Microsoft Purview Information Protection から Microsoft Sentinel にデータをストリーミングする

この記事では、Microsoft Purview Information Protection (旧称 Microsoft Information Protection または MIP) からMicrosoft Sentinelにデータをストリーミングする方法について説明します。 Microsoft Purview ラベル付けクライアントとスキャナーから取り込まれたデータを使用して、データを追跡、分析、レポートし、コンプライアンスのために使用できます。

重要

Microsoft Purview Information Protection コネクタは現在プレビュー段階です。 Azureプレビュー補足条項には、ベータ版、プレビュー版、または一般公開されていないAzure機能に適用される追加の法的条件が含まれています。

概要

監査とレポートは、組織のセキュリティとコンプライアンス戦略の重要な部分です。 システム、エンドポイント、運用、規制の数が増え続けるテクノロジ環境の継続的な拡大に伴い、包括的なログ記録とレポート ソリューションを用意することがさらに重要になります。

Microsoft Purview Information Protection コネクタでは、統合ラベル付けクライアントとスキャナーから生成された監査イベントをストリーミングします。 その後、データは、Microsoft Sentinelの中央レポート用に Microsoft 365 監査ログに出力されます。

コネクタを使用すると、次のことができます。

  • ラベルの導入を追跡し、イベントを探索、クエリ、検出します。
  • ラベルが付けられて保護されているドキュメントと電子メールの監視。
  • 分類の変更を追跡しながら、ラベル付きドキュメントやメールへのユーザー アクセスを監視します。
  • ラベル、ポリシー、構成、ファイル、ドキュメントで実行されるアクティビティを可視化します。 この可視性は、セキュリティ チームがセキュリティ違反、リスクとコンプライアンス違反を特定するのに役立ちます。
  • 監査中にコネクタ データを使用して、organizationが準拠していることを証明します。

Azure Information Protection コネクタとMicrosoft Purview Information Protection コネクタ

このコネクタは、Azure Information Protection (AIP) データ コネクタを置き換えます。 Azure Information Protection (AIP) データ コネクタでは、AIP 監査ログ (パブリック プレビュー) 機能が使用されます。

重要

2023年3月31日をもって、AIPの分析および監査ログの公開プレビューは終了します。 顧客は今後、Microsoft 365監査ソリューションを活用すべきです。

詳細情報:

Microsoft Purview Information Protection コネクタを有効にすると、監査ログは標準化されたMicrosoftPurviewInformationProtection テーブルにストリームされます。 データは、構造化スキーマを使用する Office Management API を使用して収集されます。 MicrosoftPurviewInformationProtection テーブル スキーマを使用すると、AIP で使用される非推奨のスキーマが強化され、より多くのフィールドが追加され、パラメーターに簡単にアクセスできるようになります。

サポートされている 監査ログ レコードの種類とアクティビティの一覧を確認します。

前提条件

開始する前に、次のことを確認します。

コネクタを設定する

Microsoft Purview Information Protection コネクタを設定するには、次の手順に従います。

注:

Office 365の場所とは異なるリージョンにあるワークスペースにコネクタを設定すると、リージョン間でデータがストリーミングされる可能性があります。

  1. Azure portalを開き、Microsoft Sentinel サービスに移動します。

  2. [ データ コネクタ ] ブレードの検索バーに「 Purview」と入力します。

  3. Microsoft Purview Information Protection (プレビュー) コネクタを選択します。

  4. コネクタの説明の下にある [ コネクタ ページを開く] を選択します。

  5. 構成 で、接続 を選択します。

    接続が確立されると、[ 接続 ] ボタンが [切断] に変わります。 これで、Microsoft Purview Information Protectionに接続されました。

サポートされている 監査ログ レコードの種類とアクティビティの一覧を確認します。

Azure Information Protection コネクタを取り外す

短期間のテスト期間中は、Azure Information Protection コネクタと Microsoft Purview Information Protection コネクタを同時に使用することをお勧めします（両方を有効にした状態で）。 テスト期間が過ぎると、データの重複や冗長コストを回避するために、Azure Information Protection コネクタを切断することをお勧めします。

Azure Information Protection コネクタを切断するには:

  1. [データ コネクタ] ブレードの検索バーに「Azure Information Protection」と入力します。
  2. [Azure Information Protection] を選択します。
  3. コネクタの説明の下にある [ コネクタ ページを開く] を選択します。
  4. [構成] で、[Azure Information Protection ログの接続] を選択します。
  5. コネクタを切断するワークスペースの選択を解除し、[ OK] を選択します。

既知の問題と制限事項

このコネクタを使用する場合は、次の既知の問題と制限事項に注意してください。

  • Office Management API を通じて収集された秘密度ラベル イベントでは、ラベル名が設定されません。 お客様は、以下の例のように KQL で定義されているウォッチリストまたはエンリッチメントを使用できます。

  • Office Management API では、ダウングレード前後のラベルの名前を含むダウングレード ラベルは取得されません。 この情報を取得するには、各ラベルの labelId を抽出し、結果をエンリッチします。

    KQL クエリの例を次に示します。

    let labelsMap = parse_json('{'
 '"566a334c-ea55-4a20-a1f2-cef81bfaxxxx": "MyLabel1",'
 '"aa1c4270-0694-4fe6-b220-8c7904b0xxxx": "MyLabel2",'
 '"MySensitivityLabelId": "MyLabel3"'
 '}');
 MicrosoftPurviewInformationProtection
 | extend SensitivityLabelName = iff(isnotempty(SensitivityLabelId), 
tostring(labelsMap[tostring(SensitivityLabelId)]), "")
 | extend OldSensitivityLabelName = iff(isnotempty(OldSensitivityLabelId), 
tostring(labelsMap[tostring(OldSensitivityLabelId)]), "")

  • MicrosoftPurviewInformationProtection テーブルとOfficeActivity テーブルには、重複するイベントがいくつか含まれる場合があります。

KQL クエリの例で使用される関数と演算子の詳細については、Kusto のドキュメントを参照してください。

KQL の詳細については、「Kusto 照会言語 (KQL) の概要」を参照してください。

その他のリソース：

次の手順

この記事では、Microsoft Purview Information Protection コネクタを設定して、データを追跡、分析、レポートし、コンプライアンスのために使用する方法について説明しました。 Microsoft Sentinelの詳細については、次の記事を参照してください。

  • Last updated on