การวางแผนการใช้งาน Power BI: Defender สําหรับ Cloud Apps สําหรับ Power BI
หมายเหตุ
บทความนี้เป็นส่วนหนึ่งของ ชุดการวางแผน การใช้งาน Power BI ของบทความ ชุดข้อมูลนี้เน้นไปที่ประสบการณ์การใช้งาน Power BI ภายใน Microsoft Fabric เป็นหลัก สําหรับบทนําสู่ชุดข้อมูล โปรดดู ที่ การวางแผนการใช้งาน Power BI
บทความนี้อธิบายกิจกรรมการวางแผนที่เกี่ยวข้องกับการใช้งาน Defender สําหรับ Cloud Apps เนื่องจากเกี่ยวข้องกับการตรวจสอบ Power BI ซึ่งมีการกําหนดเป้าหมายที่:
- ผู้ดูแลระบบ Power BI: ผู้ดูแลระบบที่รับผิดชอบในการตรวจสอบ Power BI ในองค์กร ผู้ดูแลระบบ Power BI จําเป็นต้องทํางานร่วมกับความปลอดภัยของข้อมูลและทีมที่เกี่ยวข้องอื่น ๆ
- ทีม ศูนย์แห่งความเป็นเลิศ ทีมไอที และ BI: คนอื่น ๆ ที่มีหน้าที่ดูแล Power BI ในองค์กร พวกเขาอาจจําเป็นต้องทํางานร่วมกับผู้ดูแลระบบ Power BI ทีมรักษาความปลอดภัยของข้อมูล และทีมอื่น ๆ ที่เกี่ยวข้อง
สำคัญ
การตรวจสอบและป้องกันการสูญหายของข้อมูล (DLP) เป็นการดําเนินการที่มีความสําคัญทั่วทั้งองค์กร ขอบเขตและผลกระทบของมันมีค่ามากกว่า Power BI เพียงอย่างเดียว โครงการประเภทนี้จําเป็นต้องมีเงินทุน การจัดลําดับความสําคัญ และการวางแผน คาดว่าจะเกี่ยวข้องกับทีมข้ามหลายทีมในการวางแผนการใช้งานและความพยายามในการมองข้าม
เราขอแนะนําให้คุณปฏิบัติตามขั้นตอนที่ทีละน้อยเพื่อเผยแพร่ Defender สําหรับ Cloud Apps สําหรับการตรวจสอบ Power BI สําหรับคําอธิบายประเภทของระยะการเผยแพร่ที่คุณควรพิจารณา โปรดดู การป้องกันข้อมูลสําหรับ Power BI (ขั้นตอนการเผยแพร่)
วัตถุประสงค์ในการตรวจสอบ
Microsoft Defender สําหรับ Cloud Apps (เดิมชื่อ Microsoft Cloud App Security) เป็น Cloud Access Security Broker (CASB) ที่สนับสนุนโหมดการปรับใช้ต่าง ๆ มีชุดความสามารถที่ขยายกว้างเกินกว่าขอบเขตของบทความนี้ ความสามารถบางอย่างเป็นแบบเรียลไทม์ในขณะที่ความสามารถอื่นไม่ได้แบบเรียลไทม์
นี่คือตัวอย่างบางส่วนของการตรวจสอบแบบเรียลไทม์ที่คุณสามารถใช้ได้
- บล็อกการดาวน์โหลดจากบริการของ Power BI : คุณสามารถสร้างนโยบายเซสชัน บล็อกกิจกรรมของผู้ใช้บางชนิด ตัวอย่างเช่น เมื่อผู้ใช้พยายามดาวน์โหลดรายงานจากบริการของ Power BI ที่ได้รับการกําหนดป้ายชื่อระดับความลับที่มีข้อจํากัดสูง การดําเนินการดาวน์โหลดสามารถบล็อกได้ในแบบเรียลไทม์
- บล็อกการเข้าถึงบริการของ Power BI โดยอุปกรณ์ที่ไม่มีการจัดการ : คุณสามารถสร้างนโยบายการเข้าถึง เพื่อป้องกันไม่ให้ผู้ใช้เข้าถึงแอปพลิเคชันบางตัวเว้นแต่ว่าพวกเขากําลังใช้อุปกรณ์ที่มีการจัดการ ตัวอย่างเช่น เมื่อผู้ใช้พยายามเข้าถึงบริการของ Power BI จากโทรศัพท์มือถือส่วนบุคคลของพวกเขา ซึ่งการดําเนินการนั้นสามารถถูกบล็อกได้
นี่คือตัวอย่างบางส่วนของความสามารถอื่น ๆ ที่ไม่ใช่แบบเรียลไทม์
- ตรวจหาและแจ้งเตือนกิจกรรมบางอย่างในบริการของ Power BI: คุณสามารถสร้างนโยบายกิจกรรม เพื่อสร้างการแจ้งเตือนเมื่อมีกิจกรรมบางชนิดเกิดขึ้น ตัวอย่างเช่น เมื่อกิจกรรมการจัดการเกิดขึ้นในบริการของ Power BI (ระบุว่าการตั้งค่าผู้เช่ามีการเปลี่ยนแปลง) คุณจะได้รับการแจ้งเตือนทางอีเมล
- ตรวจสอบกิจกรรมการรักษาความปลอดภัยขั้นสูง: คุณสามารถดูและตรวจสอบกิจกรรมการลงชื่อเข้าใช้และความปลอดภัย ความผิดปกติ และการละเมิดได้ คุณสามารถยกการแจ้งเตือนสําหรับสถานการณ์ต่าง ๆ เช่น กิจกรรมที่น่าสงสัย สถานที่ที่ไม่คาดคิด หรือตําแหน่งที่ตั้งใหม่
- ตรวจสอบกิจกรรมของผู้ใช้: คุณสามารถดูและตรวจสอบกิจกรรมของผู้ใช้ ตัวอย่างเช่น ผู้ดูแลระบบ Power BI อาจได้รับสิทธิ์ในการดูบันทึกกิจกรรม Power BI นอกเหนือจากความถี่ในการลงชื่อเข้าใช้ของผู้ใช้ภายใน Defender สําหรับ Cloud Apps
- ตรวจหาและแจ้งเตือนพฤติกรรมผิดปกติในบริการของ Power BI: มีนโยบายที่มีอยู่ภายในสําหรับการตรวจหาสิ่งผิดปกติ ตัวอย่างเช่น เมื่อผู้ใช้ดาวน์โหลดหรือส่งออกเนื้อหาจากบริการของ Power BI บ่อยกว่ารูปแบบปกติอย่างมาก คุณสามารถรับการแจ้งเตือนทางอีเมลได้
- ค้นหาแอปพลิเคชันที่ไม่ได้ส่ง: คุณสามารถค้นหาแอปพลิเคชันที่ไม่ได้ใช้งานได้ในองค์กร ตัวอย่างเช่น คุณอาจกังวลเกี่ยวกับผู้ใช้ที่แชร์ไฟล์ (เช่น ไฟล์ Power BI Desktop หรือไฟล์ Excel) บนระบบการแชร์ไฟล์ของบุคคลที่สาม คุณสามารถบล็อกการใช้แอปพลิเคชันที่ไม่ได้ทํางานแล้วจึงติดต่อผู้ใช้เพื่อให้ความรู้เกี่ยวกับวิธีการที่เหมาะสมในการแชร์และทํางานร่วมกับผู้อื่น
เคล็ดลับ
พอร์ทัลใน Defender for Cloud Apps คือสถานที่ที่สะดวกในการดูกิจกรรมและการแจ้งเตือนโดยไม่ต้องสร้างสคริปต์เพื่อแยกและดาวน์โหลดข้อมูล ประโยชน์นี้รวมถึงการดูข้อมูลจากบันทึกกิจกรรม Power BI
