Cerca, rivedi e perfeziona i risultati nelle Indagini sulla sicurezza dei dati

Usare la ricerca in Indagini sulla sicurezza dei dati per trovare contenuti di Microsoft 365 come posta elettronica, documenti e conversazioni di messaggistica istantanea nell'organizzazione che siano rilevanti per un evento imprevisto di sicurezza. Usare la funzionalità di ricerca per trovare contenuto in queste origini dati di Microsoft 365 basate sul cloud:

Creare ed eseguire diverse ricerche associate a un'indagine. Utilizzare condizioni come parole chiave, tipi di file, eventi imprevisti e altro ancora per creare query di ricerca che restituiscano risultati della ricerca con i dati più rilevanti per l'indagine. È inoltre possibile:

• Visualizzare le statistiche di ricerca che consentono di perfezionare una query di ricerca per limitare i risultati.
• Visualizzare in anteprima i risultati della ricerca per verificare rapidamente se si stanno trovando i dati pertinenti.
• Rivedere una query ed eseguire di nuovo la ricerca.
• Usare la ricerca di controllo per identificare il contenuto in base alle attività degli utenti registrate nel log di controllo unificato.
• Usa la raccolta di prove sulla prevenzione della perdita dei dati degli endpoint per eseguire query sui dati acquisiti dai criteri DLP degli endpoint nei dispositivi di cui è stato eseguito l'onboarding.

Considera le attività che hanno innescato l'indagine. Ad esempio, la condivisione o la fuga di dati delle password segnalata, un file sospetto, la collaborazione con un team di sviluppo esterno o un avviso sull'esfiltrazione di dati o su persone o team specifici che potrebbero essere coinvolti. Usare queste informazioni per sviluppare la query di ricerca iniziale. Ad esempio, se un amministratore ha segnalato che le password potrebbero essere archiviate in testo normale in SharePoint, iniziare a cercare le parole chiave con le password note o i nomi di file in SharePoint e OneDrive o in siti SharePoint specifici gestiti da team di ingegneri.

Quando si è soddisfatti dei risultati di una ricerca e si è pronti per rivedere e analizzare i risultati, aggiungerli a un ambito di indagine nell'indagine. L'aggiunta di copie dei dati originali a un ambito di indagine facilita anche il processo di analisi e revisione dell'IA fornendo strumenti avanzati di categorizzazione, esame e ricerca vettoriale.

Accedere agli strumenti di ricerca

Selezionare Riepilogo dalle opzioni di spostamento nella parte superiore di qualsiasi pagina all'interno di un'indagine specifica per accedere agli strumenti di ricerca nella pagina Identifica.

La pagina Identifica è organizzata nelle schede seguenti:

• Ricerca: creare query di ricerca per identificare il contenuto pertinente per l'indagine. La scheda Cerca include tre opzioni:
  • Generatore di query: consente di cercare contenuti in base a parole chiave, tipi di file, date e altre condizioni.
  • Controllo: usare la ricerca di controllo per identificare il contenuto in base alle attività degli utenti registrate nel log di controllo unificato.
  • Endpoint DLP: usare la raccolta di prove sulla prevenzione della perdita dei dati degli endpoint per eseguire query sui dati acquisiti dai criteri di prevenzione della perdita dei dati degli endpoint nei dispositivi di cui è stato eseguito l'onboarding.
• Rivedere le stime: esaminare l'ambito e le statistiche di esempio per i risultati della ricerca per perfezionare la query prima di aggiungere risultati a un ambito di indagine.

È possibile perfezionare le origini dati e le condizioni delle query di ricerca in qualsiasi momento durante l'indagine e aggiungere i risultati a un ambito di indagine.

Origini dati

In Microsoft 365, i dati vengono archiviati su tre piattaforme: Exchange, Teams e SharePoint. Queste piattaforme fungono da struttura per l'organizzazione e la gestione dei dati all'interno delle applicazioni Microsoft 365.

