Configurar um conector para importar detecções de risco interno de terceiros (versão prévia)

Você pode configurar um conector para estender a solução Gerenciamento de Risco Interno do Microsoft Purview para incluir detecções de terceiros (não Microsoft). Por exemplo, você pode querer estender suas detecções para incluir atividades do Salesforce e dropbox e usá-las junto com as detecções internas fornecidas pelo gerenciamento de risco interno, que é focado em serviços da Microsoft como SharePoint Online e Exchange Online.

Para trazer suas próprias detecções para a solução de gerenciamento de risco interno, você importa detecções pré-processadas e agregadas de soluções siEM (gerenciamento de eventos e informações de segurança), como Microsoft Sentinel ou Splunk. Você importará um arquivo de exemplo para o assistente do conector indicadores de risco interno. O assistente de conector analisa o arquivo de exemplo e configura o esquema necessário para o gerenciamento de risco interno.

Processo geral

Trazer suas próprias detecções para o gerenciamento de risco interno é um processo de três etapas:

1. No Microsoft Purview, crie o conector indicadores de risco interno (versão prévia), conforme descrito neste artigo.
2. Na solução de gerenciamento de risco interno, crie indicadores personalizados.
3. Na solução de gerenciamento de risco interno, use os indicadores personalizados em políticas como gatilhos ou indicadores e defina limites.

Quando a atividade do usuário cruza o valor limite que você especifica para a política, o usuário é colocado no escopo da política de gerenciamento de risco interno e é pontuado para risco. Um alerta é gerado e os analistas podem investigar o alerta usando detalhes do indicador personalizado.

Antes de começar

1. Determine os cenários e os dados que você deseja importar para o Microsoft 365. Isso ajuda você a determinar quantos arquivos CSV e conectores do Indicador de Risco Interno você precisa criar e como estruturar os arquivos CSV. Os dados importados são determinados pelos tipos de gatilhos e indicadores que você deseja criar. Consulte Determinar quantos arquivos CSV preparar para dados de indicador.
2. Determine como recuperar ou exportar os dados do sistema interno e adicione-os aos arquivos CSV que você prepara na Etapa 2. O script executado na Etapa 4 carrega os dados nos arquivos CSV para a solução de gerenciamento de risco interno.
3. Atribua a função Administração do Conector de Dados. Essa função é necessária para adicionar conectores na página Conectores de dados no portal do Microsoft Purview ou no portal de conformidade do Microsoft Purview, portanto, o usuário que cria o conector na Etapa 3 deve receber essa função. Essa função é adicionada por padrão a vários grupos de funções. Para obter uma lista desses grupos de funções, consulte Funções no Microsoft Defender para Office 365 e conformidade do Microsoft Purview. Como alternativa, um administrador em sua organização pode criar um grupo de funções personalizado, atribuir a função Administração do Conector de Dados ao grupo de função personalizado e adicionar os usuários apropriados como membros. Para obter diretrizes, consulte Criar um grupo de funções personalizado do Microsoft Purview.
4. Adicione o domínio webhook.ingestion.office.com à lista de permissões de firewall para sua organização. O script executado na Etapa 4 não funcionará se você não adicionar esse domínio à lista de permissões.

Determinando quantos arquivos CSV preparar para dados de indicador

Na Etapa 3, você tem a opção de preparar arquivos CSV separados que contêm dados para cada indicador ou você pode preparar um único arquivo CSV que contém dados para dois ou mais indicadores.

Aqui estão algumas diretrizes para ajudá-lo a determinar quantos arquivos CSV preparar:

• Se a política de gerenciamento de risco interno que você deseja implementar exigir vários indicadores, considere usar um único arquivo CSV que contenha os dados de todos os indicadores. Como regra geral, o número de conectores que você precisa criar é determinado pelos serviços em um arquivo CSV. Por exemplo, se um arquivo CSV contiver todos os serviços necessários para dar suporte à implementação de gerenciamento de risco interno, você precisará apenas de um conector. Ter menos arquivos CSV permite que você tenha menos conectores para criar e gerenciar. Se você tiver dois arquivos CSV separados que contêm um único serviço, precisará criar dois conectores.

