使用內部風險管理使用者儀表板管理工作流程

重要事項

Microsoft Purview 內部風險管理會相互關聯各種訊號，以識別潛在的惡意或無意的內部風險，例如 IP 竊取、資料外洩和安全性違規。 內部風險管理可讓客戶建立原則來管理安全性和合規性。 設計採用隱私權設計，預設會將使用者假名化，並且有角色型存取控制和稽核記錄，以協助確保使用者層級隱私權。

[ 使用者] 儀表板 是內部風險管理工作流程中的重要工具。 它可以幫助調查人員和分析人員更全面地了解風險活動。 此儀表板提供檢視和管理功能，以滿足建立內部風險管理原則和管理內部風險管理案例之間的管理需求。

將使用者新增至內部風險管理原則之後，背景處理程序會自動評估使用者活動以觸發 指標。 在流程識別觸發指標後，它會將風險評分指派給使用者活動。 其中一些活動會導致內部風險警示，但某些活動不符合最低風險評分層級，而且不會建立內部風險警示。 [ 使用者] 儀表板 可讓您檢視具有這些類型指標和風險評分的使用者，以及具有作用中內部風險警示的使用者。

深入了解 [使用者] 儀表板在下列案例中如何顯示使用者：

  • 具有作用中內部風險原則警示的使用者
  • 具有觸發事件的使用者
  • 被識別為潛在高影響使用者或優先使用者群組中的使用者
  • 暫時新增到原則的使用者

提示

開始使用 Microsoft Security Copilot，探索使用 AI 功能更聰明且更快速地工作的新方式。 深入了解 Microsoft Purview 中的 Microsoft Security Copilot。

具有作用中內部風險原則警示的使用者

[ 使用者] 儀表板 會自動顯示所有具有作用中內部風險原則警示的使用者。 這些具有警示的使用者同時具有觸發指標和活動風險評分，符合建立內部風險警示的需求。 您可以在 [ 使用者] 儀表板 中選取使用者，然後瀏覽至 [ 使用者活動 ] 索引標籤，以檢視這些使用者的活動。

具有觸發事件的使用者

[使用者] 儀表板會自動顯示具有觸發事件的所有使用者，但沒有可建立內部風險警示的活動風險評分。 例如，顯示已回報離職日期的使用者，是因為此活動是觸發事件，但不是具有風險評分的活動。 您可以在 [ 使用者] 儀表板 中選取使用者，然後瀏覽至 [ 使用者活動 ] 索引標籤，以檢視這些使用者的活動。

暫時新增到原則的使用者

[ 使用者] 儀表板 會顯示您在內部風險管理工作流程之外的異常事件之後，新增至內部風險管理原則的使用者。 從 [原則] 儀表板) 暫時新增使用者 (，也是開始對內部風險管理原則的使用者活動評分，以測試原則的一種方式，即使您沒有設定必要的連接器也一樣。

當您手動將使用者新增至原則時，解決方案會對過去 90 天的使用者活動進行評分，並將其新增至 [使用者活動 ] 時間軸。 例如，您的使用者目前未獲指派內部風險原則的風險評分，而使用者已向組織中的法務部門報告資料外洩活動。 法務部門建議您為使用者設定新的短期偵測需求。 您可以在啟用時段) 指定的時間長度 (暫時將使用者指派給資料 洩漏 原則。 暫時新增的所有使用者都會顯示在 [使用者] 儀表板 中，因為觸發事件需求已免除。

注意事項

手動新增的使用者可能需要數小時的時間，才能在 [使用者] 儀表板中出現。 這些使用者過去 90 天的活動最多可能需要 24 小時才能顯示。 若要檢視手動新增使用者的活動，請在 [使用者] 儀表板 上選取使用者，然後開啟詳細資料窗格上的 [使用者活動 ] 索引標籤。

如果出現下列情況，使用者會自動從 [ 使用者] 儀表板 中移除，且評分會在 [ 啟用] 視窗 中定義的時間到期時停止：

  • 使用者沒有任何額外的觸發事件或內部風險原則警示，而且
  • 手動定義 的啟用視窗 持續時間長於全域原則 啟用視窗 持續時間。

持續時間最長的 [啟動視窗 ] 設定，一律會以較短持續時間覆寫 [啟用視窗 ] 設定。 例如，您可以在內部風險管理全域設定的 [全域原則時間範圍] 索引標籤上設定 [啟用] 時段 15 天，這會自動套用至您所有的內部風險原則。

