ממשל יומן ביקורת של Teams: מדריך מלא ל-Microsoft 365

By Mirko Peters · 2026-03-12 · Updated 2026-03-24

שליטה בממשל יומן הביקורת של Microsoft Teams ב-Microsoft 365. מדריך מלא שמכסה ביקורת, ניהול יומנים וניטור של פעילויות Teams.

Automatically translated with AI from the original post. Read the English original

אם התפקיד שלכם הוא לוודא ש-Microsoft Teams פועל בצורה תקינה ובלי צרות, אתם חייבים להכיר היטב את ממשל יומן הביקורת. יומני הביקורת מתעדים כמעט כל דבר שקורה בסביבת Teams שלכם: מי עשה מה, מתי ואיך. בין אם אתם מודאגים מציות לרגולציה, מפתרון בעיות מוזרות או מזיהוי איומי אבטחה אפשריים, יומני הביקורת הם קו החיים המרכזי שלכם, והתעלמות מהם דומה להתעלמות מגלאי עשן במסעדת פיצה.

המדריך הזה פורס בפניכם את כל מה שצריך לדעת על ממשל יומן הביקורת של Teams. נסביר מהם יומני ביקורת, נראה איך מגדירים אותם, נלמד איך לחפור בנתונים, ונעבור על צעדים מעשיים לשמירה על ציות ואבטחה. תלמדו לזהות פעילות חשודה, לעמוד בכללי הציות המציקים, ולשלב כלים מתקדמים יותר, כמו סקריפטים של PowerShell, ממשקי API או התראות אוטומטיות, שרבים מפספסים אבל אנשי מקצוע מסתמכים עליהם.

מהגדרת המדיניות ועד הניטור היומיומי, אנחנו מכסים הכול, בין אם אתם מנהלים ארגון ללא מטרות רווח קטן ובין אם מדובר בארגון גדול מפוקח רגולטורית. חשבו על המדריך הזה כמפת הדרכים שלכם להפיכת הכאוס ב-Teams לסדר, לבניית אמון, להפחתת סיכונים ולשמירה על הארגון מחוץ לכותרות מהסיבות הלא נכונות. בואו נצלול לפרטים שהמדריכים של המתחרים מדלגים עליהם או ממהרים לעבור עליהם, כדי שתרגישו בטוחים להתמודד עם מה שידוע ומה שלא ידוע בממשל של Microsoft Teams.

1. ממשל יומן הביקורת של Teams חושף פעולות רבות החוצות שירותים: אירועים ב-SharePoint, ב-OneDrive וב-Exchange שקשורים ל-Teams (כמו עריכת קבצים והזמנות לפגישות) מופיעים ביומן הביקורת של Teams, כך שפעולה בשירות אחד יכולה להופיע בחקירות הביקורת של Teams שלכם.
2. אפשר לעקוב אחר פעילות של משתמשי אורחים. פעולות של אורחים ושל משתמשים חיצוניים ב-Teams (הצטרפויות, גישה לקבצים ושינויי חברות) מתועדות, וכך הממשל של שיתוף פעולה חיצוני הופך לניתן לביקורת.
3. תוכן ההודעות אינו נשמר ברשומות הביקורת. רשומות הביקורת לוכדות מטא-דאטה (מי, מה, מתי, איפה), אך בדרך כלל אינן כוללות את גוף ההודעה המלא, וזה משפיע על קריאה פורנזית לעומת חקירות מבוססות מטא-דאטה.
4. חלק מפעולות המשתמשים הנפוצות מפורטות להפתיע. אירועים כמו עריכת הודעות, מחיקת הודעות, תגובות ושחזור צ'אטים מתועדים כולם, וזה מאפשר ניתוח מפורט של התנהגות משתמשים במסגרת ממשל יומן הביקורת של Teams.
5. מגבלות שמירה ורישוי הן עניין מהותי. לרישום ביקורת בסיסי יש חלון שמירה ברירת מחדל (בדרך כלל 90 ימים), אלא אם הוגדרו ביקורת מתקדמת או שמירה מורחבת. לכן ממשל לטווח ארוך דורש תכנון מפורש ורישוי מתאים.
6. מחיקת צוות או ערוץ אינה מוחקת את היסטוריית הביקורת שלהם. רשומות ביקורת של פעילויות שקדמו למחיקה נשארות זמינות, וזה מסייע לממשל ולציות גם לאחר הסרת המשאב.
7. ניתן לייצא נתוני ביקורת ל-SIEM ולתהליכים אוטומטיים. אפשר להזרים או לייצא יומני ביקורת של Teams באמצעות ממשקי API למערכות לניהול אירועים ומידע אבטחתי (SIEM), או לאוטמט התראות, וכך הממשל הופך מתגובתי לפרואקטיבי ולא רק לתגובתי.
8. חלק מהאירועים עשויים להתעכב או להגיע בקבוצות. בעוד שאירועי ביקורת רבים ב-Teams מופיעים במהירות, פעילויות מסוימות עשויות לקחת שעות עד שיופיעו ביומן הביקורת, ולכן יש לכייל את הציפיות לניטור בזמן אמת עבור ממשל יומן הביקורת של Teams.

הבנת ממשל יומן הביקורת ב-Microsoft Teams

נעצור לרגע לפני שנכנסים לפרטים הטכניים, כי הבנה של מהם יומני ביקורת (ומה ממשל באמת אומר עבור Teams) היא השלב הראשון. כשעובדים עם Microsoft Teams בארגון עסקי או מפוקח, העניין אינו רק מי שלח הודעה למי. יש כאן תמונה רחבה הרבה יותר: אבטחת מידע, שקיפות, וודאות שהארגון נשאר מחוץ לבעיות משפטיות.

יומני ביקורת משמשים כמצלמת אבטחה דיגיטלית. הם מתעדים פעילויות ושינויים לאורך כל סביבת Teams, ונותנים את הרצף המלא שנדרש כדי לראות מה קורה ולהוכיח זאת במידת הצורך. אבל מעקב אחר הנתונים הוא רק חצי מהסיפור: הממשל לוקח את היומנים ומוסיף עליהם מבנה, מדיניות ובקרות. עם ממשל נכון, אתם מחליטים מה מנוטר, לכמה זמן, ומי אחראי לעקוב אחרי הדברים.

למנהלי IT ולמובילי עסקים, בניית תוכנית ממשל יעילה ליומני ביקורת (audit log) עוזרת לכם להגיב לאירועים, לעמוד בבדיקות ציות ולשמור על מידע חסוי במקום הנכון. מדובר לא רק בסימון תיבות, אלא ביצירת סדר, קביעת ציפיות ושימוש ביומני ביקורת כדי לקבל החלטות בביטחון. בסעיפים הבאים נתמקד במה שיומני הביקורת מתעדים ובצעדים האסטרטגיים שנדרשים כדי לנהל אותם ביעילות. למידע נוסף על האופן שבו ממשל Teams יכול להפוך כאוס במקום העבודה לשיתוף פעולה בטוח, כדאי לקרוא את הפירוט המעמיק הזה.

מהו יומן ביקורת של Microsoft Teams

יומן ביקורת של Microsoft Teams הוא רשומה כרונולוגית של פעולות ואירועים שמתרחשים בסביבת Teams שלכם. היומן מתעד נתונים כמו כניסות משתמשים, פרסום הודעות, שיתוף קבצים, יצירת צוותות או ערוצים ושינויים בחברות. בפועל, הוא משמש כהיסטוריית פעילות מפורטת שמראה מי עשה מה, מתי ומאיפה.

