht "Warnungen" angezeigt werden:

1. Wählen Sie rechts auf der Seite "Spalten anpassen" aus.
2. Aktivieren oder deaktivieren Sie die Kontrollkästchen für die Spalten, die Sie anzeigen oder ausblenden möchten.

Die Spalteneinstellungen werden sitzungs- und browserübergreifend gespeichert.

Nach Warnungen suchen

Verwenden Sie das Suchsteuerelement , um nach einem Benutzerprinzipalnamen (UPN), einem zugewiesenen Administratornamen oder einer Warnungs-ID zu suchen.

Anzeigen von Warnungsberichten

Wechseln Sie zuInsider-Risikomanagement-Berichtswarnungen>>, um Insider-Risikomanagement-Warnungsberichte für generierte Warnungen, Warnungen nach Region, Warnungen nach auslösendem Ereignis und mehr anzuzeigen.

Abschnitt "Kopfzeile/Zusammenfassung" der Seite "Warnungsdetails"

Der Abschnitt "Kopfzeile/Zusammenfassung" auf der Seite "Warnungsdetails" ist nur verfügbar, wenn Sie eine Warnung aus dem Standard Dashboard auswählen. Es enthält allgemeine Informationen zum Benutzer und zur Warnung. Verwenden Sie diese Informationen als Kontext, während Sie detaillierte Informationen zu den erkannten Risikomanagementaktivitäten überprüfen, die in der Warnung für den Benutzer enthalten sind:

• Aktivität, die diese Warnung generiert hat: Zeigt die höchste potenziell riskante Aktivität und Richtlinienübereinstimmung während des Aktivitätsbewertungszeitraums an, der zur Generierung der Warnung geführt hat.
• Auslösendes Ereignis: Zeigt das letzte auslösende Ereignis an, das die Richtlinie dazu veranlasst hat, der Aktivität des Benutzers Risikobewertungen zuzuweisen. Wenn Sie die Integration mit Communication Compliance für Datenlecks durch riskante Benutzer oder Sicherheitsrichtlinienverstöße durch riskante Benutzer konfigurieren, ist das auslösende Ereignis für diese Warnungen auf Communication Compliance-Aktivitäten beschränkt.
• Benutzerdetails: Zeigt allgemeine Informationen über den Benutzer an, der der Warnung zugewiesen wurde. Wenn die Anonymisierung aktiviert ist, werden die Felder Benutzername, E-Mail-Adresse, Alias und organization anonymisiert.
• Benutzerwarnungsverlauf: Zeigt eine Liste der Warnungen für den Benutzer für die letzten 30 Tage an. Enthält einen Link zum Anzeigen des vollständigen Warnungsverlaufs für den Benutzer.

Warnungen, die aus Richtlinien generiert werden, die nur auf Aktivitäten mit prioritärem Inhalt eingegrenzt sind, umfassen die Option Nur Aktivität mit Priorität Inhalt wurde für diese Warnungsbenachrichtigung im Abschnitt Kopfzeile/Zusammenfassung bewertet.

Registerkarte "Alle Risikofaktoren"

Sie können auf diese Registerkarte unter Warnungsdetails für Warnungen in beiden Dashboard-Ansichten zugreifen. Es öffnet die Zusammenfassung der Risikofaktoren für die Warnaktivität des Benutzers. Anhand von Risikofaktoren können Sie bestimmen, wie riskant die Risikomanagementaktivitäten des Benutzers während Ihrer Überprüfung sind. Zu den Risikofaktoren gehören Zusammenfassungen für:

• Kumulative Exfiltrationsaktivitäten: Ereignisse, die mit kumulativen Exfiltrationsaktivitäten verbunden sind.
• Zugriff auf Gesundheitsakten: Potenziell riskante Aktivitäten für Ereignisse im Zusammenhang mit dem Zugriff auf Gesundheitsakten.
• Vorrangige Inhalte: Potenziell riskante Aktivitäten im Zusammenhang mit vorrangigen Inhalten.
• Riskante Browsernutzung: Potenziell riskante Aktivitäten für Ereignisse im Zusammenhang mit dem Navigieren zu potenziell unangemessenen Websites.
• Abfolge von Aktivitäten: Erkennt potenziell riskante Aktivitäten, die mit Risikosequenzen verbunden sind.
• Wichtigste Exfiltrationsaktivitäten: Exfiltrationsaktivitäten mit der höchsten Anzahl von Ereignissen für die Warnung.
• Unzulässige Domänen: Potenziell riskante Aktivitäten für Ereignisse, die nicht zulässigen Domänen zugeordnet sind.
• Ungewöhnliche Aktivität für diesen Benutzer: Bestimmte Aktivitäten für den Benutzer, die als potenziell riskant angesehen werden, da sie ungewöhnlich sind und eine Abweichung von den üblichen Aktivitäten darstellen.

