Sdílet prostřednictvím

Co jsou detekce rizik?

Microsoft Entra ID Protection může poskytovat širokou škálu detekcí rizik, které se dají použít k identifikaci podezřelých aktivit ve vaší organizaci. Tabulky zahrnuté v tomto článku shrnují seznam detekcí rizik přihlašování a uživatelů, včetně licenčních požadavků nebo v případě, že k detekci dochází v reálném čase nebo offline. Další podrobnosti o každé detekci rizik najdete v tabulkách.

  • Úplné podrobnosti o většině detekcí rizik vyžadují Microsoft Entra ID P2.
    • Zákazníci bez licencí Microsoft Entra ID P2 obdrží detekci s názvem Další riziko zjištěné bez podrobností o detekci rizika.
    • Další informace najdete v licenčních požadavcích.
  • Informace o detekcích rizik identit úloh najdete v tématu Zabezpečení identit úloh.

Note

Podrobnosti o detekcích v reálném čase a úrovních rizik najdete v tématu Typy a úrovně detekce rizik.

Detekce rizik přihlašování mapované na riskEventType

Výběrem detekce rizik ze seznamu zobrazíte popis detekce rizik, jeho fungování a licenční požadavky. V tabulce Premium označuje, že detekce vyžaduje alespoň licenci Microsoft Entra ID P2. Nonpremium indikuje, že detekce je k dispozici pro Microsoft Entra ID Free. Sloupec riskEventType označuje hodnotu, která se zobrazí v dotazech rozhraní Microsoft Graph API.

Detekce rizik přihlašování Typ detekce Typ riskEventType
Aktivita z anonymní IP adresy Offline Premium riskyIPAddress
Zjistilo se další riziko (přihlášení) V reálném čase nebo offline Nonpremium generický^
Správce potvrdil ohrožení zabezpečení uživatele Offline Nonpremium adminConfirmedUserCompromised
neobvyklý token (přihlášení) V reálném čase nebo offline Premium anomalousToken
Anonymní IP adresa Real-time Nonpremium anonymizedIPAddress
Atypická cesta Offline Premium unlikelyTravel
Nemožné cestování Offline Premium mcasImpossibleTravel
Škodlivá IP adresa Offline Premium maliciousIPAddress
Hromadný přístup k citlivým souborům Offline Premium mcasFinSuspiciousFileAccess
Microsoft Entra Threat Intelligence (přihlášení) V reálném čase nebo offline Nonpremium investigationsThreatIntelligence
Nová země Offline Premium newCountry
Rozstřikování hesel V reálném čase nebo offline Premium passwordSpray
Podezřelý prohlížeč Offline Premium suspiciousBrowser
Podezřelé přeposílání doručené pošty Offline Premium suspiciousInboxForwarding
Podezřelá pravidla manipulace s doručenou poštou Offline Premium mcasSuspiciousInboxManipulationRules
Anomálie vystavitele tokenů Offline Premium tokenIssuerAnomaly
Neznámé vlastnosti přihlášení Real-time Premium unfamiliarFeatures
IP adresa ověřeného aktéra hrozeb Real-time Premium nationStateIP

^ Detekce rizika RiskEventType pro další zjištěná rizika je obecná pro tenanty s microsoft entra ID Free nebo Microsoft Entra ID P1. Zjistili jsme něco rizikového, ale podrobnosti nejsou k dispozici bez licence Microsoft Entra ID P2.

Detekce rizik uživatelů mapované na riskEventType

Výběrem detekce rizik ze seznamu zobrazíte popis detekce rizik, jeho fungování a licenční požadavky.

Detekce rizik uživatelů Typ detekce Typ riskEventType
Zjistilo se další riziko (uživatel) V reálném čase nebo offline Nonpremium generický^
neobvyklý token (uživatel) V reálném čase nebo offline Premium anomalousToken
Neobvyklá uživatelská aktivita Offline Premium anomalousUserActivity
Útočník uprostřed Offline Premium attackerinTheMiddle
Uniklé přihlašovací údaje Offline Nonpremium leakedCredentials
Microsoft Entra Threat Intelligence (uživatel) V reálném čase nebo offline Nonpremium investigationsThreatIntelligence
Možný pokus o přístup k primárnímu obnovovacímu tokenu (PRT) Offline Premium attemptedPrtAccess
Podezřelý provoz rozhraní API Offline Premium suspiciousAPITraffic
Podezřelé vzory odesílání Offline Premium suspiciousSendingPatterns
Uživatel oznámil podezřelou aktivitu Offline Premium userReportedSuspiciousActivity

^ Detekce rizika RiskEventType pro další zjištěná rizika je obecná pro tenanty s microsoft entra ID Free nebo Microsoft Entra ID P1. Zjistili jsme něco rizikového, ale podrobnosti nejsou k dispozici bez licence Microsoft Entra ID P2.

