Log de uso do serviço Azure Rights Management

O serviço Azure Rights Management é uma tecnologia de criptografia baseada em nuvem usada pela Proteção de Informações do Microsoft Purview. Ele ajuda a proteger arquivos e emails em vários dispositivos aplicando direitos de uso e políticas de criptografia.

Use essas informações para ajudá-lo a entender como você pode usar o log de uso do serviço de criptografia, Azure Rights Management do Proteção de Informações do Microsoft Purview. Esse serviço de criptografia fornece proteção de dados adicional para itens da sua organização, como documentos e emails, e pode registrar em log todas as solicitações. Essas solicitações incluem:

• Quando os usuários criptografam itens para protegê-los e descriptografam para lê-los ou remover a criptografia.
• Ações executadas por seus administradores para gerenciar o serviço Azure Rights Management e ações executadas por operadores da Microsoft para dar suporte ao serviço.

Em seguida, você pode usar esses logs de uso para dar suporte aos seguintes cenários de negócios:

• Analisar para obter insights de negócios

  Os logs gerados pelo Azure Rights Management podem ser importados para um repositório de sua escolha (como um banco de dados, um sistema de processamento analítico online (OLAP) ou um sistema de redução de mapa) para analisar as informações e produzir relatórios. Por exemplo, você pode identificar quem está acessando seus dados criptografados. Você pode determinar quais dados criptografados as pessoas estão acessando, de quais dispositivos e de onde. Você pode descobrir se as pessoas podem ler conteúdo criptografado com êxito. Você também pode identificar quais pessoas leram um documento importante que foi criptografado.

• Monitorar abuso

  As informações de registro em log sobre como o serviço Azure Rights Management é usado estão disponíveis para você em tempo quase real, para que você possa monitorar continuamente o uso do serviço pela sua empresa. 99,9% dos logs estão disponíveis em até 15 minutos após uma ação iniciada no serviço.

  Por exemplo, talvez você queira ser alertado se houver um aumento repentino de pessoas lendo dados criptografados fora do horário de trabalho padrão, o que pode indicar que um usuário mal-intencionado está coletando informações para vender a concorrentes. Ou, se o mesmo usuário aparentemente acessar dados de dois endereços IP diferentes em um curto período de tempo, o que pode indicar que uma conta de usuário foi comprometida.

• Executar análise forense

  Se houver um vazamento de informações, é provável que você seja questionado sobre quem acessou recentemente documentos específicos e quais informações uma pessoa suspeita acessou recentemente. Você pode responder a esses tipos de perguntas ao usar o log de uso do Azure Rights Management porque as pessoas que usam conteúdo criptografado devem sempre obter uma licença de uso do Rights Management para abrir itens criptografados pelo Azure Rights Management, mesmo que esses itens sejam movidos por email ou copiados para unidades USB ou outros dispositivos de armazenamento. Isso significa que você pode usar esses logs como uma fonte definitiva de informações para análise forense ao proteger seus dados usando o serviço Azure Rights Management.

Opções de log adicionais para o serviço do Azure Rights Management:

O restante deste artigo explica como baixar e interpretar os logs de uso do Azure Rights Management, incluindo detalhes do formato de log e uma referência do PowerShell.

Como acessar e usar os logs de uso do Azure Rights Management

O log de uso do Azure Rights Management é habilitado por padrão para todos os clientes. Não há custo adicional para o armazenamento de log ou para a funcionalidade do recurso de registro em log.

O serviço Azure Rights Management grava logs como uma série de blobs em uma conta de armazenamento do Azure que ele cria automaticamente para seu locatário. Cada blob contém um ou mais registros de log, no formato de log estendido do W3C. Os nomes de blob são números, na ordem em que foram criados. Para obter mais informações sobre o conteúdo do log e sua criação, consulte Como interpretar os logs de uso do Azure Rights Management.

Pode levar algum tempo para que os logs apareçam na sua conta de armazenamento após uma ação do Azure Rights Management. A maioria dos logs aparece em 15 minutos. Os registros de uso estão disponíveis apenas quando o nome do campo "date" contém um valor de uma data anterior (no horário UTC). Os logs de uso da data atual não estão disponíveis. Recomendamos que você baixe os logs para o armazenamento local, como uma pasta local, um banco de dados ou um sistema de processamento de Big Data.

Para baixar seus logs de uso, use o módulo AIPService do PowerShell para Proteção de Informações do Microsoft Purview. Para obter instruções de instalação, consulte Instalar o módulo do PowerShell AIPService para o serviço Gerenciamento de Direitos do Azure.

Para baixar seus logs de uso usando o PowerShell

Use as etapas a seguir para se conectar ao serviço Azure Rights Management e baixar os logs de uso usando o PowerShell.