Mit diesen Filtern werden nur Warnungen mit diesen Risikofaktoren angezeigt, aber die Aktivität, die eine Warnung generiert hat, fällt möglicherweise nicht in eine dieser Kategorien. Beispielsweise kann eine Warnung mit Sequenzaktivitäten einfach generiert werden, weil der Benutzer eine Datei auf ein USB-Gerät kopiert hat.

Inhalt erkannt

Der Abschnitt "Inhalt erkannt" auf der Registerkarte "Alle Risikofaktoren " enthält Inhalte, die den Risikoaktivitäten für die Warnung zugeordnet sind, und fasst Aktivitätsereignisse nach Schlüsselbereichen zusammen. Wenn Sie einen Aktivitätslink auswählen, öffnen Sie den Aktivitäts-Explorer und sehen weitere Details zur Aktivität.

Registerkarte "Aktivitätsexplorer"

Die Registerkarte Activity Explorer ist für Warnungen in beiden Dashboard-Ansichten verfügbar. Es bietet Risikoermittlern und Analysten ein umfassendes Analysetool, das detaillierte Informationen zu Warnungen liefert. Mit dem Aktivitäts-Explorer können Prüfer schnell eine Zeitleiste der erkannten potenziell riskanten Aktivitäten überprüfen und alle mit Warnungen verbundenen Risikoaktivitäten identifizieren und filtern.

Inhaltsvorschau (Vorschau)

Bei unterstützten Aktivitäten können Ermittler verwandte Inhalte direkt im Aktivitäts-Explorer in der Vorschau anzeigen, um Risiken schnell zu überprüfen, ohne einen Fall zu erstellen. Die Inhaltsvorschau (Vorschau) ermöglicht eine frühzeitige Triage, indem sie Ermittlern dabei hilft, festzustellen, ob eine Aktivität vertrauliche Daten enthält, ein falsch positives Ergebnis darstellt oder eine Eskalation zu einer vollständigen Untersuchung erfordert. Die Inhaltsvorschau wird für Aktivitäten unterstützt, die den Zugriff auf oder die Übertragung von Inhalten beinhalten.

Unterstützte Aktivitäten in der Inhaltsvorschau (Vorschau)

Die Inhaltsvorschau wird für Aktivitäten unterstützt, die den Zugriff auf oder die Übertragung von Inhalten beinhalten, einschließlich:

• SharePoint: Dateizugriff, Dateidownload, vollständiger Dateisynchronisierungsdownload
• Exchange: E-Mail gesendet (Hygieneereignisse), Regelübereinstimmungen zur Verhinderung von Datenverlust
• OneDrive for Business: Dateizugriff, Dateidownload, vollständiger Dateisynchronisierungsdownload

Einschränkungen der Inhaltsvorschau (Vorschau)

Die Inhaltsvorschau wird für Aktivitäten nicht unterstützt, die Statusänderungen, Berechtigungsänderungen, Löschungen oder reine Signalereignisse darstellen. Dazu gehören:

• Ereignisse zum Löschen und Löschen von Ordnern und zum Papierkorb
• Endpunktaktivitäten (z. B. Löschen von Dateien, Kopieren, Drucken oder USB-Übertragungen)
• Browserereignisse oder Wechselmedienereignisse
• Reine Metadatenereignisse (Benutzer- oder Gruppenänderungen, Power BI-Export- oder Löschereignisse)
• Files, die umbenannt wurden

Verwenden des Aktivitätsexplorers

Bei der Überprüfung von Aktivitäten im Aktivitäts-Explorer können Ermittler und Analysten eine bestimmte Aktivität auswählen und den Bereich mit den Aktivitätsdetails öffnen. In dem Bereich werden detaillierte Informationen über die Aktivität angezeigt, die Ermittler und Analysten während des Warnungsselektierungsprozesses verwenden können. Detaillierte Informationen können einen Kontext für die Warnung liefern und dabei helfen, den vollständigen Umfang der Risikoaktivität zu identifizieren, die die Warnung ausgelöst hat.

