1 - 앱을 선택하세요.
2 - 앱을 승인되지 않음으로 태그 지정합니다.
3 - 블록 스크립트를 생성합니다.
4 - 소스 어플라이언스에서 스크립트를 실행합니다.
참조:
https://docs.microsoft.com/en-us/클라우드-앱-보안/거버넌스-디스커버리

설명:

이 질문은 SharePoint, Exchange 및 기타 M365 저장소에서 파일과 메타데이터를 검색하기 위해 KQL(키워드 쿼리 언어)을 사용하는 Microsoft Purview Content Search 쿼리에 대한 것입니다.
* 검색1: 작성자:"User1" 파일 확장자:xlsx
* 이 쿼리는 User1이 작성하고 파일 확장자가 .xlsx인 항목을 검색합니다.
* 데이터 세트에서 File3.xlsx만 .xlsx 확장자를 가지고 있지만, 해당 작성자는 User1이 아니라 User3입니다.
* 따라서 Search1은 File3 # answer: No를 반환하지 않습니다.(논리 검토 후 정정)
* 검색2: 작성자:"사용자*" 및 파일 확장자:*
* 와일드카드 User*는 "User"로 시작하는 모든 작성자 이름(User1, User2, User3)과 일치합니다.
* FileExtension:*은 확장자가 있는 모든 파일 유형과 일치합니다.
* 따라서 세 개의 파일(File1.docx, File2.docx, File3.xlsx) 모두 이 쿼리와 일치합니다.
* 따라서 Search2는 File1을 반환합니다. # 답변: 예.
* 검색3: 작성자:(User1..3)
* 범위(User1..3)는 User1과 User3 사이의 Author 값과 일치하는 범위 쿼리로 해석됩니다.
* 여기에는 메타데이터 문자열이 인덱싱되는 방식에 따라 User1, User2, User3이 포함됩니다.
* 따라서 File2(User2가 작성)가 이 범위에 포함됩니다.
* 따라서 Search3은 File2를 반환합니다. # 답변: 예.
# 최종 정답 표
성명
예
아니요
Search1은 File3을 반환합니다.
##
Search2는 File1을 반환합니다.
##
Search3은 File2를 반환합니다.
##
요약:
* 검색1: 아니요(작성자와 확장자가 일치하지 않습니다).
* 검색2: 예(와일드카드는 모든 "사용자" 작성자와 일치합니다).
* Search3: 예(범위에 User2 포함).
이러한 결과는 Microsoft 365 eDiscovery(Standard) 및 Purview 콘텐츠 검색 지침에 문서화된 Microsoft Purview 콘텐츠 검색 KQL 구문 및 동작과 일치합니다.

설명:

조사 및 헌팅 중에 나중에 볼 수 있는 노트를 첨부하려면 Microsoft Sentinel에서 책갈피를 사용합니다. 책갈피는 Sentinel 작업 영역 내의 헌팅(또는 로그) 환경에서 생성되며 노트, 태그 및 매핑된 엔터티와 함께 ​​특정 쿼리 결과(IP, 계정, 호스트 포함)를 고정하여 조사 그래프에 표시되고 쉽게 참조할 수 있도록 합니다. 올바른 워크플로는 다음과 같습니다. 먼저 Sentinel의 헌팅 환경에서 북마크가 인시던트 및 조사 그래프와 통합되므로 Microsoft Sentinel 작업 영역(일반 Azure Monitor가 아님)에서 KQL 쿼리를 실행합니다. 다음으로 의심스러운 활동(예: 대상 IP의 데이터 액세스 이벤트)을 나타내는 특정 쿼리 결과를 선택합니다. 마지막으로 책갈피를 만들고 노트를 추가하는 동안 관련 엔터티(IP 주소, 계정 등)를 매핑합니다. 엔터티를 매핑하면 북마크된 이벤트가 조사 그래프에 연결됩니다. 노트는 내러티브를 제공합니다.
나중에 피벗할 때 필요한 /context입니다. 쿼리를 즐겨찾기에 추가하는 것은 편의상 선택 사항이지만, 특정 이벤트에 대한 메모가 첨부되지 않으며, Azure Monitor에서 쿼리를 실행해도 Sentinel의 조사 컨텍스트 내에 책갈피가 추가되지 않습니다.