Power BI เป็นหนึ่งในแอปพลิเคชันและบริการมากมายที่สามารถรวมเข้ากับ Defender สําหรับ Cloud Apps ถ้าคุณกําลังใช้ Defender สําหรับ Cloud Apps เพื่อวัตถุประสงค์อื่น ๆ คุณสามารถใช้เพื่อตรวจสอบ Power BI ได้เช่นกัน
นโยบายที่สร้างขึ้นใน Defender สําหรับ Cloud Apps เป็นรูปแบบของ DLP บทความการป้องกันการสูญหายของข้อมูลสําหรับ Power BI ครอบคลุมนโยบาย DLP สําหรับ Power BI ที่ถูกตั้งค่าในพอร์ทัลการปฏิบัติตามข้อบังคับของ Microsoft Purview เราขอแนะนําให้คุณใช้นโยบาย DLP สําหรับ Power BI ด้วยความสามารถที่อธิบายไว้ในบทความนี้ แม้ว่าจะมีแนวคิดที่ทับซ้อนกันแต่ความสามารถนั้นแตกต่างกัน
ข้อควรระวัง
บทความนี้มุ่งเน้นไปที่ความสามารถใน Microsoft Defender สําหรับ Cloud Apps ที่สามารถใช้ในการตรวจสอบและปกป้องเนื้อหา Power BI มีความสามารถอื่น ๆ อีกมากมายใน Defender สําหรับ Cloud Apps ที่ไม่ได้ครอบคลุมในบทความนี้ ตรวจสอบให้แน่ใจว่าได้ทํางานกับผู้เกี่ยวข้องและผู้ดูแลระบบคนอื่น ๆ เพื่อตัดสินใจที่ทํางานได้ดีสําหรับแอปพลิเคชันทั้งหมดและกรณีการใช้งาน
ข้อกําหนดเบื้องต้นสําหรับ Defender สําหรับ Cloud Apps สําหรับ Power BI
ในตอนนี้ คุณควรดําเนินการขั้นตอนการวางแผนระดับองค์กรที่อธิบายไว้ในบทความการป้องกันการสูญหายของ ข้อมูลสําหรับ Power BI เสร็จสมบูรณ์แล้ว ก่อนดําเนินการ คุณควรมีความชัดเจนเกี่ยวกับ:
- สถานะปัจจุบัน : สถานะปัจจุบันของ DLP ในองค์กรของคุณ คุณควรมีความเข้าใจว่า DLP มีการใช้งานขอบเขตใดอยู่แล้ว และผู้ที่มีหน้าที่รับผิดชอบในการจัดการ
- เป้าหมายและข้อกําหนด : เป้าหมายเชิงกลยุทธ์ สําหรับการใช้ DLP ในองค์กรของคุณ การทําความเข้าใจเป้าหมายและข้อกําหนดจะทําหน้าที่เป็นแนวทางสําหรับความพยายามในการนําไปปฏิบัติของคุณ
โดยทั่วไปแล้ว การปกป้องข้อมูลจะถูกนํามาใช้ก่อนที่จะมีการใช้งาน DLP ถ้ามีการเผยแพร่ป้ายชื่อระดับความลับ (อธิบายไว้ใน บทความ การปกป้องข้อมูลสําหรับ Power BI ) ป้ายชื่อระดับความลับดังกล่าวสามารถใช้ได้ในนโยบายบางอย่างภายใน Defender สําหรับ Cloud Apps
คุณอาจมีการใช้ DLP สําหรับ Power BI อยู่แล้ว (อธิบายไว้ในบทความ การป้องกันการสูญหายของ ข้อมูลสําหรับ Power BI ) ความสามารถ DLP เหล่านั้นจะแตกต่างกับความสามารถที่ได้รับการจัดการในพอร์ทัลการปฏิบัติตามข้อบังคับของ Microsoft Purview ความสามารถ DLP ทั้งหมดที่อธิบายไว้ในบทความนี้ได้รับการจัดการในพอร์ทัล Defender for Cloud Apps
การตัดสินใจและการดําเนินการที่สําคัญ
คุณจะต้องทําการตัดสินใจที่สําคัญก่อนที่คุณจะพร้อมที่จะตั้งค่านโยบายใน Defender สําหรับ Cloud Apps
การตัดสินใจที่เกี่ยวข้องกับนโยบาย Defender สําหรับ Cloud Apps ควรสนับสนุน เป้าหมายและข้อกําหนด สําหรับการปกป้องข้อมูลที่คุณได้ระบุไว้ก่อนหน้านี้โดยตรง
ประเภทนโยบายและกิจกรรม
คุณจะต้องพิจารณาว่ากิจกรรมของผู้ใช้ใดที่คุณสนใจในการตรวจสอบ การบล็อก หรือการควบคุม ชนิดนโยบายใน Defender สําหรับ Cloud Apps มีผลต่อ:
- สิ่งที่คุณสามารถทําได้
- กิจกรรมใดสามารถรวมอยู่ในการกําหนดค่าได้
- ไม่ว่าตัวควบคุมจะเกิดขึ้นในแบบเรียลไทม์หรือไม่
นโยบายแบบเรียลไทม์
นโยบายการเข้าถึงและนโยบายเซสชันที่สร้างขึ้นใน Defender สําหรับ Cloud Apps ช่วยให้คุณสามารถตรวจสอบ บล็อก หรือควบคุมเซสชันของผู้ใช้ในแบบเรียลไทม์
นโยบายการเข้าถึงและนโยบายเซสชันช่วยให้คุณสามารถ:
-
ตอบสนองทางโปรแกรมในแบบเรียลไทม์: ตรวจหา แจ้ง และบล็อกความเสี่ยง ไม่ตั้งใจ หรือไม่เหมาะสมที่จะแชร์ข้อมูลที่มีความละเอียดอ่อน การดําเนินการเหล่านี้ช่วยให้คุณสามารถ:
- ปรับปรุงการตั้งค่าความปลอดภัยโดยรวมของผู้เช่า Power BI ของคุณ ด้วยระบบอัตโนมัติและข้อมูล
- เปิดใช้งานกรณีการใช้งานเชิงวิเคราะห์ที่เกี่ยวข้องกับข้อมูลที่ละเอียดอ่อนในลักษณะที่สามารถตรวจสอบได้
-
ให้ผู้ใช้มีการแจ้งเตือนตามบริบท: ความสามารถนี้ช่วยให้คุณสามารถ:
- ช่วยให้ผู้ใช้ทําการตัดสินใจที่ถูกต้องในระหว่างเวิร์กโฟลว์ปกติของพวกเขา
- แนะนําผู้ใช้ให้ปฏิบัติตามนโยบายการจัดประเภทข้อมูลและการป้องกันของคุณโดยไม่ส่งผลกระทบต่อประสิทธิภาพการทํางานของพวกเขา
เพื่อให้การควบคุมแบบเรียลไทม์ นโยบายการเข้าถึงและนโยบายเซสชันทํางานกับ Microsoft Entra ID โดยขึ้นอยู่กับความสามารถของพร็อกซีย้อนกลับของ การควบคุมแอปการเข้าถึงแบบมีเงื่อนไข แทนที่จะร้องขอและตอบกลับผู้ใช้ผ่านแอป (ในกรณีนี้คือบริการของ Power BI) พวกเขาจะเข้าผ่านพร็อกซีแบบย้อนกลับ (Defender สําหรับ Cloud Apps)
การเปลี่ยนเส้นทางไม่มีผลต่อประสบการณ์การใช้งานของผู้ใช้ อย่างไรก็ตาม URL สําหรับบริการของ Power BI จะเปลี่ยนไปhttps://app.powerbi.com.mcas.msเมื่อคุณได้ตั้งค่า Microsoft Entra ID สําหรับการควบคุมการเข้าถึงแอปแบบมีเงื่อนไขด้วย Power BI นอกจากนี้ ผู้ใช้จะได้รับการแจ้งเตือนเมื่อพวกเขาลงชื่อเข้าใช้บริการของ Power BI ที่ประกาศว่าแอปได้รับการตรวจสอบโดย Defender สําหรับ Cloud Apps