Wenn Sie die Ereignisse einer Aktivität aus der Aktivitäts-Zeitleiste auswählen, stimmt die Anzahl der im Explorer angezeigten Aktivitäten möglicherweise nicht mit der Anzahl der Aktivitätsereignisse überein, die in der Zeitleiste aufgeführt sind. Beispiele, warum dieser Unterschied auftreten kann, sind:

• Kumulative Exfiltrationserkennung: Die kumulative Exfiltrationserkennung analysiert Ereignisprotokolle, wendet jedoch ein Modell an, das die Deduplizierung ähnlicher Aktivitäten zur Berechnung des kumulativen Exfiltrationsrisikos umfasst. Darüber hinaus kann es zu einem Unterschied bei der Anzahl der potenziell riskanten Aktivitäten kommen, die im Aktivitätsexplorer angezeigt werden, wenn Sie Änderungen an Ihren vorhandenen Richtlinien oder Einstellungen vornehmen. Wenn Sie beispielsweise zulässige/nicht zulässige Domänen ändern oder neue Dateitypausschlüsse hinzufügen, nachdem eine Richtlinie erstellt wurde und potenziell riskante Aktivitätsübereinstimmungen auftreten, unterscheiden sich die kumulativen Exfiltrationserkennungsaktivitäten von den Ergebnissen vor der Änderung der Richtlinie oder Einstellungen. Die Gesamtzahl der kumulativen Exfiltrationserkennungsaktivität basiert auf der Richtlinien- und Einstellungskonfiguration zum Zeitpunkt der Berechnung und umfasst keine Aktivitäten vor den Richtlinien- und Einstellungsänderungen.
• E-Mails an externe Empfänger: Potenziell riskanten Aktivitäten bei E-Mails, die an externe Empfänger gesendet werden, wird eine Risikobewertung zugewiesen, die auf der Anzahl der gesendeten E-Mails basiert, die möglicherweise nicht mit den Aktivitätsereignisprotokollen übereinstimmt.

Sequenzen, die Ereignisse enthalten, die von der Risikobewertung ausgeschlossen sind

Eine Sequenzerkennung kann ein oder mehrere Ereignisse enthalten, die basierend auf Ihrer Einstellungskonfiguration von der Risikobewertung ausgeschlossen werden. Ihr organization könnte z. B. die Einstellung "Globale Ausschlüsse" verwenden, um .png Dateien von der Risikobewertung auszuschließen, da .png Dateien normalerweise nicht riskant sind. Eine .png Datei könnte jedoch verwendet werden, um böswillige Aktivitäten zu verschleiern. Wenn ein Ereignis, das aufgrund einer Verschleierungsaktivität von der Risikobewertung ausgeschlossen ist, Teil einer Sequenz ist, wird das Ereignis in die Sequenz aufgenommen, da es im Kontext der Sequenz interessant sein kann.

Der Aktivitätsexplorer zeigt die folgenden Informationen für ausgeschlossene Ereignisse in Sequenzen an:

• Wenn eine Sequenz einen Schritt enthält, in dem alle Ereignisse ausgeschlossen sind, enthält die Erkenntnis nur den Namen und das Datum der Aktivität. Wählen Sie den Link "Ausgeschlossene Ereignisse anzeigen " aus, um im Aktivitätsexplorer nach den ausgeschlossenen Ereignissen zu filtern. Das Streudiagrammsymbol für Benutzeraktivitäten hat eine Risikobewertung von 0, wenn alle Ereignisse ausgeschlossen werden.
• Wenn eine Sequenz über eine Erkenntnis verfügt, in der einige Ereignisse ausgeschlossen werden, werden die Ereignisinformationen für die nicht ausgeschlossenen Ereignisse angezeigt, aber die Ereignisanzahl enthält die ausgeschlossenen Ereignisse nicht. Wählen Sie den Link "Ausgeschlossene Ereignisse anzeigen " aus, um im Aktivitätsexplorer nach den ausgeschlossenen Ereignissen zu filtern.
• Wenn Sie einen Sequenzlink auswählen, um einen Einblick zu erhalten, können Sie die Ereignissequenz im Detailbereich der Aktivität aufschlüsseln, einschließlich aller Ereignisse, die von der Bewertung ausgeschlossen wurden. Ein von der Bewertung ausgeschlossenes Ereignis wird als ausgeschlossen markiert.