• O método para gerar ou coletar os dados pode determinar o número de arquivos CSV. Por exemplo, se os diferentes tipos de dados usados para configurar um conector estiverem localizados em um único sistema em sua organização, você poderá exportar os dados para um único arquivo CSV. Mas se os dados forem distribuídos em sistemas diferentes, talvez seja mais fácil exportar dados para arquivos CSV diferentes. Como recuperar ou exportar dados de seus sistemas pode determinar o número de arquivos CSV necessários.

Etapa 1: criar um aplicativo no Microsoft Entra ID

A primeira etapa é criar e registrar um novo aplicativo no Microsoft Entra ID para o conector que você cria na Etapa 3. A criação desse aplicativo permite que Microsoft Entra ID autenticar o conector quando ele é executado e tenta acessar sua organização. Esse aplicativo também é usado para autenticar o script que você executa na Etapa 4 para carregar seus dados na nuvem da Microsoft. Ao criar o aplicativo Microsoft Entra, salve as seguintes informações:

• Microsoft Entra ID do aplicativo (ID do aplicativo ou ID do cliente)
• Microsoft Entra segredo do aplicativo (segredo do cliente)
• ID do locatário (ID do diretório)

Os valores acima são usados nas Etapas 3 e 4. Para obter instruções passo a passo sobre como criar um aplicativo no Microsoft Entra ID, consulte Registrar um aplicativo com o plataforma de identidade da Microsoft.

Etapa 2: preparar arquivos CSV com seus dados de indicadores de risco interno

A próxima etapa é preparar um arquivo CSV que contenha os dados de indicador que o conector importa para o Microsoft 365. Esses dados são usados pela solução de gerenciamento de risco interno. Você pode importar dados para os seguintes cenários:

• Crie um gatilho que, quando ativado, coloca um usuário no escopo de uma política. O exemplo 1 abaixo mostra como preparar um arquivo CSV para um gatilho "caseiro" que prevê a probabilidade de um funcionário sair de uma organização.
• Crie um indicador de política que monitore as atividades do usuário. O exemplo 2 abaixo mostra como preparar um único arquivo CSV para vários indicadores (um para Dropbox e outro para Salesforce).

Para cada cenário, você precisa fornecer os dados de indicador correspondentes em um ou mais arquivos CSV. Consulte Determinar quantos arquivos CSV usar para dados de indicador.

Depois de criar o arquivo CSV com os dados de indicador necessários, armazene-o no computador local no qual você executa o script na Etapa 4. Você também deve implementar uma estratégia de atualização para garantir que o arquivo CSV sempre contenha as informações mais atuais para que sempre que você executar o script, os dados de indicador mais atuais sejam carregados na nuvem da Microsoft e acessíveis à solução de gerenciamento de risco interno.

Exemplo 1: preparar um arquivo CSV para um gatilho simples que coloca um usuário no escopo de uma política

Este exemplo mostra como estruturar um arquivo CSV para criar um gatilho "caseiro" que poderia ser usado para prever a probabilidade de um funcionário sair de uma organização. Este exemplo usa os seguintes dados de exemplo:

UserPrincipalName,PredictionTime,PredictionScore,ModelInfo
sarad@contoso.com,2023-04-20T05:52:56.962686Z,6,Model accuracy: 67%, Model name: LeaverPrediction_M1
sarad@contoso.com,2023-04-24T05:52:56.962686Z,9,Model accuracy: 67%, Model name: LeaverPrediction_M1
sarad@contoso.com,2023-04-24T05:52:56.962686Z,3,Model accuracy: 67%, Model name: LeaverPrediction_M1

A tabela a seguir descreve cada coluna no arquivo CSV.

Ao criar o conector na Etapa 3, você usará os dados no PredictionScore campo como um valor limite para o gatilho. Se um usuário cruzar o valor limite definido posteriormente na política, o usuário será trazido para o escopo da política.