สำคัญ
นโยบายการเข้าถึงและนโยบายเซสชันทํางานในแบบเรียลไทม์ นโยบายประเภทอื่น ๆ ใน Defender สําหรับ Cloud Apps เกี่ยวข้องกับการหน่วงเวลาสั้น ๆ ในการแจ้งเตือน DLP และการตรวจสอบประเภทอื่น ๆ ส่วนใหญ่ยังมีประสบการณ์เวลาแฝง รวมถึง DLP สําหรับ Power BI และบันทึกกิจกรรม Power BI
นโยบายการเข้าถึง
นโยบายการเข้าถึงที่สร้างขึ้นใน Defender สําหรับ Cloud Apps จะควบคุมว่าผู้ใช้ได้รับอนุญาตให้ลงชื่อเข้าใช้แอปพลิเคชันระบบคลาวด์อย่างเช่นบริการของ Power BI ได้หรือไม่ องค์กรที่อยู่ในอุตสาหกรรมที่มีการควบคุมระดับสูงจะเกี่ยวข้องกับนโยบายการเข้าถึง
นี่คือตัวอย่างบางส่วนของวิธีที่คุณอาจใช้นโยบายการเข้าถึงเพื่อบล็อกการเข้าถึงบริการของ Power BI
- ผู้ใช้ที่ไม่คาดคิด : คุณสามารถบล็อกการเข้าถึงสําหรับผู้ใช้ที่ไม่ใช่สมาชิกของกลุ่มความปลอดภัยเฉพาะ ตัวอย่างเช่น นโยบายนี้อาจเป็นประโยชน์เมื่อคุณมีกระบวนการภายในที่สําคัญที่ติดตามผู้ใช้ Power BI ที่ได้รับการอนุมัติผ่านกลุ่มใดกลุ่มหนึ่ง
- อุปกรณ์ที่ไม่มีการจัดการ : คุณสามารถบล็อกการเข้าถึงสําหรับอุปกรณ์ส่วนบุคคลที่ไม่ได้จัดการโดยองค์กร
- จําเป็นต้องใช้การอัปเดต: คุณสามารถบล็อกการเข้าถึงสําหรับผู้ใช้ที่กําลังใช้เบราว์เซอร์หรือระบบปฏิบัติการที่ล้าสมัย
- ตําแหน่งที่ตั้ง: คุณสามารถบล็อกการเข้าถึงสําหรับตําแหน่งที่ตั้งที่คุณไม่มีสํานักงานหรือผู้ใช้ หรือจากที่อยู่ IP ที่ไม่รู้จัก
เคล็ดลับ
ถ้าคุณมีผู้ใช้ภายนอกที่เข้าถึงผู้เช่า Power BI หรือพนักงานที่เดินทางบ่อย นั่นอาจส่งผลต่อวิธีที่คุณกําหนดนโยบายการควบคุมการเข้าถึงของคุณ นโยบายประเภทเหล่านี้มักจัดการโดยไอที
นโยบายเซสชัน
นโยบายเซสชันมีประโยชน์เมื่อคุณไม่ต้องการอนุญาตหรือบล็อกการเข้าถึงโดยสมบูรณ์ (ซึ่งสามารถทําได้ด้วยนโยบายการเข้าถึงตามที่อธิบายไว้ก่อนหน้านี้) โดยเฉพาะจะช่วยให้ผู้ใช้เข้าถึงในขณะที่ตรวจสอบหรือจํากัดสิ่งที่เกิดขึ้นในระหว่างเซสชันของพวกเขา
ต่อไปนี้เป็นตัวอย่างของวิธีที่คุณสามารถใช้นโยบายเซสชันเพื่อตรวจสอบ บล็อก หรือควบคุมเซสชันของผู้ใช้ในบริการของ Power BI
- บล็อกจะดาวน์โหลด: บล็อกการดาวน์โหลดและส่งออกเมื่อมีป้ายชื่อระดับความลับเฉพาะ เช่น ที่ถูกจํากัดอย่างมาก ถูกกําหนดให้กับรายการในบริการของ Power BI
- ตรวจสอบการลงชื่อเข้าใช้: ตรวจสอบเมื่อผู้ใช้ที่ตรงตามเงื่อนไขบางอย่าง ลงชื่อเข้าใช้ ตัวอย่างเช่น ผู้ใช้อาจเป็นสมาชิกของกลุ่มความปลอดภัยเฉพาะ หรือพวกเขากําลังใช้อุปกรณ์ส่วนบุคคลที่ไม่ได้จัดการโดยองค์กร
เคล็ดลับ
การสร้างนโยบายเซสชัน (ตัวอย่างเช่น เพื่อป้องกันการดาวน์โหลด) สําหรับเนื้อหาที่กําหนดให้กับป้ายชื่อระดับความลับเฉพาะ เช่น จํากัดอย่างมาก เป็นหนึ่งในกรณีการใช้งานที่มีประสิทธิภาพที่สุดสําหรับตัวควบคุมเซสชันแบบเรียลไทม์ด้วย Power BI
นอกจากนี้ยังสามารถควบคุมการอัปโหลดไฟล์ด้วยนโยบายเซสชันได้ อย่างไรก็ตาม โดยทั่วไปแล้ว คุณต้องการกระตุ้นให้ผู้ใช้ BI แบบบริการตนเองอัปโหลดเนื้อหาไปยังบริการของ Power BI (แทนการแชร์ไฟล์ Power BI Desktop) ดังนั้น ให้คิดอย่างรอบคอบเกี่ยวกับการบล็อกการอัปโหลดไฟล์
รายการ ตรวจสอบ - เมื่อวางแผนนโยบายแบบเรียลไทม์ของคุณใน Defender สําหรับ Cloud Apps การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- ระบุกรณีการใช้งานเพื่อบล็อกการเข้าถึง: รวบรวมรายการของสถานการณ์เมื่อบล็อกการเข้าถึงบริการ Power BI อย่างเหมาะสม
- ระบุกรณีการใช้งานเพื่อตรวจสอบลงชื่อเข้าใช้: รวบรวมรายการของสถานการณ์สําหรับเมื่อตรวจสอบการลงชื่อเข้าใช้บริการของ Power BI เหมาะสม
- ระบุกรณีการใช้งานเพื่อบล็อกการดาวน์โหลด: ระบุว่าการดาวน์โหลดจากบริการ Power BI ควรถูกบล็อกเมื่อใด กําหนดป้ายชื่อระดับความลับที่ควรรวมไว้
นโยบายกิจกรรม
นโยบาย กิจกรรมใน Defender สําหรับ Cloud Apps ไม่ทํางานในแบบเรียลไทม์
คุณสามารถตั้งค่านโยบายกิจกรรมเพื่อตรวจสอบเหตุการณ์ที่บันทึกไว้ในบันทึกกิจกรรม Power BI ได้ นโยบายสามารถดําเนินการในกิจกรรมเดียว หรือสามารถดําเนินการในกิจกรรมซ้ํา ๆ โดยผู้ใช้คนเดียว (เมื่อกิจกรรมเฉพาะเกิดขึ้นมากกว่าจํานวนครั้งที่กําหนดไว้ภายในจํานวนนาทีที่กําหนด)
คุณสามารถใช้นโยบายกิจกรรมเพื่อตรวจสอบกิจกรรมในบริการของ Power BI ด้วยวิธีต่างๆ นี่คือตัวอย่างบางส่วนของสิ่งที่คุณสามารถทําได้
- เนื้อหาที่มีสิทธิ์ในการเข้าชมของผู้ใช้ที่ไม่ได้รับอนุญาตหรือที่ไม่คาดคิด: ผู้ใช้ที่ไม่ใช่สมาชิกของกลุ่มความปลอดภัยเฉพาะ (หรือผู้ใช้ภายนอก) ได้ดูรายงานที่มีสิทธิ์พิเศษสูงที่มอบให้กับคณะกรรมการ