יומני ביקורת אלה עוזרים לארגונים לעקוב אחר הכול, החל מאיומי אבטחה והפרות מדיניות ועד פתרון בעיות ועמידה בדרישות משפטיות. ב-Microsoft 365 שירותים שונים מפיקים יומני ביקורת משלהם, אך יומני Teams מתמקדים במיוחד בפעולות שיתופיות ובשינויים שנעשים ב-Teams עצמו. רמת מעקב זו היא מפתח לדיווח על ציות ולהבטחת אחריותיות בכל סביבת Teams שלכם.

אסטרטגיות ממשל מרכזיות לניהול יומני ביקורת של Teams

1. יישור מדיניות הביקורת עם יעדי הממשל של הארגון: בנו מדיניות יומני ביקורת שתומכת במסגרת הממשל הכוללת של Teams ובצרכים העסקיים. הגדירו אילו פעילויות ב-Teams חיוניות לניטור, כגון פעולות מנהל, גישה לערוצים רגישים או שיתוף חיצוני. ודאו שהן מיושרות עם יעדי האבטחה ודרישות הציות.
2. אכיפת בעלות ברורה והקצאת תפקידים: הקצו אחריות ברורה לסקירת יומני הביקורת ולאכיפת המדיניות. ציינו מי מנהל את ההגדרות, מי סוקר את היומנים באופן קבוע ומי נוקט פעולה בבעיות שזוהו. הימנעו מ"אשליית השליטה" על ידי הבטחה שלבעלים יש סמכות ומשאבים לבצע שינויים, ולא רק לעקוב אחר מדדים, כפי שנידון בפרק הפודקאסט הזה.
3. שילוב ניהול היומנים בתחום הציות הרחב יותר: חברו את בקרות יומני הביקורת של Teams לניהול הסיכונים, למדיניות המשפטית ולמדיניות ה-IT הרחבה של הארגון. שילוב זה מבטיח שראיות ביקורת יהיו זמינות לבדיקות רגולטוריות, לתגובה לאירועים ולחקירות.
4. תכנון סקירה שוטפת ועדכוני מדיניות: ממשל אינו משימה שמבוצעת פעם אחת ומסתיימת. תזמנו ביקורות תקופתיות של תהליך ניהול היומנים, עדכנו את כללי הניטור ושכללו את מה שנאסף בהתאם לסיכונים חדשים או לתקני ציות. התאימו את התוכניות שלכם ככל שסביבת Teams גדלה והרגולציה משתנה.
5. תיעוד כל דבר: שמרו רישומים מפורטים של מדיניות יומני הביקורת, נהלי הסקירה והתגובות לאירועים. תיעוד מסודר תומך בציות, מזרז חקירות ויוצר המשכיות כאשר תפקידים או אנשי צוות משתנים.

גישה לחיפוש ביומני ביקורת של Teams

לאחר שיומני הביקורת שלכם מתועדים, האתגר הבא הוא להגיע למידע שאתם צריכים, במהירות ובאמינות. סעיף זה מתמקד בצד המעשי של איתור וחיפוש ביומני ביקורת של Teams בתוך Microsoft 365. כדאי להבין הן את שיטות החיפוש (כדי לא להיטבע בנתונים) והן את מרכזי הניהול השונים שבהם היומנים מאוחסנים ונגישים.

הגישה ליומני הביקורת מותנית בהרשאות מטעמי אבטחה. השילוב הנכון של מסנני חיפוש, בין אם אתם מחפשים משתמש מסוים, פעולה או תאריך, יכול להיות ההבדל בין פתרון מהיר של בעיה לבין אבוד בתוך הרעש. נבחן כיצד להשתמש בחיפושי טקסט, בסינון אירועים ובכלי חיפוש מתקדמים יותר בסעיפים הבאים.

עבור מנהלי IT ומובילי ציות, השימוש במרכז הניהול של Microsoft 365 או בפורטל הניהול של Teams הוא עניין שגרתי, אבל ניצול מלוא היכולות שלהם לסקירת יומנים הוא סיפור אחר. הפרטים שבהמשך יעזרו לכם למצוא את דרכי הניווט המהירות ביותר, להקצות את התפקידים הנכונים ולבנות חיפושים הן לפיקוח יומיומי והן למצבי חירום בביקורת.

שיטות חיפוש ביומני ביקורת ב-Microsoft Teams

1. חיפושי מילות מפתח טקסטואליים: הזינו מילות מפתח, שמות משתמש או שמות משאבים כדי לאתר אירועים ספציפיים הקשורים לאנשים או לצוותים. שילוב של מונחי חיפוש יכול לצמצם במהירות את התוצאות לקראת חקירות או בירורים פנימיים.
2. מסנני טווח תאריכים ושעות: השתמשו במסננים מבוססי זמן כדי לחלק את יומני הביקורת לתקופה הספציפית שאתם חוקרים בלבד. הדבר מקטין את היקף התוצאות ואת הרלוונטיות שלהן, במיוחד בעת בחינת אירועים חשודים או חלונות זמן לצורכי ציות לרגולציה.
3. סינון לפי סוג אירוע ופעולה: סננו לפי פעילויות ספציפיות ב-Teams, כגון "מחיקת ערוץ", "הודעה פורסמה" או "קובץ הורד". כך תוכלו להתמקד בפעולות בסיכון גבוה, בלי לעבור על נתונים פחות רלוונטיים.
4. חיפוש לפי כתובת IP ומיקום: חפשו רשומות יומן שנוצרו על ידי כתובות IP מסוימות או ממיקומים גאוגרפיים מסוימים. הדבר שימושי לזיהוי גישה ממיקומים בלתי צפויים, שעשויה להעיד על התנהגות חשודה או על הפרת דרישות ציות.
5. בניית שאילתות מתקדמות: השתמשו בבוני החיפוש המתקדמים או המותאמים אישית בפורטל Microsoft Purview או בפורטל האבטחה. כלים אלה מאפשרים לשלב מספר מסננים (משתמש, פעולה, מכשיר ועוד) ולשמור חיפושים לחקירות או לביקורות חוזרות.
6. ייצוא תוצאות חיפוש ודיווח: ייצאו תוצאות מסוננות לניתוח נוסף ב-Excel, ב-Power BI או בפלטפורמות SIEM. ייצואים מובנים הם קריטיים לבדיקות פורנזיות, לסיכומי ציות ולשמירה על נתיב ביקורת שניתן להגן עליו.

שימוש ב-Microsoft 365 Admin Center לגישה ליומני ביקורת

• ניווט: היכנסו ל-Microsoft 365 admin center, עברו לפורטל Compliance או Security, ובחרו באפשרות "Audit" או "Audit Logs" בחלונית הניווט. מוקד מרכזי זה מספק גישה מאוחדת ליומני Teams וליומני שירותי Microsoft 365 אחרים.
• הרשאות: הגישה ליומני ביקורת מוגבלת למשתמשים בעלי תפקידים מסוימים, כגון Compliance Administrator, Security Administrator או Global Admin. הקצו תפקידים אלה דרך Azure Active Directory או דרך הגדרות ה-admin center, לפי הצורך.
• לוחות מחוונים ותזמון: השתמשו בלוחות המחוונים של הפורטל לסקירה מהירה של אירועי היומן האחרונים, והגדירו דוחות מתוזמנים כדי להפוך סקירות חוזרות לאוטומטיות. לוחות המחוונים יכולים לרוב להציג מגמות, ספירת התראות וסיכומי פעילות משתמשים לבדיקות סטטוס מהירות.
• גישה מואצלת: בארגונים עם הפרדת תפקידים מחמירה, הגדירו גישה מואצלת כך שניתן יהיה לסקור את יומני הביקורת מבלי להעניק הרשאות ניהול מלאות. כך מצמצמים סיכון, ובו בזמן מבטיחים כיסוי נאות לצורכי פיקוח וחקירות.

