使用 Microsoft Purview eDiscovery 进行数据调查

使用 Microsoft Purview eDiscovery 进行数据调查

2025年5月8日

本技术和教育文章旨在指导安全分析师、IT 管理员和系统工程师使用 Microsoft Purview eDiscovery 有效且合规地进行数据调查。识别、收集、审查和保存与诉讼、内部调查或监管要求相关的信息的能力至关重要。 Microsoft Purview eDiscovery 提供了一套解决方案，可以简化这一复杂的流程，同时确保数据完整性和监管链 [1]。

简介

电子取证是指响应法律或调查请求而识别、收集、处理、审查和生成电子存储信息 (ESI) 的过程。 Microsoft Purview eDiscovery 是一个集成解决方案，允许组织管理 Microsoft 365 生态系统内的整个电子数据展示工作流程，从初始研究到最终数据审查和导出 [2]。

本实用指南将涵盖不同电子数据展示解决方案的概念，例如创建和管理案例、执行内容搜索、审查数据、导出结果和配置权限。

为什么 Microsoft Purview 电子数据展示至关重要？

  • 监管和法律合规性：帮助遵守法律和监管要求。
  • 准确的数据识别：允许您跨多个 Microsoft 365 源搜索和识别相关信息。
  • 数据保存：有助于对数据进行合法保留。
  • 降低成本和时间：自动执行电子取证流程的许多方面。

先决条件

  1. Microsoft 365 许可：包含电子数据展示功能的订阅（例如，Microsoft 365 E3（标准版）、E5（高级版））[3]。
  2. 管理访问权限：在 Microsoft Purview 合规门户中具有适当权限的帐户（例如“电子数据展示管理员”）。

分步：配置和使用 Microsoft Purview 电子数据展示

1. 了解电子取证解决方案

  • 内容搜索：用于搜索邮箱、SharePoint 网站、OneDrive 和 Teams 的基本工具。不包括案件管理或法律保留 [4]。
  • 电子取证（标准）：添加案例管理、法律保留、导出结果以及向案例成员分配权限 [5]。
  • eDiscovery（高级）：最先进的解决方案，具有数据处理、文本分析、重复检测、主题分析和文档审查 [6]。

2.分配电子数据展示权限

  1. 在 Microsoft Purview 合规性门户 (https://compliance.microsoft.com) 中，转到 权限。
  2. 在“Microsoft 权限角色”下，单击“角色”。
  3. 找到“电子数据展示管理员”角色组并添加需要访问资源的用户或组。

3. 创建电子数据展示案例（标准）

案例是与调查相关的所有信息的逻辑容器。

  1. 在合规门户中，选择 电子数据展示 > 电子数据展示（标准）。
  2. 单击+ 创建案例。
  3. 为案例提供名称和描述，然后单击保存。

4. 创建合法保留

合法保留会保留内容，使其无法被删除或更改。

  1. 在您的电子取证案例中，选择 保留。
  2. 单击+ 创建保留策略。
  3. 给出名称和描述。
  4. 在 位置 下，选择数据源（邮箱、站点、OneDrive、Teams）并添加特定用户/组。 5.（可选）添加条件以细化要保留的内容。
  5. 审查并创建此政策。

5. 进行内容研究

使用内容搜索工具查找相关信息。

  1. 在您的电子数据展示案例中，选择 搜索。
  2. 单击 + 新搜索。
  3. 给出名称和描述。
  4. 在位置下，选择要搜索的数据源。
  5. 在条件下，使用关键字、日期、发件人/收件人、文件类型等定义搜索条件。您可以使用 KQL（关键字查询语言）语法。
    • KQL 示例：(ProjectX OR "机密信息") AND (date>=2024-01-01 AND date<=2024-12-31) AND (from:"[email protected]")
  6. 单击“保存并运行”。
  7. 搜索完成后，可以查看统计信息和搜索结果。

6. 导出搜索结果

搜索后，您可以导出结果以供查看。

  1. 在您案例的 搜索 页面上，选择已完成的搜索。
  2. 单击 操作 > 导出结果。
  3. 选择导出选项（例如，包含不可搜索的项目、导出到 PST 文件等）。
  4. 单击导出。
  5. 要下载结果，请转至 eDiscovery（标准）> 导出，然后使用 eDiscovery 导出工具 下载文件。

7. 电子取证（高级）- 概述

对于复杂的调查，eDiscovery Premium 提供：

  • 数据处理：标准化、删除重复项、检测线索电子邮件。
  • 高级分析：文本分析、主题检测、文档分类。
  • 文档审阅：供审阅者标记、注释和分类文档的工具。
  • 高级导出：更精细和可定制的导出选项。

最佳实践和安全提示

  • 规划：在开始任何调查之前，仔细规划范围、数据源和搜索标准。
  • 最低权限：仅授予电子数据展示功能所需的权限。
  • 合法保留：尽早应用合法保留以确保数据保存。
  • 文档：详细记录电子取证过程中采取的所有操作，以确保监管链。
  • 培训：培训您的团队如何正确使用电子数据展示工具和组织策略。
  • 监控：监控与电子数据展示相关的活动的权限审核日志。

结论

对于任何需要有效、合规地管理数据调查的组织来说，Microsoft Purview eDiscovery 是一款功能强大且必不可少的工具。通过利用其功能，从基本内容搜索到 Premium 的高级分析，公司可以有效地识别、保存、审查和生成相关信息，从而降低法律和运营风险。在 Purview 功能的支持下实施定义明确的电子取证流程对于数据治理和组织弹性至关重要。

参考文献

[1] 微软。 （2023）。 Microsoft Purview 电子数据展示概述。 [2] 微软。 （2023）。 电子取证工作流程（标准）。 [3] 微软。 （2023）。 Microsoft 365 中的电子数据展示许可。 [4] 微软。 （2023）。 Microsoft 权限内的内容搜索。 [5] 微软。 （2023）。 Microsoft Purview 上的电子取证（标准）。 [6] 微软。 （2023）。 Microsoft Purview 上的电子取证（高级）。