La maggior parte delle app Microsoft 365 archivia i dati in uno o più dei contenitori seguenti:

• Utenti: dati associati a singoli utenti, ad esempio la posta elettronica, i messaggi 1:1 di Teams e i file di OneDrive.
• Gruppi: dati di proprietà dell'organizzazione o di un gruppo di utenti all'interno di un'organizzazione. Questi gruppi sono spesso chiamati Gruppi o Team unificati.

In Indagini sulla sicurezza dei dati, il concetto di origini dati semplifica il processo di identificazione e gestione dei dati tra le piattaforme Microsoft 365. Gli analisti selezionano un utente o un gruppo e definiscono l'ambito delle ricerche in base a tali origini dati. Gli analisti possono perfezionare l'ambito selezionando o escludendo posizioni specifiche.

Gli analisti possono anche usare origini a livello di organizzazione per eseguire ricerche all'interno dell'organizzazione. Le origini a livello di organizzazione includono:

• Tutte le persone e i gruppi: include tutti gli utenti e tutti i gruppi dell'organizzazione.
• Tutte le cartelle pubbliche: include tutto il contenuto nelle cassette postali delle cartelle pubbliche di Exchange.

Generatore di query

L'opzione Generatore di query nella scheda Cerca offre un'esperienza di filtro visivo quando si creano query di ricerca in Indagini sulla sicurezza dei dati. Dal momento che si useranno strumenti di analisi IA per identificare rapidamente i dati applicabili negli elementi restituiti dalla ricerca, una strategia consiste nell'ampliare l'ambito della ricerca per includere più origini di dati. Questo approccio consente di ridurre la possibilità di escludere qualsiasi contenuto pertinente per la revisione.

Usare il generatore di query per creare query complesse con funzionalità aggiuntive, tra cui AND, OR e il raggruppamento di condizioni. Queste funzionalità del generatore di query consentono di creare query in modo più efficace, forniscono un'interfaccia visiva per raggruppare le sottoquery e forniscono spazio aggiuntivo per la creazione e la revisione di query con parole chiave complesse.

Usare il generatore di query

Per creare una query e un filtro personalizzato per la ricerca, usare i controlli seguenti:

• AND/OR: questi operatori logici condizionali consentono di scegliere la condizione di query che si applica a filtri e sottogruppi di filtri specifici. Usare questi operatori per includere più filtri o sottogruppi connessi a un singolo filtro nella query.
• Seleziona un filtro: scegli i filtri per le origini dati specifiche e il contenuto della posizione selezionato per la raccolta.
• Aggiungi filtro: aggiungere più filtri alla query. Questa opzione diventa disponibile dopo aver definito almeno un filtro di query.
• Seleziona un operatore: a seconda del filtro selezionato, scegli tra operatori compatibili. Ad esempio, se si seleziona il filtro Data , è possibile scegliere Prima, Dopo e Tra. Se si seleziona il filtro Dimensioni (in byte), è possibile scegliere tra Maggiore di, Maggiore o uguale, Minore di, Minore o uguale, Tra e Uguale.
• Valore: a seconda del filtro selezionato, immettere valori compatibili. Alcuni filtri supportano più valori, mentre altri supportano un singolo valore specifico. Ad esempio, se si seleziona il filtro Data , immettere i valori di data. Se si seleziona il filtro Dimensioni (in byte), immettere un valore per i byte.
• Aggiungi sottogruppo: dopo aver definito un filtro, aggiungi un sottogruppo per perfezionare i risultati restituiti dal filtro. È anche possibile aggiungere un sottogruppo a un sottogruppo per perfezionare le query a più livelli.
• Rimuovere una condizione di filtro: Per rimuovere un singolo filtro o sottogruppo, selezionare l'icona di rimozione a destra di ogni linea o sottogruppo del filtro.
• Cancella tutto: per cancellare l'intera query da tutti i filtri e i sottogruppi, selezionare Cancella tutto.