Detekce rizik přihlašování

Aktivita z anonymní IP adresy

Tato detekce se zjistí pomocí informací poskytovaných programem Microsoft Defender for Cloud Apps. Tato detekce identifikuje, že uživatelé byli aktivní z IP adresy identifikované jako ip adresa anonymního proxy serveru.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Zjistilo se další riziko (přihlášení)

Tato detekce značí, že se aktivovala jedna z detekcí úrovně Premium. Vzhledem k tomu, že detekce úrovně Premium jsou viditelné pouze zákazníkům Microsoft Entra ID P2, označují se jako další riziko zjištěné pro uživatele bez licencí Microsoft Entra ID P2.

  • Výpočet v reálném čase nebo offline
  • Licenční požadavek: Microsoft Entra ID Free nebo Microsoft Entra ID P1

Napadení uživatele potvrzené správcem

Tato detekce indikuje, že správce vybral Potvrdit ohrožení uživatele v uživatelském rozhraní rizikových uživatelů nebo pomocí rozhraní API pro rizikové uživatele. Pokud chcete zjistit, který správce potvrdil ohrožení zabezpečení tohoto uživatele, zkontrolujte historii rizik uživatele (prostřednictvím uživatelského rozhraní nebo rozhraní API).

  • Počítané offline
  • Licenční požadavek: Microsoft Entra ID Free nebo Microsoft Entra ID P1

Neobvyklý token (přihlášení)

Tato detekce indikuje neobvyklé charakteristiky tokenu, jako je neobvyklá životnost nebo že byl token použit z neznámého umístění. Tato detekce se zabývá tokeny relací a obnovovacími tokeny. Pokud je umístění, aplikace, IP adresa, uživatelský agent nebo jiné charakteristiky pro uživatele neočekávané, měl by správce toto riziko považovat za indikátor potenciálního přehrání tokenu.

Neobvyklý token byl historicky vyladěn tak, aby způsoboval více šumu než jiné detekce. Nedávná vylepšení detekce snížila šum; Existuje však stále vyšší než normální pravděpodobnost, že některé relace označené touto detekcí jsou falešně pozitivní na nízkých a středních úrovních rizika.

Anonymní IP adresa

Tento typ detekce rizik označuje přihlášení z anonymní IP adresy (například prohlížeče Tor nebo anonymní sítě VPN). Tyto IP adresy obvykle používají aktéři, kteří chtějí skrýt přihlašovací údaje (IP adresu, umístění, zařízení atd.) pro potenciálně škodlivý záměr.

  • Vypočítáno v reálném čase
  • Licenční požadavek: Microsoft Entra ID Free nebo Microsoft Entra ID P1

Neobvyklá cesta

Tento typ detekce rizik identifikuje dvě přihlášení pocházející z geograficky vzdálených míst, kde nejméně jedno z těchto umístění může být pro uživatele při minulém chování neobvyklé. Algoritmus bere v úvahu více faktorů, včetně času mezi dvěma přihlášeními a časem, který by uživateli trvalo cestovat z prvního místa na druhé. Toto riziko může znamenat, že jiný uživatel používá stejné přihlašovací údaje.

Algoritmus ignoruje zjevné "falešně pozitivní výsledky", které přispívají k nemožným cestovním podmínkám, jako jsou VPN a místa, která pravidelně používají jiní uživatelé v organizaci. Systém má počáteční období učení prvních 14 dnů nebo 10 přihlášení, během kterých se učí chování přihlašování nového uživatele.

Neuskutečnitelná cesta

Tato detekce se zjistí pomocí informací poskytovaných programem Microsoft Defender for Cloud Apps. Tato detekce identifikuje aktivity uživatelů (v jednom nebo několika relacích) pocházející z geograficky vzdálených lokalit v časovém období kratším než doba trvání cesty z prvního umístění do druhého. Toto riziko může znamenat, že jiný uživatel používá stejné přihlašovací údaje.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Škodlivá IP adresa

Tato detekce označuje přihlášení ze škodlivé IP adresy. IP adresa se považuje za škodlivou na základě vysoké míry selhání kvůli neplatným přihlašovacím údajům přijatým z IP adresy nebo jiných zdrojů reputace IP adres. V některých případech se tato detekce aktivuje u předchozí škodlivé aktivity.

