תחילת העבודה עם יומני הביקורת של Microsoft Purview

By Mirko Peters · 2026-08-28

ברוכים השבים לבלוג הנלווה לפודקאסט! בפוסט של היום אנחנו צוללים לעומק המנגנונים הבסיסיים של מעקב אחר פעולות משתמשים וסקירתן בתוך ה-c…

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג המלווה לפודקאסט! בפוסט של היום נעמיק במנגנוני היסוד של מעקב אחר פעולות משתמשים וסקירתן בתוך סביבת הענן שלכם. אם אתם רוצים לאבטח את הדייר שלכם, לחקור אירועי אבטחה חשודים ולוודא עמידה קפדנית בדרישות הרגולציה, הבנת יומן הביקורת המאוחד היא הכרחית. לפירוט השמע המלא ולהאזנה לדיון המלא בנושא, כדאי לצפות בפרק הפודקאסט הקשור: Audit Microsoft 365 User Activity with Purview.

ככל שארגונים מעבירים יותר עומסי עבודה לענן, ניהול הנראות של משתמשים ומנהלים הופך למורכב בהרבה. ללא אסטרטגיית ביקורת מובנית, אתם למעשה טסים בעיוורון מול איומי אבטחה פנימיים וחיצוניים. המדריך הזה ילווה אתכם בשלבים המבניים הנדרשים כדי לאמת את הסביבה שלכם, להקצות תפקידי ממשל מתאימים ולחלץ תובנות ישימות מהפורטל של Microsoft Purview.

מבוא ליומני הביקורת של Microsoft Purview

ניטור פעולות של משתמשים ומנהלים לאורך מערכת ענן הוא מרכיב קריטי בכל תמונת סייבר מודרנית. Microsoft Purview משמש כמרכז המרכזי לציות, ממשל וביקורת בדייר שלכם. הוא מאחד רשומות פעילות מ-Exchange Online, מ-SharePoint, מ-OneDrive, מ-Microsoft Teams ומ-Microsoft Entra ID למאגר אחד הניתן לחיפוש.

הבנה של האופן שבו ניתן לנצל רשומות ביקורת אלה מעניקה למנהלים את היכולת לשחזר ציר זמן במהלך חקירות אבטחה, לזהות סטיות תצורה לא מורשות ולעמוד בדרישות של מסגרות ציות מחמירות כמו HIPAA, GDPR ו-PCI DSS. בין אם אתם עוקבים אחר כניסות פשוטות של משתמשים ובין אם אחר דפוסי הוצאת מידע מורכבים דרך קישורי שיתוף קבצים, Purview מספק את טלמטריה המעמיקה הנדרשת כדי להישאר מאובטחים.

דרישות מוקדמות לביקורת: הרשאות ותפקידים

הרשאות ותפקידים

לפני שתתחילו לחפש חריגות אבטחה או להפיק דוחות ציות, יש לוודא שנקבעו הגבולות הניהוליים המתאימים ובקרות הגישה מבוססות התפקידים (RBAC). לא לכל מנהל נדרשת גישה מלאה לנתוני הביקורת הגולמיים; אכיפת עקרון ההרשאה המינימלית כאן מגינה על טלמטריה ארגונית רגישה.

הקצאת התפקידים הספציפיים האלה דרך מרכז הניהול של Microsoft Entra או דרך הפורטל של ציות Purview מבטיחה שלקציני הציות ולאנליסטים של האבטחה תהיה בדיוק הגישה שהם צריכים כדי לבצע את תפקידם ביעילות.

הפעלת רישום ביקורת

למרות ש-מנויים מודרניים רבים של Microsoft 365 כוללים ביקורת סטנדרטית שמופעלת כברירת מחדל, אימות מצב הביקורת של הדייר שלכם הוא תמיד צעד ראשון חובה. אם הביקורת מושבתת, לארגון שלכם לא יהיה שום עקבה היסטורית של פעולות משתמשים שהובילו לאירוע אבטחה.

1. ודאו שלארגון יש רמת מנוי נכונה (כגון Microsoft 365 E3 או E5) התומכת בעומק הרישום הרצוי.
2. ודאו שיומן הביקורת המאוחד פעיל, באמצעות פקודות Exchange Online PowerShell או בדיקה בפורטל Purview.
3. הקצו את תפקידי Audit Reader או Audit Administrator הנדרשים לאנשי האבטחה שהוגדרו לכך.
4. הגדירו תכונות מתקדמות כמו Microsoft Purview Audit (Premium) אם הארגון דורש שמירה מורחבת של יומנים ולכידה של אירועים בעלי ערך גבוה.
5. הקימו שגרות אימות מתמשכות כדי לוודא שמצב הביקורת לא יכבה בשוגג במהלך העברות דיירים מורכבות או מסירת תפקידים ניהוליים.

גישה ליומני הביקורת בפורטל Purview

ניווט בפורטל Purview

לאחר שההרשאות נקבעו והביקורת אושרה כפעילה, ניתן לגשת לכלי החיפוש המרכזיים בתוך ממשק הציות. היכנסו לפורטל הציות של Microsoft Purview, אתרו את חלונית הניווט בצד שמאל ובחרו בפתרון Audit. משם, לחצו על Search כדי לפתוח את בונה הפרמטרים.

יש לזכור שכאשר מתרחש אירוע בסביבה שלכם, בדרך כלל לוקח בין 15 ל-60 דקות עד שנתוני הטלמטריה נקלטים במלואם, מאונדקסים וזמינים לחיפוש דרך כלי החיפוש בפורטל. בתגובה לאירועים בזמן אמת, סבלנות היא המפתח.