Exemplo 2: preparar um único arquivo CSV para criar vários indicadores de política

Este exemplo mostra como criar vários indicadores de política (um para Dropbox e outro para Salesforce) de um único arquivo CSV. Este exemplo usa os seguintes dados de exemplo:

User_Principal_Name,Display_Name,Alert_Severity,Alert_Count,Aggregation_Date,Source_Workload,AdditionalInfo_Salesforce,AdditionalInfo_Dropbox
sarad@contoso.com,Salesforce - Sensitive report downloaded and emailed externally,High,10,2023-04-24T05:52:56.962686Z,Salesforce,text,text
sarad@contoso.com,Salesforce - Anomalous download of sales lead reports,Medium,6,2023-04-24T05:52:56.962686Z,Salesforce,text,text
bradh@contoso.com,Salesforce - Printing sales reports,Low,50,2023-04-24T05:52:56.962686Z,Salesforce,text,text
bradh@contoso.com,Salesforce - Excessive modifications to sensitive reports,Medium,3,2023-04-24T05:52:56.962686Z,Salesforce,text,text
sarad@contoso.com,Dropbox - Sensitive files saved to personal Dropbox,High,14,2023-04-24T05:52:56.962686Z,Dropbox,text,text
bradh@contoso.com,Dropbox - Anomalous file copy activity,Medium,5,2023-04-24T05:52:56.962686Z,Dropbox,text,text

A tabela a seguir descreve cada coluna no arquivo CSV.

Confira o exemplo abaixo para ver como esse arquivo CSV é usado ao criar o conector de dados.

Etapa 3: Criar o conector de Indicadores de Risco Interno

A próxima etapa é criar um conector no portal do Microsoft Purview ou no portal de conformidade. Depois de executar o script na Etapa 4, o conector que você cria importa os dados do arquivo CSV e o carrega em sua organização do Microsoft 365.

Exemplo 1: criar um arquivo de conector para um gatilho simples

Selecione a guia apropriada para o portal que você está usando. Para saber mais sobre o portal do Microsoft Purview, consulte o portal do Microsoft Purview. Para saber mais sobre o portal de conformidade, consulte portal de conformidade do Microsoft Purview.

Exemplo 2: criar um conector que inclua vários indicadores de política

Este exemplo mostra como configurar um único conector para criar vários indicadores de política (Salesforce e Dropbox). Você pode criar dois conectores separados (um para Salesforce e outro para Dropbox), mas criar um único conector que funcione para ambos pode reduzir a manutenção geral do arquivo.

Selecione a guia apropriada para o portal que você está usando. Para saber mais sobre o portal do Microsoft Purview, consulte o portal do Microsoft Purview. Para saber mais sobre o portal de conformidade, consulte portal de conformidade do Microsoft Purview.

Etapa 4: executar o script de exemplo para carregar seus dados

A última etapa na configuração de um conector é executar um script de exemplo que carregue os dados no arquivo CSV. Quando você executa o script, o conector criado na Etapa 3 importa os dados para sua organização do Microsoft 365, onde ele pode ser acessado pela solução de gerenciamento de risco interno. Depois de executar o script, considere agendar uma tarefa para executá-lo automaticamente diariamente para que os dados mais atuais sejam carregados na nuvem da Microsoft. Consulte Agendar o script a ser executado automaticamente.

Antes de executar o script

• Adicione o domínio webhook.ingestion.office.com à lista de permissões de firewall para sua organização. Se esse domínio estiver bloqueado, o script não será executado.
• Aguarde 24 horas antes de carregar os dados depois que os indicadores personalizados e as políticas associadas forem atualizados. Isso ocorre porque pode levar várias horas para sincronizar todos os componentes. Se você carregar imediatamente os dados enquanto as atualizações estiverem sincronizando, alguns dados poderão não ser pontuados para risco.
• Verifique se todas as combinações de UPN e carimbo de data/hora a serem importadas são exclusivas. Se qualquer registro no arquivo CSV carregado contiver o mesmo carimbo de data/hora e UPN que outros registros no arquivo, o registro será removido.

Executar o script de exemplo

1. Acesse a janela que você deixou aberta da etapa anterior para acessar o site do GitHub com o script de exemplo. Como alternativa, abra o site marcado ou use a URL copiada. Você também pode acessar o script em https://github.com/microsoft/m365-compliance-connector-sample-scripts/blob/main/sample_script.ps1.

2. Selecione o botão Bruto para exibir o script no modo de exibição de texto.

3. Copie todas as linhas no script de exemplo e salve-as em um arquivo de texto.

4. Modifique o script de exemplo para sua organização, se necessário.

5. Salve o arquivo de texto como um arquivo de script Windows PowerShell usando um sufixo de nome de arquivo de .ps1; por exemplo, HRConnector.ps1. Como alternativa, você pode usar o nome de arquivo do GitHub para o script, que é upload_termination_records.ps1.

