インサイダー リスク管理のデータ リスク グラフ

イン サイダー リスク管理 のデータ リスク グラフは、資産とアクティビティ データを 1 つのビューに結合した視覚的な調査エクスペリエンスを提供します。 Microsoft Sentinel 統合を利用し、過去 30 日間の潜在的な内部関係者によるアラート関連のアクティビティを要約し、隠れたコンテキストの接続を明らかにすることでアナリストがアラートをトリアージできるようにします。

Microsoft Sentinel の統合の詳細については、「Microsoft Purview での Microsoft Sentinel の詳細」を参照してください。

データ リスク グラフでサポートされているアクティビティ

データ リスク グラフは現在、次の流出アクティビティをサポートしています。

• SharePoint または OneDrive で作成された匿名リンク
• SharePoint または OneDrive 経由で使用される匿名リンク
• SharePoint または OneDrive で作成された会社のリンク
• SharePoint および OneDrive からのファイルのダウンロード
• SharePoint と OneDrive で Files の名前が変更されました

流出検出インジケーターの詳細については、「 インサイダー リスク管理でポリシー インジケーターを構成する」を参照してください。

開始する前に

インサイダー リスク管理でデータ リスク グラフを使用するには、次の手順を実行します。

• organization の Microsoft Sentinel での従量課金について説明します。
• Microsoft Sentinel データ レイクと Microsoft Sentinel Graph の前提条件を構成する
• Microsoft Sentinel データ レイクと Microsoft Sentinel Graph へのオンボード時に行われた変更を確認する
• サポートされているデータ流出アクティビティについて、少なくとも 1 つのイン サイダー リスク管理ポリシー を構成します。

データ リスク グラフを構成する

前提条件を完了し、Microsoft Sentinel データ レイクとグラフがorganizationに加えるオンボード変更を理解したら、次の手順を実行してインサイダー リスク管理でデータ リスク グラフを構成します。

1. グローバル管理者ロールまたはセキュリティ管理者ロールが割り当てられたアカウントで、Microsoft Purview ポータルに移動します。

2. インサイダー リスク管理ソリューション カードを選択し、左側のナビゲーションで [推奨アクション] を選択します。

3. [ 包括的な保護] セクションで、 [ データ レイクとデータ リスク グラフの設定] を選択します。

   データ レイクを設定するための適切なアクセス許可がない場合は、organization 内のグローバル管理者または課金管理者に連絡する通知が表示されます。

4. データ レイク & リスク グラフの設定の [設定] タブで、次の設定を構成します。

   1. [Subscription]: 使用する Azure サブスクリプションを入力します。 選択したサブスクリプションが有効でアクセス可能であり、サブスクリプション所有者である必要があります。
   2. リソース グループ: 使用するリソース グループを入力します。 選択したリソース グループは有効でアクセスできる必要があります。

   重要

   特定の Azure サブスクリプションとリソース グループ用にデータ レイクをプロビジョニングした後は、別のサブスクリプションまたはリソース グループに移行することはできません。

5. [セットアップ] を選択します。

データ レイクとデータ リスク グラフのセットアップ プロセスが開始され、オンボードが完了するまでに最大 60 分かかる場合があります。 プロセスの実行中は、セットアップ パネルを閉じることができます。 オンボード プロセスが完了すると、データ レイク & リスク グラフの設定に [完了] が表示されます。 データ リスク グラフには、Microsoft Sentinel データ レイクの作成またはオンボード後に発生したイベントが表示されます。

調査のためのデータとデータ リスク グラフの可用性の初期処理には、24 〜 48 時間かかる場合があります。

データ リスク グラフを使用する

インサイダー リスク管理のデータ リスク グラフは、影響を受けるデータ、ユーザー、およびそのアクティビティ間の相関関係を一意に視覚化します。 軽減策と次のステップをガイドするための重要なコンテキストを提供します。 たとえば、機密性の高いドキュメントに関連するアラートを発見すると、データ リスク グラフを使用すると、どのユーザーがそれをダウンロードしたか、またはorganizationのセキュリティ シグナルによって危険としてフラグが付けられた IP アドレスからアクセスしたかどうかを可視化できます。 この可視性により、追加のユーザーやアラートに関連する新しいコンテンツなど、データ セキュリティ インシデントへの新しいノードを発見できます。

アラートのデータ リスク グラフを表示するには、 インサイダー リスク管理グラフ閲覧者 ロールが割り当てられている必要があります。 この役割は、既定で、いくつかのインサイダー リスク管理組み込み役割グループに含まれています。 詳細については、「 インサイダー リスク管理のアクセス許可の割り当て」を参照してください。

インサイダー リスク管理でデータ リスク グラフを使用するには、次の手順を実行します。

1. インサイダー リスク管理グラフ閲覧者ロールが割り当てられたアカウントで、Microsoft Purview ポータルに移動します。
2. インサイダー リスク管理ソリューション カードを選択し、左側のナビゲーションで [アラート] を選択します。
3. 確認するアラートを選択し、[ データ リスク グラフ ] タブを選択します。
4. トリアージ中の各接続の詳細については、必要に応じて時間をフィルター処理し、個々のデータ リスク グラフ ノードを選択します。
5. ユーザーまたはアセットの + アイコンを選択して、グラフ内のリレーションシップを展開します。

データ リスク グラフには、いくつかのノードが含まれています。 ノードを選択すると、ノードに関する詳細が表示されます。

• ユーザーの詳細: アラートに関連付けられているユーザーに関する情報を表示します。 この情報には、ユーザー プリンシパル名 (UPN)、ラベル、場所、役職など、各ユーザーのorganization情報が含まれます。
• データの詳細: ファイルとサイトに関する情報を表示します。 この情報には、オブジェクトの場所、タイプ、ラベルなどが含まれます。

過去 30 日間のアクティビティに基づいて、ユーザーのデータ リスク グラフ情報を表示できます。 この固定期間は延長できません。