Filtern von Warnungen im Aktivitätsexplorer

Um Warnungen im Aktivitätsexplorer nach Spalteninformationen zu filtern, wählen Sie Filter aus. Sie können Warnungen nach einem oder mehreren Attributen filtern, die im Detailbereich für die Warnung aufgeführt sind. Der Aktivitäts-Explorer unterstützt zudem anpassbare Spalten, damit Ermittler und Analysten im Dashboard die für sie wichtigsten Informationen fokussieren können.

Verwenden Sie die Filter "Aktivitätsbereich", "Risikofaktor" und "Status überprüfen", um Aktivitäten und Erkenntnisse für die folgenden Bereiche anzuzeigen und zu sortieren.

• Aktivitätsbereich: Filtert alle bewerteten Aktivitäten für den Benutzer.

  • Alle bewerteten Aktivitäten für diesen Benutzer
  • In dieser Warnung wurden nur bewertete Aktivitäten

• Risikofaktor: Filter für Risikofaktoraktivitäten, die für alle Policen gelten, die Risikobewertungen zuweisen. Dieser Filter enthält alle Aktivitäten für alle Richtlinien für enthaltene Benutzer.

  • Ungewöhnliche Aktivität
  • Enthält Ereignisse mit prioritärem Inhalt
  • Schließt Ereignisse mit unzulässiger Domäne ein
  • Aktivitäten in einer Reihenfolge
  • Kumulative Exfiltrationsaktivitäten
  • Aktivitäten zum Zugriff auf Integritätsakten
  • Riskante Browsernutzung

• Status überprüfen: Filteraktivität Status überprüfen.

  • Alle
  • Noch nicht überprüft (filtert alle Aktivitäten heraus, die Teil einer verworfenen oder aufgelösten Warnung waren)

Überprüfen der Registerkarte "Benutzeraktivität"

Beide Dashboard-Ansichten enthalten die Registerkarte Benutzeraktivität für Warnungen. Es ist eines der leistungsstärksten Tools für die interne Risikoanalyse und -untersuchung für Warnungen und Fälle in der Insider Risk Management-Lösung. Sie können alle Aktivitäten für einen Benutzer schnell überprüfen, einschließlich einer historischen Zeitleiste aller Warnungen, Warnungsdetails, der aktuellen Risikobewertung für den Benutzer und der Reihenfolge von Risikoereignissen.

1. Fallaktionen: Die Symbolleiste für Fallaktionen bietet Optionen zum Auflösen des Falls. Wenn Sie einen Fall anzeigen, können Sie den Fall auflösen, eine E-Mail-Benachrichtigung an den Benutzer senden oder den Fall für eine Daten- oder Benutzeruntersuchung eskalieren.

2. Chronologie der Risikoaktivität: Die vollständige Chronologie aller mit dem Fall verbundenen Risikowarnungen, einschließlich aller Details, die in der entsprechenden Warnblase verfügbar sind.

3. Filter und Sortierung (Vorschau):

   • Risikokategorie: Filtern Sie Aktivitäten nach den folgenden Risikokategorien: Aktivitäten mit der Risikobewertung > 15 (sofern nicht in einer Sequenz) und Sequenzaktivitäten.
   • Aktivitätstyp: Filtern Sie Aktivitäten nach den folgenden Typen: Zugriff, Löschung, Sammlung, Exfiltration, Infiltration, Verschleierung, Sicherheit, benutzerdefinierter Indikator, Abwehrumgehung, Rechteausweitung, Kommunikationsrisiko, Risiko von Benutzerkompromittierungen und KI-Nutzung.
   • Sortieren nach: Listen Sie die Zeitleiste potenziell riskanter Aktivitäten nach Eintrittsdatum oder Risikobewertung auf.

4. Zeitfilter: Standardmäßig zeigt das Benutzeraktivitätsdiagramm die potenziell riskanten Aktivitäten der letzten drei Monate an. Sie können die Diagrammansicht einfach filtern, indem Sie im Blasendiagramm die Registerkarten "6 Monate", "3 Monate" oder "1 Monat " auswählen.

