Zkoumání rizik cloudových aplikací a podezřelých aktivit

Po spuštění Microsoft Defender for Cloud Apps ve vašem cloudovém prostředí budete potřebovat fázi učení a zkoumání. Naučte se používat nástroje Microsoft Defender for Cloud Apps, abyste lépe porozuměli tomu, co se děje ve vašem cloudovém prostředí. Na základě vašeho konkrétního prostředí a způsobu jeho používání můžete určit požadavky na ochranu vaší organizace před riziky. Tento článek popisuje, jak provést šetření, abyste lépe porozuměli vašemu cloudovému prostředí.

Označení aplikací jako schválených nebo neschválené

Důležitým krokem k pochopení vašeho cloudu je označení aplikací jako schválených nebo neschválené. Po schválení aplikace můžete filtrovat aplikace, které nejsou schváleny, a zahájit migraci na schválené aplikace stejné kategorie aplikací.

  • Na portálu Microsoft Defender přejděte v části Cloudové aplikace do katalogu cloudových aplikací nebo Cloud Discovery – >zjištěné aplikace.

  • V seznamu aplikací vyberte na řádku, na kterém se zobrazí aplikace, kterou chcete označit jako schválenou, tři tečky na konci řádku Snímek obrazovky s ikonou nabídky se třemi tečkami na konci řádku aplikace, který slouží k označení aplikace jako schválené. a zvolte Schváleno.

    Snímek obrazovky s možností místní nabídky pro označení cloudové aplikace jako schválené v Microsoft Defender for Cloud Apps

Použití nástrojů pro šetření

Pomocí následujících kroků můžete prozkoumat aktivity, soubory, identity a připojené aplikace ve vašem cloudovém prostředí.

  1. Na portálu Microsoft Defender přejděte v části Cloudové aplikace do protokolu aktivit a vyfiltrujte ji podle konkrétní aplikace. Zkontrolujte následující položky:

    • Kdo přistupuje k vašemu cloudovému prostředí?

    • Z jakých rozsahů IP adres?

    • Jaká je aktivita správce?

    • Z jakých umístění se správci připojují?

    • Připojují se k vašemu cloudovému prostředí nějaká zastaralá zařízení?

    • Pocházejí neúspěšná přihlášení z očekávaných IP adres?

  2. Na portálu Microsoft Defender přejděte v části Cloud Apps na Soubory a zkontrolujte následující položky:

    • Kolik souborů je veřejně sdíleno, aby k nim kdokoli měl přístup bez odkazu?

    • S kterými partnery sdílíte soubory (odchozí sdílení)?

    • Mají některé soubory citlivý název?

    • Jsou některé soubory sdíleny s osobním účtem někoho jiného?

  3. Na portálu Microsoft Defender přejděte do části Identity a zkontrolujte následující položky:

    • Byly některé účty v konkrétní službě dlouho neaktivní? Možná můžete odvolat licenci pro daného uživatele k této službě.

    • Chcete vědět, kteří uživatelé mají konkrétní roli?

    • Byl někdo vyhozen, ale stále má přístup k aplikaci a může tento přístup použít ke krádeži informací?

    • Chcete odvolat oprávnění uživatele ke konkrétní aplikaci nebo vyžadovat, aby konkrétní uživatel používal vícefaktorové ověřování?

    • K podrobnostem účtu uživatele můžete přejít tak, že vyberete tři tečky na konci řádku účtu uživatele a vyberete akci, která se má provést. Proveďte akci, například Pozastavit uživatele nebo Odebrat spolupráci uživatele. Pokud byl uživatel importován z Microsoft Entra ID, můžete také vybrat Microsoft Entra nastavení účtu, abyste získali snadný přístup k pokročilým funkcím správy uživatelů. Mezi příklady funkcí správy patří správa skupin, vícefaktorové ověřování, podrobnosti o přihlášeních uživatele a možnost blokovat přihlášení.

