Подтверждённая область поиска
Поиск ограничен подтверждённым основным адресом электронной почты привязанной учётной записи. Поиск по доменам и номерам телефонов не поддерживается.
LeakData для обеспечения безопасности в экосистеме Microsoft
Проверенный контекст утечек данных для анализа специалистом
LeakData Exposure Triage — агент для расследований, работающий только в режиме чтения. Он объединяет поиск в LeakData с минимальным объёмом данных по подтверждённому основному адресу электронной почты привязанной учётной записи с соответствующей телеметрией доставки LeakData в выбранной рабочей области Microsoft Sentinel.
Статус выпуска: Подготовка к подаче заявки
Продукт пока не опубликован в каталоге и не сертифицирован. Ссылка на Security Store открывает магазин, а не одобренную страницу LeakData.
Только чтениеБез автоматических действий по реагированию
Подтверждённый адрес электронной почтыТолько подтверждённый основной адрес электронной почты
1-168 часовОграниченный период просмотра телеметрии
Осторожный подход к расследованию
Два источника — один отчёт с учётом подтверждающих данных
Агент проверяет один результат LeakData, к которому предоставлен доступ, и события из LeakData в выбранной рабочей области. Он объясняет совпадения и пробелы, не считая дублирующиеся записи о доставке независимыми свидетельствами компрометации.
Минимальный объём подтверждающих данных
В отчёте используются сводка об утечках данных и ограниченный набор метаданных Sentinel вместо необработанных записей из утечек или не относящихся к делу персональных данных.
Результат с проверкой специалистом
Рекомендации ограничены действиями в режиме чтения. Перед любым действием по реагированию аналитик должен проверить независимые подтверждающие данные.
Рабочий процесс агента
От подтверждённого актива к сводке первичной оценки в заданных пределах
Каждый этап явно определён, ограничен заданной областью и предусматривает безопасную остановку при недопустимых входных данных или разрешениях.
Проверка области поиска
Принимаются только тип email, подтверждённый основной адрес электронной почты привязанной учётной записи и целое число часов периода просмотра от 1 до 168.
Однократный поиск в LeakData
Получается одна сводка об утечках с минимальным объёмом данных для подтверждённого основного адреса электронной почты. Если в поиске отказано или он завершается ошибкой, процесс останавливается до запроса к Sentinel.
Проверка выбранной рабочей области
Выполняется поиск LeakDataAlerts_CL и формируется сводка по точно совпадающим событиям доставки без запросов к другому тенанту.
Объяснение достоверности и пробелов
Возвращаются область поиска, сводка об утечках данных, подтверждающие данные из рабочей области, степень достоверности сопоставления данных и дальнейшие шаги, проверенные аналитиком.
Интерпретация
Достоверность сопоставления не означает достоверность вывода о компрометации
Метка описывает согласованность текущего результата LeakData с записями о доставке LeakData в Sentinel. Она не доказывает компрометацию учётной записи, конечного устройства, почтового ящика, домена или тенанта.
Высокая
Текущий результат, к которому предоставлен доступ, согласуется с точно совпадающей записью о доставке в рабочей области. Проверка аналитиком по-прежнему необходима.
Средняя
Подтверждающие данные есть только в одном источнике либо записи устарели, неполны, поступили с задержкой или не совпадают.
Отсутствует
Ни один из проверенных источников не содержит подтверждающих данных в пределах проверенной области и временного интервала. Это не означает, что такие данные отсутствуют везде.
Критический уровень — только при Severity 9
Встроенное аналитическое правило LeakData создаёт оповещения только при значении Severity, равном 9. Более низкие значения не помечаются как критические, и агент не создаёт инцидент.
Перед тестированием предварительной версии
Используйте разрешённую рабочую область и утверждённый бюджет
Вычислительные ресурсы Security Copilot и приём данных в Sentinel могут повлечь расходы в Azure. Активируйте их только в явно одобренной тестовой среде.
Учётная запись LeakData
Привязанная учётная запись LeakData с подтверждённым основным адресом электронной почты.
Доступ к Security Copilot
Разрешённая рабочая область Security Copilot и разрешение на установку или запуск предварительной версии агента.
Рабочая область Sentinel
Доступ на чтение к выбранной рабочей области и LeakDataAlerts_CL, если предполагается сопоставление записей о доставке.
Согласование расходов и тестирования
Утверждённый план выделения ресурсов, приёма и хранения данных, использования синтетических данных и тестирования предварительной версии.
Границы безопасности
Минимизация работы с конфиденциальными данными
Агент сочетает ограничения на уровне инструкций с обязательной проверкой владения в LeakData.
Что агент может делать
- Выполнять поиск по подтверждённому основному адресу электронной почты привязанной учётной записи один раз за запуск
- Формировать сводку по ограниченному набору метаданных LeakData и Sentinel
- Указывать на отсутствующие, устаревшие, неполные или противоречивые подтверждающие данные
- Рекомендовать дальнейшие шаги в режиме чтения для проверки аналитиком
Что агент не может делать
- Принимать или раскрывать пароли в открытом виде либо полные хеши
- Возвращать необработанные записи из утечек или не относящиеся к делу персональные данные
- Искать по доменам, номерам телефонов, в другом тенанте или по адресу электронной почты другой учётной записи
- Удалять, сбрасывать, блокировать, изолировать, отправлять уведомления, совершать покупки или создавать инцидент
Подготовка закрытой предварительной версии
Проведите оценку на синтетических данных перед подачей заявки на публикацию
Доступ к предварительной версии будет предоставляться только после выполнения оставшихся условий по учётной записи, ресурсам, функциональному тестированию, вебхукам и сертификации.