Configurar um conector para importar deteções de risco interno de terceiros (pré-visualização)

Pode configurar um conector para expandir a solução Gerenciamento de Risco Interno do Microsoft Purview para incluir deteções de terceiros (não Microsoft). Por exemplo, poderá querer expandir as suas deteções para incluir atividades do Salesforce e do Dropbox e utilizá-las juntamente com as deteções incorporadas fornecidas pela gestão de riscos internos, que se concentram em serviços Microsoft como o SharePoint Online e Exchange Online.

Para levar as suas próprias deteções para a solução de gestão de riscos internos, importe deteções agregadas e pré-processadas de soluções de gestão de informações e eventos de segurança (SIEM), como Microsoft Sentinel ou Splunk. Irá importar um ficheiro de exemplo para o fluxo de trabalho do conector Indicadores de Risco Interno. O fluxo de trabalho do conector analisa o ficheiro de exemplo e configura o esquema necessário para a gestão de riscos internos.

Processo geral

Trazer as suas próprias deteções para a gestão de riscos internos é um processo de três passos:

1. No Microsoft Purview, crie o conector Indicadores de Risco Interno (pré-visualização), conforme descrito neste artigo.
2. Na solução de gestão de riscos internos, crie indicadores personalizados.
3. Na solução de gestão de riscos internos, utilize os indicadores personalizados nas políticas como acionadores ou indicadores e defina limiares.

Quando a atividade do utilizador ultrapassa o valor de limiar que especificar para a política, o utilizador é colocado no âmbito da política de gestão de riscos internos e é classificado como risco. É gerado um alerta e os analistas podem investigar o alerta com detalhes de indicadores personalizados.

Antes de começar

1. Determine os cenários e dados que pretende importar para o Microsoft 365. Isto ajuda-o a determinar quantos ficheiros CSV e conectores do Indicador de Risco Interno precisa de criar e como estruturar os ficheiros CSV. Os dados importados são determinados pelos tipos de acionadores e indicadores que pretende criar. Veja Determinar quantos ficheiros CSV devem ser preparados para os dados do indicador.
2. Determine como obter ou exportar os dados do seu sistema interno e adicioná-los aos ficheiros CSV que prepara no Passo 2. O script que executar no Passo 4 carrega os dados nos ficheiros CSV para a solução de gestão de riscos internos.
3. Atribua a função de Administração do Conector de Dados. Esta função é necessária para adicionar conectores na página Conectores de dados no portal do Microsoft Purview ou no portal de conformidade do Microsoft Purview, pelo que o utilizador que cria o conector no Passo 3 tem de ter esta função atribuída. Esta função é adicionada por predefinição a vários grupos de funções. Para obter uma lista destes grupos de funções, consulte Funções no Microsoft Defender para Office 365 e conformidade do Microsoft Purview. Em alternativa, um administrador na sua organização pode criar um grupo de funções personalizado, atribuir o Conector de Dados Administração função ao grupo de funções personalizado e, em seguida, adicionar os utilizadores adequados como membros. Para obter orientações, consulte Criar um grupo de funções personalizado do Microsoft Purview.
4. Adicione o domínio webhook.ingestion.office.com à lista de permissões da firewall para a sua organização. O script que executar no Passo 4 não funcionará se não adicionar este domínio à lista de permissões.

Determinar quantos ficheiros CSV devem ser preparados para os dados do indicador

No Passo 3, pode optar por preparar ficheiros CSV separados que contenham dados para cada indicador ou preparar um único ficheiro CSV que contenha dados para dois ou mais indicadores.

Seguem-se algumas diretrizes para o ajudar a determinar quantos ficheiros CSV devem ser preparados:

• Se a política de gestão de riscos internos que pretende implementar exigir vários indicadores, considere utilizar um único ficheiro CSV que contenha os dados de todos os indicadores. Regra geral, o número de conectores que precisa de criar é determinado pelos serviços num ficheiro CSV. Por exemplo, se um ficheiro CSV contiver todos os serviços necessários para suportar a implementação da gestão de riscos internos, só precisa de um conector. Ter menos ficheiros CSV permite-lhe ter menos conectores para criar e gerir. Se tiver dois ficheiros CSV separados que contêm um único serviço, terá de criar dois conectores.

