参考文献:
https://docs.microsoft.com/en-us/azure-advanced-threat-protection/atp-whats-new

説明
参考文献:
https://docs.microsoft.com/en-us/office365/securitycompliance/create-activity-alerts
トピック 2、ケーススタディ:
概要
既存の環境
これはケーススタディです。ケーススタディは個別に時間が設定されるわけではありません。各ケースを完了したいだけ試験時間を費やすことができます。ただし、この試験には追加のケーススタディやセクションが存在する場合があります。この試験に含まれるすべての質問を指定された時間内に完了できるように時間を管理する必要があります。
ケーススタディに含まれる質問に答えるには、ケーススタディで提供される情報を参照する必要があります。ケース スタディには、ケース スタディで説明されているシナリオに関する詳細情報を提供する展示やその他のリソースが含まれる場合があります。このケーススタディでは、各質問は他の質問から独立しています。
このケーススタディの最後に、レビュー画面が表示されます。この画面では、試験の次のセクションに進む前に、回答を確認し、変更を加えることができます。新しいセクションを開始した後は、このセクションに戻ることはできません。
ケーススタディを開始するには
このケーススタディの最初の質問を表示するには、 ボタンをクリックします。質問に答える前に、左側のペインのボタンを使用してケーススタディの内容を調べてください。これらのボタンをクリックすると、ビジネス要件、既存の環境、問題の説明などの情報が表示されます。質問に答える準備ができたら、[現在のインフラストラクチャ A] をクリックします。Datum は最近 Microsoft 365 サブスクリプションを購入しました。
すべてのユーザー ファイルは Microsoft 365 に移行されます。
すべてのメールボックスは Microsoft 365 でホストされています。各オフィスのユーザーには、[email protected] や user2#uk.ad3tum.com など、ユーザーの国を含む電子メール サフィックスが付いています。
各オフィスにはセキュリティ情報およびイベント管理 (SIEM) アプライアンスがあります。アプライアンスは 3 つの異なるベンダーから提供されています。
A: Datum は個人識別情報 (PII) を使用および処理します。
問題の声明
要件
A: データム社は訴訟を起こしました。法務部門は、Microsoft 365 にある User1 という名前のユーザーのすべてのドキュメントを保留する必要があります。
ビジネス目標
A: Datum は、事業を展開している地域のすべての関連データ プライバシー法に完全に準拠するよう警告しています。
A: Datum は、可能な限りハードウェアとソフトウェアのコストを最小限に抑えたいと考えています。
技術的要件
A: Datum では次の技術要件が特定されています。
※全拠点のログ分析を一元的に実施します。
*後の分析のために、SIEM アプライアンスからのすべてのデータを中央のクラウド リポジトリに集約します。
*SharePoint 管理者が、ドキュメント ライブラリに保存されている特定のファイルにアクセスしたユーザーを特定できるようにしてください。
*財務部門のユーザーに Microsoft Office のサービス保証情報へのアクセスを提供します。
365。
*欧州連合 (EU) 国民の PII データを含む文書と電子メール メッセージは 10 年間保存されるようにしてください。
* ユーザーが 30 分以内に Microsoft SharePoint Online から 1,000 以上のファイルをダウンロードしようとした場合は、セキュリティ管理者に通知し、ユーザーのユーザー アカウントを一時停止してください。
*セキュリティ管理者は、どの Microsoft 36S ユーザーがサインインしたかを示すレポートが必要です。レポートに基づいて、セキュリティ管理者は、サインインのリスクが高い場合に多要素認証を要求するポリシーを作成します。
*ニューヨーク オフィスのユーザーが米国の機密情報を含む電子メール メッセージのみを送信できるようにします。PII データを他のニューヨーク オフィス ユーザーに送信します。コンプライアンスを確保するには、電子メール メッセージを監視する必要があります。ニューヨーク事務所の監査人m機密情報を含む送受信電子メール メッセージを示すレポートにアクセスできる必要があります。
U.S. PII データ。

参照：
https://docs.microsoft.com/en-us/office365/securitycompliance/search-the-audit-log-in-security-and-compliance#step-3-filter-the-search-results
トピック 3、Litware Inc.
概要
Litware, Inc. はテクノロジー研究会社です。同社はモントリオールに本社があり、シアトルに支社があります。
環境
既存の環境
ネットワークには、litware.com という名前のオンプレミスの Active Directory ドメインが含まれています。ドメインには、次の表に示すユーザーが含まれています。

