Proteção de Informações do Microsoft Purview Verificação de Relatório Personalizado (versão prévia)

Este artigo descreve o recurso Relatório Personalizado do verificador de Proteção de Informações do Microsoft Purview (versão prévia). Os relatórios personalizados fornecem aos administradores do scanner os dados de que precisam no banco de dados do cluster do scanner para criar seus próprios relatórios em relação aos resultados da verificação, incluindo rotulagem, estado de proteção e tipos de informações confidenciais (SITs) correspondentes.

Os Relatórios Personalizados estão disponíveis com o cliente de Proteção de Informações do Microsoft Purview e o verificador versão 3.2.89.0 ou posterior. Os relatórios personalizados são habilitados por um administrador por meio do controle de recursos do scanner.

O que os relatórios personalizados permitem

Sem relatórios personalizados, o verificador produz relatórios CSV e TXT por varredura e armazena um conjunto limitado de dados operacionais no banco de dados do cluster. Para criar uma imagem completa do estado do arquivo (o que foi alterado, o que está rotulado, o que está protegido e quais tipos de dados confidenciais existem onde) os administradores precisam combinar várias exportações de CSV entre os ciclos de verificação e carregá-las em uma ferramenta de relatório separada.

O relatório personalizado move os dados de estado do arquivo e de correspondência SIT para o banco de dados do cluster do verificador para que os administradores possam:

  • Consulte o rótulo atual e anterior, o estado de proteção e as contagens SIT para cada arquivo verificado em um repositório.
  • Calcule deltas entre verificações (por exemplo, a alteração no número de SITs correspondentes por arquivo).
  • Veja quais tipos de informações confidenciais foram correspondidas em quais arquivos e quantas correspondências por tipo.
  • Conecte o banco de dados do cluster do verificador a uma ferramenta de relatório de sua escolha (por exemplo, Power BI, um warehouse de relatórios corporativos ou uma ferramenta de painéis baseada em SQL) sem primeiro precisar unir as exportações CSV.

O scanner continua sendo a fonte da verdade. Os relatórios personalizados gravam os dados de relatórios adicionais no banco de dados do cluster do verificador no próximo ciclo de verificação após a ativação do recurso.

Esquema de banco de dados

As tabelas e colunas de relatórios exigidas pelo Relatório Personalizado foram adicionadas pela primeira vez ao esquema de banco de dados do cluster do verificador na versão 3.2.57.0 do cliente. Até que os Relatórios Personalizados sejam habilitados, as novas colunas e tabelas existem, mas não são preenchidas. A funcionalidade de scanner existente permanece inalterada.

Observação

Você não precisa instalar a versão do cliente 3.2.57.0 primeiro. Esteja você instalando o scanner novo ou atualizando de qualquer versão anterior, o scanner implanta o esquema completo do banco de dados (incluindo as tabelas e colunas de relatórios personalizados) na instalação ou atualização.

Quando o relatório personalizado é ativado usando o controle do recurso do scanner, o scanner começa a preencher os dados a seguir no próximo ciclo de verificação.

Adições ao dbo.ScannerFiles

dbo.ScannerFiles continua a manter uma linha por arquivo digitalizado. Os relatórios personalizados preenchem as seguintes colunas adicionais para capturar o estado do arquivo e o delta entre a verificação atual e a anterior:

Coluna Tipo Descrição
LabelName NVARCHAR(MAX), anulável Nome do rótulo atual aplicado ao arquivo. NULL se não estiver rotulado.
PrevLabelId NVARCHAR(MAX), anulável ID do rótulo aplicada na verificação anterior, armazenada como uma cadeia de caracteres. NULL se não tiver sido rotulado anteriormente.
PrevLabelName NVARCHAR(MAX), anulável Nome do rótulo aplicado na verificação anterior. NULL se não tiver sido rotulado anteriormente.
ProtectionState NVARCHAR(MAX), anulável Estado de proteção atual para o arquivo no final da verificação.
PrevProtectionState NVARCHAR(MAX), anulável Estado de proteção registrado na verificação anterior.
ClassificationCount INT, padrão 0 A contagem de correspondências de tipo de informações confidenciais no arquivo na verificação atual.
LatestScanSessionId UNIQUEIDENTIFIER, anulável Identifica a sessão de verificação mais recente que tocou no arquivo. Usado para calcular deltas entre ciclos de verificação.
FileStatus NVARCHAR(MAX), anulável Disposição final do arquivo no ciclo de verificação (por exemplo, o status requires-justification definido por ProcessJobou Failed para arquivos que não puderam ser processados).