การตั้งค่าผู้เช่าอัปเดตโดยไม่ได้รับอนุญาตหรือที่ไม่คาดคิด : ผู้ใช้ที่ไม่ใช่สมาชิกของกลุ่มความปลอดภัยเฉพาะ เช่น กลุ่ม ผู้ดูแลระบบ Power BIมีการอัปเดตการตั้งค่าผู้เช่าในบริการของ Power BI คุณยังสามารถเลือกรับการแจ้งเตือนทุกครั้งที่มีการอัปเดตการตั้งค่าผู้เช่า - การลบจํานวนมาก: ผู้ใช้ลบพื้นที่ทํางานหรือรายงานมากกว่า 20 รายการในช่วงเวลาน้อยกว่า 10 นาที
- การดาวน์โหลดจํานวนมาก: ผู้ใช้ได้ดาวน์โหลดรายงานมากกว่า 30 รายงานในช่วงเวลาน้อยกว่าห้านาที
ชนิดของการแจ้งเตือนนโยบายกิจกรรมที่อธิบายไว้ในส่วนนี้มักจัดการโดยผู้ดูแลระบบ Power BI ในฐานะส่วนหนึ่งของการกํากับดูแล Power BI เมื่อตั้งค่าการแจ้งเตือนภายใน Defender สําหรับ Cloud Apps เราขอแนะนําให้คุณมุ่งเน้นไปที่สถานการณ์ที่แสดงความเสี่ยงที่สําคัญต่อองค์กร นั่นเป็นเพราะว่าการแจ้งเตือนแต่ละรายการจะต้องได้รับการตรวจสอบและปิดโดยผู้ดูแลระบบ
คำเตือน
เนื่องจากเหตุการณ์การบันทึกกิจกรรมของ Power BI ไม่พร้อมใช้งานในแบบเรียลไทม์ จึงไม่สามารถใช้สําหรับการตรวจสอบหรือบล็อกแบบเรียลไทม์ได้ อย่างไรก็ตาม คุณสามารถใช้การดําเนินการจากบันทึกกิจกรรมในนโยบายกิจกรรมได้ ตรวจสอบให้แน่ใจว่าได้ทํางานร่วมกับทีมรักษาความปลอดภัยของข้อมูลเพื่อตรวจสอบว่าอะไรเป็นไปได้ทางเทคนิคก่อนที่คุณจะเข้าสู่กระบวนการวางแผนมากเกินไป
รายการ ตรวจสอบ - เมื่อวางแผนนโยบายกิจกรรม การตัดสินใจและการดําเนินการที่สําคัญของคุณ ประกอบด้วย:
- ระบุกรณีการใช้งานสําหรับการตรวจสอบกิจกรรม : รวบรวมรายการกิจกรรมเฉพาะจากบันทึกกิจกรรม Power BI ที่แสดงความเสี่ยงที่สําคัญต่อองค์กร พิจารณาว่าความเสี่ยงเกี่ยวข้องกับกิจกรรมเดียวหรือกิจกรรมที่ซ้ํากันหรือไม่
- ประสานงานกับผู้ดูแลระบบ Power BI: พูดคุยเกี่ยวกับกิจกรรม Power BI ที่จะตรวจสอบใน Defender สําหรับ Cloud Apps ตรวจสอบให้แน่ใจว่าไม่มีการทําซ้ําความพยายามระหว่างผู้ดูแลระบบที่แตกต่างกัน
ผู้ใช้ที่ได้รับผลกระทบ
หนึ่งในเหตุผลที่น่าสนใจในการผสานรวม Power BI กับ Defender สําหรับ Cloud Apps คือการใช้ประโยชน์จากตัวควบคุมแบบเรียลไทม์เมื่อผู้ใช้โต้ตอบกับบริการของ Power BI การรวมประเภทนี้จําเป็นต้องมี การควบคุม แอปการเข้าถึงแบบมีเงื่อนไขใน Microsoft Entra ID
ก่อนที่จะตั้งค่าการควบคุมการเข้าถึงแอปแบบมีเงื่อนไขใน Microsoft Entra ID คุณจะต้องพิจารณาว่าผู้ใช้รายใดจะถูกรวมอยู่ด้วย โดยปกติแล้ว จะรวมผู้ใช้ทั้งหมดด้วย อย่างไรก็ตาม อาจมีเหตุผลในการแยกผู้ใช้ที่เฉพาะเจาะจงออก
เคล็ดลับ
เมื่อตั้งค่านโยบายการเข้าถึงแบบมีเงื่อนไข เป็นไปได้ว่าผู้ดูแลระบบ Microsoft Entra ของคุณจะไม่รวมบัญชีผู้ดูแลระบบเฉพาะรายใดบัญชีหนึ่ง วิธีการดังกล่าวจะป้องกันไม่ให้ผู้ดูแลระบบล็อก เราขอแนะนําให้บัญชีที่ถูกแยกออกเป็นผู้ดูแลระบบ Microsoft Entra แทนที่จะเป็นผู้ใช้ Power BI มาตรฐาน
นโยบายบางประเภทใน Defender สําหรับ Cloud Apps สามารถนําไปใช้กับผู้ใช้และกลุ่มบางกลุ่มได้ นโยบายประเภทเหล่านี้ใช้ได้กับผู้ใช้ทั้งหมดบ่อยที่สุด อย่างไรก็ตาม อาจเป็นไปได้ว่าคุณจะพบสถานการณ์ที่คุณจะต้องแยกผู้ใช้บางรายออก
รายการตรวจสอบ - เมื่อพิจารณาว่าผู้ใช้รายใดได้รับผลกระทบ การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- พิจารณาว่าผู้ใช้รายใดถูกรวม: ยืนยันว่าผู้ใช้ทั้งหมดจะถูกรวมอยู่ในนโยบายการควบคุมการเข้าถึงแอปแบบมีเงื่อนไข Microsoft Entra ของคุณหรือไม่
- ระบุว่าบัญชีผู้ดูแลบัญชีใดควรถูกแยกออก: กําหนดว่าบัญชีผู้ดูแลระบบเฉพาะใดควรถูกแยกออกจากนโยบายการควบคุมการเข้าถึงแอปแบบมีเงื่อนไขของ Microsoft Entra
- พิจารณาว่านโยบาย Defender บางตัวใช้กับกลุ่มย่อยของผู้ใช้หรือไม่ : สําหรับกรณีการใช้งานที่ถูกต้องให้พิจารณาว่าพวกเขาควรสามารถใช้ได้กับผู้ใช้ทั้งหมดหรือบางราย (เมื่อเป็นไปได้)
การรับส่งข้อความของผู้ใช้
เมื่อระบุกรณีการใช้งานแล้ว คุณจะต้องพิจารณาว่าสิ่งใดจะเกิดขึ้นเมื่อมีกิจกรรมของผู้ใช้ที่ตรงกับนโยบาย
เมื่อกิจกรรมถูกบล็อกในแบบเรียลไทม์ สิ่งสําคัญคือให้ข้อความแบบกําหนดเองแก่ผู้ใช้ ข้อความจะมีประโยชน์เมื่อคุณต้องการให้คําแนะนําและการตระหนักแก่ผู้ใช้ของคุณมากขึ้นระหว่างเวิร์กโฟลว์ปกติ มีแนวโน้มที่ผู้ใช้จะอ่านและดูดซับการแจ้งเตือนผู้ใช้เมื่อพวกเขากําลัง:
- เฉพาะ: เชื่อมโยงข้อความกับนโยบายทําให้เข้าใจง่าย
- ที่สามารถดําเนินการได้: เสนอคําแนะนําสําหรับสิ่งที่พวกเขาต้องทําหรือวิธีการค้นหาข้อมูลเพิ่มเติม
นโยบายบางประเภทใน Defender สําหรับ Cloud Apps สามารถมีข้อความที่กําหนดเองได้ นี่คือสองตัวอย่างของการแจ้งเตือนผู้ใช้
ตัวอย่างที่ 1: คุณสามารถกําหนดนโยบายการควบคุมเซสชันแบบเรียลไทม์ที่ป้องกันไม่ให้ส่งออกและดาวน์โหลดทั้งหมดเมื่อป้ายชื่อระดับความลับสําหรับรายการ Power BI (เช่นแบบจําลองรายงานหรือแบบจําลองความหมาย) ถูกตั้งค่าเป็น ที่มีการจํากัดสูง ข้อความบล็อกแบบกําหนดเองใน Defender สําหรับ Cloud Apps อ่าน: ไฟล์ที่มีป้ายชื่อที่ถูกจํากัดสูงไม่ได้รับอนุญาตให้ดาวน์โหลดจากบริการของ Power BI โปรดดูเนื้อหาออนไลน์ในบริการของ Power BI ติดต่อทีมสนับสนุน Power BI เพื่อสอบถามข้อมูลเพิ่มเติม