5. Risikoabfolge: Die zeitliche Reihenfolge potenziell riskanter Aktivitäten ist ein wichtiger Aspekt der Risikountersuchung. Die Identifizierung dieser verwandten Aktivitäten ist ein wichtiger Bestandteil der Bewertung des Gesamtrisikos für Ihre Organization. Warnungsaktivitäten, die sich auf verwandte Aktivitäten beziehen, werden mit Verbindungslinien angezeigt, um hervorzuheben, dass diese Aktivitäten einem größeren Risikobereich zugeordnet sind. Ein über den Sequenzaktivitäten positioniertes Symbol identifiziert Sequenzen in dieser Ansicht relativ zur Risikobewertung für die Sequenz. Zeigen Sie auf das Symbol, um Datum und Uhrzeit der riskanten Aktivität anzuzeigen, die mit dieser Sequenz verbunden ist. Diese Sicht der Aktivitäten kann den Ermittlern helfen, die Punkte für Risikoaktivitäten zu verbinden, die als isolierte oder einmalige Ereignisse hätten angesehen werden können. Wählen Sie das Symbol oder eine beliebige Blase in der Sequenz aus, um Details für alle zugehörigen Risikoaktivitäten anzuzeigen. Zu den Details gehören:

   • Name der Sequenz.
   • Datum oder Datumsbereich der Sequenz.
   • Risikobewertung für die Sequenz. Diese Bewertung ist die numerische Bewertung für die Sequenz der kombinierten Schweregrade des Warnungsrisikos für jede verwandte Aktivität in der Sequenz.
   • Die Anzahl der Ereignisse, die jeder Warnung in der Sequenz zugeordnet sind. Links zu jeder Datei oder E-Mail, die mit jeder potenziell riskanten Aktivität verbunden sind, sind ebenfalls verfügbar.
   • Aktivitäten nacheinander anzeigen. Zeigt die Sequenz als Hervorhebungslinie im Blasendiagramm an und erweitert die Warnungsdetails, um alle zugehörigen Warnungen in der Sequenz anzuzeigen.

6. Aktivität und Details zu Risikowarnungen: Im Benutzeraktivitätsdiagramm werden potenziell riskante Aktivitäten visuell als farbige Blasen dargestellt. Das Diagramm erzeugt Blasen für verschiedene Risikokategorien. Wählen Sie eine Sprechblase aus, um die Details für jede potenziell riskante Aktivität anzuzeigen. Zu den Details gehören:

   • Datum der Risikoaktivität.
   • Die Risikoaktivitätskategorie. Beispielsweise E-Mails mit Anlagen, die außerhalb der organization gesendet werden, oder Datei(en), die von SharePoint Online heruntergeladen wurden.
   • Risikobewertung für die Warnung. Diese Bewertung ist der numerische Wert für den Schweregrad des Risikos.
   • Anzahl der Ereignisse, die mit der Warnung verknüpft sind. Links zu jeder Datei oder E-Mail, die der Risikoaktivität zugeordnet ist, sind ebenfalls verfügbar.

7. Kumulative Exfiltrationsaktivitäten: Wählen Sie diese Option aus, um ein visuelles Diagramm anzuzeigen, das zeigt, wie sich die Aktivität des Benutzers im Laufe der Zeit aufbaut.

8. Legende zur Risikoaktivität: Am unteren Rand des Diagramms der Benutzeraktivität hilft Ihnen eine farbcodierte Legende, die Risikokategorie für jede Warnung schnell zu bestimmen.

Verwenden der Registerkarte "Datenrisikodiagramm"

Beide Dashboard-Ansichten bieten Zugriff auf die Registerkarte "Datenrisikodiagramm" für Warnungen. Durch die Integration in Microsoft Sentinel hilft Ihnen das Datenrisikodiagramm, Verbindungen zwischen betroffenen Ressourcen, Benutzern und deren Aktivitäten in einer interaktiven Diagrammoberfläche anzuzeigen.

Weitere Informationen zu Datenrisikodiagrammen finden Sie unter Datenrisikodiagramm im Insider-Risikomanagement.

Speichern der Ansicht eines Filters zur späteren Wiederverwendung

Wenn Sie einen Filter erstellen und Spalten für den Filter anpassen, können Sie eine Ansicht Ihrer Änderungen speichern, damit Sie oder andere Benutzer später schnell erneut nach denselben Änderungen filtern können. Wenn Sie eine Sicht speichern, werden sowohl die Filter als auch die Spalten gespeichert. Wenn Sie die Ansicht laden, werden sowohl gespeicherte Filter als auch Spalten geladen.

1. Erstellen eines Filters und Anpassen von Spalten

   Tipp

   Um an einem beliebigen Punkt von vorn zu beginnen, wählen Sie "Zurücksetzen" aus. Um angepasste Spalten zu ändern, wählen Sie Spalten zurücksetzen aus.

