Conformità delle comunicazioni con le soluzioni SIEM.

Conformità delle comunicazioni Microsoft Purview è una soluzione di rischio insider che consente di ridurre al minimo i rischi di comunicazione consentendo di rilevare, acquisire e agire su messaggi potenzialmente inappropriati nell'organizzazione. Le soluzioni siem (Security Information and Event Management) come Microsoft Sentinel o Splunk vengono comunemente usate per aggregare e tenere traccia delle minacce all'interno di un'organizzazione.

Una necessità comune per le organizzazioni è integrare gli avvisi di conformità delle comunicazioni e le soluzioni SIEM. Con questa integrazione, le organizzazioni possono visualizzare gli avvisi di conformità delle comunicazioni nella soluzione SIEM e quindi correggere gli avvisi all'interno del flusso di lavoro di conformità delle comunicazioni e dell'esperienza utente.

Ad esempio, un dipendente invia un messaggio offensivo a un altro dipendente e tale messaggio viene rilevato da un criterio di conformità delle comunicazioni per contenuti potenzialmente inappropriati. Eventi come questo vengono registrati in Controllo di Microsoft 365 (noto anche come "log di controllo unificato") dalla soluzione di conformità delle comunicazioni e vengono quindi importati nella soluzione SIEM. Gli avvisi attivati nella soluzione SIEM inclusi nel controllo di Microsoft 365 vengono quindi associati agli avvisi di conformità delle comunicazioni. Gli investigatori ricevono una notifica di questi avvisi nella soluzione SIEM e quindi possono analizzare e correggere gli avvisi corrispondenti nel dashboard di conformità delle comunicazioni.

Avvisi di conformità delle comunicazioni in Controllo di Microsoft 365

Tutte le corrispondenze dei criteri di conformità delle comunicazioni vengono acquisite in Controllo di Microsoft 365. Gli esempi seguenti mostrano i dettagli disponibili per le attività di corrispondenza dei criteri di conformità delle comunicazioni selezionate:

Esempio di voce del log di controllo per un modello di criteri contenuto inappropriato:

RunspaceId: 5c7bc9b0-7672-4091-a112-0635bd5f7732
RecordType: ComplianceSupervisionExchange
CreationDate: 7/7/2022 5:30:11 AM
UserIds: user1@contoso.onmicrosoft.com
Operations: SupervisionRuleMatch
AuditData: {"CreationTime":"2022-07-07T05:30:11","Id":"44e98a7e-57fd-4f89-79b8-08d941084a35","Operation":"SupervisionRuleMatch","OrganizationId":"338397e6\-697e-4dbe-a66b-2ea3497ef15c","RecordType":68,"ResultStatus":"{\\"ItemClass\\":\\"IPM.Note\\",\\"CcsiResults\\":\\"\\"}","UserKey":"SupervisionStoreDeliveryAgent","UserType":0,"Version":1,"Workload":"Exchange","ObjectId":"\<HE1P190MB04600526C0524C75E5750C5AC61A9@HE1P190MB0460.EURP190.PROD.OUTLOOK.COM\>","UserId":"user1@contoso.onmicrosoft.com","IsPolicyHit":true,"SRPolicyMatchDetails":{"SRPolicyId":"53be0bf4-75ee-4315-b65d-17d63bdd53ae","SRPolicyName":"Adult images","SRRuleMatchDetails":\[\]}}
ResultIndex: 24
ResultCount: 48
Identity: 44e98a7e-57fd-4f89-79b8-08d941084a35
IsValid: True
ObjectState: Unchanged

Esempio di voce del log di controllo di Microsoft 365 per un criterio con corrispondenza di parole chiave personalizzate (tipo di informazioni sensibili personalizzate):

RunspaceId: 5c7bc9b0-7672-4091-a112-0635bd5f7732
RecordType: ComplianceSupervisionExchange
CreationDate: 7/6/2022 9:50:12 PM
UserIds: user2@contoso.onmicrosoft.com
Operations: SupervisionRuleMatch
AuditData: {"CreationTime":"2022-07-06T21:50:12","Id":"5c61aae5-26fc-4c8e-0791-08d940c8086f","Operation":"SupervisionRuleMatch","OrganizationId":"338397e6\-697e-4dbe-a66b-2ea3497ef15c","RecordType":68,"ResultStatus":"{\\"ItemClass\\":\\"IPM.Note\\",\\"CcsiResults\\":\\"public\\"}","UserKey":"SupervisionStoreDeliveryAgent","UserType":0,"Version":1,"Workload":"Exchange","ObjectId":"\<20210706174831.24375086.807067@sailthru.com\>","UserId":"user2@contoso.onmicrosoft.com","IsPolicyHit":true,"SRPolicyMatchDetails":{"SRPolicyId":"a97cf128-c0fc-42a1-88e3-fd3b88af9941","SRPolicyName":"Insiders","SRRuleMatchDetails":\[{"SRCategoryName":"New insiders lexicon"}\]}}
ResultIndex: 46
ResultCount: 48
Identity: 5c61aae5-26fc-4c8e-0791-08d940c8086f
IsValid: True
ObjectState: Unchanged