ตัวอย่างที่ 2: คุณสามารถกําหนดนโยบายการเข้าถึงแบบเรียลไทม์ที่ป้องกันไม่ให้ผู้ใช้ลงชื่อเข้าใช้บริการของ Power BI เมื่อพวกเขาไม่ได้ใช้เครื่องที่จัดการโดยองค์กร ข้อความบล็อกแบบกําหนดเองใน Defender สําหรับ Cloud Apps จะอ่าน: บริการของ Power BI อาจไม่สามารถเข้าถึงได้บนอุปกรณ์ส่วนบุคคล โปรดใช้อุปกรณ์ที่ให้มาโดยองค์กร ติดต่อทีมสนับสนุน Power BI เพื่อสอบถามข้อมูลเพิ่มเติม
รายการตรวจสอบ - เมื่อพิจารณาข้อความผู้ใช้ใน Defender สําหรับ Cloud Apps การตัดสินใจที่สําคัญและการดําเนินการรวมถึง:
- ตัดสินใจว่าเมื่อใดที่ต้องการบล็อกข้อความที่กําหนดเอง: สําหรับแต่ละนโยบายที่คุณต้องการสร้าง กําหนดว่าจะต้องมีข้อความบล็อกที่กําหนดเองหรือไม่
- สร้างข้อความที่บล็อกแบบกําหนดเอง: สําหรับแต่ละนโยบาย ให้กําหนดว่าข้อความใดควรแสดงให้ผู้ใช้ดู วางแผนการเชื่อมโยงแต่ละข้อความไปยังนโยบายเพื่อให้มีความเฉพาะเจาะจงและสามารถดําเนินการได้
การแจ้งเตือนจากผู้ดูแลระบบ
การแจ้งเตือนจะเป็นประโยชน์เมื่อคุณต้องการทําให้ผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบของคุณทราบว่ามีการละเมิดนโยบายเกิดขึ้น เมื่อคุณกําหนดนโยบายใน Defender สําหรับ Cloud Apps ให้พิจารณาว่าควรสร้างการแจ้งเตือนหรือไม่ สําหรับข้อมูลเพิ่มเติม ดู ชนิด การแจ้งเตือนใน Defender สําหรับ Cloud Apps
อีกทางหนึ่งคือ คุณสามารถตั้งค่าการแจ้งเตือนเพื่อส่งอีเมลไปยังผู้ดูแลระบบหลายคนได้ เมื่อจําเป็นต้องมีการแจ้งเตือนทางอีเมล เราขอแนะนําให้คุณใช้กลุ่มความปลอดภัยที่เปิดใช้งานเมล ตัวอย่างเช่น คุณอาจใช้กลุ่มที่ชื่อ ว่าการแจ้งเตือนผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบ
สําหรับสถานการณ์ที่มีลําดับความสําคัญสูง คุณสามารถส่งการแจ้งเตือนทางข้อความได้ นอกจากนี้ยังเป็นไปได้ที่จะสร้างการแจ้งเตือนอัตโนมัติและเวิร์กโฟลว์แบบกําหนดเองโดยการรวมกับ Power Automate
คุณสามารถตั้งค่าการแจ้งเตือนแต่ละรายการด้วยความรุนแรงต่ํา กลาง หรือสูงได้ ระดับความรุนแรงจะมีประโยชน์เมื่อจัดลําดับความสําคัญของการตรวจสอบการแจ้งเตือนที่เปิดอยู่ ผู้ดูแลระบบจะต้องตรวจทานและดําเนินการกับการแจ้งเตือนแต่ละรายการ การแจ้งเตือนสามารถปิดได้ทั้งค่าบวกจริง บวกเท็จ หรือเป็นภัยพิบัจ
นี่คือสองตัวอย่างของการแจ้งเตือนผู้ดูแลระบบ
ตัวอย่างที่ 1: คุณสามารถกําหนดนโยบายการควบคุมเซสชันแบบเรียลไทม์ที่ป้องกันไม่ให้ส่งออกและดาวน์โหลดทั้งหมดเมื่อป้ายชื่อระดับความลับสําหรับรายการ Power BI (เช่นแบบจําลองรายงานหรือแบบจําลองความหมาย) ถูกตั้งค่าเป็น ที่มีการจํากัดสูง มีข้อความบล็อกแบบกําหนดเองที่เป็นประโยชน์สําหรับผู้ใช้ อย่างไรก็ตาม ในสถานการณ์นี้ไม่จําเป็นต้องสร้างการแจ้งเตือน
ตัวอย่างที่ 2: คุณสามารถกําหนดนโยบายกิจกรรมที่ติดตามว่าผู้ใช้ภายนอกได้ดูรายงานที่มีสิทธิ์พิเศษที่มอบให้กับคณะกรรมการหรือไม่ คุณสามารถตั้งค่าการแจ้งเตือนความรุนแรงสูงเพื่อให้แน่ใจว่ากิจกรรมนั้นได้รับการตรวจสอบทันที
เคล็ดลับ
ตัวอย่างที่ 2 เน้นความแตกต่างระหว่างการปกป้องข้อมูลและความปลอดภัย นโยบายกิจกรรมสามารถช่วยระบุสถานการณ์ที่ผู้ใช้ BI แบบบริการตนเองมีสิทธิ์ในการจัดการความปลอดภัยสําหรับเนื้อหา แต่ผู้ใช้เหล่านี้สามารถดําเนินการที่ไม่สนับสนุนโดยนโยบายขององค์กรได้ เราขอแนะนําให้คุณตั้งค่านโยบายประเภทเหล่านี้เฉพาะในกรณีเฉพาะเมื่อข้อมูลมีความอ่อนไหวเป็นพิเศษ
รายการ ตรวจสอบ - เมื่อพิจารณาการแจ้งเตือนสําหรับผู้ดูแลระบบใน Defender สําหรับ Cloud Apps การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- ตัดสินใจว่าเมื่อใดที่ต้องมีการแจ้งเตือน: สําหรับแต่ละนโยบายที่คุณต้องการสร้าง ตัดสินใจว่าสถานการณ์ใดที่รับประกันโดยใช้การแจ้งเตือน
- ชี้แจงบทบาทและความรับผิดชอบ: กําหนดความคาดหวังและการดําเนินการที่ควรดําเนินการเมื่อสร้างการแจ้งเตือน
- กําหนดว่าใครจะได้รับการแจ้งเตือน: ตัดสินใจว่าผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบคนใดจะตรวจทานและดําเนินการเปิดการแจ้งเตือน ยืนยันสิทธิ์และข้อกําหนดสิทธิ์การใช้งานสําหรับผู้ดูแลระบบแต่ละรายที่จะใช้ Defender สําหรับ Cloud Apps
- สร้างกลุ่มใหม่: เมื่อจําเป็น ให้สร้างกลุ่มความปลอดภัยที่เปิดใช้งานอีเมลใหม่เพื่อใช้สําหรับการแจ้งเตือนทางอีเมล
แบบแผนการตั้งชื่อนโยบาย
ก่อนที่คุณจะสร้างนโยบายใน Defender สําหรับ Cloud Apps คุณควรสร้างแบบแผนการตั้งชื่อก่อน มาตรฐานการตั้งชื่อจะมีประโยชน์เมื่อมีนโยบายหลายชนิดสําหรับแอปพลิเคชันหลายชนิด นอกจากนี้ยังมีประโยชน์เมื่อผู้ดูแลระบบ Power BI มีส่วนร่วมในการตรวจสอบ