マイクロソフトクラウド環境
Litware には、litware.com という名前の検証済みドメインを含む Microsoft 365 サブスクリプションがあります。サブスクリプションはオンプレミス ドメインと同期します。
Litware はデバイス管理に Microsoft Intune を使用しており、次の表に示す登録デバイスがあります。

Litware.com には、次の表に示すセキュリティ グループが含まれています。

Litware はコラボレーションに Microsoft SharePoint Online と Microsoft Teams を使用します。
検証されたドメインは、litware.com という名前の Azure Active Directory (Azure AD) テナントにリンクされています。監査ログ検索は、litware.com テナントに対して有効になっています。
問題の声明
Litware では次の問題が特定されています。
ユーザーは、悪意のあるコンテンツを含む電子メールの添付ファイルを開きます。
コンプライアンス ポリシーが割り当てられていないデバイスには、「準拠」ステータスが表示されます。
User1 は、Web 用 Microsoft Office の [感度] オプションが表示されないことを報告しました。
内部製品コードと機密のサプライヤー ID 番号は、ゲスト ユーザーや外部ユーザーが含まれる Microsoft Teams 会議やチャット セッションで共有されることがよくあります。
要件
計画された変更
Litware は次の変更を実装する予定です。
サポートされているデバイスのエンドポイント保護テンプレート設定を構成するデバイス構成プロファイルを実装します。
Microsoft OneDrive、SharePoint Online、および Microsoft Teams の情報ガバナンスを構成します。
データ損失防止 (DLP) ポリシーを実装して機密情報を保護します。
User2 に、litware.com テナントの監査ログを確認するアクセス許可を付与します。
次の表に示すように、新しいデバイスをシアトルのオフィスに展開します。

DLP ポリシーがトリガーされたときの通知システムを実装します。
litware.com テナントの安全な添付ファイル ポリシーを構成します。
技術的要件
Litware では、次の技術要件を特定しています。
保持設定は、SharePoint Online サイト、OneDrive アカウント、および Microsoft Teams チャネル メッセージに保存されているすべてのデータに自動的に適用され、データは 5 年間保持される必要があります。
添付ファイルを含む電子メール メッセージは直ちに配信される必要があり、スキャンが完了するまで添付ファイルにプレースホルダーを提供する必要があります。
シアトル オフィスにあるすべての Windows 10 デバイスは、デバイスが Azure AD に参加または登録されるときに、自動的に Intune に登録される必要があります。
コンプライアンス ポリシーが割り当てられていないデバイスは、Microsoft エンドポイント マネージャー管理センターで「非準拠」ステータスを表示する必要があります。
DLP ポリシーがトリガーされると、Microsoft 365 コンプライアンス センターに通知が表示される必要があります。
User2 には、次のアクティビティの監査ログを確認する権限が付与されている必要があります。
- Microsoft Exchange Online での管理アクティビティ
- SharePoint Online での管理アクティビティ
- Azure AD での管理アクティビティ
ユーザーは、Web 用 Office を使用してドキュメントに秘密度ラベルを適用できる必要があります。
デバイスのプロビジョニングには、可能な限り Windows Autopilot を使用する必要があります。
DLP ポリシーは、次の要件を満たすように作成する必要があります。
- Microsoft Teams のチャット セッション、会議、またはチャネル メッセージで機密情報を共有してはなりません。
- 内部製品コードまたはサプライヤー ID 番号を含むメッセージはブロックし、削除する必要があります。
最小特権の原則を使用する必要があります。

説明
参考文献:
https://docs.microsoft.com/en-us/office365/securitycompliance/data-loss-prevention-policies このレポートには、ポリシー一致レポートと同様に、ポリシーの一致も時間の経過とともに表示されます。ただし、ポリシー一致レポートにはルール レベルでの一致が表示されます。たとえば、電子メールが 3 つの異なるルールに一致した場合、ポリシー一致レポートには 3 つの異なる項目が表示されます。対照的に、インシデント レポートでは項目レベルでの一致が示されます。たとえば、電子メールが 3 つの異なるルールに一致した場合、インシデント レポートにはそのコンテンツの 1 つの項目が表示されます。レポート数は異なる方法で集計されるため、ポリシー一致レポートは、特定のルールとの一致を特定し、DLP ポリシーを微調整するのに適しています。インシデント レポートは、DLP ポリシーにとって問題となる特定のコンテンツを特定するのに適しています。

参照：
https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-getstarted
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-sign-in-risk-policy
https://docs.microsoft.com/en-us/azure/active-directory/reports-monitoring/quickstart-configure-named-locations