Configurare la conformità delle comunicazioni e l'integrazione Microsoft Sentinel

Quando si usa il Microsoft Sentinel per aggregare le corrispondenze dei criteri di conformità delle comunicazioni, Microsoft Sentinel usa Controllo di Microsoft 365 come origine dati. Per integrare gli avvisi di conformità delle comunicazioni con Microsoft Sentinel, seguire questa procedura:

1. Eseguire l'onboarding in Microsoft Sentinel. Come parte del processo di onboarding, è possibile configurare le origini dati.

2. Configurare il connettore dati Microsoft Sentinel Microsoft Office 365 e in Configurazione connettore selezionare Exchange.

3. Configurare la query di ricerca per recuperare gli avvisi di conformità delle comunicazioni. Ad esempio:

   | OfficeActivity | where OfficeWorkload == "Exchange" e Operation == "SupervisionRuleMatch" | ordinamento in base a TimeGenerated

   Per filtrare per un utente specifico, usare il formato di query seguente:

   | OfficeActivity | where OfficeWorkload == "Exchange" e Operation == "SupervisionRuleMatch" e UserId == "User1@Contoso.com" | sort by TimeGenerated

Per altre informazioni sui log di controllo di Microsoft 365 per Office 365 raccolti da Microsoft Sentinel, vedere Informazioni di riferimento sui log di Monitoraggio di Azure.

Configurare la conformità delle comunicazioni e l'integrazione di Splunk

Per integrare gli avvisi di conformità delle comunicazioni con Splunk, seguire questa procedura:

1. Installare il componente aggiuntivo Splunk per Microsoft Office 365

2. Configurare un'applicazione di integrazione in Microsoft Entra ID per il componente aggiuntivo Splunk per Microsoft Office 365

3. Configurare le query di ricerca nella soluzione Splunk. Usare l'esempio di ricerca seguente per identificare tutti gli avvisi di conformità delle comunicazioni:

   index=* sourcetype="o365:management:activity" Workload=Exchange Operation=SupervisionRuleMatch

Per filtrare i risultati per un criterio di conformità delle comunicazioni specifico, è possibile usare il parametro SRPolicyMatchDetails.SRPolicyName .

Ad esempio, nell'esempio di ricerca seguente vengono restituiti avvisi per le corrispondenze a un criterio di conformità delle comunicazioni denominato Contenuto inappropriato:

index=* sourcetype='o365:management:activity' Workload=Exchange Operation=SupervisionRuleMatch SRPolicyMatchDetails.SRPolicyName=<Inappropriate content>

La tabella seguente mostra i risultati della ricerca di esempio per diversi tipi di criteri:

Configurare la conformità delle comunicazioni con altre soluzioni SIEM

Per recuperare le corrispondenze dei criteri di conformità delle comunicazioni da Controllo di Microsoft 365, è possibile usare PowerShell o l'API di gestione Office 365.

Quando si usa PowerShell, è possibile usare uno di questi parametri con il cmdlet Search-UnifiedAuditLog per filtrare gli eventi del log di controllo per le attività di conformità delle comunicazioni.

Ad esempio, di seguito è riportata una ricerca di esempio che usa il parametro Operations e il valore SupervisionRuleMatch :

Search-UnifiedAuditLog -StartDate $startDate -EndDate $endDate -Operations SupervisionRuleMatch | ft CreationDate,UserIds,AuditData

Di seguito è riportata una ricerca di esempio che usa il parametro RecordsType e il valore ComplianceSupervisionExchange :

Search-UnifiedAuditLog -StartDate $startDate -EndDate $endDate -RecordType ComplianceSuperVisionExchange | ft CreationDate,UserIds,AuditData

Risorse

• Controllo della conformità delle comunicazioni
• Microsoft Purview Audit (Premium)
• Riferimento API Office 365 Management Activity