您可以暫時將使用者新增至 「資料外洩 內部風險」原則，並為此使用者定義 30 天為啟用 時段 。 為暫時新增的使用者定義 30 天的啟用視窗設定會覆寫 15 天的全域啟用視窗設定。 暫時新增的使用者會保留在 [ 使用者] 儀表板 中，且在原則範圍內 30 天。

在相反的情況下，如果全域 啟用視窗 設定長於為暫時新增的使用者定義的 啟用視窗 設定，則全域 啟用視窗 設定會覆寫暫時新增使用者的 啟用視窗 設定。 暫時新增的使用者會保留在 [ 使用者] 儀表板 中，且在全域 啟用視窗 設定中定義的天數內，處於原則的範圍內。

在 [使用者] 儀表板上檢視使用者資訊

[ 使用者] 儀表板 中顯示的每個使用者都會顯示下列資訊：

  • 使用者：使用者的使用者名稱。 如果已啟用內部風險管理的全域匿名設定，則此欄位會匿名。
  • 警示嚴重性層級：使用者目前計算的風險層級。 系統每 24 小時計算一次此分數，並使用與使用者相關聯的所有作用中警示的警示風險分數。 對於僅具有觸發指標的使用者，警示嚴重性層級為零。
  • 作用中警示：所有原則的作用中警示數目。
  • 已確認的違規：解決為使用者確認 違反原則 的案例數目。
  • 案例：使用者目前使用中的案例。

若要快速找出特定使用者，請使用 [使用者] 儀表板右上角的 [搜尋 ]。 搜尋使用者時，您必須使用使用者主體名稱 (UPN) 。 例如，搜尋組織中 UPN 為 'thidayah' 的 'Tiara Hidayah' 使用者時，請在 搜尋中輸入 'thidayah' 或 UPN 的某些部分。

顯示使用者詳細資料、警示嚴重性層級和作用中警示的 [內部風險管理使用者] 儀表板螢幕擷取畫面。

注意事項

在某些情況下， [使用者] 儀表板 上顯示的使用者數目可能會受到限制，視作用中警示和相符原則的數量而定。 當系統產生警示時， [使用者] 儀表板 會顯示具有作用中警示的使用者。 在少數情況下，已達到顯示使用者的上限。 如果達到顯示的使用者數目上限，[ 使用者] 儀表板 會新增具有作用中警示的使用者，但這些警示不會在現有使用者警示進行分類時顯示。

檢視使用者詳細資料

若要檢視使用者風險活動的更多詳細資料，請按兩下 [使用者] 儀表板中的使用者，以開啟 [使用者詳細資料] 窗格。 在詳細資料窗格中，您可以檢視下列資訊：

  • 使用者個人檔案 索引標籤

    • 名稱和職稱：來自 Microsoft Entra ID 之使用者的名稱和職位職稱。 如果您啟用內部風險管理的全域匿名設定，這些使用者欄位會匿名或空白。
    • 使用者詳細資料：顯示使用者是否為潛在的高影響力使用者，或使用者是否位於優先使用者群組中。
    • 警示和活動摘要：顯示作用中的使用者警示和未決案例。
    • 使用者電子郵件：使用者的Email位址。
    • 別名：使用者的網路別名。
    • 組織或部門： 使用者的組織或部門。
    • 在範圍內：顯示使用者對原則的範圍內指派。

    下列額外的使用者設定檔訊號可在預覽) 的統一警示體驗 (使用。 若要存取，請在 [警示 (預覽] 索引標籤上選取警示) ，向下捲動到 使用者詳細資料，然後選取檢視 使用者詳細資料：

    • 辦公室位置： 使用者在其 Entra 設定檔中的辦公室位置。
    • 員工類型：使用者 Entra 設定檔中的員工類型。
    • 部門：使用者 Entra 設定檔中的部門。
    • 上次工作日期：使用者上次排程的工作日期 （如果有）。
    • 過去警示和案例歷程記錄：使用者先前在內部風險管理中的警示和案例摘要。
    • 優先順序使用者群組狀態：顯示使用者是否屬於任何優先順序使用者群組。
    • 原則包含：列出使用者目前所在的原則。

    注意事項

    啟用虛擬匿名化時，將看不到展開的使用者設定檔詳細資料。

  • 使用者活動 索引標籤

    • 近期使用者活動歷程記錄：顯示過去 90 天內風險活動的觸發指標和內部風險指標。 系統也會對與內部風險指標相關的所有風險活動進行評分，不過這些活動可能會也可能不會產生內部風險警示。 觸發指標範例可能是使用者的辭職日期或上次排程的工作日期。 內部風險指標是判斷為具有風險元素的活動，可能導致安全性事件，並在使用者參與的原則中定義。 會列出事件和風險活動，並優先列出最新的項目。