2. Wenn Sie den Filter wie gewünscht haben, wählen Sie Diese Ansicht speichern, geben Sie einen Namen für die Ansicht ein, und wählen Sie dann Speichern aus.

   Hinweis

   Die maximale Länge für einen Ansichtsnamen beträgt 40 Zeichen, und Sie können keine Sonderzeichen verwenden.

3. Wenn Sie die Ansicht des Filters später wiederverwenden möchten, wählen Sie Ansichten und dann auf der Registerkarte "Empfohlene Ansichten " (zeigt die am häufigsten verwendeten Ansichten) oder auf der Registerkarte "Benutzerdefinierte Ansichten " (zeigt die am häufigsten verwendeten Filter an) die Ansicht aus, die Sie öffnen möchten.

Wenn Sie eine Ansicht auf diese Weise auswählen, werden alle vorhandenen Filter zurückgesetzt und durch die ausgewählte Ansicht ersetzt.

Warnungsstatus und Schweregrad

Sie können Warnungen in einen der folgenden Status einstufen:

• Bestätigt: Eine Warnung, die Sie bestätigen und einem neuen oder vorhandenen Fall zuweisen.
• Verworfen: Eine Warnung, die Sie im Triage-Prozess als harmlos abtun. Sie können einen Grund für das Schließen der Warnung angeben und Notizen einfügen, die im Warnungsverlauf des Benutzers verfügbar sind, um zusätzlichen Kontext für zukünftige Referenzen oder für andere Prüfer bereitzustellen. Die Gründe können von erwarteten Aktivitäten, nicht beeinflussbaren Ereignissen, einer einfachen Reduzierung der Anzahl von Warnungsaktivitäten für den Benutzer oder einem Grund im Zusammenhang mit den Warnungshinweisen reichen. Zu den Gründen für die Klassifizierungsoptionen gehören "Aktivität wird für diesen Benutzer erwartet", "Aktivität ist wirkungsvoll genug, um weitere Untersuchungen durchzuführen", und Warnungen für diesen Benutzer enthalten zu viele Aktivitäten.
• Überprüfung erforderlich: Eine neue Warnung, wenn noch keine Selektierungsaktionen durchgeführt wurden.
• Gelöst: Eine Warnung, die Teil eines geschlossenen und gelösten Falls ist.

Das System berechnet automatisch die Warnrisiko-Scores aus mehreren Risikoaktivitätsindikatoren. Zu diesen Indikatoren gehören die Art der Risikoaktivität, die Anzahl und Häufigkeit des Auftretens der Aktivität, die Historie der Risikoaktivitäten der Benutzer und die Hinzufügung von Aktivitätsrisiken, die die Schwere der potenziell riskanten Aktivität erhöhen könnten. Die Risikobewertung für Warnungen steuert die programmgesteuerte Zuweisung eines Risikoschweregrads für jede Warnung und kann nicht angepasst werden. Wenn Sie keine Warnungen selektieren, und Risikoaktivitäten weiterhin für die Warnung anfallen, kann sich der Risikoschweregrad erhöhen. Risikoanalysten und Ermittler können den Schweregrad des Warnungsrisikos verwenden, um Warnungen in Übereinstimmung mit den Risikorichtlinien und -standards Ihrer Organization zu selektieren.

Warnungsrisiko-Schweregrade sind:

• Hoher Schweregrad: Die potenziell riskanten Aktivitäten und Indikatoren für die Warnung stellen ein erhebliches Risiko dar. Die damit verbundenen Risikoaktivitäten sind schwerwiegend, repetitiv und korrelieren stark mit anderen signifikanten Risikofaktoren.
• Mittlerer Schweregrad: Die potenziell riskanten Aktivitäten und Indikatoren für die Warnung stellen ein mittleres Risiko dar. Die damit verbundenen Risikoaktivitäten sind moderat, häufig und weisen eine gewisse Korrelation zu anderen Risikofaktoren auf.
• Niedriger Schweregrad: Die potenziell riskanten Aktivitäten und Indikatoren für die Warnung stellen ein geringes Risiko dar. Die damit verbundenen Risikoaktivitäten sind gering, seltener und korrelieren nicht mit anderen signifikanten Risikofaktoren.

