インサイダー リスク管理データを他のソリューションと共有する

インサイダー リスク管理のデータは、次のいずれかの方法で共有できます。

• アラート情報を SIEM ソリューションにエクスポートする
• ユーザー リスクの重大度レベルを Microsoft Defender XDR と Microsoft Purview データ損失防止 (DLP) アラートと共有する

アラート情報を SIEM ソリューションにエクスポートする

Microsoft Purview Insider Risk Management アラート情報は、 Office 365 Management Activity API スキーマを使用して、セキュリティ情報とイベント管理 (SIEM) ソリューションとセキュリティ オーケストレーション自動応答 (SOAR) ソリューションにエクスポートできます。 Office 365 管理アクティビティ API を使用して、組織がインサイダー リスク情報の管理または集計に使用する可能性がある他のアプリケーションにアラート情報をエクスポートできます。 アラート情報は、Office 365 管理アクティビティ API を介して 60 分ごとにエクスポートされ、利用できます。

組織で Microsoft Sentinel を使用している場合は、すぐに使用できるインサイダー リスク管理データ コネクタを使用して、内部リスクアラート情報を Sentinel にインポートすることもできます。 詳細については、Microsoft Sentinel の記事の 「Insider Risk Management 」を参照してください。

API を使用してインサイダー リスク アラート情報を確認する

現在使用しているポータルに該当するタブを選択してください。 Microsoft Purview ポータルの詳細については、Microsoft Purview ポータルを参照してください。 コンプライアンス ポータルの詳細については、「Microsoft Purview コンプライアンス ポータル」を参照してください。

アラート情報には、セキュリティとコンプライアンスの警告スキーマと Office 365 Management Activity API の共通スキーマからの情報が含まれています。

次のフィールドと値は、セキュリティとコンプライアンスのアラート スキーマに関するインサイダー リスク管理アラート用にエクスポートされます。

次のフィールドと値は、 Office 365 Management Activity API 共通スキーマのインサイダー リスク管理アラート用にエクスポートされます。

• UserId
• Id
• RecordType
• CreationTime
• 操作
• OrganizationId
• UserType
• UserKey

Microsoft Defender XDR および DLP アラートを使用してユーザー リスクの重大度レベルを共有する

インサイダー リスク管理からユーザー リスクの重大度レベルを共有して、Microsoft Defender XDR と Microsoft Purview データ損失防止 (DLP) アラートに固有のユーザー コンテキストを提供できます。 インサイダー リスク管理は、90 日から 120 日間のユーザー アクティビティを分析し、その期間の異常な動作を探します。 このデータを Microsoft Defender XDR および DLP アラートに追加すると、アナリストがアラートの優先順位を付けるのに役立つ、これらのソリューションで使用できるデータが強化されます。

インサイダー リスク管理ユーザー リスクの重大度レベルを共有するとどうなりますか?

Microsoft Defender XDR で

• [DLP インシデント] ページ: インサイダー リスクの重大度フィールドは、インサイダー リスク管理のリスク レベルが高または中のユーザーに対して、Microsoft Defender DLP インシデント ページの [影響を受ける資産] セクションに追加されます。 ユーザーが 低 リスク レベルの場合、[インシデント] ページには何も追加されません。 これにより、アナリストが最もリスクの高いユーザー アクティビティに集中できるように、気晴らしが最小限に抑えられます。

  [ 影響を受ける資産 ] セクションでリスク レベルを選択すると、そのユーザーのインサイダー リスク アクティビティの概要とアクティビティ タイムラインを表示できます。 最大 120 日間の分析は、アナリストがユーザーのアクティビティの全体的なリスクを判断するのに役立ちます。

  [DLP ポリシーの一致] ページで DLP イベントを選択すると、[DLP ポリシーの一致] セクションに [影響を受けたエンティティ ] セクションが表示され、ポリシーに一致するすべてのユーザーが表示されます。

• [ユーザー] ページ: インサイダー リスクの重大度 フィールドは、インサイダー リスク管理で 高、 中、または 低 のリスク レベルを持つユーザーの [ユーザー] ページに追加されます。 このデータは、アクティブなインサイダー リスク管理アラートを持つすべてのユーザーが利用できます。