• O método para gerar ou recolher os dados pode determinar o número de ficheiros CSV. Por exemplo, se os diferentes tipos de dados utilizados para configurar um conector estiverem localizados num único sistema na sua organização, poderá conseguir exportar os dados para um único ficheiro CSV. No entanto, se os dados forem distribuídos por sistemas diferentes, poderá ser mais fácil exportar dados para diferentes ficheiros CSV. A forma como obtém ou exporta dados dos seus sistemas pode determinar o número de ficheiros CSV de que irá precisar.

Passo 1: criar uma aplicação no Microsoft Entra ID

O primeiro passo é criar e registar uma nova aplicação no Microsoft Entra ID para o conector que criar no Passo 3. Criar esta aplicação permite Microsoft Entra ID autenticar o conector quando é executado e tenta aceder à sua organização. Esta aplicação também é utilizada para autenticar o script que executa no Passo 4 para carregar os seus dados para a cloud da Microsoft. Quando criar a aplicação Microsoft Entra, certifique-se de que guarda as seguintes informações:

• Microsoft Entra ID da aplicação (ID da aplicação ou ID de cliente)
• Microsoft Entra segredo da aplicação (segredo do cliente)
• ID do Inquilino (ID do diretório)

Estes valores são utilizados nos Passos 3 e 4. Para obter instruções passo a passo sobre como criar uma aplicação no Microsoft Entra ID, veja Registar uma aplicação com o plataforma de identidade da Microsoft.

Passo 2: Preparar os ficheiros CSV com os dados dos indicadores de risco interno

O próximo passo consiste em preparar um ficheiro CSV que contenha os dados de indicador que o conector importa para o Microsoft 365. Estes dados são utilizados pela solução de gestão de riscos internos. Pode importar dados para os seguintes cenários:

• Crie um acionador que, quando ativado, coloca um utilizador no âmbito de uma política. O exemplo 1 abaixo mostra como preparar um ficheiro CSV para um acionador "caseiro" que prevê a probabilidade de um funcionário sair de uma organização.
• Crie um indicador de política que monitorize as atividades dos utilizadores. O exemplo 2 abaixo mostra como preparar um único ficheiro CSV para vários indicadores (um para o Dropbox e outro para o Salesforce).

Para cada cenário, tem de fornecer os dados de indicador correspondentes num ou mais ficheiros CSV. Veja Determinar quantos ficheiros CSV deve utilizar para dados de indicador.

Depois de criar o ficheiro CSV com os dados do indicador necessários, armazene-o no computador local no qual executa o script no Passo 4. Também deve implementar uma estratégia de atualização para garantir que o ficheiro CSV contém sempre as informações mais recentes para que, sempre que executar o script, os dados de indicador mais atuais sejam carregados para a cloud da Microsoft e acessíveis para a solução de gestão de riscos internos.

Exemplo 1: Preparar um ficheiro CSV para um acionador simples que coloca um utilizador no âmbito de uma política

Este exemplo mostra como estruturar um ficheiro CSV para criar um acionador "caseiro" que pode ser utilizado para prever a probabilidade de um funcionário sair de uma organização. Este exemplo utiliza os seguintes dados de exemplo:

UserPrincipalName,PredictionTime,PredictionScore,ModelInfo
sarad@contoso.com,2023-04-20T05:52:56.962686Z,6,Model accuracy: 67%, Model name: LeaverPrediction_M1
sarad@contoso.com,2023-04-24T05:52:56.962686Z,9,Model accuracy: 67%, Model name: LeaverPrediction_M1
sarad@contoso.com,2023-04-24T05:52:56.962686Z,3,Model accuracy: 67%, Model name: LeaverPrediction_M1

A tabela seguinte descreve cada coluna no ficheiro CSV.

Quando criar o conector no Passo 3, irá utilizar os dados no PredictionScore campo como um valor de limiar para o acionador. Se um utilizador ultrapassar o valor de limiar que definiu mais tarde na política, o utilizador será colocado no âmbito da política.

