mcpField
P
purview-insider-risk-management

purview-insider-risk-management

github.com/vinayaklatthe安全17842 次安装19 周前更新
代码仓库

关于 purview-insider-risk-management

面向 Microsoft Purview 管理员与调查人员的技能，指导配置 Insider Risk Management 策略、HRIS 信号、告警和 Adaptive Protection。重点在隐私控制、序列检测和分阶段部署。

主要功能

  1. 01按风险场景选择策略模板
  2. 02配置 HRIS 连接器与人员信号
  3. 03调优告警并调查案件
  4. 04使用序列检测识别行为链
  5. 05规划 Adaptive Protection 部署

适用场景

  1. 01规划离职人员数据窃取检测
  2. 02建立告警分诊与案件升级流程
  3. 03检查欧盟地区部署的隐私要求
  4. 04关联 Sentinel 与 Defender XDR 信号

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill purview-insider-risk-management

安装后在 Claude Code 中输入/purview-insider-risk-management确认已加载。

详细介绍

Microsoft Purview 内部风险管理

内部风险管理（IRM）关联来自 M365、终结点、Defender、Entra 和 HR 系统的信号，以发现存在风险的用户活动——尤其是随时间变化的意图（例如，经典案例：“员工离职前 3 周开始窃取客户名单”）。它与 Adaptive Protection 搭配使用，可动态收紧风险评分不断升高的用户所适用的 DLP 和 CA 策略。

适用场景

将内部风险检测从项目级基线扩展到实际运营：策略模板选择、HRIS 连接器设置、警报调优、案例调查以及 Adaptive Protection 部署。

此技能不适用于 出站 DLP 策略编写（purview-dlp-policy、purview-advanced-dlp）、电子取证（purview-ediscovery）或高层次的内部风险项目规划（insider-risk-baseline）。

策略模板 — 按用例选择

模板检测内容
离职用户窃取数据在员工提出离职或被解雇前后的一段时间内检测数据外泄类活动（需要 HRIS 连接器）
常规数据泄露检测存在风险的上传、下载、共享或打印活动，不受 HR 信号影响
优先用户的数据泄露同上，但范围限定为高管、并购团队等
高风险用户的数据泄露由 Adaptive Protection 的风险等级升高触发
安全策略违规检测表明用户规避安全措施的 Defender 警报
高风险浏览器使用行为检测通过 Edge-for-Business 浏览高风险网站并访问敏感内容的行为
高风险 AI 使用行为检测发送到未经批准的 AI 应用的敏感数据（与 Purview AI Hub 搭配使用）
医疗保健／患者数据滥用（HIPAA 场景）EMR 访问模式
未经授权访问 PII（金融）检测超出范围查看敏感数据的行为

方法

  1. 正确满足前置条件。 启用 Audit（Standard/Premium）。为所需的数据源配置 Purview 连接器。至少完成敏感度标签和 DLP 的基线配置。

  2. 接入 HRIS 连接器。 没有它，“离职用户”模板就没有触发条件。常见做法是通过 Microsoft Graph 连接器接入 Workday 和 SAP SuccessFactors；也支持自定义 CSV 导入。映射辞职日期、终止日期和职位变更日期。

  3. 启用策略前配置隐私控制。

    • 默认在警报/案例中匿名化用户名；只有由 Insider Risk Investigators 角色批准升级案例后，才可查看真实身份。
    • 限制角色：Insider Risk Admin（配置）、Analysts（使用隐藏身份进行分类）、Investigators（完整权限）。
    • 在欧盟司法管辖区正式上线前，记录法律审查、劳资委员会审查和 GDPR 审查。

  4. 从一个模板开始（几乎总是离职用户）。先以分析/洞察模式运行 14 天；启用正式策略前，先检查基线警报量。

  5. 调整指标。 默认设置会产生大量噪声。禁用不适用于你环境的指标（例如，如果 Intune 已阻止 USB，就禁用“USB 上传”）。调整阈值。

  6. 序列检测最能体现 IRM 的价值。单个事件（复制一个文件）证据较弱；事件序列（从 SharePoint 下载 → 重命名 → 在 1 小时内上传到个人 OneDrive）证据较强。完成基线设置后启用序列策略。