  [ユーザー] ページの右側に、そのユーザーのインサイダー リスク アクティビティの概要とアクティビティ タイムラインが表示されます。

DLP アラート

• DLP アラートに関連付けられているインサイダー リスク管理ポリシーの場合、高、中、低、または None の値を持つ Insider リスク重大度列が DLP アラート キューに追加されます。 ポリシーに一致するアクティビティを持つ複数のユーザーがある場合は、インサイダー リスク レベルが最も高いユーザーが表示されます。

  None の値は、次のいずれかを意味します。

  • ユーザーはインサイダー リスク管理ポリシーの一部ではありません。

  • ユーザーはインサイダー リスク管理ポリシーの一部ですが、ポリシーのスコープに自分自身を取り込むための危険なアクティビティを行っていません (流出データはありません)。

• DLP アラート キューのインサイダー リスク レベルを選択すると、[ ユーザー アクティビティの概要 ] タブにアクセスできます。このタブには、過去 90 日から 120 日間のそのユーザーのすべての流出アクティビティのタイムラインが表示されます。 DLP アラート キューと同様に、[ ユーザー アクティビティの概要 ] タブには、インサイダー リスク レベルが最も高いユーザーが表示されます。 ユーザーが過去 90 日から 120 日間に行ったことに関するこの深いコンテキストは、そのユーザーが提示するリスクの広いビューを提供します。

  流出インジケーターからのデータのみがユーザー アクティビティの概要に表示されます。 HR、閲覧などの他の機密インジケーターからのデータは、DLP アラートと共有されません。

• [アクターの詳細] セクションが [DLP アラートの詳細] ページに追加されます。 このページを使用すると、特定の DLP アラートに関連 するすべての ユーザーを表示できます。 DLP アラートに関係する各ユーザーについて、過去 90 日から 120 日間のすべての流出アクティビティを表示できます。

• DLP アラートで [ Copilot for Security から概要を取得 する] ボタンを選択した場合、Microsoft Copilot for Security によって提供されるアラートの概要には、ユーザーがインサイダー リスク管理ポリシーのスコープ内にある場合、DLP の概要情報に加えてインサイダー リスク管理の重大度レベルが含まれます。

  ヒント

  Copilot for Security を使用して DLP アラートを調査することもできます。 インサイダー リスク管理 の [データ共有 ] 設定が有効になっている場合は、DLP/Insider リスク管理の調査を組み合わせて行うことができます。 たとえば、まず Copilot に DLP アラートの要約を依頼してから、アラートにフラグが設定されたユーザーに関連付けられているインサイダー リスク レベルを表示するように Copilot に依頼します。 または、ユーザーがリスクの高いユーザーと見なされる理由を確認することもできます。 この場合のユーザー リスク情報は、インサイダー リスク管理から取得されます。 Copilot for Security は、内部リスク管理と DLP をシームレスに統合し、調査を支援します。 DLP/Insider リスク管理の調査を組み合わせたスタンドアロン バージョンの Copilot の使用について詳しく説明します。

前提条件

インサイダー リスク管理のユーザー リスク レベルを Microsoft Defender XDR および DLP アラートと共有するには、ユーザーは次の手順を実行します。

• インサイダー リスク管理ポリシーの一部である必要があります。
• ユーザーをポリシーのスコープに取り込む流出アクティビティを実行している必要があります。
• DLP アラートのアクセス許可が必要です。 [データ共有] 設定を有効にすると、DLP アラートのアクセス許可を持つユーザーは、DLP アラートの調査と Microsoft Defender XDR ユーザー ページのインサイダー リスク管理コンテキストにアクセスできます。 インサイダー リスク管理のアクセス許可を持つユーザーは、このデータにアクセスすることもできます。

Microsoft Defender XDR および DLP アラートとデータを共有する

1 つの設定を有効にすることで、Microsoft Defender XDR と DLP アラートの両方でインサイダー リスク管理ユーザー リスクの重大度レベルを共有できます。

1. インサイダー リスク管理設定で、[ データ共有 ] 設定を選択します。
2. [ Microsoft Defender XDR とのデータの共有 (プレビュー)] セクションで、設定をオンにします。

関連項目

• Microsoft 365 Defender XDR を使用してデータ損失防止アラートを調査する
• データ損失防止の詳細
• データ損失防止アラート ダッシュボードの概要