Exemplo 2: Preparar um único ficheiro CSV para criar vários indicadores de política

Este exemplo mostra como criar vários indicadores de política (um para o Dropbox e outro para o Salesforce) a partir de um único ficheiro CSV. Este exemplo utiliza os seguintes dados de exemplo:

User_Principal_Name,Display_Name,Alert_Severity,Alert_Count,Aggregation_Date,Source_Workload,AdditionalInfo_Salesforce,AdditionalInfo_Dropbox
sarad@contoso.com,Salesforce - Sensitive report downloaded and emailed externally,High,10,2023-04-24T05:52:56.962686Z,Salesforce,text,text
sarad@contoso.com,Salesforce - Anomalous download of sales lead reports,Medium,6,2023-04-24T05:52:56.962686Z,Salesforce,text,text
bradh@contoso.com,Salesforce - Printing sales reports,Low,50,2023-04-24T05:52:56.962686Z,Salesforce,text,text
bradh@contoso.com,Salesforce - Excessive modifications to sensitive reports,Medium,3,2023-04-24T05:52:56.962686Z,Salesforce,text,text
sarad@contoso.com,Dropbox - Sensitive files saved to personal Dropbox,High,14,2023-04-24T05:52:56.962686Z,Dropbox,text,text
bradh@contoso.com,Dropbox - Anomalous file copy activity,Medium,5,2023-04-24T05:52:56.962686Z,Dropbox,text,text

A tabela seguinte descreve cada coluna no ficheiro CSV.

Veja o exemplo abaixo para ver como este ficheiro CSV é utilizado ao criar o conector de dados.

Passo 3: Criar o conector Indicadores de Risco Interno

O próximo passo é criar um conector no portal do Microsoft Purview ou no portal de conformidade. Depois de executar o script no Passo 4, o conector que criar importa os dados do ficheiro CSV e carrega-os para a sua organização do Microsoft 365.

Exemplo 1: Criar um ficheiro de conector para um acionador simples

Selecione a guia apropriada para o portal que você está usando. Dependendo do seu plano do Microsoft 365, o portal de conformidade do Microsoft Purview será descontinuado ou será descontinuado em breve.

Para saber mais sobre o portal do Microsoft Purview, consulte o portal do Microsoft Purview. Para saber mais sobre o Portal de conformidade, consulte Portal de conformidade do Microsoft Purview.

Exemplo 2: criar um conector que inclua vários indicadores de política

Este exemplo mostra como configurar um único conector para criar vários indicadores de política (Salesforce e Dropbox). Pode criar dois conectores separados (um para o Salesforce e outro para o Dropbox), mas criar um único conector que funcione para ambos pode reduzir a manutenção geral de ficheiros.

Selecione a guia apropriada para o portal que você está usando. Dependendo do seu plano do Microsoft 365, o portal de conformidade do Microsoft Purview será descontinuado ou será descontinuado em breve.

Para saber mais sobre o portal do Microsoft Purview, consulte o portal do Microsoft Purview. Para saber mais sobre o Portal de conformidade, consulte Portal de conformidade do Microsoft Purview.

Passo 4: executar o script de exemplo para carregar os dados

O último passo na configuração de um conector é executar um script de exemplo que carrega os dados no ficheiro CSV. Quando executa o script, o conector que criou no Passo 3 importa os dados para a sua organização do Microsoft 365, onde podem ser acedidos pela solução de gestão de riscos internos. Depois de executar o script, considere agendar uma tarefa para a executar automaticamente diariamente para que os dados mais atuais sejam carregados para a cloud da Microsoft. Veja Agendar o script para ser executado automaticamente.

Antes de executar o script

• Certifique-se de que adiciona o domínio webhook.ingestion.office.com à lista de permissões da firewall para a sua organização. Se este domínio estiver bloqueado, o script não será executado.
• Certifique-se de que aguarda 24 horas antes de carregar os dados depois de os indicadores personalizados e as políticas associadas terem sido atualizados. Isto acontece porque pode demorar várias horas a sincronizar todos os componentes. Se carregar imediatamente os dados enquanto as atualizações estão a ser sincronizadas, alguns dados poderão não ser classificados para risco.
• Certifique-se de que todas as combinações de UPN e carimbo de data/hora a importar são exclusivas. Se algum registo no ficheiro CSV carregado contiver o mesmo carimbo de data/hora e UPN que outros registos no ficheiro, o registo é removido.

Executar o script de exemplo

1. Aceda à janela que deixou aberta no passo anterior para aceder ao site do GitHub com o script de exemplo. Em alternativa, abra o site marcado ou utilize o URL que copiou. Também pode aceder ao script em https://github.com/microsoft/m365-compliance-connector-sample-scripts/blob/main/sample_script.ps1.

