Criar uma pesquisa para um caso na Deteção de Dados Eletrónicos

Utilize a pesquisa na Deteção de Dados Eletrónicos para localizar conteúdos no local, como e-mail, documentos e conversações de mensagens instantâneas na sua organização que sejam relevantes para um caso. Utilize a pesquisa para localizar conteúdos nestas origens de dados do Microsoft 365 baseadas na cloud:

• Caixas de correio do Exchange Online.
• Sites do SharePoint
• Contas OneDrive
• Microsoft Teams
• Grupos do Microsoft 365
• Viva Engage

Pode criar e executar diferentes pesquisas associadas ao caso. Utilize condições, como palavras-chave, para criar consultas de pesquisa que devolvem resultados de pesquisa com os dados mais prováveis de serem relevantes para o caso. Você também pode:

• Veja as estatísticas de pesquisa que podem ajudá-lo a refinar uma consulta de pesquisa para restringir os resultados.
• Visualize os resultados da pesquisa para verificar rapidamente se os dados relevantes estão sendo encontrados.
• Revise uma consulta e execute novamente a pesquisa.

Depois de procurar e encontrar dados relevantes para a sua investigação, pode enviar os resultados para um conjunto de revisão para uma investigação mais aprofundada ou exportá-lo para revisão por pessoas fora da equipa de investigação.

Sugestões de pesquisa

• O fuso horário de todas as pesquisas é Hora Universal Coordenada (UTC). Não pode alterar o fuso horário da sua organização. As definições de visualização do fuso horário na vista de pesquisa aplicam-se apenas aos valores na coluna Dados e não afetam os carimbos de data/hora nos itens recolhidos.

• As pesquisas de palavras-chave não são sensíveis a maiúsculas e minúsculas. Por exemplo, gato e GATO retornam os mesmos resultados.

• Os operadores boolianos AND, OR, NOT e NEAR devem estar em maiúsculas.

  Importante

  Utilize estes operadores no campo KeyQL condição. A pesquisa não suporta estes operadores no campo Condição de palavra-chave . A pesquisa trata estes operadores como palavras-chave literais.

• A utilização de aspas interrompe os cartões universais e quaisquer operações dentro das aspas.

• Um espaço entre duas palavras-chave ou duas property:value expressões é o mesmo que utilizar OU. Por exemplo, from:"Sara Davis" subject:reorganization devolve todas as mensagens enviadas por Sara Davis ou mensagens que contêm a palavra reorganização no assunto da mensagem. No entanto, a utilização de uma combinação de espaços e condicionais OR numa única consulta pode levar a resultados inesperados. Utilize espaços ou OU numa única consulta.

• Use uma sintaxe que corresponda ao formato de property:value. Os valores não são sensíveis a maiúsculas e minúsculas e não podem ter um espaço a seguir ao operador. Se existir um espaço, o valor pretendido é uma pesquisa em texto completo. Por exemploto: pilarp, procura "pilarp" como palavra-chave, em vez de mensagens enviadas para pilarp.

• Ao pesquisar uma propriedade de destinatário, como To, From, Cc ou Recipients, você pode usar um endereço SMTP, um alias ou um nome de exibição para indicar um destinatário. Por exemplo, pode utilizar pilarp@contoso.com, pilarp ou "Pilar Pinilla".

• Só pode utilizar pesquisas de prefixos; por exemplo, gato* ou conjunto*. Não há suporte para pesquisas de sufixo (*cat), pesquisas de infixo (c*t) e pesquisas de subcadeia de caracteres (*cat*).

• Ao pesquisar uma propriedade, use aspas duplas (" ") se o valor de pesquisa consistir em várias palavras. Por exemplo, subject:budget Q1 devolve mensagens que contêm orçamento na linha de assunto e que contêm Q1 em qualquer parte da mensagem ou em qualquer uma das propriedades da mensagem. O uso de subject:"budget Q1" retorna todas as mensagens que contêm orçamento T1 em qualquer lugar na linha de assunto.