使用 Copilot 摘要使用者活動 (預覽)

選取使用者詳細資料窗格上的 使用 Copilot 摘要 ，以快速摘要可能需要進一步調查之使用者的活動。 當您使用 Microsoft Purview 中的 Microsoft Copilot 摘要使用者風險活動時，畫面右側會顯示 [Copilot] 窗格，其中包含使用者摘要。

[內部風險管理] 使用者詳細資料窗格的螢幕擷取畫面，其中含有 [使用 Copilot 摘要] 按鈕可用於調查選取的使用者。

使用者摘要包括基本詳細資料，例如使用者名稱、職稱、使用者主體名稱、警示和案例歷程記錄，以及主要風險因素。 主要風險因素提供了有關使用者角色、權限、參與外流活動、連續模式或任何異常行為的重要見解。 此檢視可協助您識別可能對組織構成最高內部風險的使用者。

系統會自動列出建議的提示，以協助進一步精簡您的摘要，並協助為與使用者相關聯的活動提供更多深入解析。 從下列建議提示中選擇：

  • 列出與此使用者有關的所有資料外流活動。
  • 列出與此使用者有關的所有連續活動。
  • 使用者是否有任何異常行為？
  • 顯示使用者在過去 10 天內執行的重要動作。
  • 摘要使用者過去 30 天的活動。

提示

您也可以使用獨立版本的 Microsoft Security Copilot 來調查內部風險管理、Microsoft Purview 資料外洩防護 (DLP) ，以及Microsoft Defender 全面偵測回應警示。

從原則的範圍內指派中移除使用者

您可能需要停止在內部風險管理原則中指派風險分數給使用者。 使用 [使用者] 儀表板上的 [停止對使用者進行評分活動]，以停止從使用者目前範圍內的所有內部風險管理原則為使用者指派風險分數。 當您將使用者或群組新增至原則設定) 時，停止評分活動並不會從整體原則指派 (移除使用者，而只會在目前觸發事件之後，根據原則將使用者從作用中處理中移除。 如果使用者未來有另一個觸發事件，原則中的風險評分會自動開始再次指派給使用者。 不會移除此使用者的任何現有警示或案例。

在所有內部風險管理原則中，將使用者從範圍內狀態移除

若要在所有內部風險管理原則中將使用者從範圍內狀態移除，請完成下列步驟：

  1. 使用您 Microsoft 365 組織中的系統管理員帳戶登入 Microsoft Purview 入口網站 。
  2. 移至 內部風險管理 解決方案。
  3. 在左側瀏覽中選取 [使用者 ]。
  4. 在 [使用者] 儀表板上，選取您想要停止對其活動評分的使用者。
  5. 選取 [停止對使用者進行評分活動]。

注意事項

將使用者從範圍內狀態移除可能需要幾分鐘的時間。 當程序完成後，使用者不會出現在 [ 使用者] 儀表板上。 如果移除的使用者有作用中警示或案例，該使用者仍停留在 [ 使用者] 儀表板 上，且使用者詳細資料會顯示他們不再位於原則的範圍內。

從原則的安全性群組移除使用者

從原則中包含的安全性群組中移除使用者，與選取 [停止對使用者進行評分活動] 不同。 群組成員資格變更可能需要一些時間來處理。 在服務處理變更之前，活動可以繼續接收風險評分並參與警示。

一旦服務判斷該使用者不再包含在該原則中，該原則的評分和警示就會停止。 現有警示不再從該原則接收活動型更新。

服務會繼續收集和儲存使用者現有啟用視窗剩餘時間的活動。 這些活動可以顯示在 [活動總管] 中。 群組移除不會自動移除現有的警示或其先前擷取的資料。

針對特定離職使用者範本中的 deleted-account 例外狀況，請參閱 在內部風險管理中設定原則時間範圍。

使用 Power Automate 流程為使用者執行自動化工作

使用建議的 Power Automate 流程，風險調查員和分析師可以快速採取行動，在使用者被新增至內部風險原則時通知使用者。

若要執行、管理及建立適用於內部風險管理使用者的 Power Automate 流程：

  1. 選取使用者動作工具列上的 [自動化 ]。
  2. 選擇要執行的 Power Automate 流程，然後選取執行流程。
  3. 流程完成後，選取 [完成]。

如需內部風險管理的 Power Automate 流程詳細資訊，請參閱開始 使用內部風險管理設定。

  • 上次更新時間：