6. Abra um prompt de comando no computador local e vá para o diretório onde você salvou o script.

7. Execute o comando a seguir para carregar os dados no arquivo CSV na nuvem da Microsoft; por exemplo:

   .\HRConnector.ps1 -tenantId <tenantId> -appId <appId>  -appSecret <appSecret>  -jobId <jobId>  -filePath '<filePath>'
   

   A tabela a seguir descreve os parâmetros a serem usados com esse script e seus valores necessários. As informações obtidas nas etapas anteriores são usadas nos valores desses parâmetros.

   Parâmetro	Descrição
   tenantId	Esta é a ID da sua organização do Microsoft 365 obtida na Etapa 1. Você também pode obter a ID do locatário para sua organização na folha Visão geral no centro de administração do Microsoft Entra. Isso é usado para identificar sua organização.
   appId	Esta é a ID do aplicativo Microsoft Entra para o aplicativo que você criou no Microsoft Entra ID na Etapa 1. Isso é usado por Microsoft Entra ID para autenticação quando o script tenta acessar sua organização do Microsoft 365.
   appSecret	Esse é o Microsoft Entra segredo do aplicativo para o aplicativo que você criou no Microsoft Entra ID na Etapa 1. Isso também é usado para autenticação.
   jobId	Essa é a ID do trabalho do conector que você criou na Etapa 3. Isso é usado para associar os dados carregados à nuvem da Microsoft com o conector.
   filePath	Esse é o caminho do arquivo (armazenado no mesmo sistema que o script) que você criou na Etapa 1. Tente evitar espaços no caminho do arquivo; caso contrário, use aspas individuais.

   Aqui está um exemplo da sintaxe do script do conector usando valores reais para cada parâmetro:

    .\HRConnector.ps1 -tenantId d5723623-11cf-4e2e-b5a5-01d1506273g9 -appId 29ee526e-f9a7-4e98-a682-67f41bfd643e -appSecret MNubVGbcQDkGCnn -jobId b8be4a7d-e338-43eb-a69e-c513cd458eba -filePath 'C:\Users\contosoadmin\Desktop\Data\insider_risk_indicator_data.csv'
   

   Se o upload for bem-sucedido, o script exibirá a mensagem Carregar bem-sucedido .

   Observação

   Se você tiver problemas ao executar o comando anterior por causa de políticas de execução, consulte Sobre políticas de execução e Set-ExecutionPolicy para obter diretrizes sobre como definir políticas de execução.

Etapa 5: Monitorar o conector

Depois de criar o conector e executar o script para carregar seus dados, exiba o conector e carregue status no portal do Microsoft Purview ou no portal de conformidade. Se você agendar o script para ser executado automaticamente regularmente, poderá exibir o status atual após a última vez que o script foi executado.

Selecione a guia apropriada para o portal que você está usando. Para saber mais sobre o portal do Microsoft Purview, consulte o portal do Microsoft Purview. Para saber mais sobre o portal de conformidade, consulte portal de conformidade do Microsoft Purview.

(Opcional) Etapa 6: agendar o script para ser executado automaticamente

Para garantir que os dados mais recentes da sua organização estão disponíveis para a solução de gerenciamento de risco interno, agende o script para ser executado automaticamente de forma recorrente, como uma vez por dia. Isso requer que você atualize os dados no arquivo CSV em um agendamento semelhante (se não o mesmo) para que ele contenha as informações mais recentes. O objetivo é carregar os dados mais atuais para que o conector possa disponibilizá-los para a solução de gerenciamento de risco interno.

Você pode usar o aplicativo Agendador de Tarefas no Windows para executar automaticamente o script todos os dias.

1. No computador local, selecione o botão Iniciar do Windows e digite Agendador de Tarefas.

2. Selecione o aplicativo Agendador de Tarefas .

3. Na seção Ações , selecione Criar Tarefa.

4. Na guia Geral , insira um nome descritivo para a tarefa agendada. Por exemplo, Script do Conector de RH. Você também pode adicionar uma descrição opcional.