הפעלה והגדרה של רישום ביקורת ב-Teams

לפני שתוכלו להפיק תועלת מיומני הביקורת של Teams, עליכם לוודא שהם אכן נאספים ושהוגדרו באופן המתאים לארגון שלכם. הפעלת רישום ביקורת היא השלב הראשון והקריטי בכל תוכנית ציות או אבטחה. למרבה המזל, Microsoft מאפשרת להתחיל ברישום בסיסי בקלות יחסית, ואפשרויות הגדרה מתקדמות זמינות למי שיש לו דרישות מורכבות.

בסעיף זה נסקור גם גישות של לחיצה והפעלה בפורטלי הניהול וגם אפשרויות טכניות יותר באמצעות PowerShell. למרות שביקורת מופעלת לרוב כברירת מחדל בדיירים של Microsoft 365, כדאי לוודא ולהתאים את ההגדרות לצרכים הייחודיים שלכם. כמו כן, כדאי לאשר הרשאות, להגדיר ייצואים חוזרים ולוודא שהתיעוד מוכן לכל בדיקת ציות.

למי שמעדיף לאוטומט או להתאים כל פרט (או פשוט אוהב לכוונן הגדרות), PowerShell יכול לפתוח אפשרויות שממשק ה-GUI אינו מאפשר. להלן נציג שיטות עבודה מומלצות גם לנתיב הידני וגם לנתיב האוטומטי, תוך התמקדות בהבטחת רישום אמין ויציב מהיום הראשון.

הפעלת רישום ביקורת ב-Teams וב-Microsoft 365

1. אימות מצב רישום ביקורת ברירת המחדל: ברוב הדיירים החדשים של Microsoft 365 הביקורת מופעלת כברירת מחדל. אבל אל תסתמכו על כך והמשיכו הלאה בלי לבדוק — היכנסו לפורטל Compliance או Security כדי לאשר את המצב בסעיף Audit.
2. הקצאת הרשאות נדרשות: רק משתמשים בעלי התפקידים Security Admin, Compliance Admin או Global Admin יכולים להפעיל או לנהל יומני ביקורת. ודאו שלמובילי ה-IT או הציות שלכם יש תפקידים אלה, כדי לשלוט בתכונות הביקורת.
3. הפעלת רישום ביקורת דרך הפורטל: בפורטל Microsoft Purview (Compliance), עברו ללשונית Audit ובחרו באפשרות "Start recording user and admin activity". פעלו לפי ההנחיות כדי לאשר ולהפעיל את הביקורת עבור Teams ושאר שירותי Microsoft 365.
4. הפעלת רישום ביקורת באמצעות PowerShell: למנהלים מתקדמים או לפעולות המוניות על הדייר, הריצו פקודות PowerShell כמו Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true ב-Exchange Online PowerShell כדי להפעיל רישום מאוחד.
5. אימות פעילות ביומן הביקורת: בדקו את ההגדרה על ידי ביצוע כמה פעולות לדוגמה ב-Teams (למשל פרסום הודעה או יצירת ערוץ), ולאחר מכן חפשו ביומני הביקורת כדי לוודא שהאירועים נרשמו.
6. תיעוד ושיתוף מידע: תעדו כל שלב שבוצע להפעלת רישום הביקורת, כולל ההרשאות שהוקצו, ההגדרות ששונו ופעולות פתרון בעיות שבוצעו. שמרו צילומי מסך והערות לצורך תיעוד תאימות.
7. פתרון בעיות נפוצות: אם רישומים חסרים או אינם מעודכנים, בדקו את הרישוי (רמות E1/E3/E5 משפיעות על תקופות השמירה וסוגי הרישומים), עיכובים בתכונות או תצורות שגויות של תפקידים. להשגת עזרה השתמשו במשאבי התמיכה של Microsoft או בלוחות בריאות הדייר.

הגדרת יומן ביקורת מתקדמת באמצעות PowerShell

1. התחברות ל-Exchange Online PowerShell: פתחו סשן של PowerShell והתחברו ל-Exchange Online באמצעות Connect-ExchangeOnline כדי לקבל גישה מלאה לפקודות ה-cmdlet של תצורת יומן הביקורת.
2. התאמה אישית של פרמטרי ביקורת: השתמשו בפקודות cmdlet כמו Set-MailboxAuditBypassAssociation או Set-Mailbox כדי לכוונן אילו אירועים של Teams יירשמו, מי נכלל או מוחרג, ותנאים מיוחדים לחשבונות בעלי ערך גבוה.
3. אוטומציה של ייצוא יומני ביקורת: כתבו סקריפטים לייצוא מתוזמן של יומני ביקורת לאחסון מקומי או בענן, באמצעות Search-UnifiedAuditLog ולוגיקת ייצוא. פתרון זה שימושי לארכוב ארוך טווח או להזנת הרישומים לכלי SIEM.
4. שאילתות לאירועים ספציפיים: התאימו שאילתות לאיתור אירועים הקשורים ל-Teams, כגון שיתוף קבצים או הסלמת הרשאות ניהול, באמצעות הפקודה Search-UnifiedAuditLog ופרמטרי סינון.
5. שילוב עם אוטומציית ממשל: שלבו סקריפטים של PowerShell עם Power Apps או Power Automate כדי להפעיל תהליכי עבודה בהתבסס על פעילות ביומן הביקורת (למשל שליחת התראה או הפעלת סקירה). לניהול מחזור חיים מתקדם של Teams, שקלו להשתמש ב-Graph API כפי שמתואר במדריך זה על ממשל אוטומטי של Teams.
6. טיפול בפתרון בעיות ואבטחה: כאשר סקריפטים נכשלים או כאשר הרישומים נראים לא שלמים, בדקו את בריאות השירות, היקפי התפקידים והגדרות סשן ה-PowerShell. פעלו לפי שיטות העבודה המומלצות של Microsoft לטיפול מאובטח בפרטי זיהוי בסקריפטים אוטומטיים.

מדיניות שמירה של יומני ביקורת ותאימות עבור Teams

לאחר שרישום הביקורת של Teams פעיל, השאלה הבאה היא כמה זמן לשמור את הרשומות הללו ותחת אילו כללים. שמירה אינה רק עניין של אחסון; היא חלק קריטי מניהול התאימות, הפרטיות והסיכונים. לארגונים שונים יש דרישות שונות, בין אם מדובר ב-GDPR, ב-SOX או בדרישות ספציפיות לתחום, ולכן חשוב להבין מה קובע את תקופת השמירה של יומני הביקורת.

בסעיף זה נסביר את מדיניות השמירה ברירת המחדל עבור יומני Teams, את הגורמים שמאפשרים להתאים את התקופות האלה, ואת האופן שבו תקני התאימות משולבים בממשל של Teams. תלמדו כיצד רמות הרישוי (E1, E3, E5), אילוצים גיאוגרפיים ודרישות משפטיות משפיעים על מה שניתן להגדיר או על מה שחייבים לאכוף. נראה גם כיצד ליישר את מדיניות היומנים לא רק כדי לעמוד ברגולציה אלא גם כדי להפוך ביקורות לפשוטות יותר, תוך התחשבות בעלויות ובהשלכות הפרטיות של שמירת נתונים לטווח ארוך.

כאשר מכירים את האפשרויות והסיבות לשמירת יומני ביקורת, אתם מוכנים טוב יותר לענות על שאלות קשות מצד קצין התאימות, צוות המשפטי או רשויות הפיקוח, ולקבל החלטות שמשמרות את הסביבה שלכם מאובטחת, יעילה ותואמת את החוק.