Esempio di scenario

Un analista di Indagini sulla sicurezza dei dati deve creare una query per qualsiasi elemento che include la parola chiave confidential usata tra il 1° gennaio 2025 e il 16 marzo 2025*. In questo esempio, lo strumento di analisi crea la query seguente usando il generatore di query:

1. Per il primo filtro, l'analista seleziona Parola chiave, quindi seleziona l'operatore Uguale a e infine inserisce riservato nel controllo Valore .
2. Successivamente, l'analista seleziona Aggiungi sottogruppo e l'operatore AND , quindi Aggiungi filtro.
3. Lo strumento di analisi seleziona il filtro Data , l'operatore Between e le date di inizio e fine per il valore.
4. Lo analista seleziona Salva per salvare la query, quindi Esaminare l'ambito per eseguire la query di ricerca.

Esempi di query di ricerca

È possibile usare la sintassi Keyword Query Language (KeyQL) nel generatore di query per creare query di ricerca mirate per scenari di indagine comuni. Usa questi esempi come punti di partenza e modifica gli intervalli di date, i percorsi e le parole chiave in modo che corrispondano all'indagine.

Exchange Online

Cercare solo messaggi di posta elettronica

Per cercare nelle cassette postali solo i messaggi di posta elettronica ed escludere altri elementi, ad esempio inviti al calendario, attività ed elementi attività, usare la Kind proprietà. In questo esempio vengono restituiti messaggi di posta elettronica inviati dopo una data specifica.

Origini dati: Tutti gli utenti e i gruppi

(Kind=email) AND (Date>2025-01-01)

Microsoft Teams

Cercare tutto il contenuto di Teams

Per cercare tutti i contenuti di Teams, inclusi i messaggi di chat, i post dei canali, le voci delle riunioni e le chiamate, usare il Kind=microsoftTeams filtro.

Origini dati: Tutti gli utenti e i gruppi

(Kind=microsoftTeams) AND (Date>2025-01-01)

Cercare solo messaggi di chat

Per restringere la ricerca ai soli messaggi di chat di Teams ed escludere riunioni e post del canale, usare Kind=IM.

Origini dati: Tutti gli utenti e i gruppi

(Kind=IM)

SharePoint Online

Eseguire ricerche in un sito di SharePoint specifico

Per eseguire ricerche in tutto il contenuto in un sito SharePoint specifico, usare la Path proprietà.

(Path="https://contoso.sharepoint.com/sites/ProjectAlpha")

Cercare in un sito ed escludere contenuti generati dal sistema

Per eseguire ricerche in un sito di SharePoint per i documenti creati dopo una data specificata escludendo il contenuto generato dal sistema, usare la proprietà con l'operatore Author NOT (-).

((Date>2025-01-01) AND (Path="https://contoso.sharepoint.com/sites/EngineeringTeam/Shared Documents") AND ((-Author="System Account") AND (-Author="SHAREPOINT\System")))

Cercare nomi di file specifici in più siti

Per cercare file con nomi che iniziano con un termine specifico in più siti di SharePoint, usare l'operatore per combinare i OR percorsi e la filename proprietà per filtrare in base al nome.

(((Path="https://contoso.sharepoint.com/sites/ProjectAlpha") OR (Path="https://contoso.sharepoint.com/sites/ProjectBeta")) AND (filename="proposal*"))

Cercare file specifici

Per cercare i file noti in base al percorso completo, usare la proprietà e l'operatore IdentifierOR per combinare più percorsi di file.

((Identifier="https://contoso.sharepoint.com/sites/EngineeringTeam/Docs/SecurityReport.docx") OR (Identifier="https://contoso.sharepoint.com/sites/EngineeringTeam/Docs/IncidentLog.xlsx"))

Microsoft Copilot

Cerca richieste e risposte di Copilot

Le interazioni con Copilot vengono archiviate nelle cassette postali di Exchange Online degli utenti. Per cercare richieste e risposte di Copilot dopo una data specificata, utilizzare la ItemClass proprietà con il valore della classe di elementi Copilot.

