Udostępnij za pośrednictwem

Jak zbadać logowania wymagające alertu zgodnego lub zarządzanego urządzenia

  • Artykuł

Monitorowanie usługi Microsoft Entra Health udostępnia zestaw metryk kondycji na poziomie dzierżawy, które można monitorować i alerty w przypadku wykrycia potencjalnego problemu lub stanu awarii. Istnieje wiele scenariuszy kondycji, które można monitorować, w tym dwa powiązane z urządzeniami:

  • Logowania wymagające urządzenia zgodnego z zasadami dostępu warunkowego
  • Logowania wymagające urządzenia zarządzanego przez Conditional Access

W tym artykule opisano metryki kondycji związane ze zgodnymi i zarządzanymi urządzeniami oraz sposób rozwiązywania potencjalnego problemu po otrzymaniu alertu. Aby uzyskać szczegółowe informacje na temat interakcji ze scenariuszami monitorowania kondycji i sposobu badania wszystkich alertów, zobacz Jak badać alerty dotyczące scenariusza kondycji.

Ważny

Monitorowanie i alerty dotyczące scenariusza usługi Microsoft Entra Health są obecnie dostępne w wersji zapoznawczej. Te informacje odnoszą się do produktu w wersji wstępnej, który może zostać znacząco zmodyfikowany przed wydaniem. Firma Microsoft nie udziela żadnych gwarancji, wyrażonych ani domniemanych, w odniesieniu do podanych tutaj informacji.

Wymagania wstępne

Istnieją różne role, uprawnienia i wymagania licencyjne dotyczące wyświetlania sygnałów monitorowania kondycji oraz konfigurowanie i odbieranie alertów. Zalecamy używanie roli z dostępem do najniższych uprawnień, aby dostosować się do wytycznych Zero Trust.

  • Dzierżawca z licencją Microsoft Entra P1 lub P2 jest wymagany do wyświetlania sygnałów monitorowania kondycji Microsoft Entra.
  • Najemca z licencją Microsoft Entra P1 lub P2 bez wersji próbneji oraz co najmniej 100 aktywnymi użytkownikami miesięcznie jest zobowiązany do wyświetlania alertów i otrzymywania powiadomień o alertach.
  • Rola Czytelnik raportów jest najmniej uprzywilejowaną rolą wymaganą do wyświetlania sygnałów monitorowania scenariusza, alertów i konfiguracji alertów.
  • Administrator pomocy technicznej jest najmniej uprzywilejowaną rolą wymaganą do aktualizowania alertów i aktualizowania konfiguracji powiadomień o alertach.
  • Uprawnienie HealthMonitoringAlert.Read.All jest wymagane do wyświetlania alertów przy użyciu interfejsu API programu Microsoft Graph.
  • Uprawnienie HealthMonitoringAlert.ReadWrite.All jest wymagane do wyświetlania i modyfikowania alertów przy użyciu interfejsu API programu Microsoft Graph.
  • Aby uzyskać pełną listę ról, zobacz Najmniej uprzywilejowana rola według zadania.

Badanie sygnałów i alertów

Badanie alertu rozpoczyna się od zbierania danych. Dzięki usłudze Microsoft Entra Health w centrum administracyjnym firmy Microsoft Entra możesz wyświetlić szczegóły sygnału i alertu w jednym miejscu. Możesz również wyświetlić sygnały i alerty przy użyciu interfejsu API programu Microsoft Graph. Aby uzyskać więcej informacji, zobacz Jak badać alerty dotyczące scenariusza kondycji, aby uzyskać wskazówki dotyczące zbierania danych przy użyciu interfejsu API programu Microsoft Graph.

  1. Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Odbiorca raportów.

  2. Przejdź do Identity>Monitorowanie i zdrowie>Zdrowie. Strona otwiera się na stronę Realizacji umowy dotyczącej poziomu usług (SLA).

  3. Wybierz kartę Monitorowanie kondycji.

  4. Wybierz scenariusz Logowania wymagające zgodnego urządzenia lub Logowania wymagające zarządzanego urządzenia, a następnie wybierz aktywny alert.

    zrzut ekranu przedstawiający stronę docelową usługi Microsoft Entra Health.

  5. Wyświetl sygnał z sekcji Wyświetl wykres danych, aby zapoznać się ze wzorcem i zidentyfikować anomalie.

    Zrzut ekranu przedstawiający logowania wymagające sygnału urządzenia zarządzanego.