הבנת תקופות שמירה של יומני ביקורת ב-Teams

כברירת מחדל, נתוני יומן הביקורת של Teams נשמרים למשך 90 ימים ברוב תוכניות Microsoft 365 (E1/E3), while רישיונות E5 או תוסף Microsoft 365 advanced compliance מאריכים את השמירה ל-180 ימים או יותר. תקופות בפועל עשויות להשתנות בהתאם למדיניות ולאזור הרגולטורי.

הגדרות השמירה מעוצבות על ידי צרכי תאימות, עלויות אחסון ומדיניות פנימית, ויש לאזן בקפידה בין הגורמים האלה בכל מקרה שימוש. שמירת יומנים לתקופה ארוכה יותר מסייעת בחקירות וביקורות, אך מגדילה את השיקולים הנוגעים לאחסון ולפרטיות. יש לעדכן את ההגדרות ככל שסיכוני התאימות והדרישות המשפטיות משתנים לאורך זמן.

דרישות ציות וסטנדרטים ליומני ביקורת

1. ציות ל-GDPR: יש לוודא שיומני הביקורת שומרים רק נתונים אישיים הכרחיים, מכבדים בקשות גישה ומחיקה של נושאי נתונים, ומגדירים תקופות שמירה מפורשות. יש לבחון את היומנים באופן קבוע לצורך צמצום נתונים ושמירה על פרטיות.
2. HIPAA ותקני נתונים רפואיים: בארגונים המטפלים במידע בריאותי, יומני הביקורת חייבים לתעד גישה לרשומות, שינויים והעברות מידע, כדי לעמוד בדרישות HIPAA. יש להגביל את הגישה ליומני הביקורת באמצעות בקרות תפקידים מחמירות, וליישם אמצעים שמאפשרים לזהות שינויים בלתי מורשים ביומנים.
3. Sarbanes-Oxley (SOX): היומנים חייבים לתעד פעילות פיננסית מרכזית, פעולות מנהל ושינויים במערכות. יש לשמור על תקופות שמירה התואמות את הדרישות הרגולטוריות, ולוודא שניתן לגשת ליומנים לצורך אימות מסלול הביקורת.
4. מדיניות פנימית ואזורית: יש להתאים את תקופת השמירה של יומני הביקורת של Teams למדיניות ספציפית לארגון (כגון ריבונות נתונים או תקנות ענף). יש לוודא התאמה לחוקים מקומיים (למשל חוקי מדינות בארה"ב או הנחיות האיחוד האירופי), כפי שמתואר במסגרות הפרטיות של Microsoft, לרבות אלה המתייחסות לכלים חדשים כמו Copilot בסקירת הפרטיות והציות הזו.
5. רשימת בדיקה מומלצת: יש לבחון הרשאות באופן קבוע, לבדוק ייצוא של יומני ביקורת ואת האינטגרציה שלהם, לתחזק תיעוד ברור לתגובה לאירועי אבטחה, ולבדוק את הגדרות יומני הביקורת לפחות אחת לרבעון. יש להיות מוכנים להגיב במהירות לבקשות ביקורת ציות ולחקירות, באמצעות רישומים ברורים ומעודכנים.

ניטור פעילות הצוותים ואבטחה באמצעות יומני ביקורת

לאחר הפעלה והגדרה של רישום יומני ביקורת, המשימה הבאה שלכם היא לוודא שאתם באמת משתמשים בהם כדי לנטר את מה שחשוב, הן לצורך בקרה תפעולית והן לצורך אבטחה פרואקטיבית. יומני הביקורת של Teams הם מקור מידע עשיר למעקב אחר פעילות משתמשים ומנהלים, לזיהוי חשש להפרת מדיניות, ולאיתור איומי אבטחה לפני שהם הופכים למשבר חמור.

ניטור באמצעות יומני ביקורת אינו רק תגובה לבעיות שקרו בעבר; מדובר ביצירת מנגנוני הגנה, הגדרת התראות והישארות צעד לפני הסיכונים. בין אם אתם צריכים לספק מידע לצוותים המשפטיים, לחקירות משאבי אנוש או לאנשי אבטחת מידע, חשוב לדעת בדיוק אילו פעילויות של Teams נרשמות וכיצד לכוונן את הניטור בהתאם.

חלק זה של המדריך עוסק בכל מה שקשור לסוגי הפעילויות שנרשמות ביומני Teams, ועד להגדרת כללי ניטור מותאמים אישית ואימוץ שיטות מתקדמות יותר לזיהוי חריגות. נראה לכם כיצד מדיניות יומנים מתוכננת היטב יכולה לזהות בעיות במהירות, להגן על נתונים עסקיים רגישים ולאפשר לכם לישון טוב יותר בלילה, גם כשהמשתמשים עובדים מרחוק או בכל שעות היממה.

פעילויות Teams שמנוטרות ביומן הביקורת

1. פרסום הודעות ועריכתן: מתעד מתי משתמשים שולחים, עורכים או מוחקים הודעות בצ'אטים או בערוצים של Teams. זה קריטי בחקירות משאבי אנוש או ציות לגבי תקשורת לא הולמת.
2. ניהול צוותים וערוצים: רושם מתי צוותים או ערוצים נוצרים, משתנים, משנים שם או נמחקים. כך מנהלים יכולים לזהות התפשטות בלתי מורשית של צוותים או מחיקות בטעות שפוגעות בהמשכיות העסקית.
3. שינויים בחברות במשתמשים ובקבוצות: עוקב אחר מי נוסף או הוסר מצוותים, מערוצים או מקבוצות. זהו מידע מרכזי לצוותי IT, משאבי אנוש או אבטחה שצריכים לאשר מחדש הרשאות גישה או לבחון דפוסי גישה חריגים.
4. שיתוף קבצים וגישה אליהם: מנטר העלאות, הורדות ושינויי הרשאות של קבצים בספריות מסמכים של SharePoint המחוברות ל-Teams. התראות מסייעות לזהות דליפות נתונים אפשריות או ניסיונות להוצאת מידע.
5. אינטגרציות אפליקציות ושימוש בבוטים: מתעד פעולות הקשורות לשילוב אפליקציות צד שלישי, בוטים או מחברים מותאמים אישית. ביקורת על כך חשובה במיוחד לארגונים ששולטים בגישה למערכות עסקיות קריטיות או מבצעים אוטומציה של תהליכי עבודה.
6. פעולות מנהל וציות: מתעד אירועים כגון שינויים במדיניות, מתן הרשאות ועדכוני הגדרות ציות. אירועים אלה עוזרים ליצור מסלולי ביקורת שניתן להגן עליהם, להוכיח עמידה בדרישות או לאתר שורש הבעיה במהלך תקריות.

יומני ביקורת של Teams שמתועדים כראוי מאפשרים סקירות תפקודיות על ידי צוותי משאבי אנוש, צוותים משפטיים ובעלי עניין באבטחה, המעוניינים לעקוב אחר פעולות משתמשים, לחקור בעיות ולתמוך באישורי ציות.

הגדרת מדיניות פעילות ליומני ביקורת של Teams

• מדיניות ניטור התנהגות משתמשים: הגדירו כללים שמתריעים על פעילות חריגה, כמו כניסות כושלות חוזרות או מחיקות ערוצים בהיקף גדול, כדי לזהות פעולות מסוכנות במהירות.
• מדיניות גישה לנתונים: צרו מדיניות שמסמנת הורדות ושיתופים של קבצים המכילים מסמכים רגישים של החברה, כך שהתגובה תתמקד באירועי גישה בעלי השפעה גבוהה.
• מדיניות לפעולות רגישות: הגדירו טריגרים לפעולות כמו הקצאת תפקידי מנהל חדשים או שינויי תצורה משמעותיים בהגדרות Teams.
• כוונון מדיניות מותאם אישית: התאימו התראות ותגובות לפי עומס העבודה, תפקידי המשתמשים או פרופילי הסיכון, כך שהניטור יהיה מדויק ולא יציף אתכם.