Origini dati: Tutti gli utenti e i gruppi

(ItemClass=IPM.SkypeTeams.Message.Copilot.*) AND (Date>2025-01-01)

Per altre informazioni sulle classi di elementi di Copilot e sulla ricerca di dati di Copilot, vedere Cercare ed eliminare dati di Copilot e altri dati di intelligenza artificiale in eDiscovery.

Controlla ricerca

Usare la ricerca di controllo in Indagini sulla sicurezza dei dati per identificare e raccogliere contenuti in base alle attività degli utenti registrate nel log di controllo unificato di Microsoft Purview. Mentre il generatore di query cerca direttamente nel contenuto di Microsoft 365, la ricerca di controllo esegue una query nel log di controllo unificato per individuare attività utente specifiche, come l'accesso, la copia o il download di file, ed esegue il pull del contenuto associato nell'indagine. È anche possibile filtrare i risultati della ricerca di controllo in base a parole chiave, utenti specifici e percorsi di file o siti.

Scenario di esempio: esfiltrazione dei dati dei dipendenti in partenza

Un team di sicurezza riceve un avviso che indica che un dipendente in partenza potrebbe aver esfiltrato file sensibili prima del suo ultimo giorno. Usando la ricerca di controllo, l'investigatore esegue una query per le attività di posta elettronica scaricata e file inviati con ambito a quell'utente nelle ultime due settimane. Indagini sulla sicurezza dei dati inserisce il contenuto associato direttamente nell'ambito dell'indagine, senza necessità di ricerca manuale dei file, in modo che il team possa valutare rapidamente a quali dati è stato eseguito l'accesso e se sono stati condivisi esternamente.

Introduzione alla ricerca di controllo

Quando si crea una ricerca di controllo, Indagini sulla sicurezza dei dati esegue una query nel log di controllo unificato per le attività specificate e aggiunge il contenuto associato direttamente all'ambito di indagine. La ricerca di controllo utilizza le autorizzazioni e i requisiti di controllo degli accessi in base ai ruoli del log di controllo unificato.

La ricerca di controllo richiede che l'organizzazione sia configurata per il log di controllo e la ricerca di controllo. Per altre informazioni sui requisiti del log di controllo, vedere Eseguire ricerche nel log di controllo.

Attività supportate

La ricerca di controllo supporta un set curato di attività associate al contenuto dal log di controllo unificato. È possibile controllare solo le attività di ricerca associate a elementi di contenuto identificabili, come file e messaggi di posta elettronica. La ricerca di controllo non supporta le attività non associate a contenuti specifici, come l'accesso a una soluzione.

Per la ricerca di controllo sono supportate le attività seguenti:

Creare una ricerca di controllo

Per creare una ricerca di controllo e aggiungere il contenuto associato all'ambito di indagine, completare i passaggi seguenti:

1. Andare a Indagini sulla sicurezza dei dati nel portale Microsoft Purview e aprire un'indagine.

2. Selezionare Riepilogo dalle opzioni di spostamento nella parte superiore della pagina.

3. Nella scheda Cerca selezionare Controlla.

4. Configurare i parametri di ricerca:

   • Intervallo di data e ora (UTC) (obbligatorio): specificare una data e un'ora di inizio e fine per la ricerca attività.
   • Attività - Nomi descrittivi: seleziona una o più attività supportate in base al nome visualizzato dall'elenco delle attività.
   • Attività - Nomi operazioni: selezionare una o più attività supportate in base al nome dell'operazione.
   • Utenti: selezionare gli utenti per cercare le attività eseguite da utenti specifici.
   • ObjectID (file, cartella o sito): immetti un file, una cartella o un percorso del sito per restringere la ricerca alle attività associate a un percorso specifico.
   • Ricerca per parola chiave: immettere le parole chiave da cercare nelle voci del log di controllo.

5. Selezionare Cerca per eseguire la query di controllo. Indagini sulla sicurezza dei dati interroga il log di controllo unificato e visualizza i risultati nella sezione dei risultati nella parte inferiore della pagina Audit. Esaminare i risultati per verificare che la query restituisca i dati previsti. Per eliminare la ricerca senza aggiungere risultati, selezionare Annulla.