  6. Przejrzyj zasady zgodności urządzeń w usłudze Intune.

  7. Zbadaj typowe problemy z dostępem warunkowym.

  8. Przejrzyj dzienniki logowania.

    • Przejrzyj szczegóły dziennika logowania.
    • Poszukaj użytkowników, którzy nie mogą się zalogować oraz mają zastosowane zasady zgodności urządzeń.

  9. Sprawdź dzienniki inspekcji pod kątem ostatnich zmian zasad.

Rozwiązywanie typowych problemów

Następujące typowe problemy mogą spowodować wzrost liczby logowań wymagających zgodnego lub zarządzanego urządzenia. Ta lista nie jest wyczerpująca, ale stanowi punkt wyjścia do badania.

Wielu użytkowników nie może zalogować się ze znanych urządzeń

Jeśli duża grupa użytkowników nie może zalogować się do znanych urządzeń, wzrost może wskazywać, że te urządzenia przestały spełniać wymagania zgodności. Jeśli liczba użytkowników, których dotyczy problem, wskazuje na wysoki procent użytkowników w organizacji, może to oznaczać powszechny problem.

Aby zbadać:

  1. W sekcji Jednostek dotkniętych problemem wybranego scenariusza, wybierz opcję Wyświetl dla użytkowników.

    • Przykład użytkowników, których dotyczy problem, jest wyświetlany w panelu. Wybierz użytkownika, aby przejść bezpośrednio do swojego profilu, w którym możesz wyświetlić swoje działania logowania i inne szczegóły.
    • Za pomocą API Microsoft Graph wyszukaj "użytkownik" resourceType i wartość impactedCount w podsumowaniu wpływu.

    Zrzut ekranu przedstawiający jednostki, których dotyczy problem.

  2. Sprawdź swoją politykę zgodności urządzenia Intune.

  3. Sprawdź zasady zgodności urządzeń z dostępem warunkowym.

Użytkownik nie może się zalogować z nieznanego urządzenia

Jeśli wzrost liczby zablokowanych logów pochodzi z nieznanego urządzenia, wzrost ten może wskazywać, że osoba atakująca uzyskała poświadczenia użytkownika i próbuje zalogować się z urządzenia używanego do takich ataków. Jeśli liczba użytkowników, których dotyczy problem, pokazuje niewielki podzbiór użytkowników, problem może być specyficzny dla użytkownika.

Aby zbadać:

  1. W sekcji Jednostek dotkniętych problemem wybranego scenariusza, wybierz opcję Wyświetl dla użytkowników.

    • Na panelu zostanie wyświetlona lista użytkowników, których dotyczy problem. Wybierz użytkownika, aby przejść bezpośrednio do swojego profilu, w którym możesz wyświetlić swoje działania logowania i inne szczegóły.
    • Za pomocą API Microsoft Graph wyszukaj "użytkownik" resourceType i wartość impactedCount w podsumowaniu wpływu.

  2. Przejrzyj dzienniki logowania.

  3. Zbadaj ryzyko z Microsoft Entra ID Protection.

Uwaga

Usługa Microsoft Entra ID Protection wymaga licencji Microsoft Entra P2.

Problemy z siecią

Może wystąpić awaria systemu regionalnego, która wymagała jednoczesnego zalogowania dużej liczby użytkowników.

Aby zbadać:

  1. W sekcji Jednostek dotkniętych problemem wybranego scenariusza, wybierz opcję Wyświetl dla użytkowników.

    • Na panelu zostanie wyświetlona lista użytkowników, których dotyczy problem. Wybierz użytkownika, aby przejść bezpośrednio do swojego profilu, w którym możesz wyświetlić swoje działania logowania i inne szczegóły.
    • Za pomocą API Microsoft Graph wyszukaj "użytkownik" resourceType i wartość impactedCount w podsumowaniu wpływu.

  2. Sprawdź kondycję systemu i sieci, aby sprawdzić, czy awaria lub aktualizacja jest zgodna z tym samym przedziałem czasu co anomalia.

  3. Przejrzyj dzienniki logowania.

    • Dostosuj filtr, aby wyświetlić logowania z regionu, w którym znajduje się użytkownik, którego dotyczy problem.

  4. Jeśli twoja organizacja korzysta z Global Secure Access, przejrzyj dzienniki ruchu .

Powiązana zawartość