זיהוי אנומליות בנתוני יומן הביקורת של Teams

1. ניתוח בסיס אוטומטי: השתמשו בכלי אבטחה מובנים של Microsoft 365 או בכלים של צד שלישי כדי לקבוע דפוס "תקין" לפעילות ב-Teams, כגון שעות כניסה ממוצעות, נפחי הודעות ומיקומי גישה.
2. זיהוי חריגים ודפוסים חשודים: הגדירו כללים (או השתמשו במודלים של AI/ML) לאיתור אירועים חריגים, כמו כניסות של משתמשים ממדינות חדשות, תנועת קבצים לא שגרתית או זינוק במחיקות של צוותות וערוצים, שעשויים להעיד על איום מבפנים או על חשבונות שנפרצו.
3. כלי עבודה ובינה מלאכותית: נצלו את Microsoft Sentinel, את Microsoft Defender for Cloud Apps או את Security Copilot כדי לזהות איומים מתקדמים על ידי שילוב של יומני Teams עם מקורות נתונים אחרים. למידע נוסף, ראו כיצד בינה מלאכותית משנה את פעילות מרכזי אבטחת המידע בכתבה הזו על Microsoft Security Copilot.
4. שילוב התראות ותהליכי עבודה: כאשר מזוהות אנומליות, תהליכי עבודה אוטומטיים יכולים להתריע לצוות ה-IT או להפעיל פעולות בלימה. שלבו את ההתראות בספרי הפעלה לתגובה לאירועים, כך שהצוותים לא ייתפסו לא מוכנים כשפעילות חשודה מופיעה.
5. שיפור מתמשך של המדיניות: התאימו את ספי זיהוי האנומליות על בסיס משוב וחקירות מהחיים האמיתיים, כדי להפחית התראות שווא ולשפר את איתור הממצאים האמיתיים.

הגדרת מדיניות אבטחת יישומים לציות ליומן הביקורת של Teams

• בקרות הרשאות ליישומים: צרו מדיניות שמגבילה אילו יישומים ובוטים יכולים להתחבר ל-Teams, וקבעו הרשאות בהתאם לצורך העסקי ולרמת הסיכון.
• רישום פעילות קריטית: ודאו שיומני הביקורת מתעדים התקנות של יישומים, שינויי תצורה ומתן הסכמות. אלה יכולים להוות שערים לחשיפת נתונים, בין אם מקרית ובין אם מכוונת.
• דוגמאות לאכיפת מדיניות: חסמו שילובי יישומים מסוימים, אלא אם הם עומדים בדרישות הציות, והגדירו התראות על הרחבות הרשאות כדי לזהות שינויים מסוכנים בהגדרות של יישומים של צד שלישי.
• אופטימיזציה של האבטחה: בדקו באופן קבוע את היישומים המורשים ועדכנו את המדיניות כדי לסגור פערים ככל שמופיעים שילובים חדשים ואיומים חדשים.

כלי ביקורת מתקדמים ושילוב נתונים

כאשר צוללים לעומק ממשל הביקורת ב-Teams, ארגונים מתקדמים משתמשים ב-APIs ובפלטפורמות אבטחה כדי לשפר את האופן שבו הם ניגשים ליומני הביקורת, מקשרים ביניהם ומנתחים אותם. בין אם אתם מאוטמטים ייצוא נתונים, משלבים ניטור במרכז תפעול האבטחה הרחב יותר (SOC) או אוכפים בקרות על פני מספר יישומי ענן, הכלים הללו מספקים את היקף הפעולה והגמישות שפורטלי הניהול הבסיסיים פשוט אינם יכולים להציע.

היכולת של APIs כמו Office 365 Management Activity API פותחת את הדרך לאחזור יומני Teams ושאר יומני Microsoft 365 בכמויות גדולות, להעברת נתונים למערכות SIEM, או לשאילתת היסטוריית יומנים לפי דרישה. בשילוב עם Microsoft Defender או כלים דומים, תוכלו לנטר איומים באופן פרואקטיבי, לאכוף מדיניות מורכבת ולהגיב מהר יותר לסיכונים פוטנציאליים.

הסעיפים הבאים מפרקים דרכים ספציפיות שבהן האינטגרציות הללו פועלות בסביבות אמיתיות, החל מאימות ומשיכת נתונים מאובטחת ועד שימוש ב-Defender לזיהוי איומים מתקדם. נתמקד הן בשלבים הטכניים והן בערך העסקי שהאינטגרציות הללו מספקות, כדי ששביבת ה-Teams שלכם תישאר צעד אחד לפני אתגרי הציות והאבטחה החדשים.

שימוש ב-Office 365 Management Activity API לגישה ליומני ביקורת

1. יסודות ההגדרה של ה-API: ה-Office 365 Management Activity API מספק גישה programmatic ליומני הביקורת של Teams ושל Microsoft 365. הפעילו את ה-API בפורטל הניהול, בצעו אימות באמצעות אישורי אפליקציית Azure AD, והגדירו את פרמטרי איסוף היומנים (כגון סוג התוכן, טווח התאריכים או סוג האירוע).
2. ייצוא נתונים ואוטומציה: השתמשו ב-API כדי לאוטומט ייצוא בהיקף גדול של נתוני ביקורת, בין אם לצורכי אחסון לציות, חקירה פורנזית של אירועי אבטחה או ניתוח אבטחה מתקדם. הגדירו משיכות חוזרות מתוזמנות שיזינו באופן אוטומטי אגמי נתונים, כלי SIEM או ארכיוני גיבוי.
3. ניטור פעילות בזמן אמת: שלבו את ה-API עם לוחות מחוונים מותאמים אישית, אפליקציות ניטור או תהליכי עבודה כדי לספק עדכונים כמעט בזמן אמת לצוותי תפעול או אבטחה. הדבר מזרז את זיהוי האירועים ואת מחזורי החקירה.
4. שילוב עם כלי אנליטיקה ודיווח: דחפו יומני ביקורת שיוצאו דרך ה-API ישירות ל-Power BI, לפורטלי דיווח מותאמים אישית או לפלטפורמות אנליטיקה של צד שלישי. ארגונים מתקדמים משתמשים באינטגרציה זו כדי לזהות מגמות, לבנות קווי בסיס להתנהגות משתמשים ולהגיב מהר יותר לחריגות.
5. יתרונות על פני גישה דרך הפורטל: שיטות API מאפשרות שאילתות מדויקות יותר, העברת נתונים בכמויות גדולות ואוטומציה מהירה יותר מאשר ייצוא ידני מהפורטל. הן מאפשרות גם בקרת גישה מאובטחת ומבוססת תפקידים בהיקף גדול.
6. שיקולים מרכזיים: תכננו בקפידה את מודלי האימות וההרשאות, תעדו את השימוש ב-API, ועקבו אחר מגבלות קצב (throttling) ובעיות מכסה בתקופות עומס.