Hromadný přístup k citlivým souborům

Tato detekce se zjistí pomocí informací poskytovaných programem Microsoft Defender for Cloud Apps. Tato detekce se podívá na vaše prostředí a aktivuje upozornění, když uživatelé přistupují k více souborům z Microsoft Office SharePoint Online nebo Microsoft OneDrivu. Upozornění se aktivuje jenom v případě, že je počet přístupných souborů pro uživatele neobvyklý a soubory můžou obsahovat citlivé informace.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Microsoft Entra Threat Intelligence (přihlášení)

Microsoft Entra Threat Intelligence označuje aktivitu uživatelů, která je pro uživatele neobvyklá nebo je konzistentní se známými vzory útoku. Tato detekce je založená na interním a externím výzkumu analýzy hrozeb Od Microsoftu, včetně dat z centra Microsoft Threat Intelligence Center (MSTIC) a dalších týmů zabezpečení Microsoftu. Tyto detekce se v protokolech a sestavách OCHRANY ID zobrazují jako "Analýza hrozeb Microsoft Entra".

Nová země

Tato detekce se zjistí pomocí informací poskytovaných programem Microsoft Defender for Cloud Apps. Tato detekce bere v úvahu umístění minulých aktivit k určení nových a zřídka používaných umístění. Modul detekce anomálií ukládá informace o předchozích umístěních používaných uživateli v organizaci.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Útok password spray

Útok hrubou silou s použitím běžných hesel je technika, při které je napadeno více identit současně. Microsoft monitoruje vzory rozprašování hesel napříč IP adresami a dalšími identifikátory k detekci těchto útoků napříč všemi tenanty Microsoft Entra. Detekce rizik se aktivuje jenom tehdy, když útočník úspěšně ověří heslo uživatele. Neúspěšné pokusy o sprej proti vašim uživatelům negenerují detekci. Když se detekce aktivuje ve vašem tenantovi, znamená to, že Microsoft zaznamenal útok ve spreji a potvrdil, že útočník dosáhl úspěšného ověření přihlašovacích údajů vůči uživateli ve vašem tenantovi. Tato detekce signalizuje, že heslo uživatele bylo správně identifikováno, ne že útočník měl přístup k jakýmkoli prostředkům.

Podezřelý prohlížeč

Detekce podezřelého prohlížeče indikuje neobvyklé chování na základě podezřelé přihlašovací aktivity napříč několika tenanty z různých zemí nebo oblastí ve stejném prohlížeči.

Podezřelé přesměrování doručené pošty

Tato detekce se zjistí pomocí informací poskytovaných programem Microsoft Defender for Cloud Apps. Tato detekce hledá podezřelá pravidla pro přeposílání e-mailů, například pokud uživatel vytvořil pravidlo doručené pošty, které přesměruje kopii všech e-mailů na externí adresu.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Podezřelá pravidla pro manipulaci s doručenou poštou

Tato detekce se zjistí pomocí informací poskytovaných programem Microsoft Defender for Cloud Apps. Tato detekce se podívá na vaše prostředí a aktivuje výstrahy, když jsou ve složce Doručená pošta uživatele nastavená podezřelá pravidla, která odstraňují nebo přesouvají zprávy nebo složky. Tato detekce může znamenat: účet uživatele je napadený, zprávy jsou záměrně skryté a poštovní schránka se používá k distribuci spamu nebo malwaru ve vaší organizaci.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Anomálie vystavitele tokenů

Detekce tohoto rizika označuje vystavitele tokenu SAML pro přidružený token SAML, který je potenciálně kompromitován. Deklarace identity zahrnuté v tokenu jsou neobvyklé nebo odpovídají známým vzorům útočníka.

Neznámé vlastnosti přihlášení

Tento typ detekce rizik zohledňuje historii přihlašování kvůli vyhledávání neobvyklých přihlášení. Systém ukládá informace o předchozích přihlášeních a aktivuje detekci rizik, když dojde k přihlášení s vlastnostmi, které jsou pro uživatele neznámé. Mezi tyto vlastnosti patří IP adresa, ASN, umístění, zařízení, prohlížeč a podsíť IP adresy tenanta. Nově vytvořená uživatelé jsou v "výukovém režimu", ve kterém je detekce rizik neznámých vlastností přihlašování vypnutá, zatímco naše algoritmy učí chování uživatele. Doba trvání režimu učení je dynamická a závisí na tom, kolik času algoritmu trvá, než shromažďuje dostatek informací o vzorech přihlašování uživatele. Minimální doba trvání je pět dnů. Uživatel se může vrátit do režimu učení po dlouhé době nečinnosti.