Mehrere Warnungen schließen (Vorschau)

Um Selektierungszeit einzusparen, können Analysten und Ermittler mehrere Warnungen gleichzeitig verwerfen. Mit der Befehlsleistenoption "Warnungen schließen" können Sie eine oder mehrere Warnungen mit dem Status "Überprüfung erforderlich" im Dashboard auswählen und diese Warnungen schnell als harmlos verwerfen. Sie können bis zu 400 Warnungen gleichzeitig schließen.

Insider-Risikowarnung schließen

Um Warnungen zu schließen, müssen Sie Mitglied der Rollengruppe "Insider Risk Management", "Insider Risk Management Analysts" oder " Insider Risk Management Investigators " sein.

1. Melden Sie sich beim Microsoft Purview-Portal mit den Anmeldeinformationen für ein Administratorkonto in Ihrer Microsoft 365-organization an.
2. Wechseln Sie zur Insider Risk Management-Lösung .
3. Wählen Sie in der linken Navigation Warnungen aus.
4. Wählen Sie im Dashboard "Warnungen" die Warnungen aus, die den Status "Überprüfung erforderlich" haben.
5. Wählen Sie auf der Befehlsleiste "Warnungen" die Option "Warnungen schließen" aus.
6. Überprüfen Sie im Detailbereich " Warnungen schließen " die Benutzer- und Richtliniendetails, die den ausgewählten Warnungen zugeordnet sind.
7. Wählen Sie Warnungen verwerfen aus, um die Warnungen als harmlos aufzulösen.

Berichte für Warnungen

Um Berichte für Warnungen anzuzeigen, wechseln Sie zur Seite "Berichte ". Jedes Berichtswidget auf der Seite "Berichte" zeigt Informationen für die letzten 30 Tage an:

• Gesamtzahl der Warnungen, die überprüft werden müssen: Die Gesamtzahl der Warnungen, die überprüft und einsortiert werden müssen, einschließlich einer Aufschlüsselung nach Schweregrad der Warnung.
• Geöffnete Warnungen der letzten 30 Tage: Die Gesamtanzahl der Warnungen, die in den letzten 30 Tagen von Richtlinienabgleichen erstellt wurden, sortiert nach hohen, mittleren und niedrigen Warnungsschweregraden.
• Durchschnittliche Zeit zum Beheben von Warnungen: Eine Zusammenfassung nützlicher Warnungsstatistiken:
  • Durchschnittliche Zeit zur Behebung von Warnungen höheren Schweregrades, angegeben in Stunden, Tagen oder Monaten.
  • Durchschnittliche Zeit bis zur Behebung von Warnungen mittleren Schweregrades, angegeben in Stunden, Tagen oder Monaten.
  • Durchschnittliche Zeit bis zur Behebung von Warnungen niedrigen Schweregrades, angegeben in Stunden, Tagen oder Monaten.

Zuweisen einer Warnung

Wenn Sie Administrator und Mitglied der Rollengruppe "Insider Risk Management", "Insider Risk Management Analysts" oder " Insider Risk Management Investigators " sind, können Sie sich selbst oder einem Insider Risk Management-Benutzer mit einer der gleichen Rollen den Besitz einer Warnung zuweisen. Nachdem Sie eine Warnung zugewiesen haben, können Sie sie einem Benutzer mit einer der gleichen Rollen erneut zuweisen. Sie können eine Warnung jeweils nur einem Administrator zuweisen.

Nachdem Sie einen Administrator zugewiesen haben, können Sie nach Administrator suchen.

Zuweisen einer Warnung aus dem Warnungs-Dashboard

Führen Sie die folgenden Schritte aus, um eine Warnung aus dem Warnungs-Dashboard zuzuweisen:

1. Melden Sie sich beim Microsoft Purview-Portal mit den Anmeldeinformationen für ein Administratorkonto in Ihrer Microsoft 365-organization an.
2. Wechseln Sie zur Insider Risk Management-Lösung .
3. Wählen Sie in der linken Navigation Warnungen aus.
4. Wählen Sie im Dashboard Warnungen die Warnungen aus, die Sie zuweisen möchten.
5. Wählen Sie in der Befehlsleiste über der Warnungswarteschlange die Option Zuweisen aus.
6. Suchen Sie im Bereich "Besitzer zuweisen " auf der rechten Seite des Bildschirms nach einem Administrator mit den entsprechenden Berechtigungen, und aktivieren Sie dann das Kontrollkästchen für diesen Administrator.
7. Wählen Sie Zuweisen aus.