שילוב Microsoft Defender for Cloud Apps עם ממשל ביקורת של Teams

• קליטת יומני ביקורת: Microsoft Defender for Cloud Apps (לשעבר MCAS) קולט באופן מקורי את יומני הביקורת של Teams, ומנתח את הנתונים לזיהוי פעילות חשודה והפרות מדיניות.
• הגדרת מדיניות: השתמשו ב-Defender כדי להגדיר מדיניות מפורטת עבור Teams, וכדי להפעיל התראות בזמן אמת על שימוש מסוכן באפליקציות, ניסיונות להוצאת נתונים החוצה או התנהגויות שאינן תואמות את הכללים.
• תגובה מתקדמת לאירועים: Defender מאפשר פעולות הכלה אוטומטיות או ידניות (כגון חסימת סשנים או השעיית משתמשים), בהתבסס על מודיעין איומים הקשור לאירועי Teams.
• יתרון: השילוב משפר את המהירות והדיוק של חקירות אבטחה, ומאפשר לצוותי SOC לעבור מזיהוי לתיקון. לתובנות מבוססות בינה מלאכותית על הפעולות האלה, כדאו ב-הדיון הזה על Security Copilot בפעולה.

פירוש נתוני יומני ביקורת לתובנות ברות פעולה

איסוף נתוני יומני ביקורת הוא רק חצי מהעבודה. הערך האמיתי נמצא בפירוש היומנים ובהחלטה כיצד להגיב. יומני ביקורת עלולים להיראות מבלבלים בהתחלה, מלאים בפרטים גולמיים שאין להם משמעות אלא אם יודעים במה להתמקד. סעיף זה יעזור לכם לעבור מנתונים גולמיים לתובנות ממשיות, וייתן לכם את הביטחון להפוך יומנים להחלטות עסקיות משמעותיות.

העניין אינו רק לוודא שהיומנים קיימים, אלא להבין אילו אירועים באמת חשובים. תלמדו כיצד לתעדף אירועים לפי סיכון או השפעה עסקית, מה שמפחית עייפות מהתראות ושומר על הפוקוס על מה שבאמת דורש תשומת לב. לא פחות חשוב, תגלו כיצד לתעד ממצאים, לנסח צעדי תיקון ולחדד את ספר המשחקים של הממשל בהתבסס על מה שאתם רואים ביומנים.

התתי-סעיפים הבאים יעסקו גם באומנות וגם במדע של הערכת סיכונים, סיווג אירועים וקישור מה שלמדתם ביומני הביקורת לשיפורים ספציפיים וברי ביצוע. כך ארגונים עוברים ממצב של פגיעות למצב של חוסן, ומשתמשים בנתונים של עצמם כדי לחדד את הציות ואת האבטחה בכל סקירה של יומנים.

תעדוף אירועי יומני ביקורת לפי סיכון והשפעה עסקית

• מיקומי גישה חריגים: סמנו כניסות מכתובות IP חדשות או זרות, שעשויות להעיד על חשבונות שנפרצו או על הפרות מדיניות.
• הסלמת הרשאות: עקבו מקרוב אחר אירועים שבהם משתמשים מקבלים הרשאות מנהל חדשות, שכן לעיתים קרובות הם מקדימים שינויי תצורה משמעותיים או פעילות לא מורשית.
• גישה לנתונים בעלי ערך גבוה: הדגישו הורדות או שיתופים הכוללים קבצים חסויים או מידע רגיש של הארגון.
• פעולות המוניות או מחיקות: תעדפו אירועים שבהם נוצרים או נמחקים באופן בלתי צפוי מספרים גדולים של צוותים, ערוצים או קבצים.
• הפרות מדיניות או כשלי ציות: התמקדו במהירות בדפוסים שמפרים סטנדרטים פנימיים או משפטיים, כגון שיתוף חיצוני לא מאושר או שילובי אפליקציות לא מורשים.

פיתוח תוכניות ממשל ברות פעולה מתוך ממצאי יומני הביקורת

1. זיהוי חולשות: בדקו סיכומי יומני ביקורת כדי לאתר דפוסים חוזרים, פערים בניטור או התנהגויות משתמשים מסוכנות שלא צפיתם (כגון כניסות עקביות מחוץ לשעות העבודה או שימוש באפליקציות שאינן מנוהלות).
2. הצעת צעדי תיקון: לכל ממצא, פרטו פעולות מתקנות – כגון שינוי הרשאות, הפעלת אימות מרובה גורמים או עדכון מדיניות בקרת גישה. הקצו כל פעולה לבעל אחראי עם מועדי יעד ברורים.
3. תיעוד והעברת מידע על סיכונים: תעדו כל ממצא מיומן הביקורת, את רמת הסיכון שנקבעה, את צעד התיקון המוצע ואת הפעולה המתקנת שנבחרה. שתפו את הדוחות עם בעלי העניין הרלוונטיים במחלקות IT, ציות, משפט או משאבי אנוש.
4. שיפור מסמכי מדיניות הממשל: השתמשו בלקחים שהפקתם כדי לעדכן מסמכי ממשל קיימים. לדוגמה, עדכנו מדיניות השימוש ב-Teams או הגדירו מחדש את שילובי צד שלישי המותרים, על בסיס אירועים אמיתיים שעלו ביומנים שלכם.
5. בדיקה ואימות של השינויים: לאחר יישום בקרות חדשות או שיפורי תהליכים, בדקו שוב את יומני הביקורת כדי לוודא את יעילותם ולהציג תוצאות מוחשיות. חזרו על התהליך בהתאם לצורך, כדי שהממשל ימשיך להתפתח ולהישאר עמיד.
6. סגירת המעגל: שלבו את הלקחים שנלמדו בהדרכת הצוות ובספרי ההנחיות לתגובה לאירועים עתידיים, כך שהממצאים מיומני הביקורת שלכם יניעו שיפור מתמיד – ולא ייוותרו כ"משימה חד-פעמית".

קורלציה ושילוב של יומני ביקורת בין פלטפורמות

עכשיו, when אתם מפענחים את נתוני הביקורת של Teams, הגיע הזמן לחשוב בקנה מידה רחב יותר – איך אפשר לחבר את היומנים האלה עם תובנות מ-SharePoint, מ-Exchange ואפילו מכלים של צד שלישי? בסביבות עבודה היברידיות ורב-פלטפורמיות כמו שלנו היום, קורלציה בין יומני ביקורת של שירותים שונים הופכת לסטנדרט החדש לניהול סיכונים ולציות.

הסעיף הזה עוסק בשילוב יומני הביקורת של Teams במערכות ניטור מרכזיות, ובשילובם עם יומנים של עומסי עבודה אחרים לחקירות מעמיקות ולנראות רחבה יותר. ארגונים שיש להם פתרונות SIEM (Security Information and Event Management) חזקים, למשל, יכולים לזהות איומים שאחרת היו נשארים בלתי מזוהים כשהיומנים מבודדים – למשל, הודעת פישינג ב-Exchange שמובילה לשיתוף קבצים חשוד ב-Teams.

הפרטים שיבואו יסבירו שלבים מעשיים להזנת נתוני הביקורת של Teams ל-SIEM, וגם שיטות עבודה מומלצות למעקב אחר פעילות משתמשים לאורך מחסנית Microsoft 365. תראו איך ניטור הוליסטי לא רק מהדק את האבטחה, אלא גם הופך את הממשל ותגובה לאירועים ליעילים הרבה יותר, ומונע את הסיכון של קורלציות שהוחמצו או פיקוח מפוצל.

