Trasmettere in streaming i dati da Microsoft Purview Information Protection a Microsoft Sentinel

Questo articolo descrive come trasmettere dati da Microsoft Purview Information Protection (in precedenza Microsoft Information Protection o MIP) a Microsoft Sentinel. È possibile usare i dati inseriti dai client e dagli scanner di etichettatura di Microsoft Purview per tenere traccia, analizzare, creare report sui dati e usarli a scopo di conformità.

Panoramica

Il controllo e la creazione di report sono una parte importante della strategia di sicurezza e conformità delle organizzazioni. Con la continua espansione del panorama tecnologico che ha un numero sempre crescente di sistemi, endpoint, operazioni e normative, diventa ancora più importante avere una soluzione completa di registrazione e creazione di report.

Con il connettore Microsoft Purview Information Protection, è possibile trasmettere in streaming gli eventi di controllo generati da client e scanner di etichettatura unificata. I dati vengono quindi emessi nel log di controllo di Microsoft 365 per la creazione di report centralizzati in Microsoft Sentinel.

Con il connettore è possibile:

• Tenere traccia dell'adozione di etichette, esplorare, eseguire query e rilevare eventi.
• Monitorare documenti e messaggi di posta elettronica protetti ed etichettati.
• Monitorare l'accesso degli utenti a documenti e messaggi di posta elettronica etichettati, tenendo traccia delle modifiche di classificazione.
• Ottenere visibilità sulle attività eseguite su etichette, criteri, configurazioni, file e documenti. Questa visibilità consente ai team di sicurezza di identificare le violazioni della sicurezza e le violazioni dei rischi e della conformità.
• Usare i dati del connettore durante un controllo per dimostrare che l'organizzazione è conforme.

Connettore Azure Information Protection vs. connettore Microsoft Purview Information Protection

Questo connettore sostituisce il connettore dati Azure Information Protection (AIP). Il connettore di dati Azure Information Protection (AIP) utilizza la funzionalità dei log di controllo di AIP (anteprima pubblica).

Quando si abilita il connettore Microsoft Purview Information Protection, i log di controllo vengono trasmessi nella tabella standardizzataMicrosoftPurviewInformationProtection. I dati vengono raccolti tramite l'API di gestione di Office, che usa uno schema strutturato. Lo MicrosoftPurviewInformationProtection schema della tabella migliora lo schema deprecato usato da AIP, con più campi e un accesso più semplice ai parametri.

Esamina l'elenco di tipi di record e attività del log di controllo supportati.

Prerequisiti

Prima di iniziare, verificare di avere:

• Soluzione Microsoft Sentinel abilitata.
• Area di lavoro Microsoft Sentinel definita.
• Una licenza valida per M365 E3, M365 A3, Microsoft Business Basic o qualsiasi altra licenza idonea per Audit. Altre informazioni sulle soluzioni di controllo in Microsoft Purview.
• Etichette di riservatezza per Office abilitate e controllo abilitato.
• Il ruolo di amministratore della sicurezza nel tenant o autorizzazioni equivalenti.

Configurare il connettore

Per configurare il connettore Microsoft Purview Information Protection, seguire questa procedura.

1. Aprire il portale di Azure e passare al servizio Microsoft Sentinel.

2. Nel pannello Connettori dati, nella barra di ricerca, digitare Purview.

3. Selezionare il connettore Microsoft Purview Information Protection (anteprima).

4. Sotto la descrizione del connettore selezionare Apri pagina connettore.

5. In Configurazione selezionare Connetti.

   Quando viene stabilita una connessione, il pulsante Connetti diventa Disconnetti. A questo momento si è connessi al Microsoft Purview Information Protection.

Esamina l'elenco di tipi di record e attività del log di controllo supportati.

Disconnettere il connettore Azure Information Protection

È consigliabile usare il connettore Azure Information Protection e il connettore Microsoft Purview Information Protection contemporaneamente (entrambi abilitati) per un breve periodo di test. Dopo il periodo di test, è consigliabile disconnettere il connettore Azure Information Protection per evitare la duplicazione dei dati e i costi ridondanti.

Per disconnettere il connettore Azure Information Protection:

1. Nella barra di ricerca del pannello Connettori dati digitare Azure Information Protection.
2. Selezionare Azure Information Protection.
3. Sotto la descrizione del connettore selezionare Apri pagina connettore.
4. In Configurazione selezionare Connetti Azure Information Protection log.
5. Deselezionare la selezione per l'area di lavoro da cui si vuole disconnettere il connettore e selezionare OK.

Problemi noti e limitazioni

Tenere presenti i problemi noti e le limitazioni seguenti quando si usa questo connettore:

• Gli eventi delle etichette di riservatezza raccolti tramite l'API di gestione di Office non popolano i nomi delle etichette. I clienti possono usare watchlist o arricchimenti definiti in KQL, come nell'esempio seguente.

• L'API di Office Management non recupera un'etichetta di downgrade contenente i nomi delle etichette prima e dopo il downgrade. Per recuperare queste informazioni, estrai il labelId di ogni etichetta e arricchisci i risultati.

  Ecco un esempio di query KQL:

  let labelsMap = parse_json('{'
   '"566a334c-ea55-4a20-a1f2-cef81bfaxxxx": "MyLabel1",'
   '"aa1c4270-0694-4fe6-b220-8c7904b0xxxx": "MyLabel2",'
   '"MySensitivityLabelId": "MyLabel3"'
   '}');
   MicrosoftPurviewInformationProtection
   | extend SensitivityLabelName = iff(isnotempty(SensitivityLabelId), 
  tostring(labelsMap[tostring(SensitivityLabelId)]), "")
   | extend OldSensitivityLabelName = iff(isnotempty(OldSensitivityLabelId), 
  tostring(labelsMap[tostring(OldSensitivityLabelId)]), "")
  

• La MicrosoftPurviewInformationProtection tabella e la OfficeActivity tabella potrebbero includere alcuni eventi duplicati.

Per altre informazioni, vedere la documentazione di Kusto per le funzioni e gli operatori usati nell'esempio di query KQL:

• let istruzione
• operatore extend
• funzione parse_json()
• Funzione iff()
• funzione tostring()

Per altre informazioni su KQL, vedi panoramica di Kusto Query Language (KQL).

Altre risorse:

• Guida rapida a KQL
• Risorse di apprendimento per il linguaggio di query Kusto

Passaggi successivi

In questo articolo si è appreso come configurare il connettore Microsoft Purview Information Protection per tenere traccia, analizzare, creare report sui dati e usarli a scopo di conformità. Per altre informazioni su Microsoft Sentinel, vedere gli articoli seguenti:

• Informazioni su come ottenere visibilità sui dati e sulle potenziali minacce.
• Introduzione al rilevamento delle minacce con Microsoft Sentinel.
• Usare le cartelle di lavoro per monitorare i dati.