AVDでPurview フォレンジックエビデンスを試す！

フォレンジックエビデンスとは、Windows OS 上で行われる情報流出につながる可能性がある一連の動作を検知し、その操作を記録する事ができる機能です。たとえば、USBへのコピー、印刷、Webへのアップロード、ネットワーク共有への転送などが該当します。Windows OSが対象なので、当然セッションホスト上でも動作します。なので、今回はセッションホスト上での不正な操作が記録されるのか試してみたいと思います。

・セッションホストにPurviewクライアントをインストールする必要があります。
・キャプチャデータは動画では無く、画像をパラパラ漫画のように再生する。
・キャプチャデータをエクスポートすると、動画ファイル[MP4]になる。
・キャプチャデータは 120 日後に自動削除されます。

[ネットワーク要件]
セッションホストからストレージ接続のため、下記URLを開ける必要があります。

compliancedrive.microsoft.com
*.events.data.microsoft.com
officeclient.microsoft.com
odc.officeapps.live.com
hrd.svc.cloud.microsoft

[利用のための諸条件]
・Windows11 23H2 以降
・8core/16G 以上の仮想マシン
・直接割り当ての個人用プールのみ対応
・Entra Join / Entra Hybrid Join ※Entraにデバイスが登録されている必要がある。
・Intuneにデバイス登録されている必要がある。
・E5 Compliance / E3+Insider Risk Management いずれかのライセンスが必要
・ストレージライセンスが必要 100GB/月(単位)

全体の流れ

Step１：Microsoft Purview の設定
Step２：デバイスのオンボーディング＆Purview クライアントインストール
Step３：フォレンジックエビデンスのポリシー作成
Step４：フォレンジックエビデンスのリクエスト作成＆承認

手順的には、対象ユーザーを決める人と、それを[承認]する人という具合にわかれている。

Step１：Microsoft Purview の設定

先ずは、作業アカウントに対して[Insider Risk Management]ロールを割り当てます。
・Insider Risk Management : フォレンジックエビデンスのリクエスト・承認/拒否が可能
・Insider Risk Management Admins：フォレンジックエビデンスのリクエストが可能
・Insider Risk Management Approvers :フォレンジックエビデンスの承認/拒否

[設定]ー[役割とスコープ]ー[役割グループ]を選択

[インサイダーリスク管理]ー[フォレンジックエビデンス]ー[フォレンジックエビデンス設定]

フォレンジックエビデンスのキャプチャ：[オン]有効化
ウィンドウをキャプチャしています：[10秒 / 30秒 / 1分 / 3分 / 5分]
アップロード帯域幅の制限[100MB / 250MB / 500MB / 1GB / 2GB]※アップロード上限
オフラインキャプチャのキャッシュ制限[100MB / 250MB / 500MB / 1GB / 2GB]