שילוב יומני הביקורת של Teams עם פתרונות SIEM

1. הגדרת מחברים: השתמשו במחברים ייעודיים ל-Office 365 או ל-Teams כדי להעביר זרמי יומני ביקורת ישירות לפלטפורמות SIEM כמו Microsoft Sentinel, Splunk או QRadar. ודאו שהמחברים מוגדרים לקליטה בזמן אמת או כמעט בזמן אמת.
2. מיפוי אירועים ייעודיים ל-Teams: בצעו נרמול של אירועי Teams לסכמה של ה-SIEM שלכם – תרגמו פעולות של Microsoft (יצירת ערוץ, שיתוף קבצים וכדומה) לשדות לוג מוכרים, לניתוח ולהתראות יעילים.
3. כוונון התראות וזיהוי איומים: צרו כללים או שאילתות מותאמים אישית ב-SIEM כדי לעקוב אחר התנהגויות מסוכנות ב-Teams (כגון שינויי הרשאות, הורדות המוניות של קבצים או שיתוף חיצוני עם דומיינים שלא אושרו). שלבו את האותות האלה עם אותות מפלטפורמות אחרות לזיהוי איומים משופר.
4. איחוד יומנים לצורכי חקירה: ריכזו יומנים מ-Teams, מ-SharePoint ומ-Exchange, כך שצוותי חקירה משפטית יוכלו לעקוב אחר מתקפות, הפרות ציות או פערים בתהליכי עבודה לאורך מחסנית Microsoft 365.
5. ניטור ופתרון תקלות בשילוב: בדקו באופן קבוע את תקינות המחברים, את כיסוי היומנים ב-SIEM ואת דיוק מיפויי האירועים, כדי לשמור על מערכת משולבת אמינה ויעילה.

מעקב אחר פעילות משתמשים בשירותי Microsoft 365

• הגדרת שאילתת יומן מאוחד: השתמשו ב-Microsoft 365 Unified Audit Log כדי לרכז נתוני פעילות מ-Teams, מ-SharePoint ומ-Exchange לניטור מכל הכיוונים במקום אחד.
• קורלציה בין פלטפורמות: בנו שאילתות אנליטיות שעוקבות אחר פעולות משתמשים בין שירותים שונים (למשל, משתמש מקבל קובץ רגיש ב-Teams ואז מעלה אותו ל-SharePoint) לצורך חקירות מקצה לקצה.
• שיטות עבודה מומלצות לניטור: בצעו ביקורת סדירה של כיסוי יומני הביקורת המאוחדים, הגדירו גבולות הרשאה להגנה על הפרטיות, והשתמשו בכלים אוטומטיים כדי לסמן התנהגויות קריטיות שחוצות פלטפורמות. למידע נוסף על ההבדלים בין Teams ל-SharePoint בשימוש בלוחות מחוונים ובזרימות עבודה חוצות פלטפורמות, ראו מדריך ההשוואה הזה של לוחות מחוונים.

אוטומציה של ניהול יומני ביקורת ואכיפת מדיניות

נודה על האמת: בדיקה ידנית של יומני ביקורת פשוט לא מתרחבת. ככל שסביבת Teams שלכם גדלה והאיומים מתחכמים יותר, אוטומציה הופכת למפתח לזיהוי סיכונים במהירות ולאכיפת ממשל מבלי להעמיס על צוותי ה-IT או האבטחה.

ניהול אוטומטי של יומני ביקורת פירושו שימוש בהתראות אירועים בזמן אמת, במדיניות ניטור adaptive ובניתוחים מתקדמים כדי לשמור על הבקרות שלכם הדוקות. הסעיף הזה מסביר איך לעבור מבדיקות ידניות תגובתיות לפיקוח יזום מבוסס מדיניות, כך שלא תהיו רק במרוץ להספיק, אלא תהיו מוכנים לזהות בעיות ולהגיב להן ברגע שהן מתרחשות.

נראה כיצד להגדיר התרעות אוטומטיות לפעילויות קריטיות, וכיצד להיעזר בכלי למידת מכונה שמסוגלים לזהות חריגות הרבה יותר מהר ומדויק יותר מאדם לבדו. תנו לאוטומציה לגשר על הפער בין דרישות הציות למציאות התפעולית, עם פחות רעש ויותר שקט נפשי לאורך הדרך.

יישום התראות אוטומטיות לאירועים קריטיים ביומני ביקורת

1. הגדירו התראות מקומיות דרך פורטל האבטחה והציות: הגדירו מדיניות התראות בפורטל Microsoft Purview או במרכז הניהול של Teams עבור אירועים בחומרה גבוהה (למשל, העלאת הרשאות מנהל, שיתוף חיצוני של קבצים חסויים או מחיקות המוניות).
2. נצלו אוטומציה עם PowerShell: השתמשו בסקריפטים של PowerShell המתוזמנים באמצעות Windows Task Scheduler או Azure Automation כדי לסרוק יומני ביקורת אחרונים לאיתור דפוסים מוגדרים מראש, ולשלוח התראות מיידיות לצוותי ה-IT או האבטחה כשהם מופעלים.
3. שלבו פתרונות של צד שלישי: חברו את יומני הביקורת של Teams לפלטפורמות התראה חיצוניות או ל-SIEM, כך שתתאפשרנה התראות גמישות וחוצות פלטפורמות המתאימות לתהליכי התגובה של הארגון.
4. הגדירו נתיבי הסלמה ותגובה: שייכו התראות לספרי הפעולה הספציפיים לתגובה לאירועים, כך שהצוותים ידעו בדיוק מה לעשות כשהתראה מופעלת עבור אירוע קריטי ב-Teams.
5. בדקו ושפרו את הכללים באופן שוטף: עקבו באופן סדיר אחר מדיניות ההתראות שמובילה לאירועים הניתנים לטיפול, כווננו ספים, והסירו כללים מיותרים או רועשים שגורמים לעייפות מהתראות.

שימוש בלמידת מכונה לזיהוי חריגות ביומני ביקורת של Teams

1. אמצו פלטפורמות אבטחה מונעות למידת מכונה: פרסו פתרונות כמו Microsoft Defender XDR או Azure Sentinel, המשלבים מודלים של למידת מכונה לזיהוי דפוסי פעילות חשודים ב-Teams, כגון זמני התחברות חריגים, זינוקים בהודעות או ניצול לרעה של הרשאות.
2. קביעת קו בסיס התנהגותי: אמנו מערכות למידת מכונה להבין מהי התנהגות "תקינה" עבור משתמשים, ערוצים ומנהלים, ולאחר מכן השתמשו בקווי הבסיס האלה כדי לזהות חריגים שעשויים להעיד על איומים או על הפרות מדיניות.
3. זיהוי אוטומטי של איומים: כלי למידת מכונה מסמנים תרחישי תקיפה מורכבים, כמו גישה מתואמת של מספר חשבונות, תנועה רוחבית בין Teams ל-SharePoint או ניסיונות דליפת נתונים עדינים, שכללים סטטיים עלולים להחמיץ.
4. תעדוף וההשתקה של התראות: השתמשו בסיווג באמצעות למידת מכונה כדי לסנן אזעקות שווא, ולרכז את משאבי התגובה באירועים בסיכון גבוה או חריגים באמת הדורשים בדיקה אנושית.
5. עדכנו ושפרו את המודלים לאורך זמן: הזינו תוצאות אירועים שאומתו בחזרה למערכות למידת המכונה כדי לאמן מחדש את המודלים, תוך הפחתת הרעש ושיפור הדיוק ככל שמופיעים איומים והתנהגויות חדשים בסביבת Teams שלכם.

עיקרי הדברים ושיטות עבודה מומלצות לממשל יומני ביקורת של Teams

להישאר צעד לפני עם ממשל יומני ביקורת של Teams לא עוסק במרדף אחרי כל התראה, אלא בהגדרת כללי משחק חכמים ובשמירה על דופק קבוע. התחילו בתכנון מדיניות ממשל ברורה שמגדירה את ה"מה" וה"למה" של רישום ביקורת, הגישה וניהול הצוותים. המשמעות היא להביא את כולם לאותו עמוד בנוגע לתפקידים, לאחריות ולהתנהגות תקינה, מהיום הראשון.