• Para excluir o conteúdo marcado com determinado valor de propriedade dos resultados de pesquisa, coloque um sinal de subtração (-) antes do nome da propriedade. Por exemplo, -from:"Sara Davis" exclui todas as mensagens enviadas por Sara Melo.

• Você pode exportar itens com base no tipo de mensagem. Por exemplo, para exportar conversas e chats do Skype no Microsoft Teams, use a sintaxe kind:im. Para devolver apenas mensagens de e-mail, utilize kind:email. Para retornar chats, reuniões e chamadas no Microsoft Teams, use kind:microsoftteams.

• Ao procurar sites, tem de adicionar o à direita / ao final do URL ao utilizar a path propriedade para devolver apenas itens num site especificado. Se não incluir os itens à direita /, também serão devolvidos itens de um site com um nome de caminho semelhante. Por exemplo, se utilizar path:sites/HelloWorld itens de sites com o nome sites/HelloWorld_East ou sites/HelloWorld_West também são devolvidos. Para devolver itens apenas do site HelloWorld, tem de utilizar path:sites/HelloWorld/.

• Tem de definir a consulta language-country/region na consulta de pesquisa antes de recolher conteúdo.

• Ao procurar e-mails nas pastas Enviados , a pesquisa não suporta a utilização do endereço SMTP do remetente. Os itens na pasta Enviados contêm apenas nomes a apresentar.

Criar uma consulta de pesquisa

Quando cria um novo caso, é automaticamente direcionado para o separador Pesquisas no caso e está pronto para criar uma pesquisa para o caso. Também pode criar uma nova pesquisa no caso de Pesquisa de Conteúdos na sua organização. As pesquisas ajudam-no a encontrar os itens que pretende recolher para o caso.

1. Selecione Criar uma pesquisa num caso ou caso de Pesquisa de Conteúdo. Se este novo caso não tiver pesquisas anteriores, também pode selecionar Criar uma pesquisa no painel principal em Começar a procurar dados relevantes.

2. Na página Introduzir detalhes para começar , preencha os seguintes campos:

   • Nome da pesquisa: atribua um nome à pesquisa (obrigatório). O nome da pesquisa tem de ser exclusivo na sua organização.
   • Descrição da pesquisa: adicione uma descrição opcional para ajudar outras pessoas a compreender esta pesquisa.

3. Selecione Criar para criar a nova pesquisa e inicie as suas consultas para encontrar dados relevantes para o caso.

4. No separador Consulta na pesquisa, adicione origens de dados para a sua pesquisa. Para adicionar origens de dados a uma consulta de pesquisa, veja Origens de dados na Deteção de Dados Eletrónicos para obter orientações passo a passo.

5. Selecione Gerir para atualizar a caixa de correio ou o site associado a origens selecionadas. Caso contrário, selecione Guardar e fechar.

6. Reveja as suas seleções e confirme os recursos incluídos para cada origem de dados. Selecione Salvar. Definiu o âmbito das origens de dados que as consultas de pesquisa examinam.

7. Na secção Origens de dados, selecione o menu de reticências de qualquer origem de dados para opções de gestão para a origem de dados.

   Para opções de gestão, selecione uma das seguintes opções:

   • Gerir origem de dados: faça a gestão de origens de dados para o utilizador ou site selecionado.
   • Desativar caixas de correio: desative as caixas de correio do utilizador ou site selecionado. Selecione esta opção novamente para ativar a caixa de correio para o utilizador ou site.
   • Desativar sites: desative o site para o utilizador ou site selecionado. Selecione esta opção novamente para ativar o site para o utilizador ou site.
   • Colaboradores frequentes: selecione caixas de correio e sites associados para os utilizadores que colaboram frequentemente com o utilizador selecionado.
   • Gestor: selecione caixas de correio e sites associados do gestor do utilizador.
   • Relatórios diretos: selecione caixas de correio e sites associados dos relatórios diretos do utilizador.
   • Agrupa o utilizador proprietário: selecione caixas de correio associadas e sites de grupos de que o utilizador é proprietário.
   • Grupos em que o utilizador se encontra: selecione caixas de correio e sites de grupos associados de que o utilizador é membro.

