Настройка интеллектуальных обнаружений в управлении внутренними рисками

Используйте параметр Интеллектуальное обнаружение в Управление внутренними рисками Microsoft Purview, чтобы:

• Повысьте оценку необычных действий по скачиванию файлов, введя минимальное количество ежедневных событий.
• Увеличьте или уменьшите объем и распределение оповещений высокого, среднего и низкого уровня.
• Импорт и фильтрация оповещений Defender для конечной точки для действий, используемых в политиках, созданных на основе шаблонов управления внутренними рисками.
• Укажите не разрешенные домены, чтобы повысить оценку риска для потенциально рискованных действий.
• Укажите сторонние домены для создания оповещений о потенциально рискованных действиях загрузки.

Обнаружение действий файлов

В этом разделе можно указать количество ежедневных событий, необходимых для повышения оценки риска для действий скачивания, которые считаются необычными для пользователя. Например, если ввести "25", если пользователь скачивает в среднем 10 файлов в течение предыдущих 30 дней, но политика обнаруживает, что он скачал 20 файлов за один день, оценка этого действия не будет увеличена, даже если это необычно для этого пользователя, так как количество файлов, скачанных в этот день, было меньше 25.

Том оповещений

Потенциально рискованным действиям, обнаруженным политиками внутренних рисков, назначается определенная оценка риска, которая, в свою очередь, определяет серьезность оповещения (низкий, средний, высокий). По умолчанию управление внутренними рисками создает определенное количество оповещений с низким, средним и высоким уровнем серьезности, но вы можете увеличить или уменьшить объем оповещений определенного уровня в соответствии с вашими потребностями.

Чтобы настроить объем оповещений для всех политик управления внутренними рисками, выберите один из следующих параметров:

• Меньше оповещений. Вы увидите все оповещения с высоким уровнем серьезности, меньше оповещений средней серьезности и без оповещений с низким уровнем серьезности. Вы можете пропустить некоторые истинные положительные параметров, если выбрать этот уровень параметров.
• Том по умолчанию. Вы увидите все оповещения с высоким уровнем серьезности и сбалансированное количество оповещений средней и низкой серьезности.
• Дополнительные оповещения. Вы увидите все оповещения средней и высокой серьезности, а также большинство оповещений с низким уровнем серьезности. Этот уровень параметров может привести к дополнительным ложным срабатываниям.

Microsoft Defender для конечной точки состояния оповещений

Microsoft Defender для конечной точки — это платформа безопасности конечных точек предприятия, предназначенная для предотвращения, обнаружения, исследования и реагирования на сложные угрозы корпоративных сетей. Чтобы обеспечить лучшую видимость нарушений безопасности в организации, можно импортировать и фильтровать оповещения Defender для конечной точки для действий, используемых в политиках, созданных на основе шаблонов политик нарушения безопасности управления внутренними рисками.

В зависимости от типа интересующих вас сигналов можно импортировать оповещения в управление внутренними рисками на основе состояния рассмотрения оповещений Defender для конечной точки. Вы можете определить одно или несколько из следующих состояний рассмотрения оповещений в глобальных параметрах для импорта:

• Unknown
• Создать
• Выполняется
• Устранено

Оповещения из Defender для конечной точки импортируются ежедневно. В зависимости от выбранного состояния рассмотрения вы можете увидеть несколько действий пользователей для того же оповещения, что и изменение состояния рассмотрения в Defender для конечной точки.

Например, если для этого параметра выбраны пункты Создать, Выполняется и Разрешено, то при создании оповещения Microsoft Defender для конечной точки и состоянии "Новое", для пользователя в системе управления внутренними рисками импортируется действие первоначального оповещения. Когда состояние рассмотрения Defender для конечной точки меняется на Выполняется, импортируется второе действие для этого оповещения. Когда задается окончательное состояние рассмотрения Defender для конечной точки Resolved , импортируется третье действие для этого оповещения. Эта функция позволяет следователям следить за развитием оповещений Defender для конечной точки и выбирать уровень видимости, необходимый для их исследования.

Домены

Вы можете указать неуправляемые и сторонние домены для повышения уровня обнаружения:

• Не разрешенные домены: При указании не разрешенного домена действия по управлению рисками, происходящие с этим доменом, будут иметь более высокую оценку риска. Например, может потребоваться указать действия, связанные с предоставлением общего доступа к содержимому (например, отправка электронной почты кому-либо с gmail.com адресом), или действия, связанные с загрузкой содержимого на устройство из не разрешенного домена. Можно добавить до 500 не разрешенных доменов.
• Сторонние домены: Если ваша организация использует сторонние домены в бизнес-целях (например, облачное хранилище), включите их в раздел Сторонние домены для получения оповещений о потенциально рискованных действиях, связанных с индикатором устройства Используйте браузер для скачивания содержимого со стороннего сайта. Можно добавить до 500 сторонних доменов.

Добавление не разрешенного домена

Выберите соответствующую вкладку для используемого портала. Дополнительные сведения о портале Microsoft Purview см. на портале Microsoft Purview. Дополнительные сведения о портале соответствия требованиям см. в разделе Портал соответствия требованиям Microsoft Purview.

Добавление стороннего домена

Выберите соответствующую вкладку для используемого портала. Дополнительные сведения о портале Microsoft Purview см. на портале Microsoft Purview. Дополнительные сведения о портале соответствия требованиям см. в разделе Портал соответствия требованиям Microsoft Purview.