Gráfico de risco de dados no Gerenciamento de Risco Interno

Os gráficos de risco de dados no Insider Risk Management fornecem uma experiência de investigação visual que combina dados de ativos e atividades em uma única exibição. Alimentado pela integração do Microsoft Sentinel, ele resume a atividade relacionada ao alerta por um potencial insider nos últimos 30 dias, ajudando os analistas a fazer a triagem de alertas, revelando conexões contextuais ocultas.

Para obter mais informações sobre a integração do Microsoft Sentinel, consulte Saiba mais sobre o Microsoft Sentinel no Microsoft Purview.

Atividades suportadas no gráfico de risco de dados

O gráfico de risco de dados atualmente suporta as seguintes atividades de exfiltração:

• Links anônimos criados no SharePoint ou OneDrive
• Links anônimos usados por meio do SharePoint ou do OneDrive
• Links da empresa criados no SharePoint ou OneDrive
• Downloads de arquivos do SharePoint e do OneDrive
• Files renomeados no SharePoint e OneDrive

Para obter mais informações sobre indicadores de detecção de exfiltração, consulte Configurar indicadores de política no Gerenciamento de Risco Interno.

Antes de começar

Antes de usar gráficos de risco de dados no Gerenciamento de Risco Interno, conclua as seguintes etapas:

• Saiba mais sobre a cobrança paga conforme o uso no Microsoft Sentinel para sua organização.
• Configurar os pré-requisitos para o data lake do Microsoft Sentinel e o graph do Microsoft Sentinel
• Examine as alterações feitas durante a integração ao data lake do Microsoft Sentinel e ao gráfico do Microsoft Sentinel
• Configure pelo menos uma política de gerenciamento de risco interno para atividades de exfiltração de dados com suporte.

Configurar gráfico de risco de dados

Depois de concluir os pré-requisitos e entender as alterações de integração que o data lake e gráfico do Microsoft Sentinel fazem em sua organização, conclua as seguintes etapas para configurar o gráfico de risco de dados no Gerenciamento de Risco Interno:

1. Acesse o portal do Microsoft Purview com uma conta atribuída à função de Administrador Global ou Administrador de Segurança.

2. Selecione o card de solução de Gerenciamento de Risco Interno e selecione Ações recomendadas no painel de administração à esquerda.

3. Na seção Proteção abrangente , selecione Configurar data lake e gráfico de risco de dados.

   Se você não tiver as permissões corretas para configurar o data lake, será exibida uma notificação para entrar em contato com um administrador global ou de cobrança em sua organização.

4. Na guia Configuração em Configurar o gráfico de risco do & do data lake, defina as seguintes configurações:

   1. Assinatura: insira a assinatura do Azure que você deseja usar. A assinatura selecionada deve ser válida e acessível, e você deve ser o proprietário da assinatura.
   2. Grupo de recursos: insira o grupo de recursos que você deseja usar. O grupo de recursos selecionado deve ser válido e acessível.

   Importante

   Depois que o data lake é provisionado para uma assinatura e um grupo de recursos específicos do Azure, você não pode migrá-lo para uma assinatura ou grupo de recursos diferente.

5. Selecione Configuração.

O processo de configuração do data lake e do gráfico de risco de dados começa e a integração pode levar até 60 minutos para ser concluída. Você pode fechar o painel de instalação enquanto o processo está em execução. Após a conclusão do processo de integração, você verá Concluir em Configurar o & gráfico de risco do data lake. O gráfico de risco de dados mostra os eventos que ocorrem depois que o data lake do Microsoft Sentinel foi criado ou integrado.

O processamento inicial de dados e a disponibilidade do gráfico de risco de dados para uma investigação podem levar de 24 a 48 horas.

Usar gráfico de risco de dados

O gráfico de risco de dados no Insider Risk Management visualiza exclusivamente as correlações entre os dados afetados, os usuários e suas atividades. Ele fornece contexto crítico para orientar a mitigação e as próximas etapas. Por exemplo, quando você descobre um alerta relacionado a um documento altamente confidencial, os gráficos de risco de dados fornecem visibilidade sobre quais usuários o baixaram ou se o acessaram de um endereço IP sinalizado como arriscado pelos sinais de segurança da sua organização. Essa visibilidade permite que você descubra novos nós para um incidente de segurança de dados, como usuários adicionais ou novo conteúdo relacionado a um alerta.

Para exibir o gráfico de risco de dados de um alerta, você deve receber a função de Leitor de Gráfico de Gerenciamento de Risco Interno . Essa função é incluída por padrão em vários grupos de funções internos do Gerenciamento de Risco Interno. Para obter mais informações, consulte Atribuir permissões no Gerenciamento de Risco Interno.

Para usar o gráfico de risco de dados no Gerenciamento de Risco Interno, conclua as seguintes etapas:

1. Acesse o portal do Microsoft Purview com uma conta atribuída à função de Leitor do Graph de Gerenciamento de Risco Interno .
2. Selecione o card de solução de Gerenciamento de Riscos Internos e selecione Alertas no painel de administração à esquerda.
3. Selecione um alerta a ser revisado e selecione a guia Gráfico de risco de dados .
4. Filtre o tempo conforme aplicável e selecione nós de gráfico de risco de dados individuais para obter mais informações sobre cada conexão durante a triagem.
5. Expanda as relações no gráfico selecionando o ícone + em usuários ou ativos.

O gráfico de risco de dados contém vários nós. A seleção de um nó mostra detalhes sobre o nó:

• Detalhes do usuário: mostra informações sobre os usuários associados ao alerta. Essas informações incluem informações da organização de cada usuário, incluindo nome UPN, rótulos, localização, cargo e muito mais.
• Detalhes dos dados: mostra informações sobre arquivos e sites. Essas informações incluem a localização, o tipo, os rótulos do objeto e muito mais.

Você pode exibir informações de gráfico de risco de dados para usuários com base nos últimos 30 dias de atividade. Essa duração fixa não é extensível.