   Para origens de grupo, selecione uma das seguintes opções:

   • Membros: selecione caixas de correio e sites associados de pessoas que são membros do grupo.

8. Utilize os controlos da barra de comandos origens de dados para adicionar, atualizar, sincronizar e procurar outras origens de dados para a pesquisa, conforme necessário.

   • Procurar e adicionar: selecione o ícone + para adicionar origens de dados.
   • Gerir: selecione o ícone de lápis para gerir as origens de dados atribuídas.
   • Sincronizar: selecione o ícone de sincronização para sincronizar origens de dados e atualizar as origens de dados com as origens de dados mais recentes na sua organização.
   • Pesquisa: selecione o ícone de pesquisa para procurar as origens de dados atualmente incluídas na consulta de pesquisa.

9. Para definir os parâmetros da consulta de pesquisa, escolha uma das seguintes opções no separador Consulta :

   • Construtor de condições: a opção de construtor de condições na pesquisa fornece uma experiência de pesquisa fácil de utilizar quando cria consultas de pesquisa na Deteção de Dados Eletrónicos. Utilize palavras-chave ou condições personalizadas para focar o âmbito das consultas de pesquisa. Além disso, pode utilizar a opção de condição de consulta QL por palavra-chave (KeyQL) na pesquisa que fornece orientações e permite-lhe colar rapidamente consultas longas e complexas diretamente no editor. Também o ajuda a criar consultas de pesquisa do zero, identifica potenciais erros e apresenta sugestões sobre como resolve problemas.

     Também pode criar rapidamente consultas KeyQL para a sua pesquisa com Microsoft Security Copilot. Para obter orientações, veja a secção seguinte neste artigo.

   • Procurar por ficheiro (pré-visualização): carregue um ou mais ficheiros para encontrar conteúdo relacionado ou semelhante para um caso específico. Utilize a atividade de auditoria csv para localizar mensagens e ficheiros relacionados para um utilizador específico dentro de um período de tempo específico. Em alternativa, forneça provas de exemplo para encontrar conteúdos semelhantes. Cada ficheiro tem um tamanho de ficheiro máximo de 10 MB e os ficheiros podem ser csv ou txt. As opções de criação de consultas e KeyQL são desativadas ao procurar por ficheiro.

10. Selecione Executar consulta. Se quiser guardar os parâmetros de consulta que definiu e executar a consulta mais tarde, selecione Guardar como rascunho.

Procurar por ficheiro (pré-visualização)

Esta funcionalidade ajuda os investigadores da Deteção de Dados Eletrónicos de duas formas:

Procurar por ficheiro semelhante

No local de trabalho digital atual, os documentos importantes são frequentemente copiados, modificados e movidos para serem armazenados em várias localizações. Quando os investigadores têm um documento de exemplo e querem encontrar conteúdos semelhantes, esta capacidade analisa o ficheiro de provas de exemplo carregado para extrair as palavras mais exclusivas e gera automaticamente uma consulta para localizar ficheiros conceptualmente semelhantes. Esta funcionalidade é particularmente útil para identificar variações de documentos especializados ou exclusivos em que a formulação manual de consultas seria desafiante.

Procurar por registo de auditoria

Para investigações que envolvam registos de auditoria, a funcionalidade aceita o CSV do registo de auditoria de entrada. Utiliza as entradas do registo de auditoria, como a mensagem enviada ou o documento acedido, para localizar ficheiros relevantes no âmbito da pesquisa. Utiliza informações no registo de auditoria, como o identificador ou a localização, para encontrar documentos ou mensagens correspondentes. Esta capacidade permite que os investigadores liguem atividades de auditoria a conteúdos relevantes no inquilino.

Para ambos os cenários, quando adiciona itens ao conjunto de revisão, os itens correspondentes são agrupados no ficheiro de provas de entrada ou no registo de auditoria para facilitar a revisão.