เคล็ดลับ
พิจารณาการให้อนุญาต Defender สําหรับ Cloud Apps ให้เข้าถึงผู้ดูแลระบบ Power BI ของคุณ ใช้บทบาทผู้ดูแลระบบซึ่งอนุญาตให้ดูบันทึกกิจกรรม การลงชื่อเข้าใช้เหตุการณ์ และเหตุการณ์ที่เกี่ยวข้องกับบริการของ Power BI
พิจารณาเทมเพลตแบบแผนการตั้งชื่อที่มีตัวแทนข้อความคอมโพเนนต์: <แอปพลิเคชัน> - <คําอธิบาย> - <การดําเนินการ> - <ชนิดของนโยบาย>
ต่อไปนี้คือตัวอย่างการตั้งชื่อบางอย่าง
ประเภทนโยบาย | แบบเรียลไทม์ | ชื่อนโยบาย |
---|---|---|
นโยบายเซสชัน | ใช่ | Power BI - ป้ายชื่อที่ถูกจํากัดอย่างมาก - บล็อกการดาวน์โหลด - RT |
นโยบายการเข้าถึง | ใช่ | ทั้งหมด - อุปกรณ์ที่ไม่มีการจัดการ - บล็อกการเข้าถึง - RT |
นโยบายกิจกรรม | ไม่ | Power BI - กิจกรรมการจัดการ |
นโยบายกิจกรรม | ไม่ | Power BI - รายงานผู้บริหารมุมมองผู้ใช้ภายนอก |
ส่วนประกอบของแบบแผนการตั้งชื่อประกอบด้วย:
- แอปพลิเคชัน : ชื่อแอปพลิเคชัน คํา นําหน้า Power BI ช่วยในการจัดกลุ่มนโยบายเฉพาะของ Power BI ทั้งหมดเข้าด้วยกันเมื่อเรียงลําดับ อย่างไรก็ตาม นโยบายบางอย่างจะนําไปใช้กับแอประบบคลาวด์ทั้งหมดแทนที่จะเป็นเพียงบริการของ Power BI
- Description: ส่วนคําอธิบายของชื่อจะแตกต่างกันมากที่สุด ซึ่งอาจรวมถึงป้ายชื่อระดับความลับที่ได้รับผลกระทบหรือชนิดของกิจกรรมที่กําลังติดตาม
- การดําเนินการ: (ไม่บังคับ) ในตัวอย่าง นโยบายเซสชันหนึ่งมีการดําเนินการดาวน์โหลด บล็อก โดยปกติการดําเนินการจะจําเป็นเฉพาะเมื่อเป็นนโยบายแบบเรียลไทม์
- ชนิดของนโยบาย: (ไม่บังคับ) ในตัวอย่าง คําต่อท้าย RT ระบุว่าเป็นนโยบายแบบเรียลไทม์ การกําหนดว่ามันเป็นแบบเรียลไทม์หรือไม่ช่วยจัดการความคาดหวัง
มีแอตทริบิวต์อื่น ๆ ที่ไม่จําเป็นต้องรวมอยู่ในชื่อนโยบาย แอตทริบิวต์เหล่านี้รวมถึงระดับความรุนแรง (ต่ํา ปานกลาง หรือสูง) และประเภท (เช่น การตรวจจับภัยคุกคามหรือ DLP) คุณสามารถกรองแอตทริบิวต์ทั้งสองบนหน้าการแจ้งเตือนได้
เคล็ดลับ
คุณสามารถเปลี่ยนชื่อนโยบายใน Defender สําหรับ Cloud Apps อย่างไรก็ตาม ไม่สามารถเปลี่ยนชื่อนโยบายการตรวจหาสิ่งผิดปกติที่มีอยู่ภายในได้ ตัวอย่างเช่น การแชร์ รายงาน Power BI ที่น่าสงสัยเป็นนโยบายที่มีอยู่แล้วภายในที่ไม่สามารถเปลี่ยนชื่อได้
รายการ ตรวจสอบ - เมื่อพิจารณามาตรฐานการตั้งชื่อนโยบาย การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- เลือกแบบแผนการตั้งชื่อ : ใช้นโยบายแรกของคุณเพื่อสร้างมาตรฐานการตั้งชื่อที่สอดคล้องกันซึ่งตรงไปตรงมาในการแปล มุ่งเน้นไปที่การใช้คํานําหน้าและคําต่อท้ายที่สอดคล้องกัน
- จัดทําเอกสารการตั้งชื่อ: ให้เอกสารอ้างอิงเกี่ยวกับข้อกําหนดการตั้งชื่อนโยบาย ตรวจสอบให้แน่ใจว่าผู้ดูแลระบบของคุณทราบถึงมาตรฐานการตั้งชื่อ
- ปรับปรุงนโยบายที่มีอยู่: ปรับปรุงนโยบาย Defender ใดๆ ที่มีอยู่เพื่อให้สอดคล้องกับข้อกําหนดการตั้งชื่อใหม่
ข้อกำหนดในการให้สิทธิการใช้งาน
สิทธิ์การใช้งานเฉพาะจะต้องอยู่ในที่สําหรับตรวจสอบผู้เช่า Power BI ผู้ดูแลระบบต้องมีสิทธิการใช้งานใดสิทธิการใช้งานหนึ่งต่อไปนี้
- Microsoft Defender for Cloud Apps: มอบความสามารถของ Defender for Cloud Apps สําหรับแอปพลิเคชันที่ได้รับการสนับสนุนทั้งหมด (รวมถึงบริการของ Power BI)
- Office 365 Cloud App Security : มีความสามารถของ Defender for Cloud Apps สําหรับแอป Office 365 ที่เป็นส่วนหนึ่งของชุดโปรแกรม Office 365 E5 (รวมถึงบริการของ Power BI)
นอกจากนี้ หากผู้ใช้จําเป็นต้องใช้นโยบายการเข้าถึงแบบเรียลไทม์หรือนโยบายเซสชันใน Defender สําหรับ Cloud Apps พวกเขาจะต้องมี สิทธิ์การใช้งาน Microsoft Entra ID P1
เคล็ดลับ
ถ้าคุณต้องการการชี้แจงเกี่ยวกับข้อกําหนดสิทธิ์การใช้งาน ให้พูดคุยกับทีมบัญชี Microsoft ของคุณ
รายการ ตรวจสอบ - เมื่อประเมินข้อกําหนดสิทธิ์การใช้งาน การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- ตรวจสอบข้อกําหนดสิทธิ์การใช้งานผลิตภัณฑ์: ตรวจสอบให้แน่ใจว่าคุณได้ตรวจสอบข้อกําหนดสิทธิ์การใช้งานทั้งหมดสําหรับการทํางานกับ Defender สําหรับ Cloud Apps แล้ว
- จัดหาสิทธิ์การใช้งานเพิ่มเติม: ถ้าเกี่ยวข้อง ให้ซื้อสิทธิ์การใช้งานเพิ่มเติมเพื่อปลดล็อกฟังก์ชันการทํางานที่คุณต้องการใช้
- กําหนดสิทธิ์การใช้งาน: กําหนดสิทธิ์การใช้งานให้กับผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบแต่ละรายของคุณที่จะใช้ Defender สําหรับ Cloud Apps
เอกสารประกอบของผู้ใช้และการฝึกอบรม
ก่อนที่จะเผยแพร่ Defender สําหรับ Cloud Apps เราขอแนะนําให้คุณสร้างและเผยแพร่เอกสารประกอบผู้ใช้ หน้า SharePoint หรือหน้า wiki ในพอร์ทัลส่วนกลางของคุณสามารถทํางานได้ดีเนื่องจากจะดูแลรักษาได้ง่าย เอกสารที่อัปโหลดไปยังไลบรารีที่ใช้ร่วมกันหรือไซต์ Teams เป็นโซลูชันที่ดีเช่นกัน