6. Selezionare Aggiungi all'ambito per aggiungere il contenuto associato ai risultati della ricerca all'ambito dell'indagine.

Dopo aver aggiunto l'ambito, le Indagini sulla sicurezza dei dati iniziano a elaborare i risultati. È possibile monitorare lo stato dei processi di ricerca di controllo nella pagina Attività per l'indagine. Le ricerche di controllo inviate in precedenza sono elencate anche nella cronologia delle ricerche di controllo nella parte inferiore della pagina di controllo.

Controllare i processi di ricerca e la suddivisione in blocchi delle query

La ricerca di controllo usa la suddivisione in blocchi delle query per elaborare i risultati. Questo metodo crea più processi per inserire i dati nell'ambito di indagine. Quando si invia una ricerca di controllo, nella pagina Attività vengono visualizzati i processi seguenti:

• Un processo di ricerca di controllo: il processo principale che esegue una query nel log di controllo unificato per le attività specificate.
• Più processi di aggiunta all'ambito: processi aggiuntivi che elaborano e aggiungono il contenuto associato all'ambito di indagine. Il numero di processi di aggiunta all'ambito dipende dal volume di dati restituiti dalla ricerca.

Dopo il completamento di tutti i lavori, il sistema vettorializza automaticamente i dati per l'analisi dell'intelligenza artificiale. È possibile continuare ad analizzare i dati dopo il completamento dell'aggiunta all'ambito .

Ricerca di controllo e log di controllo unificato

Le ricerche di controllo create in Indagini sulla sicurezza dei dati vengono visualizzate anche nella cronologia di ricerca del log di controllo unificato di Microsoft Purview. Questo comportamento è previsto perché Indagini sulla sicurezza dei dati esegue una query direttamente sul log di controllo unificato come origine dati per le ricerche di controllo.

Raccolta di prove sulla prevenzione della perdita dei dati degli endpoint

È possibile usare la raccolta di prove sulla prevenzione della perdita dei dati degli endpoint nelle Indagini sulla sicurezza dei dati per eseguire query sui dati acquisiti dai criteri di prevenzione della perdita dei dati degli endpoint nei dispositivi di cui è stato eseguito l'onboarding e aggiungere il contenuto associato all'ambito dell'indagine. Invece di valutare gli avvisi DLP dei singoli endpoint uno per uno, gli investigatori possono aggregare gli eventi degli endpoint e analizzarli collettivamente utilizzando gli strumenti di intelligenza artificiale di Indagini sulla sicurezza dei dati.

Endpoint DLP Raccolta prove interroga i dati archiviati dalla funzionalità Raccolta prove per le attività di file nei dispositivi . Questi dati includono i file che corrispondono ai criteri di prevenzione della perdita dei dati degli endpoint quando gli utenti hanno tentato attività come la copia su USB, la stampa, il caricamento su servizi cloud o l'accesso a file con app non autorizzate.

Prerequisiti

Prima di poter usare la raccolta di prove della prevenzione della perdita dei dati degli endpoint nelle Indagini sulla sicurezza dei dati, assicurarsi che siano soddisfatti i requisiti seguenti:

• I dispositivi vengono caricati su Microsoft Purview.
• Un criterio di prevenzione della perdita dei dati degli endpoint è configurato e attivo nell'organizzazione.
• Il criterio DLP dell'endpoint dispone di una raccolta di prove per le attività file nei dispositivi abilitata con l'opzione Raccogli file originali come prova per tutte le attività file selezionate nell'endpoint selezionata.
• L'archiviazione gestita da Microsoft è configurata per la raccolta di prove.