Criar uma consulta de pesquisa KeyQL com Microsoft Copilot (pré-visualização)

A opção de construtor de KeyQL de Consulta de Linguagem Natural (pré-visualização) na pesquisa permite-lhe utilizar linguagem natural e Microsoft Security Copilot para gerar rapidamente uma instrução de QL por palavra-chave (KeyQL). Utilize o construtor para construir consultas complexas com funcionalidades adicionais, incluindo AND, OR e agrupamento de condições, tudo ao utilizar pedidos de linguagem natural.

Esta funcionalidade ajuda-o a criar consultas mais facilmente ao utilizar pedidos predefinidos para cenários de exemplo. Também lhe permite refinar e melhorar pedidos personalizados para consultas de pesquisa mais precisas. Também pode optar por utilizar sugestões de pedidos como ponto de partida para criar e refinar KeyQL consultas para cenários de pesquisa comuns ou personalizados.

Para criar uma consulta de pesquisa com o Copilot, conclua os seguintes passos:

1. Depois de selecionar origens de dados para a consulta, selecione Redigir uma consulta com o Copilot.
2. No painel de aviso Linguagem natural , escolha uma das seguintes opções:
   • Introduza a sua pergunta de consulta de pesquisa. Pode incluir o utilizador, a origem de dados e outros detalhes de conteúdo, conforme aplicável.
   • Selecione Ver pedidos para selecionar uma das seguintes sugestões de pedido:
     • Localizar todos os e-mails com as palavras orçamento e finanças e ter anexos
     • Procurar todas as conversas no mês de janeiro de 2020 que contenham a palavra "ano financeiro"
     • Procurar ficheiros do tipo .docx que contenham as palavras confidencial e orçamento
3. Reveja o pedido de linguagem natural. Para refinar o pedido com Copilot, selecione Refinar.
4. Quando o pedido for finalizado, selecione Gerar KeyQL.
5. Reveja a consulta KeyQL no painel de resultados QL por palavra-chave (KeyQL). Se precisar de refinar os resultados da consulta KeyQL, pode atualizar o pedido no painel de pedidos De linguagem natural e selecionar Gerar KeyQL novamente. 1. Quando os resultados do KeyQL estiverem finalizados, selecione Copiar KeyQL.
6. Cole o KeyQL resulta no campo de consulta no separador Linguagem de consulta de palavra-chave (KeyQL). Pode fechar o Draft de uma consulta com o Copilot.
7. Selecione Executar consulta. Se quiser guardar os parâmetros de consulta que definiu e executar a consulta mais tarde, selecione Guardar como rascunho.

Executar uma consulta de pesquisa

Depois de criar uma consulta de pesquisa manualmente ou com Security Copilot, execute a consulta para gerar resultados de pesquisa.

Para executar uma consulta de pesquisa, conclua os seguintes passos:

1. Aceda ao portal do Microsoft Purview e inicie sessão com as credenciais de uma conta de utilizador com permissões de Deteção de Dados Eletrónicos atribuídas.

2. Selecione a solução de Deteção de Dados Eletrónicos card e, em seguida, selecione Casos (pré-visualização) no painel de navegação esquerdo.

3. Selecione um processo. No separador Pesquisas , selecione uma pesquisa guardada.

4. Selecione Executar consulta.

5. Depois de selecionar Executar consulta, verá o painel de lista de opções Escolher resultados da pesquisa . Selecione a vista que pretende gerar para a consulta e as respetivas definições. Pode escolher a vista Estatísticas ou Exemplo :

   • Estatísticas: esta vista gera um resumo das estimativas de dados recolhidas dispostas pelos principais indicadores. Escolha uma ou mais das seguintes opções:

   • Incluir categorias: refine a sua vista para incluir pessoas, tipos de informações confidenciais, tipos de itens e erros.

   • Incluir relatório de palavras-chave de consulta: avalie palavra-chave relevância para diferentes partes da consulta de pesquisa.

