Monitorowanie aktywności przez Microsoft Purview

Microsoft Purview umożliwia rejestrowanie i analizę aktywności użytkowników w usługach Microsoft 365 na potrzeby zgodności.

Zakres monitorowania aktywności w Microsoft Purview

Microsoft Purview rejestruje wybrane zdarzenia wykonywane w usługach Microsoft 365 i udostępnia je do późniejszego wyszukiwania oraz analizy. W zależności od używanej usługi w dzienniku mogą pojawić się między innymi informacje o logowaniu, odczycie lub modyfikacji pliku, udostępnieniu dokumentu, zmianie uprawnień, operacji administracyjnej albo działaniu wykonanym w skrzynce pocztowej. Zakres zapisywanych danych nie jest jednak identyczny dla wszystkich aplikacji. Zależy od konkretnej usługi, konfiguracji dzierżawy, rodzaju operacji oraz dostępnej licencji.

Podstawą tego mechanizmu jest unified audit log, czyli ujednolicony dziennik inspekcji Microsoft 365. Administrator lub uprawniony analityk może wyszukiwać zdarzenia według użytkownika, zakresu dat, rodzaju aktywności, usługi oraz innych pól dostępnych dla danego typu rekordu. Wynik zawiera zwykle czas operacji, konto wykonujące działanie, nazwę operacji, usługę źródłową i dodatkowe właściwości potrzebne do interpretacji zdarzenia. Sam wpis audytowy nie oznacza, że Purview przechwytuje obraz ekranu, każde naciśnięcie klawisza lub pełną zawartość pracy użytkownika.

Jak powstaje i jest analizowany rekord audytowy

Rekord audytowy powstaje wtedy, gdy obsługiwana usługa Microsoft 365 zgłosi określone zdarzenie do systemu inspekcji. Przykładowo operacja związana z dokumentem może wskazywać użytkownika, witrynę SharePoint lub lokalizację w OneDrive, nazwę czynności i czas jej wykonania. Zdarzenie dotyczące poczty może odnosić się do operacji na wiadomości lub skrzynce, natomiast aktywność administracyjna może opisywać zmianę ustawienia, roli albo konfiguracji usługi. W praktyce analiza wymaga odróżnienia działania użytkownika od operacji wykonywanej automatycznie przez usługę, aplikację lub konto techniczne.

Wyszukiwanie w portalu Microsoft Purview pozwala zawężać wyniki przy użyciu filtrów. Można sprawdzać aktywność określonego konta, analizować zdarzenia w przedziale czasowym albo ograniczyć wynik do wybranej kategorii operacji. Dane można również eksportować do dalszej analizy, a w środowiskach korzystających z automatyzacji wykorzystywać mechanizmy dostarczania zdarzeń do narzędzi monitorujących. Przy ocenie wyniku należy uwzględnić strefę czasową, opóźnienie pojawienia się rekordu, wieloetapowy charakter operacji oraz fakt, że pojedynczy wpis nie zawsze opisuje cały przebieg działania.

Retencja, uprawnienia i ograniczenia interpretacyjne

Dostęp do dzienników oraz czas ich przechowywania zależą od konfiguracji organizacji, rodzaju rozwiązania audytowego i przypisanych licencji Microsoft 365. Microsoft rozróżnia możliwości standardowego audytu oraz rozszerzone funkcje audytu dostępne w wybranych planach. Rozszerzenia mogą obejmować dłuższe przechowywanie rekordów, bardziej szczegółowe zdarzenia lub dodatkowe funkcje wyszukiwania. Nie należy więc zakładać, że każda dzierżawa rejestruje identyczny zestaw danych albo zachowuje je przez taki sam okres.

Ważną rolę odgrywa model uprawnień. Wyszukiwanie i eksport danych audytowych są kontrolowane przez role administracyjne Microsoft Purview, dlatego dostęp do dzienników powinien być przyznawany tylko kontom, które rzeczywiście muszą prowadzić analizę. Błąd uprawnień może sprawić, że użytkownik nie zobaczy wyników, mimo że zdarzenia zostały zapisane. Brak rekordu również nie jest samodzielnym dowodem, że czynność nie wystąpiła. Przyczyną może być nieobsługiwany typ operacji, opóźnienie, nieprawidłowy filtr, wyłączona rejestracja albo zakończenie okresu retencji.

Monitorowanie wymaga zatem ustalenia, jakie zdarzenia mają znaczenie, kto może je przeglądać i jak długo powinny być dostępne. Warto także dokumentować nazwy operacji, konta usługowe oraz oczekiwany sposób oznaczania aktywności nietypowej. Purview dostarcza danych o zdarzeniach, ale ich interpretacja wymaga zestawienia z konfiguracją Microsoft 365, historią zmian, informacjami o urządzeniu i innymi źródłami telemetrycznymi. Dopiero taka korelacja pozwala odróżnić zwykłą pracę, automatyzację i rzeczywiste odstępstwo od przyjętego modelu działania.

Sprawdzenie konfiguracji na komputerze użytkownika

Na laptopie lub komputerze PC można sprawdzić, czy użytkownik korzysta z właściwego konta Microsoft 365, czy przeglądarka nie blokuje dostępu do portalu oraz czy połączenie z usługami Microsoft działa poprawnie. Warto zweryfikować datę i godzinę systemową, ponieważ nieprawidłowy czas utrudnia porównanie zdarzeń z innymi logami. Należy też ustalić, czy problem dotyczy samego wyświetlania wyników, uprawnień do wyszukiwania, braku określonego typu zdarzeń czy opóźnionego zasilania dziennika.

Diagnostyka może obejmować sprawdzenie logowania w przeglądarce, komunikatów błędów, rozszerzeń blokujących skrypty, konfiguracji sieci oraz działania aplikacji Microsoft 365 powiązanych z badanym kontem. Jeżeli na jednym urządzeniu wyniki są widoczne, a na innym nie, wskazuje to na różnicę w sesji, uprawnieniach, pamięci podręcznej lub konfiguracji przeglądarki, a niekoniecznie na problem z rejestrowaniem zdarzeń po stronie usługi. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę laptopów i komputerów PC oraz sprawdza konfigurację oprogramowania, połączenia sieciowe i działanie podzespołów związanych z pracą użytkownika.

Przed zmianą ustawień warto zachować treść komunikatu błędu, zakres użytych filtrów oraz przybliżony czas wystąpienia problemu. Takie informacje ułatwiają późniejsze porównanie z wpisami audytowymi i pozwalają uniknąć pochopnego wniosku, że brak wyniku oznacza brak aktywności. Działania administracyjne w samej dzierżawie Microsoft 365 powinny być wykonywane przez osobę posiadającą odpowiednie uprawnienia do tej usługi.