2. Selecione o botão Raw para apresentar o script na vista de texto.

3. Copie todas as linhas no script de exemplo e guarde-as num ficheiro de texto.

4. Modifique o script de exemplo para a sua organização, se necessário.

5. Guarde o ficheiro de texto como um ficheiro de script Windows PowerShell com um sufixo de nome de ficheiro de .ps1; por exemplo, HRConnector.ps1. Em alternativa, pode utilizar o nome de ficheiro do GitHub para o script, que é upload_termination_records.ps1.

6. Abra uma linha de comandos no seu computador local e, em seguida, aceda ao diretório onde guardou o script.

7. Execute o seguinte comando para carregar os dados no ficheiro CSV para a microsoft cloud; Por exemplo:

   .\HRConnector.ps1 -tenantId <tenantId> -appId <appId>  -appSecret <appSecret>  -jobId <jobId>  -filePath '<filePath>'
   

   A tabela seguinte descreve os parâmetros a utilizar com este script e os respetivos valores necessários. As informações obtidas nos passos anteriores são utilizadas nos valores para estes parâmetros.

   Parâmetro	Descrição
   tenantId	Este é o ID da sua organização do Microsoft 365 que obteve no Passo 1. Também pode obter o ID de inquilino para a sua organização no painel Descrição geral no centro de administração do Microsoft Entra. Isto é utilizado para identificar a sua organização.
   appId	Este é o ID da aplicação Microsoft Entra para a aplicação que criou no Microsoft Entra ID no Passo 1. Isto é utilizado por Microsoft Entra ID para autenticação quando o script tenta aceder à sua organização do Microsoft 365.
   appSecret	Este é o segredo da aplicação Microsoft Entra para a aplicação que criou no Microsoft Entra ID no Passo 1. Isto também é utilizado para autenticação.
   jobId	Este é o ID da tarefa do conector que criou no Passo 3. Isto é utilizado para associar os dados que são carregados para a cloud da Microsoft ao conector.
   filePath	Este é o caminho do ficheiro (armazenado no mesmo sistema que o script) que criou no Passo 1. Tente evitar espaços no caminho do ficheiro; caso contrário, utilize aspas únicas.

   Eis um exemplo da sintaxe do script do conector com valores reais para cada parâmetro:

    .\HRConnector.ps1 -tenantId d5723623-11cf-4e2e-b5a5-01d1506273g9 -appId 29ee526e-f9a7-4e98-a682-67f41bfd643e -appSecret MNubVGbcQDkGCnn -jobId b8be4a7d-e338-43eb-a69e-c513cd458eba -filePath 'C:\Users\contosoadmin\Desktop\Data\insider_risk_indicator_data.csv'
   

   Se o carregamento for efetuado com êxito, o script apresenta a mensagem Carregar Com Êxito .

   Observação

   Se tiver problemas ao executar o comando anterior devido a políticas de execução, veja About Execution Policies and Set-ExecutionPolicy (Acerca das Políticas de Execução e Set-ExecutionPolicy ) para obter orientações sobre a definição de políticas de execução.

Passo 5: Monitorizar o conector

Depois de criar o conector e executar o script para carregar os seus dados, veja o conector e carregue status no portal do Microsoft Purview ou no portal de conformidade. Se agendar a execução automática do script, pode ver o status atual após a última execução do script.

Selecione a guia apropriada para o portal que você está usando. Dependendo do seu plano do Microsoft 365, o portal de conformidade do Microsoft Purview será descontinuado ou será descontinuado em breve.

Para saber mais sobre o portal do Microsoft Purview, consulte o portal do Microsoft Purview. Para saber mais sobre o Portal de conformidade, consulte Portal de conformidade do Microsoft Purview.

(Opcional) Passo 6: Agendar a execução automática do script

Para garantir que os dados mais recentes da sua organização estão disponíveis para a solução de gestão de riscos internos, agende o script para ser executado automaticamente de forma periódica, como uma vez por dia. Isto requer que atualize os dados no ficheiro CSV com uma agenda semelhante (se não igual), para que contenha as informações mais recentes. O objetivo é carregar os dados mais atuais para que o conector possa disponibilizá-lo à solução de gestão de riscos internos.

Pode utilizar a aplicação Programador de Tarefas no Windows para executar automaticamente o script todos os dias.

1. No seu computador local, selecione o botão Iniciar do Windows e escreva Programador de Tarefas.

2. Selecione a aplicação Programador de Tarefas .

3. Na secção Ações , selecione Criar Tarefa.

4. No separador Geral , introduza um nome descritivo para a tarefa agendada. Por exemplo, Script do Conector de RH. Também pode adicionar uma descrição opcional.