Zuweisen einer Warnung von der Detailseite "Warnungen"

Führen Sie die folgenden Schritte aus, um eine Warnung von der Seite mit den Warnungsdetails zuzuweisen:

1. Melden Sie sich beim Microsoft Purview-Portal mit den Anmeldeinformationen für ein Administratorkonto in Ihrer Microsoft 365-organization an.
2. Wechseln Sie zur Insider Risk Management-Lösung .
3. Wählen Sie in der linken Navigation Warnungen aus.
4. Wählen Sie eine Warnung aus.
5. Wählen Sie im Detailbereich für die Warnung in der oberen rechten Ecke der Seite die Option Zuweisen aus.
6. Wählen Sie in der Liste "Vorgeschlagene Kontakte " den entsprechenden Administrator aus.

Erstellen eines Falls für eine Warnung

Erstellen Sie einen Fall für eine Warnung, um potenziell riskante Aktivitäten zu untersuchen. Sie müssen Mitglied der Rollengruppe "Insider Risk Management " oder " Insider Risk Management Investigators" sein, um einen Fall erstellen zu können.

1. Melden Sie sich beim Microsoft Purview-Portal mit den Anmeldeinformationen für ein Administratorkonto in Ihrer Microsoft 365-organization an.
2. Wechseln Sie zur Insider Risk Management-Lösung .
3. Wählen Sie in der linken Navigation Warnungen aus.
4. Wählen Sie im Dashboard "Warnungen" die Warnung aus, die Sie bestätigen möchten, und erstellen Sie einen neuen Fall.
5. Wählen Sie im Bereich "Warnungsdetails" die Option "Aktionen>Warnungen bestätigen" aus, & Fall erstellen.
6. Geben Sie im Dialogfeld Warnung bestätigen und Insider-Risikofall erstellen einen Namen für den Fall ein, wählen Sie Benutzer aus, die als Mitwirkende hinzugefügt werden sollen, und fügen Sie gegebenenfalls Kommentare hinzu. Kommentare werden dem Fall automatisch als Fallnotiz hinzugefügt.
7. Um den Inhalt für den Fall herunterzuladen, wählen Sie "Fall mit Inhaltsdownload erstellen (Vorschau)" aus. Nachdem das Downloadlimit für Inhalte erreicht wurde, können Sie weiterhin Fälle erstellen, aber Sie müssen das Kontrollkästchen deaktiviert lassen. Wenn Sie beim Erstellen des Falls das Herunterladen von Inhalten nicht aktivieren, können Sie Downloads aktivieren, wenn das Ticket aktiv ist.
8. Wählen Sie Fall erstellen aus, um einen neuen Fall zu erstellen.

Nachdem Sie den Fall erstellt haben, können Ermittler und Analysten den Fall verwalten und bearbeiten. Weitere Informationen finden Sie im Fallartikel zum Insider-Risikomanagement .

Aufbewahrung und Elementlimits

Mit zunehmendem Alter der Insider-Risikomanagementwarnungen verringert sich für die meisten Unternehmen ihr Wert zur Minimierung potenziell riskanter Aktivitäten. Umgekehrt bieten aktive Fälle und zugehörige Artefakte (Warnungen, Erkenntnisse, Aktivitäten) immer einen Wert und haben kein automatisches Ablaufdatum. Diese Aufbewahrungsrichtlinie umfasst alle zukünftigen Warnungen und Artefakte in einem aktiven Status für jeden Benutzer, der einem aktiven Fall zugeordnet ist.

Um die Anzahl älterer Elemente mit begrenztem aktuellen Wert zu minimieren, gelten die folgenden Aufbewahrungs- und Grenzwerte für Insider Risk Management-Warnungen, -Fälle und -Benutzerberichte:

Bewährte Methoden für die Verwaltung Ihres Benachrichtigungsvolumens

Um Insider-Risiken in Ihrer Organization zu minimieren, überprüfen, untersuchen und reagieren Sie regelmäßig auf potenziell riskante Insider-Warnungen. Wenn Sie schnell Maßnahmen ergreifen, um diese Risiken zu reduzieren, kann Ihre Organization möglicherweise Zeit, Geld und mögliche rechtliche Konsequenzen sparen. Erfahren Sie mehr über bewährte Methoden zum Verwalten Ihrer Insider Risk Management-Warnungswarteschlange.

Verwandte Inhalte

• Bewährte Methoden für die Verwaltung Ihrer Insider Risk Management-Warnungswarteschlange
• Maßnahmen bei Insider-Risikofällen ergreifen