Erste Schritte mit dem Aktivitäten-Explorer
Mit dem Aktivitäts-Explorer können Sie überwachen, was mit Ihren bezeichneten Inhalten geschieht. Der Aktivitäts-Explorer bietet eine Verlaufsansicht der Aktivitäten in Ihren bezeichneten Inhalten. Die Aktivitätsinformationen werden aus den einheitlichen Microsoft 365-Überwachungsprotokollen gesammelt, transformiert und dann auf der Benutzeroberfläche des Aktivitäts-Explorers verfügbar gemacht. Der Aktivitäts-Explorer meldet Daten im Wert von bis zu 30 Tagen.
Der Aktivitäts-Explorer bietet Ihnen mehrere Möglichkeiten zum Sortieren und Anzeigen der Daten.
Filter
Filter sind die Bausteine des Aktivitäts-Explorers, die sich jeweils auf eine andere Dimension der gesammelten Daten konzentrieren. Es stehen etwa 50 verschiedene individuelle Filter zur Verfügung, einige sind:
- Datumsbereich
- Aktivitätstyp
- Standort
- Vertraulichkeitsbezeichnung
- Benutzer
- Client-IP
- Gerätename
- Ist geschützt
Um sie alle anzuzeigen, öffnen Sie den Filterbereich im Aktivitäts-Explorer, und sehen Sie sich die Dropdownliste an.
Hinweis
Filteroptionen werden basierend auf den ersten 500 Datensätzen generiert, um eine optimale Leistung sicherzustellen. Dies kann dazu führen, dass einige Werte nicht in der Filterdropdownliste angezeigt werden.
Filtersätze
Der Aktivitäts-Explorer enthält vordefinierte Filtersätze, um Zeit zu sparen, wenn Sie sich auf eine bestimmte Aktivität konzentrieren möchten. Verwenden Sie Filtersätze, um Ihnen schnell eine Ansicht von Aktivitäten auf höherer Ebene als einzelne Filter bereitzustellen. Einige der vordefinierten Filtersätze sind:
- Endpunkt-DLP-Aktivitäten
- Angewendete, geänderte oder entfernte Vertraulichkeitsbezeichnungen
- Ausgehende Aktivitäten
- DLP-Richtlinien, die Aktivitäten erkannt haben
- Netzwerk-DLP-Aktivitäten
- Geschützter Browser
Sie können auch eigene Filtersätze erstellen und speichern, indem Sie einzelne Filter kombinieren.
Security Copilot im Aktivitäts-Explorer (Vorschau)
In der Vorschauist Microsoft Security Copilot in Microsoft Purview in den Aktivitäts-Explorer eingebettet. Es kann ihnen helfen, einen effizienten Drilldown in Aktivitätsdaten durchzuführen und Ihnen dabei zu helfen, Aktivitäten, Dateien mit vertraulichen Informationen, Benutzer und zusätzliche Details zu identifizieren, die für eine Untersuchung relevant sind.
Wichtig
Überprüfen Sie unbedingt die Antworten von Security Copilot auf Richtigkeit und Vollständigkeit, bevor Sie maßnahmen, die auf den bereitgestellten Informationen basieren. Sie können Feedback geben, um die Genauigkeit der Antworten zu verbessern.
Datensuche
Security Copilot die Verwendung aller für Microsoft Purview verfügbaren Daten, Filter und Filtersätze, die im Aktivitäts-Explorer verfügbar sind, und verwendet maschinelles Lernen, um Ihnen Einblicke in die Aktivität (manchmal auch als Datensuche bezeichnet) zu Ihren Daten zu geben, die für Sie am wichtigsten sind.
- Zeige mir die top 5 Aktivitäten der letzten Woche
- Filtern und Untersuchen von Aktivitäten
- Suchen von Dateien, die in bestimmten Aktivitäten verwendet werden
Wenn Sie eine Eingabeaufforderung auswählen, wird automatisch die Security Copilot Karte geöffnet und die Ergebnisse der Abfrage angezeigt. Anschließend können Sie die Abfrage weiter verfeinern.
Natürliche Sprache zum Filtern der Satzgenerierung
Sie können das Eingabeaufforderungsfeld verwenden, um komplexe Abfragen in natürlicher Sprache einzugeben, um Filtersätze zu generieren. Sie können beispielsweise Folgendes eingeben:
"In die Cloud kopierte Dateien mit Guthaben vom Typ vertraulicher Informationen Karte Nummer der letzten 30 Tage filtern und untersuchen."
Security Copilot generieren einen Filtersatz für Ihre Abfrage. Überprüfen Sie dann den Filter, um sicherzustellen, dass er ihren Wünschen entspricht, und dann können Sie ihn auf die Daten anwenden.
Tipp
Wenn Sie kein E5-Kunde sind, verwenden Sie die 90-tägige Testversion von Microsoft Purview-Lösungen, um zu erfahren, wie zusätzliche Purview-Funktionen Ihre Organisation bei der Verwaltung von Datensicherheits- und Complianceanforderungen unterstützen können. Starten Sie jetzt im Testhub für Microsoft Purview-Complianceportal. Erfahren Sie mehr über Anmelde- und Testbedingungen.
Voraussetzungen
SKU/Abonnement-Lizenzierung
Bevor Sie mit der Verwendung von DLP-Richtlinien beginnen, bestätigen Sie Ihr Microsoft 365-Abonnement und alle Add-Ons.
Informationen zur Lizenzierung finden Sie unter Microsoft 365, Office 365, Enterprise Mobility + Security und Windows 11 Subscriptions for Enterprises.
Berechtigungen
Einem Konto muss explizit die Mitgliedschaft in einer dieser Rollengruppen zugewiesen werden, oder die Rolle muss explizit zugewiesen werden.