אל תסתפקו בהפעלת רישום ביקורת והשארת העניין במקום. הקדישו זמן להגדרת שמירת יומנים ובקרות גישה שמתאימות לרמת הסיכון ולדרישות הציות של הארגון. בדקו, סווגו ותעדפו אירועי ביקורת כדי שלא תיחנקו מרעש, וכשאירוע בסיכון גבוה מופיע, תקבלו התראה שבאמת חשובה. בניית התראות מותאמות אישית ואכיפת מדיניות אוטומטית לתרחישים הקריטיים ביותר תחסוך לכם יותר כאבי ראש ממה שכוס קפה מסוגלת לעשות.

אל תסתכלו רק על Teams. ממשל הוליסטי פירושו חיבור יומני הביקורת של Teams לכלים רחבים יותר, כמו פלטפורמות SIEM ויומני הביקורת המאוחדים של Microsoft 365. מעקב חוצה שירותים משפר את הנראות ועוזר לזהות דפוסים מסוכנים שעלולים לחמוק אם מסתכלים על מערכת אחת בכל פעם. אם אתם מרגישים שאפתניים, נסו למידת מכונה או אוטומציה כדי לזהות חריגות עדינות שאולי לא תבחינו בהן בעצמכם.

לסיום, התייחסו לסקירות יומני הביקורת שלכם כדלק לפעולה. השתמשו במה שלמדתם כדי לשפר את מסגרת הממשל, לפתח צעדי תיקון חדשים ולחזק את תיעוד הציות. להשראה נוספת בנושא צמצום הכאוס וטיפול בהתפשטות של Teams, עיינו באסטרטגיות המעשיות לאוטומציה של ניהול Teams ובבניית מסגרות ממשל שמחליפות כאוס בשיתוף פעולה בביטחון.

שאלות נפוצות: פורטל Microsoft Purview וממשל יומן הביקורת של Microsoft 365

מהו התפקיד של יומן הביקורת של Microsoft 365 בממשל יומן הביקורת של Teams?

יומן הביקורת של Microsoft 365 אוסף רשומות ביקורת משירותי Microsoft השונים, כולל יומני ביקורת של Microsoft Teams, SharePoint ו-Exchange. לצורך ממשל יומן הביקורת של Teams, יומן הביקורת של Microsoft 365 מספק רשומות ביקורת מרוכזות לפעילויות ב-Microsoft Teams (אירועים ב-Microsoft Teams), ומאפשר לחפש ביומני הביקורת, לצפות בערכי הביקורת וליצור דוחות יומן ביקורת כדי להדגים ציות ולחקור אירועים.

איך מחפשים ביומני הביקורת לפעילויות ב-Microsoft Teams?

אפשר לחפש ביומני הביקורת דרך פורטל Microsoft Purview או מרכז הציות, על ידי בחירת פתרון הביקורת והגדרת מסננים לפעילויות ב-Microsoft Teams, לטווחי תאריכים ולחשבונות משתמש. בפורטל אפשר לחפש סוגי רשומות ביקורת כמו פגישות, אירועי הודעות, גישה לקבצים באתרים של Teams ואירועים אחרים ב-Microsoft Teams, כדי לאתר נתונים מיומן הביקורת ולתעד פעילות של משתמשים ומנהלים.

כמה זמן נשמרות רשומות הביקורת, ומהן מדיניות שמירת יומני הביקורת?

רשומות הביקורת נשמרות בהתאם למדיניות שמירת יומני הביקורת שהוגדרה ב-Microsoft Purview ולהגדרות השמירה הרלוונטיות ל-Microsoft 365 או ל-Office 365. תקופות השמירה ברירת המחדל משתנות לפי הרישיון (למשל רישיון Microsoft 365 E5 או התוסף E5 eDiscovery and Audit) ולפי תקופת השמירה לביקורת שהגדרתם. בדקו את מדיניות שמירת יומני הביקורת בהגדרות הביקורת של Purview, כדי לוודא שהיא עומדת בדרישות הממשל שלכם.

האם אפשר לצפות בדוחות יומן ביקורת ולייצא נתוני ביקורת מאירועי Teams?

כן. אפשר לצפות בדוחות יומן ביקורת בפורטל Microsoft Purview ולייצא את תוצאות החיפוש ביומני הביקורת לקובץ CSV לניתוח נוסף. דוחות יומן הביקורת כוללים רשומות ביקורת לפעילויות, ויכולים להציג אירועים ב-Microsoft Teams, כך שאפשר לשלב אותם עם מערכות SIEM או להשתמש בהם בחקירות.

האם צריך רישיון מיוחד כדי לגשת ליומני הביקורת של Microsoft Teams ולתכונות ביקורת מתקדמות?

ביקורת בסיסית זמינה למנויים רבים של Microsoft 365, אך תכונות מתקדמות כמו שמירה מורחבת וחלק מפרטי רשומות הביקורת עשויות לדרוש רישיון ציות Microsoft 365 E5 או את התוסף E5 eDiscovery and Audit. עיינו בהנחיות הרישוי ב-Microsoft Learn כדי לקבוע אם אתם צריכים Microsoft 365 E5 או תוסף כדי לגשת ליומני ביקורת ב-Microsoft, לדוחות יומן ביקורת ולמדיניות שמירת ביקורת מורחבת.

איך Microsoft Entra ו-Microsoft Entra ID קשורים לממשל יומן הביקורת של Teams?

Microsoft Entra ו-Microsoft Entra ID (לשעבר Azure AD) מספקים אירועי זהות וגישה שנרשמים כרשומות ביקורת, וניתן לשייך אותם לפעילויות של Microsoft Teams ביומני הביקורת. לממשל מקיף, שלבו יומנים מ-Microsoft Entra, מאירועי Teams ומשירותי Microsoft אחרים, כך שתוכלו לראות התאמות ביקורת בין שירותי Microsoft ולהבין את הפעילות שביצעו משתמשים ומנהלים.

היכן ניתן לצפות ברשומות יומן ביקורת עבור קבצי SharePoint שנגישים דרך Teams?

קבצים שמשותפים או מאוחסנים ב-Teams מאוחסנים לרוב ב-SharePoint, ואירועי הגישה אליהם מייצרים רשומות ביקורת שניתנות לצפייה ביומני הביקורת של Microsoft 365. השתמשו בחיפוש הביקורת של Purview כדי לצפות ברשומות יומן ביקורת לגישה לקבצי SharePoint, סננו לפי אתרי Teams או משתמשים מסוימים, וכללו מונחים כמו view audit או view audit log כדי לאתר את פעילות המשתמשים והמנהלים הקשורה לקבצים שנפתחו או שונו דרך Teams.

כיצד אוודא שהארגון שלי פועל לפי שיטות עבודה מומלצות להגדרות ביקורת ולממשל?

קבעו הגדרות ביקורת ומדיניות שמירה ברורות, תעדו את תקופת השמירה הנדרשת לכם עבור נתוני הביקורת, הפעילו ביקורת בכל שירותי Microsoft 365 ובדקו באופן קבוע דוחות יומן ביקורת ורשומות ביקורת של פעילויות. השתמשו בפורטל Microsoft Purview כדי לחפש ביומנים, לייצא ולארכב נתונים מיומן הביקורת, ושלבו את הממצאים עם מדיניות עבור Microsoft Entra, אתרי Teams ו-Microsoft 365 Groups כדי לשמור על תוכנית ממשל שניתנת להגנה.