Périmètre vérifié
La recherche est limitée à l’adresse e-mail principale vérifiée du compte lié. Les recherches par domaine et par numéro de téléphone ne sont pas prises en charge.
LeakData pour les opérations de sécurité Microsoft
Un contexte d’exposition vérifié pour l’examen par un analyste
LeakData Exposure Triage est un agent d’investigation en lecture seule qui combine une recherche LeakData limitée au strict nécessaire portant sur l’adresse e-mail principale vérifiée du compte lié avec la télémétrie de transmission LeakData correspondante dans l’espace de travail Microsoft Sentinel sélectionné.
État de la publication: Préparation de la soumission
L’offre n’est pas encore référencée publiquement ni certifiée. Le lien Security Store ouvre la boutique, et non une fiche LeakData approuvée.
Lecture seuleAucune action de réponse automatisée
Adresse e-mail vérifiéeAdresse e-mail principale vérifiée uniquement
1-168 heuresPériode de consultation de la télémétrie limitée
Une démarche d’investigation prudente
Deux sources, un rapport qui tient compte des éléments de preuve
L’agent vérifie un résultat LeakData autorisé et les événements provenant de LeakData dans l’espace de travail sélectionné. Il explique les concordances et les lacunes sans considérer les enregistrements de transmission dupliqués comme des preuves indépendantes de compromission.
Éléments de preuve limités au nécessaire
Le rapport utilise une synthèse d’exposition et un ensemble limité de métadonnées Sentinel plutôt que des lignes brutes issues de fuites ou des données personnelles sans rapport avec la recherche.
Résultat examiné par un analyste
Les recommandations restent en lecture seule et nécessitent qu’un analyste examine des éléments de preuve indépendants avant toute action de réponse.
Fonctionnement de l’agent
De l’actif vérifié à une synthèse de triage au périmètre limité
Chaque étape est explicite, limitée dans son périmètre et conçue pour s’arrêter en toute sécurité lorsqu’une entrée ou une autorisation est invalide.
Valider le périmètre
Accepter uniquement le type email, l’adresse e-mail principale vérifiée du compte lié et une période de consultation comprise entre 1 et 168 heures, exprimée en nombre entier.
Effectuer une seule recherche LeakData
Récupérer une synthèse d’exposition limitée au strict nécessaire pour l’adresse e-mail principale vérifiée. Si la recherche est refusée ou échoue, s’arrêter avant d’interroger Sentinel.
Vérifier l’espace de travail sélectionné
Rechercher LeakDataAlerts_CL et résumer les événements de transmission correspondant exactement à la recherche, sans interroger un autre locataire.
Expliquer le niveau de confiance et les lacunes
Fournir le périmètre, la synthèse d’exposition, les éléments de preuve de l’espace de travail, le niveau de confiance dans la corrélation des données et les prochaines étapes examinées par un analyste.
Interprétation
La confiance dans la corrélation ne mesure pas la certitude d’une compromission
Le libellé décrit la concordance entre le résultat LeakData actuel et les enregistrements de transmission LeakData dans Sentinel. Il ne prouve pas la compromission d’un compte, d’un terminal, d’une boîte aux lettres, d’un domaine ou d’un locataire.
Élevée
Le résultat autorisé actuel concorde avec un enregistrement de transmission correspondant exactement dans l’espace de travail. L’examen par un analyste reste nécessaire.
Moyenne
Une seule source contient des éléments de preuve, ou les enregistrements sont obsolètes, partiels, retardés ou non concordants.
Aucune
Aucune des deux sources vérifiées ne contient d’éléments de preuve dans le périmètre et la période validés ; cela ne signifie pas qu’il n’en existe nulle part ailleurs.
Le niveau critique correspond uniquement à Severity 9
La règle d’analyse native de LeakData ne déclenche une alerte que lorsque Severity est égal à 9. Les valeurs inférieures ne sont pas qualifiées de critiques, et l’agent ne crée pas d’incident.
Avant de tester la préversion
Utilisez un espace de travail autorisé et un budget approuvé
La capacité Security Copilot et l’ingestion Sentinel peuvent entraîner des frais Azure. Activez-les uniquement dans un environnement de test explicitement approuvé.
Compte LeakData
Un compte LeakData lié dont l’adresse e-mail principale est vérifiée.
Accès à Security Copilot
Un espace de travail Security Copilot autorisé et la permission d’installer ou d’exécuter l’agent en préversion.
Espace de travail Sentinel
Un accès en lecture à l’espace de travail sélectionné et à LeakDataAlerts_CL lorsque la corrélation des transmissions est attendue.
Approbation des coûts et des tests
Un plan approuvé couvrant la capacité, l’ingestion, la conservation, les données synthétiques et les tests de la préversion.
Périmètre de sécurité
Conçu pour limiter le traitement des données sensibles
L’agent associe des contrôles au niveau des instructions aux mécanismes de LeakData imposant la vérification de la propriété.
Ce qu’il peut faire
- Rechercher l’adresse e-mail principale vérifiée du compte lié une fois par exécution
- Résumer les métadonnées LeakData et Sentinel dans un périmètre limité
- Signaler les éléments de preuve manquants, obsolètes, partiels ou contradictoires
- Recommander des prochaines étapes en lecture seule à soumettre à l’examen d’un analyste
Ce qu’il ne peut pas faire
- Accepter ou révéler des mots de passe en clair ou des empreintes de hachage complètes
- Renvoyer des lignes brutes issues de fuites ou des données personnelles sans rapport avec la recherche
- Rechercher des domaines, des numéros de téléphone, un autre locataire ou l’adresse e-mail d’un autre compte
- Supprimer, réinitialiser, bloquer, isoler, notifier, acheter ou créer un incident
Préparation de la préversion privée
Évaluez l’agent avec des données synthétiques avant la soumission publique
L’accès à la préversion ne sera proposé qu’une fois les prérequis restants relatifs au compte, à la capacité, aux tests fonctionnels, au webhook et à la certification satisfaits.