Registrazione e analisi dell'utilizzo della protezione da Azure Information Protection

Usare queste informazioni per capire come si può usare la registrazione dell'utilizzo per il servizio di protezione (Azure Rights Management) da Azure Information Protection. Questo servizio di protezione garantisce la protezione dati per i documenti e i messaggi di posta elettronica dell'organizzazione e può registrare qualsiasi richiesta. Queste richieste includono quando gli utenti proteggono documenti e messaggi di posta elettronica e utilizzano anche questo contenuto, le azioni eseguite dagli amministratori per questo servizio e le azioni eseguite dagli operatori Microsoft per supportare la distribuzione di Azure Information Protection.

È quindi possibile usare questi log di utilizzo della protezione per supportare gli scenari aziendali seguenti:

• Analizzare i dati analitici aziendali

  I log generati dal servizio di protezione possono essere importati in un repository di propria scelta (ad esempio un database, un sistema OLAP (Online Analytical Processing) o un sistema map-reduce, per analizzare le informazioni e produrre report. Ad esempio, è possibile identificare chi accede ai dati protetti. È possibile determinare quali dati protetti accedono agli utenti e da quali dispositivi e da dove. È possibile scoprire se gli utenti possono leggere correttamente il contenuto protetto. È anche possibile identificare le persone che hanno letto un documento importante protetto.

• Monitorare l'abuso

  La registrazione delle informazioni sull'uso della protezione è disponibile quasi in tempo reale, in modo da poter monitorare continuamente l'uso del servizio di protezione dell'azienda. Il 99,9% dei log è disponibile entro 15 minuti da un'azione avviata al servizio.

  Ad esempio, potrebbe essere necessario ricevere un avviso se si verifica un aumento improvviso di persone che leggono dati protetti al di fuori dell'orario lavorativo standard, che potrebbero indicare che un utente malintenzionato sta raccogliendo informazioni da vendere ai concorrenti. In alternativa, se lo stesso utente accede apparentemente ai dati da due indirizzi IP diversi entro un breve intervallo di tempo, che potrebbe indicare che un account utente è stato compromesso.

• Eseguire l'analisi forense

  Se si dispone di una perdita di informazioni, è probabile che venga chiesto chi ha recentemente eseguito l'accesso a documenti specifici e quali informazioni hanno eseguito l'accesso di recente a una persona sospetta. È possibile rispondere a questi tipi di domande quando si usa questa registrazione perché gli utenti che usano contenuto protetto devono sempre ottenere una licenza di Rights Management per aprire documenti e immagini protetti da Azure Information Protection, anche se questi file vengono spostati tramite posta elettronica o copiati in unità USB o in altri dispositivi di archiviazione. Ciò significa che è possibile usare questi log come fonte definitiva di informazioni per l'analisi forense quando si proteggono i dati usando Azure Information Protection.

Oltre a questa registrazione dell'utilizzo, sono disponibili anche le opzioni di registrazione seguenti:

Inoltre, le informazioni dei log di utilizzo del client Azure Information Protection e dello scanner di Azure Information Protection vengono raccolte e aggregate per creare report nella portale di Azure. Per altre informazioni, vedere Creazione di report per Azure Information Protection.

Usare le sezioni seguenti per altre informazioni sulla registrazione dell'utilizzo per il servizio di protezione.

Come abilitare la registrazione per l'utilizzo della protezione

La registrazione dell'utilizzo della protezione è abilitata per impostazione predefinita per tutti i clienti.

Non sono previsti costi aggiuntivi per l'archiviazione dei log o per la funzionalità di registrazione.

Come accedere e usare i log di utilizzo della protezione

Azure Information Protection scrive i log come una serie di BLOB in un account di archiviazione di Azure creato automaticamente per il tenant. Ogni BLOB contiene uno o più record di log, in formato di log esteso W3C. I nomi dei BLOB sono numeri, nell'ordine in cui sono stati creati. La sezione How to interpret your Azure Rights Management usage logs (Come interpretare i log di utilizzo di Azure Rights Management) più avanti in questo documento contiene altre informazioni sul contenuto del log e sulla relativa creazione.

La visualizzazione dei log nell'account di archiviazione può richiedere alcuni minuti dopo un'azione di protezione. La maggior parte dei log viene visualizzata entro 15 minuti. I log di utilizzo sono disponibili solo quando il nome del campo "date" contiene un valore di una data precedente (in ora UTC). I log di utilizzo dalla data corrente non sono disponibili. È consigliabile scaricare i log nell'archiviazione locale, ad esempio una cartella locale, un database o un repository map-reduce.

Per scaricare i log di utilizzo, si userà il modulo PowerShell AIPService per Azure Information Protection. Per istruzioni di installazione, vedere Installazione del modulo PowerShell AIPService.