  7. 警报分类工作流：

    • 分类队列的 SLA ≤ 24 小时。
    • 在用户活动时间线中确认触发事件。
    • 确认上下文：HR 信号、涉及的敏感度标签、目标位置。
    • 只有在有记录的正当理由时，才升级为案例（取消匿名化）。
    • 案例措施：通知经理、强制培训、设置 eDiscovery 保留、升级至 Communication Compliance。

  8. 自适应保护。 策略稳定后，启用自适应保护。风险级别（Minor / Moderate / Elevated）会自动加强 DLP 策略执行力度（警告 → 阻止）和 Entra CA 要求（要求 MFA → 阻止下载）。初期应严格限制自动阻止的适用范围。

  9. 与 Sentinel / Defender XDR 集成。 将 IRM 警报转发至 SIEM，以便与终端和身份信号进行交叉关联。

防护措施

  • 先配置隐私控制，再启用策略。 在欧盟/英国/亚太地区的多个司法管辖区，未经劳资委员会协商且未进行假名化就使用 IRM，属于合规违规，而非安全工具。
  • HRIS 连接器数据的新鲜度至关重要。 过时的 Workday 数据源会导致遗漏离职用户触发事件。监控连接器上次同步时间；超过 48 小时时发出警报。
  • 单事件警报噪声较大。 默认策略触发过于频繁。优先采用基于序列和风险评分的策略。
  • 不要自动升级至 HR。 在采取任何会影响用户的措施前，始终由调查人员进行人工审查。
  • 自适应保护的自动阻止可能会锁定合法用户。 先试点 30 天，使用自动警告，再启用自动阻止。
  • IRM 用于防范内部人员风险，而非外部攻击者。 被入侵账户的数据外泄看起来可能像内部人员外泄；应结合 Defender XDR 身份信号加以区分。
  • 角色分离不可妥协。 同一人不应同时配置策略、进行分类和开展调查；必须职责分离。
  • AI 使用策略需要 Purview AI Hub 提供上游信号，否则 AI 内部风险模板没有可用于评分的数据。

常见反模式

  • “第一天就启用了所有模板” — 每周收到 10,000 条警报，却一条都没进行分类。先从一个模板开始，再逐步扩展。
  • “跳过 HRIS 连接器，改用‘数据泄露’模板，而不是离职员工模板” — 失去了 IRM 中最有价值的信号。
  • “调查人员默认拥有取消匿名化的访问权限” — 侵犯隐私。权限升级必须针对具体案件，并接受审计。
  • “启用策略前没有设定基线期” — 大量正常业务活动被标记为有风险。
  • “Adaptive Protection 对轻微风险自动拦截” — 用户因正常活动而被拦截。开始时仅针对高风险级别。
  • “创建 IRM 案件并采取行动时，没有与法务／HR 协作” — 面临不当处置风险。
  • “使用 IRM 监控某个特定人员” — 这是监视，而不是内部人员风险管理。针对特定人员的调查应通过 eDiscovery + legal hold 工作流进行。

示例提示词

  • 为拥有 40,000 名员工并使用 Workday HRIS 的租户规划 IRM 部署 — 90 天计划。
  • 配置离职员工策略，使用序列检测，并设置事前 30 天／事后 30 天的时间窗口。
  • 德国 IRM 部署的隐私审查清单 — 包含员工委员会讨论要点。
  • 针对 5,000 名用户的试点，将 Adaptive Protection 从自动警告调整为针对高风险自动拦截。
  • 制定警报分类 SOP，包括升级为案件的流程和取消匿名化的标准。
  • 将 IRM 警报集成到 Sentinel，并编写狩猎查询，将 IRM 高风险与 Defender for Cloud Apps 异常下载关联起来。
  • 使用 Purview AI Hub 信号接入 AI 风险使用策略。

Microsoft Learn

评论

支持 Markdown