   • Investigar itens parcialmente indexados: normalmente, os itens parcialmente indexados representam aproximadamente 1% do conteúdo em origens de dados por contagem. Selecionar esta opção (e apenas esta opção), gera informações de resumo (contagem de itens e localização) sobre itens parcialmente indexados incluídos nas origens de dados selecionadas para a pesquisa. Não são reindexados ou processados itens parcialmente indexados. Para continuar a processar itens parcialmente indexados em origens de dados no âmbito, considere as seguintes opções avançadas de indexação:

     • Excluir itens parcialmente indexados em localizações sem resultados de pesquisa: escolher esta opção adicional reduz o âmbito dos itens parcialmente indexados (ou da indexação avançada se essa opção estiver selecionada) ao limitar a inclusão de itens parcialmente indexados apenas às origens de dados que incluem itens relevantes para a sua pesquisa. Isto exclui itens parcialmente indexados de origens de dados que não incluem itens relevantes para a sua pesquisa.

       Por exemplo, selecione várias caixas de correio, sites do SharePoint e sites do OneDrive como origens de dados para a sua pesquisa. Quando a pesquisa é executada, apenas algumas das caixas de correio e sites têm itens indexados relevantes para as condições de pesquisa, as restantes caixas de correio e sites não contêm itens indexados nativamente relevantes para as suas condições de pesquisa. Se selecionar esta opção, os itens parcialmente indexados nas caixas de correio e nos sites que contêm itens indexados nativamente relevantes para a pesquisa são incluídos nos resultados das estatísticas de pesquisa. Os itens parcialmente indexados nas caixas de correio e nos sites que não contêm itens indexados nativamente relevantes para a pesquisa são ignorados e não são comunicados nos resultados das estatísticas de pesquisa.

     • Efetuar indexação avançada em itens parcialmente indexados: o âmbito de onde a indexação avançada é executada depende se selecionar a opção Excluir itens parcialmente indexados em localizações sem resultados de pesquisa . O processo de indexação avançado executa um exemplo de estatística de itens parcialmente indexados no âmbito e determina se estes itens correspondem ou não à consulta:

       • Selecionado com a opção Excluir itens parcialmente indexados em localizações sem resultados de pesquisa : esta definição aplica-se apenas a itens parcialmente indexados a origens de dados com itens totalmente indexados que correspondam à consulta de pesquisa. Estes itens são amostrados, indexados e os itens correspondentes à consulta de pesquisa são apresentados nas estatísticas de pesquisa (conforme aplicável).
       • Selecionado sem a opção Excluir itens parcialmente indexados em localizações sem resultados de pesquisa : esta definição aplica-se a todos os itens parcialmente indexados em todas as origens de dados incluídas na pesquisa. Todos os itens são amostrados, indexados e os itens correspondentes à consulta de pesquisa são apresentados nas estatísticas de pesquisa (conforme aplicável).

       Importante

       Esta funcionalidade não está disponível para casos de formato limitados .

   • Exemplo: esta vista gera uma seleção representativa dos resultados completos da pesquisa. Defina os parâmetros para as seguintes opções:

     • Selecione o número de itens de exemplo a gerar por localização: escolha 1, 10 ou 100.
     • Selecione o número de localizações a partir das quais obter exemplos: selecione10, 100, 1000 ou 10000.

6. As opções de configuração de origem ao nível do inquilino na Deteção de Dados Eletrónicos permitem-lhe incluir origens de dados adicionais durante pesquisas em toda a organização. Adicionar mais origens de dados pode fazer com que as pesquisas dedempam mais tempo do que o habitual.

   Configure a origem da organização "Todas as pessoas e grupos" para incluir um ou mais tipos de utilizador ou conteúdo:

   • "Todas as pessoas e grupos" devem incluir utilizadores não licenciados e no local
   • "Todas as pessoas e grupos" deve incluir utilizadores convidados
   • "Todas as pessoas e grupos" devem incluir canais partilhados do Teams
   • "Todas as pessoas e grupos" deve incluir utilizadores falecidos

   Importante

   Para grandes organizações, as pesquisas ao nível do inquilino em todas as caixas de correio do Exchange e sites do SharePoint são processos de execução prolongada. A limitação do serviço pode afetar o número de caixas de correio e sites a pesquisar. Antes de executar estas pesquisas ao nível do inquilino, reveja os limites de dimensionamento e as orientações de débito em Limites na Deteção de Dados Eletrónicos e planeie realizar pesquisas em lotes, conforme aplicável. Para melhorar o desempenho e a operabilidade, divida a pesquisa em execuções no âmbito através de limites de compatibilidade (por exemplo, por região, unidade de negócio ou departamento) para que cada pesquisa vise um subconjunto de caixas de correio e sites.