5. Em Opções de segurança, conclua o seguinte:

   1. Determine se pretende executar o script apenas quando tiver sessão iniciada no computador ou quando tiver sessão iniciada ou não.
   2. Certifique-se de que a caixa Executar com os privilégios mais altos marcar está selecionada.

6. Selecione o separador Acionadores , selecione Novo e conclua o seguinte:

   1. Em Definições, selecione a opção Diariamente e escolha uma data e hora para executar o script pela primeira vez. O script é executado todos os dias ao mesmo tempo especificado.
   2. Em Definições avançadas, certifique-se de que a caixa marcar Ativada está selecionada.
   3. Selecione OK.

7. Selecione o separador Ações , selecione Novo e conclua o seguinte:

   1. Na lista pendente Ação , certifique-se de que a opção Iniciar um programa está selecionada.

   2. Na caixa Programa/script , selecione Procurar e, em seguida, aceda à seguinte localização e selecione-a para que o caminho seja apresentado na caixa: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe.

   3. Na caixa Adicionar argumentos (opcional), cole o mesmo comando de script que executou no Passo 4. Por exemplo, .\HRConnector.ps1 -tenantId "d5723623-11cf-4e2e-b5a5-01d1506273g9" -appId "c12823b7-b55a-4989-faba-02de41bb97c3" -appSecret "MNubVGbcQDkGCnn" -jobId "e081f4f4-3831-48d6-7bb3-fcfab1581458" -filePath "C:\Users\contosoadmin\Desktop\Data\insider_risk_indicator_data.csv"

   4. Na caixa Iniciar em (opcional ), cole a localização da pasta do script que executou no Passo 4. Por exemplo, C:\Users\contosoadmin\Desktop\Scripts.

   5. Selecione OK para guardar as definições da nova ação.

8. Na janela Criar Tarefa , selecione OK para guardar a tarefa agendada. Poderá ser-lhe pedido que introduza as credenciais da sua conta de utilizador.

   A nova tarefa é apresentada na Biblioteca do Programador de Tarefas. A última vez que o script foi executado e da próxima vez que estiver agendado para execução são apresentados. Faça duplo clique na tarefa para editá-la.

   Também pode verificar a última vez que o script foi executado na página de lista de opções do conector correspondente no portal do Microsoft Purview ou no portal de conformidade.

(Opcional) Passo 7: carregar dados com modelos do Power Automate

Pode carregar os dados CSV com modelos do Power Automate e definir acionadores. Por exemplo, pode configurar um modelo do Power Automate para acionar quando estiverem disponíveis novos ficheiros de conector em localizações do SharePoint ou do OneDrive. Também pode simplificar este processo ao armazenar informações confidenciais como o segredo da aplicação Microsoft Entra (criado no Passo 1) no Azure Key Vault e utilizá-lo com o Power Automate para autenticação.

Conclua os seguintes passos para carregar automaticamente dados quando estiverem disponíveis novos ficheiros no OneDrive for Business:

1. Transfira o pacote deImportHRDataforIRM.zip a partir do site do GitHub.
2. No Power Automate, aceda a Os meus fluxos.
3. Selecione Importar e carregue o pacote ImportHRDataforIRM.zip .
4. Após o carregamento do pacote, atualize o conteúdo (nome e OneDrive for Business ligação) e selecione Importar.
5. Selecione Abrir fluxo e atualize os parâmetros. A tabela seguinte descreve os parâmetros a utilizar neste fluxo do Power Automate e os respetivos valores necessários. As informações obtidas nos passos anteriores são utilizadas nos valores para estes parâmetros.

6. Selecione Salvar.
7. Aceda a Descrição geral do Fluxo e selecione Ativar.
8. Teste o fluxo manualmente ao carregar um novo ficheiro para a pasta OneDrive for Business e verifique se é executado com êxito. Isto pode demorar alguns minutos após o carregamento antes de o fluxo ser acionado.
9. Agora, pode monitorizar o conector conforme descrito no Passo 5.

Se necessário, pode atualizar o fluxo para criar acionadores com base na disponibilidade de ficheiros e eventos de modificação no SharePoint e noutras origens de dados suportadas pelos fluxos do Power Automate.

Próximas etapas

• Criar indicadores personalizados na gestão de riscos internos
• Utilizar os indicadores personalizados nas políticas como acionadores ou indicadores e definir limiares