5. Em Opções de segurança, conclua o seguinte:

   1. Determine se você deve executar o script somente quando estiver conectado ao computador ou quando estiver conectado ou não.
   2. Verifique se a caixa Executar com os privilégios mais altos marcar está selecionada.

6. Selecione a guia Gatilhos , selecione Novo e conclua o seguinte:

   1. Em Configurações, selecione a opção Diário e escolha uma data e hora para executar o script pela primeira vez. O script é executado todos os dias no mesmo horário especificado.
   2. Em Configurações avançadas, verifique se a caixa marcar habilitada está selecionada.
   3. Selecione OK.

7. Selecione a guia Ações , selecione Novo e conclua o seguinte:

   1. Na lista suspensa Ação , verifique se Iniciar um programa está selecionado.

   2. Na caixa Programa/script , selecione Procurar e, em seguida, vá para o local a seguir e selecione-o para que o caminho seja exibido na caixa: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe.

   3. Na caixa Adicionar argumentos (opcional), cole o mesmo comando de script que você executou na Etapa 4. Por exemplo, .\HRConnector.ps1 -tenantId "d5723623-11cf-4e2e-b5a5-01d1506273g9" -appId "c12823b7-b55a-4989-faba-02de41bb97c3" -appSecret "MNubVGbcQDkGCnn" -jobId "e081f4f4-3831-48d6-7bb3-fcfab1581458" -filePath "C:\Users\contosoadmin\Desktop\Data\insider_risk_indicator_data.csv"

   4. Na caixa Iniciar (opcional), cole o local da pasta do script que você executou na Etapa 4. Por exemplo, C:\Users\contosoadmin\Desktop\Scripts.

   5. Selecione OK para salvar as configurações da nova ação.

8. Na janela Criar Tarefa , selecione OK para salvar a tarefa agendada. Você pode ser solicitado a inserir as credenciais da sua conta de usuário.

   A nova tarefa é exibida na Biblioteca do Agendador de Tarefas. A última vez que o script foi executado e a próxima vez que ele estiver programado para ser executado são exibidos. Clique duas vezes na tarefa para editá-la.

   Você também pode verificar a última vez que o script foi executado na página de sobrevoo do conector correspondente no portal do Microsoft Purview ou no portal de conformidade.

(Opcional) Etapa 7: Carregar dados usando modelos do Power Automate

Você pode carregar os dados CSV usando modelos do Power Automate e definir gatilhos. Por exemplo, você pode configurar um modelo do Power Automate para disparar quando novos arquivos do conector estiverem disponíveis em locais do SharePoint ou do OneDrive. Você também pode simplificar esse processo armazenando informações confidenciais como o Microsoft Entra segredo do aplicativo (criado na Etapa 1) no Azure Key Vault e usando-o com o Power Automate para autenticação.

Conclua as seguintes etapas para carregar dados automaticamente quando novos arquivos estiverem disponíveis no OneDrive for Business:

1. Baixe o pacote ImportHRDataforIRM.zip do site do GitHub.
2. No Power Automate, vá para Meus fluxos.
3. Selecione Importar e carregar o pacote ImportHRDataforIRM.zip .
4. Depois que o pacote for carregado, atualize o conteúdo (nome e OneDrive for Business conexão) e selecione Importar.
5. Selecione Abrir fluxo e atualizar os parâmetros. A tabela a seguir descreve os parâmetros a serem usados neste fluxo do Power Automate e seus valores necessários. As informações obtidas nas etapas anteriores são usadas nos valores desses parâmetros.

6. Selecione Salvar.
7. Vá para Visão geral do Fluxo e selecione Ativar.
8. Teste o fluxo manualmente carregando um novo arquivo na pasta OneDrive for Business e verifique se ele é executado com êxito. Isso pode levar alguns minutos após o upload antes que o fluxo seja disparado.
9. Agora você pode monitorar o conector, conforme descrito na Etapa 5.

Se necessário, você pode atualizar o fluxo para criar gatilhos com base em eventos de disponibilidade e modificação de arquivos no SharePoint e em outras fontes de dados com suporte nos fluxos do Power Automate.

Próximas etapas

• Criar indicadores personalizados no gerenciamento de risco interno
• Use os indicadores personalizados em políticas como gatilhos ou indicadores e defina limites