Per scaricare i log di utilizzo tramite PowerShell

1. Avviare Windows PowerShell con l'opzione Esegui come amministratore e usare il cmdlet Connessione-AipService per connettersi ad Azure Information Protection:

   Connect-AipService
   

2. Eseguire il comando seguente per scaricare i log per una data specifica:

   Get-AipServiceUserLog -Path <location> -fordate <date>
   

   Ad esempio, dopo aver creato una cartella denominata Logs nell'unità E:

   • Per scaricare i log per una data specifica ,ad esempio 2/1/2016, eseguire il comando seguente: Get-AipServiceUserLog -Path E:\Logs -fordate 2/1/2016

   • Per scaricare i log per un intervallo di date (ad esempio dal 2/1/2016 al 2/14/2016), eseguire il comando seguente: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2016 –todate 2/14/2016

Quando si specifica solo il giorno, come negli esempi, si presuppone che l'ora sia 00:00:00 nell'ora locale e quindi convertita in utc. Quando si specifica un'ora con i parametri -fromdate o -todate (ad esempio, -fordate "2/1/2016 15:00:00"), tale data e ora viene convertita in formato UTC. Il comando Get-AipServiceUserLog ottiene quindi i log per il periodo di tempo UTC.

Non è possibile specificare meno di un giorno intero da scaricare.

Per impostazione predefinita, questo cmdlet usa tre thread per scaricare i log. Se si dispone di una larghezza di banda di rete sufficiente e si vuole ridurre il tempo necessario per scaricare i log, usare il parametro -NumberOfThreads, che supporta un valore compreso tra 1 e 32. Ad esempio, se si esegue il comando seguente, il cmdlet genera 10 thread per scaricare i log: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2016 –todate 2/14/2016 -numberofthreads 10

Come interpretare i log di utilizzo

Usare le informazioni seguenti per interpretare i log di utilizzo della protezione.

Sequenza di log

Azure Information Protection scrive i log come una serie di BLOB.

Ogni voce nel log ha un timestamp UTC. Poiché il servizio di protezione viene eseguito su più server in più data center, a volte i log potrebbero sembrare fuori sequenza, anche quando vengono ordinati in base al timestamp. Tuttavia, la differenza è piccola e in genere entro un minuto. Nella maggior parte dei casi, questo non è un problema che potrebbe essere un problema per l'analisi dei log.

Formato BLOB

Ogni BLOB è in formato di log esteso W3C. Inizia con le due righe seguenti:

#Software: RMS

#Version: 1.1

La prima riga identifica che si tratta di log di protezione da Azure Information Protection. La seconda riga identifica che il resto del BLOB segue la specifica della versione 1.1. È consigliabile che tutte le applicazioni che analizzano questi log verifichino queste due righe prima di continuare a analizzare il resto del BLOB.

La terza riga enumera un elenco di nomi di campo separati da schede:

#Fields: date time row-id request-type user-id result correlation-id content-id owner-email issuer template-id file-name date-published c-ip admin-action acting-as-user

Ognuna delle righe successive è un record di log. I valori dei campi sono nello stesso ordine della riga precedente e sono separati da schede. Utilizzare la tabella seguente per interpretare i campi.

Eccezioni per il campo user-id

Anche se il campo user-id indica in genere l'utente che ha effettuato la richiesta, esistono due eccezioni in cui il valore non viene mappato a un utente reale:

• Valore 'microsoftrmsonline@<YourTenantID.rms>.<region.aadrm.com>'.

  Indica un servizio di Office 365, ad esempio Exchange Online o Microsoft SharePoint, che effettua la richiesta. Nella stringa YourTenantID> è il GUID per il tenant e< l'area> geografica è l'area in cui è registrato il tenant.< Ad esempio, na rappresenta America del Nord, eu rappresenta l'Europa e ap rappresenta l'Asia.

• Se si usa il connettore RMS.

  Le richieste da questo connettore vengono registrate con il nome dell'entità servizio di Aadrm_S-1-7-0, che viene generato automaticamente quando si installa il connettore RMS.

Tipi di richiesta tipici

Esistono molti tipi di richiesta per il servizio di protezione, ma la tabella seguente identifica alcuni dei tipi di richiesta più usati in genere.

Log di utilizzo della protezione e log di controllo unificato di Microsoft 365

Gli eventi di accesso ai file e negati non includono attualmente il nome file e non sono accessibili nel log di controllo unificato di Microsoft 365. Questi eventi verranno migliorati per essere utili e aggiunti dal Servizio Rights Management in un secondo momento.

Informazioni di riferimento su PowerShell

L'unico cmdlet di PowerShell necessario per accedere alla registrazione dell'utilizzo della protezione è Get-AipServiceUserLog.

Per altre informazioni sull'uso di PowerShell per Azure Information Protection, vedere Amministrazione istering protection da Azure Information Protection tramite PowerShell.