Nova tabela: dbo.MatchedClassificationAction

dbo.MatchedClassificationAction é uma nova tabela que armazena os tipos de informações confidenciais correspondentes por arquivo por verificação. Cada linha representa um SIT correspondente para um único arquivo em uma única sessão de verificação.

Coluna Tipo Descrição
Id BIGINT IDENTITY (chave primária) Chave alternativa para a linha.
FilePath NVARCHAR(MAX), anulável Caminho completo do arquivo em que o SIT foi correspondido.
FileHashPath BINARY(64), anulável Hash do caminho do arquivo. Faz a dbo.ScannerFiles.HashPath junção e é indexado para o desempenho da junção.
ScanSessionId UNIQUEIDENTIFIER, anulável Identifica a sessão de verificação na qual o SIT foi correspondido. Faz junção dbo.ScannerFiles.ScanSessionId e é indexado.
MatchedInformationTypeName NVARCHAR(MAX), anulável Nome de exibição do tipo de informações confidenciais correspondente (por exemplo, U.S. social security number (SSN)).
MatchedInformationTypeId UNIQUEIDENTIFIER, anulável GUID do SIT correspondente. O mesmo GUID é usado nos logs locais de Proteção de Informações do Microsoft Purview para Workload=OnPremisesFileShareScanner.
MatchedInformationTypeCount INT, padrão 0 Número de correspondências para este SIT no arquivo.
ConfidenceScore INT, padrão 0 Placar de confiança do jogo.

Nova tabela: dbo.ScannedFilesArchive

dbo.ScannedFilesArchive é uma nova tabela que armazena um arquivo histórico de arquivos processados pelo scanner, com linhas vinculadas à sessão de verificação que os criou. Ao contrário da tabela ativa dbo.ScannerFiles , que mantém apenas o estado mais recente de cada arquivo, esta tabela preserva os estados arquivados anteriores para controle de alterações, relatórios e auditoria.

Files que o scanner ignora porque nada mudou desde a sessão de verificação anterior não são reinseridos, portanto, as sessões de verificação posteriores não contêm um snapshot completo de todos os arquivos. Em vez disso, apenas a entrada de arquivo existente da sessão que processou o arquivo pela última vez permanece, o que mantém o arquivo enxuto, preservando um histórico de alterações significativas.

Coluna Tipo Descrição
Id BIGINT IDENTITY (chave primária) Chave alternativa para a linha.
HashPath BINARY(64) Hash do caminho do arquivo. Junta-se a dbo.ScannerFiles.HashPath.
FullPath NVARCHAR(MAX) Caminho completo do arquivo no momento da sessão de verificação.
ScanSessionId UNIQUEIDENTIFIER A sessão de verificação que produziu esta linha de arquivamento.
LastModifiedTime DATETIME2, anulável Carimbo de data/hora da última modificação do arquivo, conforme observado durante a sessão de verificação.
LabelId UNIQUEIDENTIFIER, anulável ID do rótulo aplicada ao arquivo no momento da sessão de verificação.
IssueCount INT, padrão 0 Número de problemas registrados em relação ao arquivo nesta sessão de verificação.
EndScan DATETIME2, anulável Cronometre o processamento concluído do arquivo nesta sessão de verificação.
JobStartTime DATETIME2, anulável A hora em que o trabalho de processamento desse arquivo foi iniciado.
LabelName NVARCHAR(MAX), anulável Nome do rótulo aplicado no momento desta sessão de verificação.
PrevLabelId NVARCHAR(MAX), anulável ID do rótulo na sessão de verificação anterior, armazenado como uma cadeia de caracteres.
PrevLabelName NVARCHAR(MAX), anulável Nome da etiqueta na sessão de verificação anterior.
ProtectionState NVARCHAR(MAX), anulável no momento desta sessão de verificação.
PrevProtectionState NVARCHAR(MAX), anulável Estado de proteção na sessão de verificação anterior.
ClassificationCount INT, padrão 0, anulável A contagem de correspondências de tipo de informações confidenciais nesta sessão de verificação.
LatestScanSessionId UNIQUEIDENTIFIER, anulável A sessão de verificação mais recente que se sabe ter tocado no arquivo no momento em que esta linha de arquivo morto foi gravada.
FileStatus NVARCHAR(MAX), anulável Disposição do arquivo na sessão de verificação (por exemplo, Modified ou Deleted).

dbo.ScanSummary (totais por verificação) permanece inalterado.