เป้าหมายของเอกสารคือเพื่อให้ได้รับประสบการณ์ผู้ใช้ที่ราบรื่น การเตรียมเอกสารผู้ใช้จะช่วยให้คุณมั่นใจได้ว่าคุณได้พิจารณาทุกอย่างแล้ว
รวมข้อมูลเกี่ยวกับบุคคลที่จะติดต่อเมื่อผู้ใช้มีคําถามหรือปัญหาทางเทคนิค
คําถามที่พบบ่อยและตัวอย่างจะเป็นประโยชน์อย่างยิ่งสําหรับเอกสารประกอบผู้ใช้
รายการตรวจสอบ - เมื่อเตรียมเอกสารประกอบผู้ใช้และการฝึกอบรม การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- อัปเดตเอกสารสําหรับผู้สร้างเนื้อหาและผู้บริโภค: อัปเดตคําถามที่พบบ่อยและตัวอย่างของคุณเพื่อรวมข้อมูลที่เกี่ยวข้องเกี่ยวกับนโยบายที่ผู้ใช้อาจพบ
- เผยแพร่ วิธีการขอความช่วยเหลือ: ตรวจสอบให้แน่ใจว่าผู้ใช้ของคุณทราบวิธีการรับความช่วยเหลือเมื่อพวกเขาประสบปัญหาที่ไม่คาดคิดหรือไม่เข้าใจ
- พิจารณาว่าการฝึกเฉพาะเป็นสิ่งจําเป็นหรือไม่ : สร้างหรืออัปเดตการฝึกอบรมผู้ใช้ของคุณเพื่อรวมข้อมูลที่เป็นประโยชน์โดยเฉพาะอย่างยิ่งหากมีข้อกําหนดด้านกฎระเบียบที่จะทําเช่นนั้น
การสนับสนุนผู้ใช้
สิ่งสําคัญคือต้องตรวจสอบว่าใครจะเป็นผู้รับผิดชอบ การสนับสนุนผู้ใช้ เป็นเรื่องปกติที่ใช้ Defender สําหรับ Cloud Apps เพื่อตรวจติดตาม Power BI ที่ดําเนินการโดยฝ่ายช่วยเหลือด้าน IT แบบรวมศูนย์
คุณอาจต้องสร้างเอกสารสําหรับเจ้าหน้าที่ให้ความช่วยเหลือและดําเนินการเซสชันการถ่ายโอนความรู้บางอย่างเพื่อให้แน่ใจว่าฝ่ายช่วยเหลือพร้อมที่จะตอบสนองคําขอการสนับสนุน
รายการตรวจสอบ - เมื่อเตรียมการสําหรับฟังก์ชันการสนับสนุนผู้ใช้ การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- ระบุว่าใครจะให้การสนับสนุนผู้ใช้: เมื่อคุณกําลังกําหนดบทบาทและความรับผิดชอบ ตรวจสอบให้แน่ใจว่าบัญชีสําหรับวิธีที่ผู้ใช้จะได้รับความช่วยเหลือเกี่ยวกับปัญหาที่พวกเขาอาจพบ
- ตรวจสอบให้แน่ใจว่าทีมสนับสนุนผู้ใช้พร้อม: สร้างเอกสารและดําเนินการเซสชันการถ่ายโอนความรู้เพื่อให้แน่ใจว่าฝ่ายช่วยเหลือพร้อมที่จะสนับสนุนกระบวนการเหล่านี้
- สื่อสารระหว่างทีม: พูดคุยเกี่ยวกับข้อความที่ผู้ใช้อาจเห็นและกระบวนการแก้ไขการแจ้งเตือนแบบเปิดกับผู้ดูแลระบบ Power BI และศูนย์แห่งความเป็นเลิศของคุณ ตรวจสอบให้แน่ใจว่าทุกคนที่เกี่ยวข้องได้เตรียมพร้อมสําหรับคําถามที่อาจเกิดขึ้นจากผู้ใช้ Power BI
ข้อมูลสรุปการใช้งาน
หลังจากทําการตัดสินใจแล้วและได้เตรียมแผนการเผยแพร่แล้ว ถึงเวลาเริ่มการใช้งาน
ถ้าคุณต้องการใช้นโยบายแบบเรียลไทม์ (นโยบายเซสชันหรือนโยบายการเข้าถึง) งานแรกของคุณคือการตั้งค่าการควบคุมการเข้าถึงแอปแบบมีเงื่อนไขของ Microsoft Entra คุณจะต้องตั้งค่าบริการของ Power BI เป็นแอปแค็ตตาล็อกที่จะถูกควบคุมโดย Defender สําหรับ Cloud Apps
เมื่อตัวควบคุมการเข้าถึงแอปแบบมีเงื่อนไขของ Microsoft Entra ถูกตั้งค่าและทดสอบแล้ว คุณสามารถสร้างนโยบายใน Defender สําหรับ Cloud Apps ได้
สำคัญ
เราขอแนะนําให้คุณแนะนําฟังก์ชันนี้ให้กับผู้ใช้ทดสอบจํานวนเล็กน้อยก่อน นอกจากนี้ยังมีโหมดเฉพาะจอภาพที่คุณอาจพบว่าเป็นประโยชน์ในการแนะนําฟังก์ชันการทํางานนี้ตามลําดับ
รายการตรวจสอบต่อไปนี้มีรายการสรุปของขั้นตอนการใช้งานแบบ end-to-end ขั้นตอนจํานวนมากมีรายละเอียดอื่น ๆ ที่ครอบคลุมในส่วนก่อนหน้าของบทความนี้
รายการตรวจสอบ - เมื่อใช้ Defender สําหรับ Cloud Apps ด้วย Power BI การตัดสินใจและการดําเนินการที่สําคัญรวมถึง:
- ตรวจสอบสถานะและเป้าหมายปัจจุบัน: ตรวจสอบให้แน่ใจว่าคุณมีความชัดเจนในสถานะปัจจุบันของ DLP สําหรับใช้กับ Power BI เป้าหมายและข้อกําหนดทั้งหมดสําหรับการนํา DLP ไปใช้ควรมีความชัดเจนและกระตือรือร้นเพื่อขับเคลื่อนกระบวนการตัดสินใจ
- ดําเนินการในกระบวนการตัดสินใจ: ตรวจทานและพูดคุยเกี่ยวกับการตัดสินใจทั้งหมดที่จําเป็น งานนี้ควรเกิดขึ้นก่อนที่จะตั้งค่าสิ่งใดๆ ในการผลิต
- ตรวจสอบข้อกําหนดสิทธิ์การใช้งาน: ตรวจสอบให้แน่ใจว่าคุณเข้าใจข้อกําหนดการออกใบอนุญาตผลิตภัณฑ์และข้อกําหนดสิทธิ์การใช้งานของผู้ใช้ หากจําเป็น ให้จัดหาและกําหนดสิทธิการใช้งานเพิ่มเติม
- เผยแพร่เอกสารประกอบผู้ใช้: เผยแพร่ข้อมูลที่ผู้ใช้จะต้องตอบคําถามและชี้แจงความคาดหวัง ให้คําแนะนํา การสื่อสาร และการฝึกอบรมแก่ผู้ใช้ของคุณเพื่อให้พวกเขาเตรียมพร้อม
- สร้างนโยบายการเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra: สร้างนโยบายการเข้าถึงแบบมีเงื่อนไขใน Microsoft Entra ID เพื่อเปิดใช้งานตัวควบคุมแบบเรียลไทม์สําหรับการตรวจสอบบริการ Power BI ในตอนแรก ให้เปิดใช้งานนโยบายการเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra สําหรับผู้ใช้ทดสอบสองสามคน
