Определение области развертывания для определенных пользователей или групп пользователей

Microsoft Defender for Cloud Apps позволяет область развертывание. Область позволяет выбрать определенные группы пользователей, которые будут отслеживаться для приложений или исключаться из мониторинга.

Примечание.

Развертывание с ограниченной областью не сокращает количество файлов, приложений OAuth или учетных записей пользователей, которые проверяются. Он только уменьшает количество действий пользователей в зависимости от выбранной группы пользователей.

Примечание.

По мере того как Microsoft Defender переходит к полностью унифицированной платформе удостоверений, некоторые Defender for Cloud Apps конвейеры данных остаются отдельными. Развертывание с областью использует отдельный конвейер данных, который еще не интегрирован с инвентаризацией удостоверений. Корреляции, определенные в инвентаризации удостоверений, не влияют на развертывание с заданной областью. Полный список затронутых функций см. в статье Включение интеграции инвентаризации удостоверений.

Включение или исключение групп пользователей

Возможно, вы не захотите использовать Microsoft Defender for Cloud Apps для всех пользователей в организации. Определение области особенно полезно, если требуется ограничить развертывание из-за ограничений лицензии. Вам также может потребоваться ограничить ограничения из-за нормативных требований, требующих не отслеживать пользователей из определенных стран или регионов. Например, используйте развертывание с ограниченной областью для мониторинга только сотрудников из США. Кроме того, вы можете избежать отображения каких-либо действий для пользователей, базирующихся в Германии.

• Чтобы область развертывания, сначала необходимо импортировать группы пользователей в Microsoft Defender for Cloud Apps. По умолчанию отображаются следующие группы:

  • Группа пользователей приложений — встроенная группа, которую можно использовать для просмотра действий, выполняемых Microsoft 365 и Microsoft Entra приложениями.

  • Группа внешних пользователей — все пользователи, которые не являются членами ни одного из управляемых доменов, настроенных для вашей организации.

• Установка правила включения автоматически исключает все группы, не входящие в включенную группу. Например, если задать правило, включающее всех участников групп офисов США, все группы, не входящие в эту группу, не будут отслеживаться.

• Исключенные группы пользователей переопределяют включенные группы пользователей. Если вы включаете группу пользователей UK-employees, но исключаете marketing, Microsoft Defender for Cloud Apps не отслеживает участников маркетинга из Великобритании, даже если они являются членами группы uk-employees.

1. На портале Microsoft Defender выберите Параметры. Затем выберите Облачные приложения. В разделе Система выберите Развертывание с заданной областью и конфиденциальность.

2. Чтобы область развертывание для включения или исключения определенных групп, импортируйте группы пользователей в Microsoft Defender for Cloud Apps.

3. Чтобы настроить мониторинг определенных групп с помощью Microsoft Defender for Cloud Apps, на вкладке Включить выберите +Добавить правило.

4. В диалоговом окне Создание нового правила включения выполните следующие действия.

   1. В разделе Имя правила введите описательное имя правила.
      1. В разделе Выберите группы пользователей выберите все группы, которые вы хотите отслеживать с помощью Microsoft Defender for Cloud Apps.
   2. Укажите, нужно ли применять это правило ко всем подключенным приложениям или только к определенным приложениям. Если выбрать определенные приложения, правило будет влиять только на мониторинг приложений, которые вы выбрали. Например, если выбрать групповую группу пользователей пользовательского интерфейса и Box, Defender for Cloud Apps будет отслеживать действия Box только для пользователей в группе пользователей группы пользовательского интерфейса, а для всех остальных приложений Defender for Cloud Apps будет отслеживать все действия всех пользователей.

   

5. Чтобы настроить исключение определенных групп из мониторинга, на вкладке Исключить выберите +Добавить правило.

6. В диалоговом окне Создание правила исключения задайте следующие параметры:

   1. В разделе Имя правила введите описательное имя правила.

   2. В разделе Выберите группы пользователей выберите все группы, которые вы не хотите Microsoft Defender for Cloud Apps отслеживать.

      1. Укажите, нужно ли применять это правило ко всем подключенным приложениям или только к определенным приложениям. Если выбрать определенные приложения, Microsoft Defender for Cloud Apps перестает отслеживать группу, выбранную только для выбранных вами приложений. Если выбрать групповую группу пользователей пользовательского интерфейса и Active Directory, Microsoft Defender for Cloud Apps отслеживает все действия пользователей, за исключением действий Active Directory, выполняемых пользователями команды пользовательского интерфейса.

      

Примеры результатов для правил включения и исключения

Создаваемые правила включения и исключения работают вместе, чтобы область общего мониторинга, выполняемого Microsoft Defender for Cloud Apps. Ниже приведен пример правил включения и исключения, которые можно создать, а также конечный результат того, что Microsoft Defender for Cloud Apps отслеживает после выполнения этих правил.

При создании следующих правил:

• Исключите группу пользователей "Все пользователи Германии"
• Включение для группы пользователей "Глобальные продажи" только действий Microsoft 365
• Включение в группу пользователей "Менеджеры по продажам" только действий Power BI
• Salesforce подключена к Microsoft Defender for Cloud Apps и для нее не заданы правила

Отслеживаются следующие действия пользователей:

Пользователь	Участие в группе	Отслеживаемые действия
Адриана	Все пользователи в Германии Глобальные продажи Менеджеры по продажам	Нет
Ален	Глобальные продажи	Microsoft 365 и все вложенные приложения, кроме Power BI
Кизил	Глобальные продажи Менеджеры по продажам	Microsoft 365 и все вложенные приложения
Рэймонд	Менеджеры по продажам	Только Power BI

Примечание.

Область действия группы в этих правилах не влияет на другие приложения. В примере для Salesforce мониторинг включает все действия для всех групп пользователей.

Проверка развертывания с заданной областью

После настройки развертывания с заданной областью проверка для новых событий в журнале действий или таблице CloudAppEvents.

Если новые события не отображаются или события из исключенных учетных записей отображаются, учетные записи пользователей с заданной областью могут быть неправильно сопоставлены с идентификаторами учетных записей приложения. Это может произойти, если одно приложение использует имя участника-пользователя в качестве идентификатора учетной записи, а другое приложение использует другой формат идентификатора учетной записи или значение, отличное от имени участника-пользователя. Чтобы устранить эту проблему, создайте дополнительную группу развертывания с заданной областью, которая соответствует идентификаторам учетных записей, используемым затронутым приложением.

Дальнейшие действия

• Настройка облачного обнаружения