Perguntas de exemplo que os Relatórios Personalizados podem responder

Depois que o Relatório Personalizado estiver preenchendo o banco de dados, os administradores poderão executar consultas como:

  • Quais repositórios têm a maior concentração de SITs correspondentes e como essa concentração mudou desde a última verificação?
  • Quais arquivos foram rotulados ou renomeados durante o ciclo de verificação mais recente e qual era o rótulo anterior?
  • Quais arquivos ainda não estão rotulados, mas contêm correspondências para um ou mais tipos de informações confidenciais?
  • Quais tipos de informações confidenciais são mais predominantes em um determinado repositório e com que confiança?
  • Quais arquivos passaram de desprotegidos para protegidos (ou vice-versa) desde a última verificação?

Habilitar relatórios personalizados

Os relatórios personalizados são ativados por meio da configuração de recursos controlada pelo administrador. Em qualquer nó do cluster do scanner, execute:

Set-ScannerConfiguration -FeatureSettings @{CustomReporting=$true}

Para habilitar o relatório personalizado no momento da instalação em um novo nó do scanner, use o parâmetro com o -FeatureSettingsInstall-Scanner:

Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe -FeatureSettings @{CustomReporting=$true}

Para confirmar o estado atual, execute:

Get-ScannerConfiguration

A alteração entrará em vigor em todos os nós do cluster no próximo ciclo de verificação. Não é necessário reiniciar o serviço.

Para parar de preencher as colunas e a tabela de Relatórios Personalizados, execute:

Set-ScannerConfiguration -FeatureSettings @{CustomReporting=$false}

Desabilitar o Relatório Personalizado interrompe novas gravações. Os dados já gravados nas colunas e tabelas de relatórios não são excluídos, portanto, o recurso pode ser reabilitado posteriormente sem perda de dados.

Planejar o banco de dados do cluster de verificação para geração de relatórios

Quando você ativa o Relatório Personalizado, o banco de dados do cluster do verificador armazena significativamente mais dados:

  • Colunas adicionais por arquivo no dbo.ScannerFiles
  • Uma linha por SIT correspondente por arquivo por verificação dbo.MatchedClassificationAction
  • Arquivo de linhas para dbo.ScannedFilesArchive arquivos que o scanner processa e arquiva durante uma sessão de verificação (não para todos os arquivos inalterados em todos os ciclos)

A criação de relatórios no banco de dados do cluster do scanner também adiciona uma carga de trabalho de leitura que é executada junto com as leituras e gravações operacionais do scanner.

Antes de habilitar os Relatórios Personalizados na produção, considere:

  • Tamanho do cluster e volume de verificação. Estime o número de arquivos verificados por ciclo, o número típico de correspondências SIT por arquivo e a frequência de verificação. Use esses números para dimensionar o banco de dados.
  • Impacto operacional. Relatar consultas no mesmo banco de dados no qual o verificador está gravando pode competir com o verificador por recursos durante um ciclo de digitalização.
  • A carga de trabalho de relatório que você realmente deseja. Painéis interativos, extrações agendadas e consultas ad hoc têm impactos muito diferentes.

Para a maioria das implantações de produção, recomendamos hospedar o banco de dados de cluster de verificação no SQL Server Enterprise para que você possa dedicar uma réplica somente leitura aos relatórios. Com um grupo de disponibilidade do SQL Server Always On, você pode rotear o tráfego de relatórios para uma réplica secundária legível. As consultas de relatório são executadas na réplica secundária em vez de competir com a carga de trabalho operacional do verificador na primária.

Essa separação permite que as ferramentas de relatório (por exemplo, Power BI) se conectem à réplica somente leitura e atualizem em sua própria cadência sem afetar a taxa de transferência de varredura no principal.

Observação

O próprio scanner sempre lê e grava no banco de dados primário. Somente sua carga de trabalho de relatório personalizada deve ser apontada para uma réplica somente leitura.

Limitações durante a versão prévia

  • Os Relatórios Personalizados não incluem um dashboard interno nesta versão prévia. Os clientes criam seus próprios relatórios no banco de dados do cluster do scanner.
  • As configurações definidas pela configuração de recurso controlada pelo administrador não são sincronizadas com o portal do Microsoft Purview. Nem todos os recursos de scanner serão configuráveis no portal. Para recursos que também são configuráveis no portal do Microsoft Purview, uma configuração definida no portal tem precedência e impede atualizações do PowerShell.

Conteúdo relacionado

  • Last updated on