- ตั้งค่า Power BI เป็นแอปที่เชื่อมต่อใน Defender for Cloud Apps: เพิ่มหรือตรวจสอบว่า Power BI ปรากฏเป็นแอปที่เชื่อมต่อใน Defender สําหรับ Cloud Apps สําหรับการควบคุมการเข้าถึงแอปแบบมีเงื่อนไข
- ทําการทดสอบเบื้องต้น: ลงชื่อเข้าใช้บริการของ Power BI ในฐานะหนึ่งในผู้ใช้ทดสอบ ตรวจสอบว่าการเข้าถึงทํางานหรือไม่ นอกจากนี้ตรวจสอบว่าข้อความที่แสดงแจ้งให้คุณทราบว่าบริการของ Power BI ได้รับการตรวจสอบโดย Defender สําหรับ Cloud Apps
- สร้างและทดสอบนโยบายแบบเรียลไทม์: การใช้กรณีการใช้งานที่มีการคอมไพล์แล้ว สร้างนโยบายการเข้าถึงหรือนโยบายเซสชันใน Defender สําหรับ Cloud Apps
- ดําเนินการทดสอบเบื้องต้น: ในฐานะผู้ใช้ทดสอบ ให้ดําเนินการที่ทริกเกอร์นโยบายแบบเรียลไทม์ ตรวจสอบว่าการดําเนินการถูกบล็อค (ถ้าเหมาะสม) และข้อความแจ้งเตือนที่คาดไว้จะแสดงขึ้นมา
- รวบรวมคําติชมของผู้ใช้: รับคําติชมเกี่ยวกับกระบวนการและประสบการณ์ของผู้ใช้ ระบุพื้นที่ของความสับสน ผลลัพธ์ที่ไม่คาดคิดกับชนิดข้อมูลที่ละเอียดอ่อน และปัญหาทางเทคนิคอื่น ๆ
- ดําเนินการเผยแพร่ซ้ําต่อไป: ค่อยๆ เพิ่มนโยบายเพิ่มเติมใน Defender สําหรับ Cloud Apps จนกว่าจะกล่าวถึงกรณีการใช้งานทั้งหมด
- ตรวจสอบนโยบายที่มีอยู่ภายใน: ค้นหานโยบายการตรวจจับความผิดปกติที่มีอยู่ภายในใน Defender for Cloud Apps (ที่มี Power BI อยู่ในชื่อของพวกเขา) อัปเดตการตั้งค่าการแจ้งเตือนสําหรับนโยบายที่มีอยู่ภายในเมื่อจําเป็น
- ดําเนินการต่อด้วยการเผยแพร่ที่กว้างขึ้น : ทํางานต่อผ่านแผนการเปิดตัวแบบวนซ้ําของคุณ ปรับปรุงนโยบายการเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra เพื่อนําไปใช้กับชุดผู้ใช้ที่กว้างขึ้นตามความเหมาะสม ปรับปรุงนโยบายส่วนบุคคลใน Defender สําหรับ Cloud Apps เพื่อนําไปใช้กับผู้ใช้ชุดที่กว้างขึ้นตามความเหมาะสม
- ตรวจสอบ ปรับแต่ง และปรับปรุง: ลงทุนทรัพยากรเพื่อตรวจสอบการแจ้งเตือนและบันทึกการตรวจสอบที่ตรงกับนโยบายเป็นประจํา ตรวจสอบผลบวกเท็จและปรับนโยบายเมื่อจําเป็น
เคล็ดลับ
รายการตรวจสอบเหล่านี้ได้รับการสรุปสําหรับการวางแผน สําหรับรายละเอียดเพิ่มเติมเกี่ยวกับรายการในรายการตรวจสอบเหล่านี้ ดูส่วนก่อนหน้าของบทความนี้
สําหรับข้อมูลเพิ่มเติมเกี่ยวกับการปรับใช้ Power BI เป็นแอปพลิเคชันแค็ตตาล็อกใน Defender สําหรับ Cloud Apps โปรดดู ขั้นตอนในการปรับใช้แอปแค็ตตาล็อก
การตรวจสอบอย่างต่อเนื่อง
หลังจากคุณดําเนินการเสร็จเรียบร้อยแล้ว คุณควรมุ่งความสนใจไปที่การตรวจสอบ การบังคับใช้ และการปรับนโยบาย Defender สําหรับ Cloud Apps ตามการใช้งานของพวกเขา
ผู้ดูแลระบบ Power BI และผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบจะต้องทํางานร่วมกันเป็นครั้งคราว สําหรับเนื้อหา Power BI มีผู้ชมสองรายสําหรับการตรวจสอบ
- ผู้ดูแลระบบ Power BI: นอกเหนือจากการแจ้งเตือนที่สร้างขึ้นโดย Defender สําหรับ Cloud Apps กิจกรรมจากบันทึกกิจกรรม Power BI จะแสดงในพอร์ทัล Defender สําหรับ Cloud Apps
- ผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบ: ผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบขององค์กรมักใช้การแจ้งเตือน Defender for Cloud Apps
คุณสามารถให้มุมมองแบบจํากัดแก่ผู้ดูแลระบบ Power BI ของคุณใน Defender for Cloud Apps ใช้บทบาทที่กําหนดขอบเขตเพื่อดูบันทึกกิจกรรม เหตุการณ์การลงชื่อเข้าใช้ และเหตุการณ์ที่เกี่ยวข้องกับบริการของ Power BI ความสามารถนี้เป็นความสะดวกสําหรับผู้ดูแลระบบ Power BI
รายการตรวจสอบ - เมื่อตรวจสอบ Defender สําหรับ Cloud Apps การตัดสินใจและการดําเนินการที่สําคัญประกอบด้วย:
- ตรวจสอบบทบาทและความรับผิดชอบ: ตรวจสอบให้แน่ใจว่าคุณเป็นผู้รับผิดชอบการดําเนินการใด ให้ความรู้และสื่อสารกับผู้ดูแลระบบ Power BI ของคุณหากพวกเขาจะเป็นผู้รับผิดชอบในการตรวจสอบทุกแง่มุม
- จัดการการเข้าถึงสําหรับผู้ดูแลระบบ Power BI: เพิ่มผู้ดูแลระบบ Power BI ของคุณไปยังบทบาทผู้ดูแลระบบที่มีขอบเขตใน Defender สําหรับ Cloud Apps ติดต่อสื่อสารกับพวกเขาเพื่อให้พวกเขาตระหนักถึงสิ่งที่พวกเขาสามารถทําได้ด้วยข้อมูลเพิ่มเติมนี้
- สร้างหรือตรวจสอบกระบวนการของคุณเพื่อตรวจสอบกิจกรรม: ตรวจสอบให้แน่ใจว่าผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบของคุณชัดเจนเกี่ยวกับความคาดหวังสําหรับการตรวจทาน activity explorer อย่างสม่ําเสมอ
- สร้างหรือตรวจสอบความถูกต้องของกระบวนการของคุณสําหรับการแก้ไขปัญหาการแจ้งเตือน: ตรวจสอบให้แน่ใจว่าผู้ดูแลระบบความปลอดภัยและการปฏิบัติตามกฎระเบียบของคุณมีกระบวนการตรวจสอบและแก้ไขการแจ้งเตือนแบบเปิด
เนื้อหาที่เกี่ยวข้อง
ใน บทความถัดไปในชุดนี้ คุณจะได้เรียนรู้เกี่ยวกับการตรวจสอบเพื่อการปกป้องข้อมูลและการป้องกันข้อมูลสูญหายสําหรับ Power BI