Tuto detekci spustíme také pro základní ověřování (nebo starší protokoly). Vzhledem k tomu, že tyto protokoly nemají moderní vlastnosti, jako je ID klienta, existují omezená data ke snížení falešně pozitivních výsledků. Doporučujeme našim zákazníkům přejít na moderní ověřování.

U interaktivních i neinteraktivních přihlášení je možné zjistit neznámé vlastnosti přihlášení. Když se tato detekce zjistí u neinteraktivních přihlášení, zaslouží si zvýšenou kontrolu kvůli riziku útoků na přehrání tokenů.

Výběrem neznámého rizika vlastností přihlašování můžete zobrazit další informace o tom, proč se toto riziko aktivovalo.

  • Vypočítáno v reálném čase
  • Požadavek na licenci: Microsoft Entra ID P2

Ověřená IP adresa aktéra hrozeb

Vypočítáno v reálném čase. Tento typ detekce rizik označuje přihlašovací aktivitu, která je konzistentní se známými IP adresami přidruženými k národním státním subjektům nebo skupinám kybernetických trestných činů na základě dat z centra Microsoft Threat Intelligence Center (MSTIC).

  • Vypočítáno v reálném čase
  • Požadavek na licenci: Microsoft Entra ID P2

Detekce rizik uživatelů

Zjistilo se další riziko (uživatel)

Tato detekce značí, že byla zjištěna jedna z detekcí úrovně Premium. Vzhledem k tomu, že detekce úrovně Premium jsou viditelné pouze zákazníkům Microsoft Entra ID P2, označují se jako další riziko zjištěné pro zákazníky bez licencí Microsoft Entra ID P2.

  • Výpočet v reálném čase nebo offline
  • Licenční požadavek: Microsoft Entra ID Free nebo Microsoft Entra ID P1

Neobvyklý token (uživatel)

Tato detekce indikuje neobvyklé charakteristiky tokenu, jako je neobvyklá životnost nebo že byl token použit z neznámého umístění. Tato detekce se zabývá tokeny relací a obnovovacími tokeny. Pokud je umístění, aplikace, IP adresa, uživatelský agent nebo jiné charakteristiky pro uživatele neočekávané, měl by správce toto riziko považovat za indikátor potenciálního přehrání tokenu.

Neobvyklý token byl historicky vyladěn tak, aby způsoboval více šumu než jiné detekce. Nedávná vylepšení detekce snížila šum; Existuje však stále vyšší než normální pravděpodobnost, že některé relace označené touto detekcí jsou falešně pozitivní na nízkých a středních úrovních rizika.

Neobvyklá uživatelská aktivita

Detekce rizik vytváří základní linii pro normální chování administrativních uživatelů v Microsoft Entra Identity a odhaluje neobvyklé vzorce chování, jako jsou podezřelé změny adresáře. Detekce se aktivuje vůči správci, který změnu provede, nebo objekt, který byl změněn.

  • Počítané offline
  • Požadavek na licenci: Microsoft Entra ID P2

Útočník uprostřed

Tato detekce vysoké přesnosti se také označuje jako Nežádoucí osoba uprostřed, když je relace ověřování propojená se škodlivým reverzním proxy serverem. V tomto druhu útoku může nežádoucí osoba zachytit přihlašovací údaje uživatele, včetně tokenů vystavených uživateli. Tým Microsoft Security Research používá Microsoft Defender for Cloud Apps k zachycení identifikovaného rizika a zvýšení rizika uživatele na vysoké riziko. Doporučujeme správcům ručně prošetřit uživatele, když se tato detekce aktivuje, aby se zajistilo, že se riziko odstraní. Vymazání tohoto rizika může vyžadovat bezpečné resetování hesla nebo odvolání existujících relací.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Uniklé přihlašovací údaje