7. Selecione Executar consulta para executar imediatamente a consulta.

Consoante as opções de vista de consulta que selecionou, é automaticamente direcionado para o separador Estatísticas ou Exemplo . A avaliação da consulta de pesquisa é iniciada e o tempo restante para processar a consulta é calculado. Para obter mais informações sobre a avaliação e otimização dos resultados da pesquisa, consulte Rever e avaliar os resultados da pesquisa.

Criar uma nova pesquisa a partir de uma pesquisa existente

Em alguns cenários, pode ser útil criar uma nova pesquisa com base numa pesquisa existente. Esta abordagem mantém as origens de dados originais e a pesquisa enquanto efetua modificações para obter novas estatísticas de pesquisa sem alterar a pesquisa original. Quando cria uma pesquisa duplicada, mantém todas as origens de dados e a pesquisa da pesquisa original na nova pesquisa. Esta abordagem preserva a integridade da pesquisa original e permite-lhe explorar novas informações.

Para criar uma nova pesquisa a partir de uma pesquisa existente, conclua os seguintes passos:

1. Selecione um processo. No separador Pesquisas , abra uma pesquisa.
2. Selecione Duplicar.
3. Uma nova pesquisa é criada automaticamente no mesmo caso.

O novo nome de pesquisa inclui o título da pesquisa de origem com Cópia do prefixo para o título e o carimbo de data/hora anexado. Por exemplo, se o título da pesquisa de origem for Procurar e-mails de orçamento, o novo título da pesquisa é Copiar de Procurar e-mails de orçamento + o carimbo de data/hora. Para editar o novo título de pesquisa, selecione o controlo de edição junto ao texto do título.

Criar uma nova pesquisa a partir de uma suspensão existente

Em alguns cenários, pode ser útil criar uma nova pesquisa com base numa suspensão existente. Esta abordagem permite-lhe utilizar as origens de dados originais e a pesquisa utilizada para a suspensão para executar uma nova pesquisa. Quando cria uma pesquisa a partir de uma suspensão existente, mantém todas as origens de dados e a pesquisa da retenção na nova pesquisa.

Para criar uma nova pesquisa a partir de uma suspensão existente, conclua os seguintes passos:

1. Selecione um processo. No separador Políticas de suspensão, selecione e abra uma política de suspensão.
2. Selecione Criar pesquisa.
3. É criada automaticamente uma nova pesquisa e é redirecionado automaticamente para a nova pesquisa.

O novo nome de pesquisa inclui o nome da política de retenção de origem com Cópia do prefixo para o título e carimbo de data/hora. Por exemplo, se o título da política de suspensão de origem for Manter para preservar o projeto Contoso, o novo título de pesquisa é Copiar de Suspensão para preservar o projeto da Contoso + o carimbo de data/hora. Para editar o novo título de pesquisa, selecione o controlo de edição junto ao texto do título.

Eliminar uma pesquisa

Se precisar de reduzir o número de pesquisas anteriores associadas a um caso, pode eliminar pesquisas específicas na Deteção de Dados Eletrónicos. Se a pesquisa tiver exportações e conjuntos de revisão associados, o histórico destas exportações e conjuntos de revisão permanecerá disponível nos registos de auditoria e do Gestor de Processos.

Para eliminar uma pesquisa existente num caso, conclua os seguintes passos:

1. Selecione um caso e selecione a pesquisa a eliminar.
2. Selecione as reticências (...) no canto superior direito da página de pesquisa e, em seguida, selecione Eliminar pesquisa.
3. Selecione Sim na caixa de diálogo Eliminar pesquisa para eliminar a pesquisa do caso.