Considerazioni chiave

Tenere presenti le considerazioni seguenti quando si usa la raccolta di prove sulla prevenzione della perdita dei dati degli endpoint nelle Indagini sulla sicurezza dei dati:

• La disponibilità dei dati dipende dalla conservazione della raccolta delle prove: se i dati della raccolta delle prove della prevenzione della perdita dei dati degli endpoint non sono più disponibili nell'archivio delle evidenze a causa della scadenza della conservazione, le Indagini sulla sicurezza dei dati non possono eseguire query. La stessa query eseguita in momenti diversi potrebbe produrre risultati diversi in base allo stato corrente dell'archivio evidenze.
• I dati non sono immutabili prima dell'inserimento: Endpoint DLP Raccolta delle prove I dati possono cambiare nell'archivio delle prove prima di aggiungerli all'ambito di indagine. Dopo aver aggiunto elementi all'ambito, i dati sono statici all'interno dell'indagine.
• Solo contenuto del file: le indagini sulla sicurezza dei dati inseriscono il contenuto del file associato agli eventi DLP degli endpoint. Alcuni metadati contestuali della prevenzione della perdita dei dati degli endpoint, ad esempio i dettagli del dispositivo per evento, non vengono mantenuti nell'ambito di indagine. Per un contesto dettagliato per evento, usa il dashboard Avvisi DLP o Esplora attività.
• Latenza disponibilità dati: i dati della raccolta di prove potrebbero non essere visualizzati immediatamente dopo una corrispondenza dei criteri. La disponibilità dipende dalla connettività del dispositivo e dai tempi di caricamento.
• Solo DLP degli endpoint: questa funzionalità esegue query sui dati solo dai criteri DLP degli endpoint. Gli scenari DLP del browser, DLP di rete e DLP non degli endpoint non sono supportati per questa opzione di ricerca.

Creare una ricerca di prevenzione della perdita dei dati degli endpoint

Per eseguire una query sui dati della raccolta di prove della prevenzione della perdita dei dati degli endpoint e aggiungere il contenuto associato all'ambito di indagine, completare i passaggi seguenti:

1. Andare a Indagini sulla sicurezza dei dati nel portale Microsoft Purview e aprire un'indagine.

2. Selezionare Riepilogo dalle opzioni di spostamento nella parte superiore della pagina.

3. Nella scheda Cerca selezionare Endpoint DLP.

4. Configurare i parametri di ricerca:

   • Intervallo di date (obbligatorio): Specifica una data di inizio e di fine per gli eventi DLP dell'endpoint da query.
   • Utenti (facoltativo): selezionare uno o più utenti per restringere la ricerca agli eventi DLP dell'endpoint per utenti specifici. Se non si seleziona alcun utente, la ricerca restituisce i risultati per tutti gli utenti dell'organizzazione.

5. Selezionare Cerca per eseguire la query. Indagini sulla sicurezza dei dati interroga i dati di raccolta delle prove della prevenzione della perdita dei dati degli endpoint e visualizza i risultati.

6. Esaminare la stima pre-inserimento, che include un riepilogo di avvisi, utenti, azioni e criteri corrispondenti.

7. Selezionare Aggiungi all'ambito per aggiungere il contenuto associato ai risultati della ricerca all'ambito dell'indagine.

Dopo aver aggiunto elementi all'ambito, le Indagini sulla sicurezza dei dati iniziano a elaborare i risultati. È possibile monitorare lo stato di avanzamento nella pagina Attività per l'indagine.

Lavorare con risultati di ricerca di controllo di grandi dimensioni

Quando un'indagine coinvolge un volume elevato di attività degli utenti, le ricerche di controllo potrebbero superare il limite di circa 3.000 elementi. Per lavorare con set di risultati di grandi dimensioni, utilizzare la soluzione Audit per analizzare l'intero ambito dei risultati. Quindi, suddividere i dati in sezioni temporali più piccole che rientrano nel limite di ricerca di controllo delle Indagini sulla sicurezza dei dati.

Analizzare i risultati del controllo al di fuori di Indagini sulla sicurezza dei dati

La soluzione di controllo non ha lo stesso limite di elementi per ricerca della ricerca di controllo delle Indagini sulla sicurezza dei dati. Usare la soluzione di controllo per eseguire prima la query completa e determinare il volume totale dei risultati prima di suddividerla in ricerche più piccole.