  4. Na portálu Microsoft Defender vyberte Nastavení a pak zvolte Cloud Apps. V části Připojené aplikace vyberte Konektory aplikací a pak vyberte aplikaci. Otevře se řídicí panel aplikace s informacemi a přehledy. Pomocí záložek v horní části můžete ověřit:

    • Jaký druh zařízení vaši uživatelé používají pro připojení k aplikaci?

    • Jaké typy souborů ukládají v cloudu?

    • Jaká aktivita se právě v aplikaci děje?

    • Jsou k vašemu prostředí připojené nějaké aplikace třetích stran?

    • Znáte tyto aplikace?

    • Mají oprávnění pro úroveň přístupu, kterou mají povolenou?

    • Kolik uživatelů je nasadí? Jak běžné jsou tyto aplikace obecně?

    Snímek obrazovky řídicího panelu připojené aplikace v Microsoft Defender for Cloud Apps zobrazující přehledy o zařízení, souborech a aktivitách

  5. Na portálu Microsoft Defender přejděte v části Cloud Apps na Cloud Discovery. Vyberte kartu Řídicí panel a zkontrolujte následující položky:

    • Jaké cloudové aplikace se používají, v jakém rozsahu a kterými uživateli?

    • K jakým účelům se používají?

    • Kolik dat se nahrává do těchto cloudových aplikací?

    • Ve kterých kategoriích máte schválené cloudové aplikace, a přesto uživatelé používají alternativní řešení?

    • Chcete u alternativních řešení zrušit schválení jakýchkoli cloudových aplikací ve vaší organizaci?

    • Existují cloudové aplikace, které se používají, ale nejsou v souladu se zásadami vaší organizace?

Ukázkové šetření přístupu z rizikové IP adresy

Řekněme, že předpokládáte, že nemáte žádný přístup ke svému cloudovému prostředí z rizikových IP adres. Jako příklad řekněme Tor. Ale pro jistotu vytvoříte zásadu pro rizikové IP adresy:

  1. Na portálu Microsoft Defender přejděte v části Cloud Apps na Zásady –>Šablony zásad.

  2. Zvolte zásadu aktivity pro Typ.

  3. Na konci řádku Přihlášení z rizikové IP adresy zvolte znaménko plus (+) a vytvořte novou zásadu.

  4. Změňte název zásady, abyste ji mohli identifikovat.

  5. V části Aktivity odpovídající všem následujícím možnostem zvolte + , jestli chcete přidat filtr. Posuňte se dolů na značku IP adresy a pak zvolte Tor.

    Snímek obrazovky se zásadou aktivity nakonfigurovanou tak, aby detekovala přihlášení z rizikových IP adres, jako je Tor v Microsoft Defender for Cloud Apps

Teď, když máte zavedené zásady rizikové IP adresy, zjistíte, že máte výstrahu, že byla zásada porušena.

  1. Na portálu Microsoft Defender přejděte na Incidenty & výstrahy –>Výstrahy a zobrazte upozornění na porušení zásad.

  2. Pokud zjistíte, že upozornění vypadá jako skutečné porušení pravidel, chcete riziko omezit nebo napravit porušení.

    Pro omezení rizika můžete uživateli poslat upozornění, zda došlo k porušení pravidel úmyslně a zda o něm věděl.

    Můžete se také ponořit do upozornění a uživatele pozastavit, dokud neurčíte vhodné kroky nápravy.

  3. Pokud je událost povolená a pravděpodobně se nebude opakovat, můžete výstrahu zavřít.

    Pokud je událost povolená a očekáváte, že se událost bude opakovat, můžete zásadu aktualizovat tak, aby přihlášení z daného schváleného zdroje nebyla v budoucnu považována za porušení.

Další kroky

Pokud narazíte na nějaké problémy, jsme tu, abychom vám pomohli. Chcete-li získat pomoc nebo podporu s problémem s vaším produktem, otevřete prosím ticket podpory..

  • Last updated on