Tato detekce rizik značí, že platné přihlašovací údaje uživatele se zobrazují v známém porušení zabezpečení přihlašovacích údajů. Microsoft provozuje rozsáhlý kanál kontroly přihlašovacích údajů, který nepřetržitě monitoruje dark webová fóra, úložiště výpisů úniku informací, vkládat weby, data o zachycení práva a další zdroje prostřednictvím partnerství s Microsoft Threat Intelligence Center (MSTIC), Microsoft Digital Crimes Unit (DCU) a oborovými partnery. Po nalezení zjištěných přihlašovacích údajů služba ověří skutečný materiál přihlašovacích údajů vůči aktuálním platným hodnotám hash hesel vašeho tenanta. Detekce se vygeneruje pouze v případech, kdy se najde potvrzená shoda. Tato detekce je vždy stejně vysoká , protože představuje ověřené vystavení přihlašovacích údajů, nikoli heuristický signál. Cloudové resetování hesla prostřednictvím Microsoft Entra opraví riziko uživatelů pro tuto detekci cloudových a místních hesel, pokud je povolená synchronizace hodnot hash hesel (PHS) pro místní hesla. Další informace o místní ochraně heslem najdete v tématu Posouzení stavu zabezpečení účtů Identit v programu Microsoft Defender for Identity.

Microsoft Entra Služby pro analýzu hrozeb (uživatel)

Tento typ detekce rizik označuje aktivitu uživatele, která je pro uživatele neobvyklá nebo je konzistentní se známými vzory útoku. Tato detekce je založená na interním a externím výzkumu analýzy hrozeb Od Microsoftu, včetně dat z centra Microsoft Threat Intelligence Center (MSTIC) a dalších týmů zabezpečení Microsoftu.

Možný pokus o přístup k primárnímu obnovovacímu tokenu (PRT)

Tento typ detekce rizik se zjistí pomocí informací poskytovaných programem Microsoft Defender for Endpoint (MDE). Primární obnovovací token (PRT) je klíčovým artefaktem ověřování Microsoft Entra ve Windows 10, Windows Serveru 2016 a novějších verzích, zařízeních s iOSem a Androidem. PRT je webový token JSON (JWT) vydaný pro zprostředkovatele tokenů Microsoftu první strany, který umožňuje jednotné přihlašování (SSO) napříč aplikacemi používanými na těchto zařízeních. Útočníci se mohou pokusit o přístup k tomuto prostředku, aby se mohli později přesunout do organizace nebo provést krádež přihlašovacích údajů. Tato detekce překlasifikuje uživatele na vysoké riziko a aktivuje se pouze v organizacích, které nasazují Microsoft Defender for Endpoint (MDE). Tato detekce je vysoce riziková a doporučujeme vyzvat k nápravě těchto uživatelů. Ve většině organizací se zobrazuje zřídka kvůli nízkému objemu.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Podezřelý provoz rozhraní API

Tato detekce rizik se hlásí, když dojde k neobvyklému provozu GraphAPI nebo výčtu adresářů. Podezřelý provoz rozhraní API může naznačovat, že je uživatel ohrožen a provádí rekognoskaci v prostředí.

  • Počítané offline
  • Požadavek na licenci: Microsoft Entra ID P2

Podezřelé vzory odesílání

Tento typ detekce rizik se zjistí pomocí informací poskytovaných Microsoft Defender pro Office 365 (MDO). Tato výstraha se vygeneruje, když někdo ve vaší organizaci odeslal podezřelý e-mail a je ohrožen nebo je omezen na odesílání e-mailů. Tato detekce přesouvá uživatele na střední riziko a aktivuje se výhradně v organizacích, které používají MDO. Tato detekce je nízká a ve většině organizací se vyskytuje zřídka.

  • Počítané offline
  • Požadavek na licenci:
    • Microsoft Entra ID P2 a samostatná licence pro Microsoft Defender for Cloud Apps
    • Microsoft 365 E5 s Enterprise Mobility + Security E5

Uživatel oznámil podezřelou aktivitu

Tato detekce rizik se oznamuje, když uživatel odmítne výzvu vícefaktorového ověřování (MFA) a nahlásí ji jako podezřelou aktivitu. Výzva vícefaktorového ověřování, kterou uživatel neicializoval, může znamenat ohrožení přihlašovacích údajů. Aby tato detekce fungovala, musíte mít zapnutou funkci hlášení podezřelé aktivity. Další informace najdete v tématu Konfigurace nastavení vícefaktorového ověřování Microsoft Entra.

  • Počítané offline
  • Požadavek na licenci: Microsoft Entra ID P2
  • Last updated on