Per analizzare i risultati del controllo, completare i passaggi seguenti:

1. Passare a Audit nel portale di Microsoft Purview.

2. Configurare gli stessi parametri di ricerca che si prevede di usare nelle Indagini sulla sicurezza dei dati:

   • Intervallo di data e ora: specificare l'intervallo di data e ora completo per l'indagine.
   • Attività: seleziona le stesse attività necessarie per l'indagine.
   • Utenti: specificare gli stessi utenti in cui si prevede di eseguire la ricerca.

3. Eseguire la ricerca ed esportare i risultati in un file CSV.

Identificare gli intervalli di tempo per le ricerche di controllo

Dopo aver esportato i risultati del controllo, usare i dati CSV per identificare i periodi di tempo contenenti ciascuno meno di 3.000 elementi. Questi periodi di tempo diventano le singole ricerche di controllo eseguite nelle Indagini sulla sicurezza dei dati.

Per identificare gli intervalli di tempo, completare i passaggi seguenti:

1. Aprire il file CSV esportato in Microsoft Excel.

2. Aggiungi colonne ausiliarie per suddividere il timestamp in componenti per il CreationDate raggruppamento:

   Nome colonna	Formula	Descrizione
   Data	=LEFT(B2,10)	Estrae la parte relativa alla data (AAAA-MM-GG).
   Ora	=MID(B2,12,2)	Estrae l'ora (HH).
   Day-Hour	=I2&" "&J2&":00"	Combina data e ora per il raggruppamento orario.
   Giorno-Ora-Minuto	=I2&" "&J2&":"&MID(B2,15,2)	Combina data, ora e minuti per un raggruppamento più preciso.

   Nota

   Sostituire B2 con il riferimento di colonna per CreationDate nell'esportazione e I2/J2 con i riferimenti di colonna per le colonne helper Data e Ora. Modificare i riferimenti di colonna in base al formato di esportazione.

3. Creare una tabella pivot per contare i record in base all'utente e al periodo di tempo:

   • Imposta Righe sulla colonna utente e sulla colonna helper giorno-ora.
   • Impostare i valori per il conteggio dei record.
   • Identificare i gruppi di tempo che contengono meno di 3.000 elementi.

4. Per i gruppi temporali che superano circa 3.000 elementi, applicare un raggruppamento più fine:

   • Suddividi i gruppi orari in sezioni a livello di minuto utilizzando la colonna Giorno-Ora-Minuti .
   • Facoltativamente, dividi per tipo di attività se un singolo periodo di tempo supera ancora il limite.

Eseguire ricerche di controllo suddivise in Indagini sulla sicurezza dei dati

Dopo aver identificato gli intervalli di tempo, esegui ricerche di controllo separate in Indagini sulla sicurezza dei dati per ogni sezione e aggiungi tutti i risultati allo stesso ambito di indagine.

Per eseguire ricerche di controllo suddivise, completare i passaggi seguenti:

1. Andare a Indagini sulla sicurezza dei dati nel portale Microsoft Purview e aprire un'indagine.

2. Selezionare Riepilogo dalle opzioni di spostamento nella parte superiore della pagina.

3. Nella scheda Cerca selezionare Controlla.

4. Configurare i parametri di ricerca per la prima fetta di tempo:

   • Intervallo di data e ora (UTC): immettere l'ora di inizio e di fine della sezione.
   • Attività: selezionare le stesse attività della query originale.
   • Utenti: selezionare gli stessi utenti della query originale.

5. Selezionare Cerca per eseguire la query di controllo.

6. Selezionare Aggiungi all'ambito per aggiungere i risultati all'ambito dell'indagine.

7. Ripetere l'operazione per ogni intervallo di tempo rimanente finché tutti i dati non vengono inseriti nell'indagine.

Dashboard dell'ambito

Nella scheda Revisione stime vengono visualizzate statistiche e metriche per i risultati dei dati inclusi nella query di ricerca. Questa visualizzazione consente di determinare se i risultati della query di ricerca sono pronti per l'aggiunta all'ambito dell'indagine o se è necessario perfezionare la query per ottenere risultati più ampi o più limitati.