סינון וייצוא של יומנים

מכיוון שסביבות ארגוניות מייצרות מיליוני רשומות טלמטריה מדי יום, גלילה ידנית אינה אפשרית. Purview מציעה כלי סינון מדויקים שיעזרו לכם למקד את החקירות:

• טווח תאריכים ושעות (UTC): ציינו חלונות זמן מדויקים לחקירה, תוך שמירה על כך שחלונות החיפוש הרגילים מתפרשים על פני עד 180 ימים.
• מילות מפתח: חיפוש מחרוזות ספציפיות בתוך מטעני ה-JSON הבסיסיים.
• פעילויות (שמות ידידותיים): בחירת פעולות קריאות לאדם, במקום שמות שיטות גולמיים מהשרת.
• סוגי רשומות: צמצום החיפושים לשירותים ספציפיים, כמו הורדות קבצים מ-SharePoint או גישות לתיבות דואר ב-Exchange.

כשנדרש ניתוח אופליין מעמיק יותר, ניתן לייצא את תוצאות החיפוש לפורמט של ערכים מופרדים בפסיקים (.csv). הייצוא כולל מידע מפורט על האירועים בתוך העמודה AuditData כאובייקטי JSON מובנים, שניתן לנתח לאחר מכן בכלים כמו Power Query של Excel או בצינורות SIEM חיצוניים.

הבנה וניתוח של יומני ביקורת

רשומות ביקורת גולמיות הן מסמכי JSON עשירים, הכוללים נתונים הקשריים כגון כתובות IP של לקוחות, סוכני משתמש, מזהי פריטים מושפעים ופרטי פעולה מפורשים. פירוש היומנים מאפשר לצוותי האבטחה להבחין בין התנהגות תמימה של משתמשים לבין איומים פנימיים זדוניים.

באמצעות לימוד קטגוריות הפעילות הללו, מרכז הפעולות האבטחתי (SOC) שלכם יוכל לזהות דפוסים עדינים של הוצאת נתונים, סטיית תצורה או הסלמת הרשאות, הרבה לפני שאלה יובילו לפריצת נתונים הרסנית.

שיטות עבודה מומלצות לביקורת: תזמון וציות

שמירה על סביבה מאובטחת דורשת ממשל יזום ולא רק סקירה תגובתית של היומנים. הקימו לוחות זמנים קבועים לביקורת חשבונות מורשים, לבדיקת שינויים בחברות בקבוצות ניהול, ולבדיקת מדיניות התראות אוטומטיות.

שילוב של טלמטריית הביקורת של Purview עם מערכות SIEM חיצוניות (Security Information and Event Management) דרך Microsoft Graph Activity APIs או Azure Event Hubs מאפשר לארגון שלכם להפוך את התגובות לאוטומטיות. לדוגמה, אם אירוע ביקורת מפעיל התראה על מחיקה המונית של קבצים, אפליקציית Logic App מחוברת יכולה לבטל אוטומטית את הפעילות של המשתמשים או לאכוף איפוס של אימות רב-שלבי.

בנוסף, יש להחיל בקרות פרטיות מוקפדות. ודאו שמדיניות שמירת היומנים מאזנת בין דרישות הציות המשפטיות והרגולטוריות לבין תקני פרטיות הנתונים של הארגון, ושימוש בכלים כמו מחיקה אוטומטית ופסאודונימיזציה, במידת הצורך.

פתרון בעיות בגישה ושלמות היומנים

מנהלים נתקלים לעיתים קרובות בחיכוכים בעת שאילתת יומנים או אימות כיסוי הטלמטריה. אם נתקלתם ברשומות חסרות או בחסימות גישה, עברו על רשימת הבדיקה המערכתית הבאה לפתרון בעיות:

• אימות ביקורת הדייר: הריצו סקריפטים לאימות של PowerShell כדי לוודא שהביקורת לא פגה.
• אימות הקצאות RBAC: ודאו שלחשבון המשתמש שלכם יש את תפקידי Audit Reader או תפקידי ניהול הציות הנכונים.
• בדיקת עיכובי קליטה: זכרו שתורי קליטה זמניים בשרת עלולים לגרום לפערים קצרים בחיפושים בזמן אמת.
• בדיקת הגדרות אבחון: ודאו שצינורות ייצוא הנתונים ופרופילי האבחון שלכם ממופים כראוי כדי ללכוד את כל אירועי עומסי העבודה המיועדים.

אם הבעיות נמשכות, עיינו בתיעוד הרשמי של Microsoft לפתרון בעיות, או הריצו שאילתות programmatic ממוקדות דרך PowerShell כדי לבודד את קבוצות הרשומות החסרות.

סיכום

שליטה במערכת יומן הביקורת של Microsoft Purview היא מסע חיוני לכל מנהל ענן או איש אבטחה שמבקש לחזק את סביבת Microsoft 365 שלו. החל מהבנת ההרשאות הבסיסיות והפעלת רישום מאוחד, ועד שליטה בייצוא JSON מורכב ובחיבורים ל-SIEM, היכולת שלכם לעקוב אחר פעילות משתמשים קובעת בפועל את רמת הבשלות של האבטחה בארגון שלכם.

כדי להמשיך ללמוד ולשמוע תרחישים מעשיים מהשטח בנושא ניטור משתמשים, הקפידו להאזין לפרק המלווה המלא שלנו, Audit Microsoft 365 User Activity with Purview. יישום פרקטיקות הביקורת המחמירות הללו כבר היום יגן על נכסי הארגון שלכם וישמור על עמידה בדרישות הרגולציה גם מחר.