1. Inicie o Windows PowerShell com a opção Executar como administrador e use o cmdlet Connect-AipService para se conectar ao serviço do Azure Rights Management:

   Connect-AipService
   

2. Execute o seguinte comando para baixar os logs de uma data específica:

   Get-AipServiceUserLog -Path <location> -fordate <date>
   

   Por exemplo, depois de criar uma pasta chamada Logs em sua unidade E::

   • Para baixar logs de uma data específica (como 01/02/2025), execute o seguinte comando: Get-AipServiceUserLog -Path E:\Logs -fordate 2/1/2025

   • Para baixar logs de um intervalo de datas (como de 01/02/2025 a 14/02/2025), execute o seguinte comando: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025

Quando você especifica apenas o dia, como em nossos exemplos, a hora é assumida como 00:00:00 na hora local e, em seguida, convertida em UTC. Quando você especifica uma hora com seus parâmetros -fromdate ou -todate (por exemplo, -fordate "2/1/2025 15:00:00"), essa data e hora são convertidas em UTC. Em seguida, o comando Get-AipServiceUserLog obtém os logs desse período de tempo UTC.

Você não pode especificar menos de um dia inteiro para baixar.

Por padrão, esse cmdlet usa três threads para baixar os logs. Se você tiver largura de banda de rede suficiente e quiser diminuir o tempo necessário para baixar os logs, use o parâmetro -NumberOfThreads, que dá suporte a um valor de 1 a 32. Por exemplo, se você executar o comando a seguir, o cmdlet gerará 10 threads para baixar os logs: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025 -numberofthreads 10

Como interpretar seus logs de uso

Esta seção explica a sequência de log do Azure Rights Management, o formato de blob, os campos de registro de log e os tipos de solicitação comuns para que você possa analisar e analisar seus logs de uso.

A sequência logarítmica

O serviço do Azure Rights Management grava os logs como uma série de blobs.

Cada entrada no log tem um carimbo de data/hora UTC. Como o serviço é executado em vários servidores em vários data centers, às vezes os logs podem parecer estar fora de sequência, mesmo quando são classificados pelo carimbo de data/hora. No entanto, a diferença é pequena e geralmente dentro de um minuto. Na maioria dos casos, esse não é um problema para a análise de logs.

O formato de blob

Cada blob está no formato de log estendido do W3C. Começa com as duas linhas seguintes:

#Software: RMS

#Version: 1.1

A primeira linha identifica que esses são logs de uso do Azure Rights Management. A segunda linha identifica que o restante do blob segue a especificação da versão 1.1. Recomendamos que todos os aplicativos que analisam esses logs verifiquem essas duas linhas antes de continuar a analisar o restante do blob.

A terceira linha enumera uma lista de nomes de campos separados por tabulações:

#Fields: data hora row-id request-type user-id result correlation-id content-id owner-email issuer template-id file-name date-published c-info c-ip admin-action acting-as-user

Cada uma das linhas subsequentes é um registro de log. Os valores dos campos estão na mesma ordem que a linha anterior e são separados por tabulações. Use a tabela a seguir para interpretar os campos.

Exceções para o campo user-id

Embora o campo user-id geralmente indique o usuário que fez a solicitação, há duas exceções em que o valor não é mapeado para um usuário real:

• O valor 'microsoftrmsonline@<YourTenantID.rms>.<region.aadrm.com>'.

  Isso indica que um serviço do Microsoft 365, como Exchange ou SharePoint, está fazendo a solicitação. Na cadeia de caracteres, <YourTenantID> é o GUID do locatário e <a região> é a região em que o locatário está registrado. Por exemplo, na representa a América do Norte, eu representa a Europa e ap representa a Ásia.

• Se você estiver usando o conector do Rights Management.

  As solicitações desse conector são registradas com o nome da entidade de serviço do Aadrm_S-1-7-0, que é gerado automaticamente quando você instala o conector do Rights Management.

Tipos de solicitação típicos

Há muitos tipos de solicitação para o serviço Azure Rights Management, mas a tabela a seguir identifica alguns dos tipos de solicitação mais usados.

Logs de uso do Azure Rights Management e auditoria do Microsoft Purview

O acesso ao arquivo e os eventos negados não incluem o nome do arquivo e não estão acessíveis no log de auditoria unificada do Microsoft Purview.

Referência do PowerShell

Depois de se conectar ao serviço do Azure Rights Management, o único cmdlet do PowerShell que você precisa para acessar o log de uso do Azure Rights Management é o Get-AipServiceUserLog.

Para obter mais informações sobre como usar o PowerShell para o serviço Azure Rights Management, consulte Administração do serviço Azure Rights Management usando o PowerShell.