I risultati della ricerca per la dashboard Ambito sono inclusi nelle sezioni seguenti:

• Riepilogo: mostra il numero di risultati della ricerca, i percorsi, le origini dati e le dimensioni totali del file degli elementi parzialmente indicizzati.

  • Corrispondenze totali: visualizza il numero totale di risultati e il volume di ricerca di tutti gli elementi che corrispondono ai criteri di query delle posizioni cercate.
  • Posizioni: visualizza la frazione di posizioni con risultati su tutte le posizioni cercate. Il numeratore mostra le posizioni con i risultati e il denominatore mostra il numero di posizioni cercate. Le posizioni con errori vengono visualizzate in rosso. Per visualizzare i dettagli completi su tutte le posizioni e gli hit e gli errori associati, seleziona Scarica report per scaricare il report .csv completo.
  • Origini dati: visualizza la frazione di origini dati con risultati su tutte le origini dati cercate. Il numeratore mostra le origini dati con i risultati e il denominatore mostra il numero di origini dati incluse nella ricerca. Questa origine dati è coerente con l'origine dati nel flusso di progettazione della ricerca e deve corrispondere al numero di persone o gruppi inclusi nella ricerca. Un'origine dati a livello di tenant Tutti gli utenti e Tutti i gruppi conta come un'unica origine dati.
  • Elementi parzialmente indicizzati o "Risultati di elementi indicizzati avanzati": visualizza il conteggio e il volume di elementi parzialmente e non indicizzati restituiti come parte della ricerca. Il numero di hit indicizzato avanzato proviene da un campione statistico sugli elementi parzialmente indicizzati, i hit effettivi potrebbero essere maggiori e puoi confermarli usando le azioni Aggiungi a un set di revisione ed Esporta i risultati della ricerca .
  • Origini dati principali: visualizza le prime cinque origini dati che costituiscono il maggior numero di risultati di ricerca corrispondenti alla query. I nomi di queste origini dati (nomi di utenti, gruppi o posizioni a livello di organizzazione) sono elencati con il numero di risultati. Queste origini dati devono corrispondere a quanto selezionato nel flusso di lavoro delle origini dati durante la creazione della query di ricerca.
  • Stato indicizzazione: suddivisione degli elementi di dati non indicizzati (inclusi quelli parzialmente indicizzati) e completamente indicizzati.
  • Tipo di posizione principale: numero di visite per tipo di posizione (cassetta postale o sito).

Seleziona Rigenera vista per eseguire nuovamente la query ed esaminare i risultati più recenti. Selezionare Scarica report per combinare tutti i risultati dell'ambito in un unico file .csv. Quando si visualizzano i primi 100 risultati per qualsiasi area di tendenza, selezionare Scarica report per un file .csv dei primi 100 risultati della tendenza di successo selezionata.

Dashboard di esempi

I campioni consentono di esaminare un sottoinsieme rappresentativo di singoli elementi e i dettagli per ogni elemento restituito per la ricerca. Il numero di campioni per posizione e il numero di posizioni campione definite nella ricerca determinano il numero di elementi campione e la rappresentazione della posizione negli elementi campione.

I risultati della ricerca per le colonne del dashboard Esempi contengono le informazioni seguenti per ogni elemento:

• Oggetto/titolo: l'oggetto o il titolo degli articoli inclusi nel campione.
• Data: la data in cui l'elemento è stato creato o inviato.
• Mittente/autore: il mittente o l'autore dell'elemento.

Selezionare un elemento di esempio per visualizzare le informazioni sull'origine per l'elemento. Se disponibile per l'elemento, questa visualizzazione mostra una visualizzazione dettagliata di un elemento selezionato in modo da poter valutare la pertinenza dell'elemento in relazione all'origine dati e alle condizioni di ricerca definite.

Selezionare Scarica report per combinare tutti i risultati dell'esempio in un unico file .csv. Selezionate Impostazioni di visualizzazione per visualizzare le impostazioni applicate alla generazione della vista di esempio.