Rollen und rollen Gruppen
Es gibt Rollen und Rollengruppen, mit denen Sie Ihre Zugriffssteuerungen optimieren können. Weitere Informationen hierzu finden Sie unter Berechtigungen im Microsoft Purview-Complianceportal.
Microsoft Purview-Rollen
- Information Protection-Administrator
- Information Protection-Analyst
- Information Protection-Ermittler
- Information Protection-Leser
Microsoft Purview Role Gruppen
- Informationsschutz
- Information Protection-Administratoren
- Information Protection-Ermittler
- Information Protection-Analysten
- Information Protection-Leser
Microsoft 365-Rollen
- Complianceadministratoren
- Sicherheitsadministratoren
- Compliancedatenadministratoren
Microsoft 365 Role Gruppen
- Complianceadministrator
- Sicherheitsadministrator
- Sicherheitsleseberechtigter
Aktivitätstypen
Der Aktivitäts-Explorer sammelt Informationen aus den Überwachungsprotokollen mehrerer Quellen von Aktivitäten.
Einige Beispiele für die Aktivitäten für Vertraulichkeitsbezeichnungen und Aufbewahrungsbezeichnungen von Anwendungen, die nativ in Microsoft Office, microsoft Information Protection Client und Scanner, SharePoint, Exchange (nur Vertraulichkeitsbezeichnungen) und OneDrive sind:
- Bezeichnung angewendet
- Bezeichnung geändert (aktualisiert, heruntergestuft oder entfernt)
- Simulation der automatischen Bezeichnung
- Datei gelesen
Um die aktuelle Liste der im Aktivitäts-Explorer aufgeführten Aktivitäten anzuzeigen, wechseln Sie zum Aktivitäts-Explorer, und öffnen Sie den Akitivitätsfilter. Die Liste der Aktivitäten ist in der Dropdownliste verfügbar.
Die bezeichnungsspezifische Aktivität für den Microsoft Information Protection-Client und -Scanner, der im Aktivitäts-Explorer enthalten ist, umfasst:
- Schutz angewendet
- Schutz geändert
- Schutz entfernt
- Dateien ermittelt
Ausführlichere Informationen dazu, welche Bezeichnungsaktivität sie in den Aktivitäts-Explorer übernimmt, finden Sie unter Bezeichnungsereignisse, die im Aktivitäts-Explorer verfügbar sind.
Darüber hinaus sammelt der Aktivitäts-Explorer mithilfe der Verhinderung von Datenverlust (Data Loss Prevention, DLP)DLP-Richtlinien, die ereignisse von Exchange, SharePoint, OneDrive, Teams Chat und Channel, lokalen SharePoint-Ordnern und -Bibliotheken, lokalen Dateifreigaben und Geräten, auf denen Windows 10, Windows 11 und einer der drei neuesten Hauptversionen von macOS ausgeführt werden. Einige Beispielereignisse, die von Windows 10 Geräten gesammelt wurden, umfassen die folgenden Aktionen, die für Dateien ausgeführt werden:
- Löschung
- Kreation
- In Zwischenablage kopieren
- Ändern
- Lesen
- Umbenennen
- In Netzwerkfreigabe kopieren
- Zugriff durch eine nicht zulässige App
Wenn Sie die Aktionen verstehen, die für Inhalte mit Vertraulichkeitsbezeichnungen ausgeführt werden, können Sie feststellen, ob die von Ihnen eingerichteten Steuerelemente, z. B. Microsoft Purview Data Loss Prevention Richtlinien, wirksam sind. Falls nicht, oder wenn Sie unerwartete Elemente entdecken (z. B. eine große Anzahl von Elementen highly confidential , die in generalherabgestuft wurden), können Sie Ihre Richtlinien verwalten und neue Aktionen ergreifen, um das unerwünschte Verhalten einzuschränken.
Hinweis
Der Aktivitäts-Explorer überwacht derzeit keine Aufbewahrungsaktivitäten für Exchange.
Hinweis
Falls die Teams DLP-Bewertung vom Benutzer als falsch positiv gemeldet wird, wird die Aktivität als DLP-Informationenin der Liste im Aktivitäts-Explorer angezeigt. Der Eintrag enthält keine Details zur Regel- und Richtlinieneinstimmung, sondern zeigt synthetische Werte an. Es wird auch kein Vorfallbericht für falsch positive Berichte generiert.
Aktivitätstypereignisse und -warnungen
In dieser Tabelle sind die Ereignisse aufgeführt, die in Activity Explorer für drei Beispielrichtlinienkonfigurationen ausgelöst werden, je nachdem, ob eine Richtlinien-Übereinstimmung erkannt wird.
| Richtlinienkonfiguration | Für diesen Aktionstyp ausgelöstes Aktivitätsereignis Explorer | Aktivität Explorer Ereignis ausgelöst, wenn eine DLP-Regel abgeglichen wird | Ausgelöste Aktivitätswarnung Explorer |
|---|---|---|---|
| Die Richtlinie enthält eine einzelne Regel, die die Aktivität ohne Überwachung zulässt. | Ja | Nein | Nein |
| Die Richtlinie enthält zwei Regeln: Übereinstimmungen für Regel Nr. 1 sind zulässig; Richtlinien-Übereinstimmungen für Regel Nr. 2 werden überwacht. | Ja (Nur Regel Nr. 2) |
Ja (Nur Regel Nr. 2) |
Ja (Nur Regel Nr. 2) |
| Die Richtlinie enthält zwei Regeln: Übereinstimmungen für beide Regeln sind zulässig und werden nicht überwacht. | Ja | Nein | Nein |