Microsoft Information Protection und Auditlogs Update

Aus der Public Preview ist nun ein ausgereifter Service geworden und es werden Auditlogs für Events in Microsoft Information Protection angezeigt. Wie und was und warum erläutere ich in diesem Blogpost.

Audit Logs

Wo? Microsoft Purview Center -> Überwachungsprotokolle

Die Audit Logs müssen einmal eingeschaltet werden und können dann hier eingesehen oder auch in ein SOC Siem überführt werden. Neben den Audit Logs findet ihr Informationen über die Anwendung von Informationsschutz im Compliance Center unter dem Punkt “Datenklassifizierung” und dort im Aktivitätenexplorer, der die Informationen der Auditlogs graphisch darstellt.

Welche Auditlogs gibt es für Azure Information Protection?

Die folgenden Ereignisse werden angezeigt: 

• Auf Datei zugegriffen
• Datei gefunden
• Vertraulichkeitsbezeichnung angewendet
• Vertraulichkeitsbezeichnung aktualisiert
• Vertraulichkeitsbezeichnung entfernt
• Datei entfernt
• Schutz angewendet
• Schutz geändert
• Schutz entfernt
• AIP-Takt empfangen
  (Informationen zu Labels vom Client empfangen)

Screenshots 

Übersicht

Detaillierte Ansicht eines Elementes

{
    "AADSessionId": "c-4651b71ce",
    "CorrelationId": "d-5000-0452-f19cf6c05193",
    "UniqueTokenId": "EuMedGmCAA"
}