经验证的范围
搜索仅限于关联账户已验证的主邮箱。不支持域名和电话号码搜索。
面向 Microsoft 安全运营的 LeakData
为分析人员审核提供经验证的数据暴露背景信息
LeakData Exposure Triage 是一个只读调查智能体，将针对关联账户已验证主邮箱的最小化 LeakData 搜索结果，与所选 Microsoft Sentinel 工作区中匹配的 LeakData 投递遥测数据相结合。
发布状态: 提交准备中
该产品尚未公开上架或通过认证。Security Store 链接打开的是商店，而非已获批准的 LeakData 产品页面。
只读不执行自动响应操作
已验证邮箱仅限已验证的主邮箱
1-168 小时限定遥测回溯时间范围
审慎的调查流程
两个来源，一份审慎解读证据的报告
智能体检查一条授权范围内的 LeakData 结果，以及所选工作区中源自 LeakData 的事件。它会说明一致之处与信息缺口，不会将重复的投递记录视为独立的失陷证据。
最小化证据
报告使用数据暴露摘要和有限的 Sentinel 元数据，而非原始泄露数据行或无关的个人数据。
人工审核结果
建议仅涉及只读操作，且在采取任何响应操作之前，必须由分析人员审核独立证据。
智能体工作流程
从已验证资产到限定范围的初步研判摘要
每个阶段都明确且有范围限制，并设计为在输入或权限无效时安全停止。
验证范围
仅接受 email 类型、关联账户已验证的主邮箱，以及 1 至 168 小时的整数回溯时长。
搜索 LeakData 一次
检索一份已验证主邮箱的最小化数据暴露摘要。如果搜索被拒绝或失败，则在查询 Sentinel 之前停止。
检查所选工作区
查找 LeakDataAlerts_CL，并汇总精确匹配的投递事件，不查询其他租户。
说明置信度与信息缺口
返回范围、数据暴露摘要、工作区证据、数据关联置信度，以及经分析人员审核的后续步骤。
结果解读
关联置信度不等于失陷置信度
该标签说明当前 LeakData 结果与 Sentinel 中 LeakData 投递记录的一致程度。它不能证明账户、终端、邮箱、域名或租户已失陷。
高
当前授权范围内的结果与工作区中精确匹配的投递记录一致。仍需分析人员审核。
中
仅有一个来源包含证据，或记录存在过时、不完整、延迟或不匹配的情况。
无
在已验证的范围和时间窗口内，两个已检查的来源均不包含证据；这不代表所有范围内都不存在相关证据。
仅 Severity 为 9 时标记为严重
LeakData 原生分析规则仅在 Severity 等于 9 时触发警报。较低的值不会被标记为严重，智能体也不会创建安全事件。
预览版测试前
使用已获授权的工作区和已获批准的预算
Security Copilot 容量和 Sentinel 数据引入可能产生 Azure 费用。请仅在明确获批的测试环境中启用。
LeakData 账户
已关联且主邮箱已验证的 LeakData 账户。
Security Copilot 访问权限
已获授权的 Security Copilot 工作区，以及安装或运行预览版智能体的权限。
Sentinel 工作区
如需进行投递关联，须具备所选工作区和 LeakDataAlerts_CL 的读取权限。
费用与测试审批
已获批准的容量、数据引入、数据保留、合成数据和预览版测试计划。
安全边界
旨在尽量减少敏感数据处理
智能体结合了指令级控制措施与 LeakData 强制实施的所有权验证机制。
可以执行的操作
- 每次运行搜索关联账户已验证的主邮箱一次
- 汇总限定范围内的 LeakData 和 Sentinel 元数据
- 说明证据缺失、过时、不完整或相互冲突的情况
- 建议只读的后续步骤，供分析人员审核
不能执行的操作
- 接收或披露明文密码或完整哈希值
- 返回原始泄露数据行或无关的个人数据
- 搜索域名、电话号码、其他租户或其他账户的邮箱
- 删除、重置、阻止、隔离、通知、购买或创建安全事件
非公开预览版准备
公开提交前，先使用合成数据进行评估
只有在完成其余账户、容量、功能测试、webhook 和认证前提条件后，才会提供预览版访问权限。