Przeglądaj dzienniki i metryki agenta optymalizacji dostępu warunkowego

Agent optymalizacji dostępu warunkowego pomaga organizacjom poprawić stan zabezpieczeń, automatycznie analizując wzorce logowania i sugerując optymalizacje zasad. Ten agent Copilot zabezpieczeń firmy Microsoft identyfikuje niechronionych użytkowników i aplikacji, zaleca ulepszenia zasad i pomaga skonsolidować nadmiarowe zasady.

Aby zapewnić przejrzystość i zachować kontrolę nad automatycznymi zaleceniami, identyfikator Entra firmy Microsoft zapewnia kompleksowe rejestrowanie i metryki dla wszystkich działań agenta. W tym artykule wyjaśniono, jak monitorować wydajność agenta, przeglądać dzienniki inspekcji i rozumieć metryki, które ułatwiają mierzenie wpływu agenta na środowisko zabezpieczeń.

Wymagania wstępne

• Aby wyświetlić dzienniki inspekcji firmy Microsoft Entra, potrzebujesz co najmniej roli Czytelnik raportów .
• Role Czytelnik globalny i Czytelnik zabezpieczeń mogą wyświetlać agenta i wszelkie sugestie, ale nie mogą podejmować żadnych działań.
• Role administrator globalny, administrator zabezpieczeń i administrator dostępu warunkowego mogą wyświetlać agenta i podejmować działania na podstawie sugestii.
  • Aby uzyskać więcej informacji na temat ról agenta optymalizacji dostępu warunkowego, zobacz Przypisywanie dostępu Security Copilot
• Przegląd ochrony prywatności i bezpieczeństwa danych w rozwiązaniu Microsoft Security Copilot

Podsumowanie agenta

Podsumowanie agenta na górze strony Agenta Optymalizacji Dostępu Warunkowego zawiera krótkie podsumowanie tego, co agent odkrył w ciągu ostatnich 30 dni. Podana jest również łączna liczba jednostek obliczeniowych zabezpieczeń (SCU) używanych przez agenta.

• Odnaleziono niechronionych użytkowników: liczba użytkowników zidentyfikowanych przez agenta i chroniona przez zasady sugerowane przez agenta.
• Odnalezione aplikacje niechronione: liczba aplikacji zidentyfikowanych przez agenta i chroniona przez zasady sugerowane przez agenta.
• Chronione logowania: liczba logów chronionych przez zasady sugerowane przez agenta.
• Zużyte jednostki obliczeniowe zabezpieczeń: łączna liczba jednostek SCU używanych przez agenta w ciągu ostatnich 30 dni.

Wartości w podsumowaniu agenta odzwierciedlają działanie po zastosowaniu sugestii. Jeśli uruchomisz agenta i nie zastosujesz żadnych sugestii, wartości w podsumowaniu agenta nie zostaną zmienione.

Panel analityczny (Podgląd)

Agent optymalizacji dostępu warunkowego zawiera pulpit nawigacyjny szczegółowych informacji, który udostępnia wizualizacje danych ulepszeń wprowadzonych przez zastosowanie sugestii agenta. Panel to doskonały sposób dzielenia się postępami z kierownictwem, aby zademonstrować wartość inwestycji w Zero Trust bez tworzenia niestandardowych raportów.

Panel informacji zawiera następujące metryki:

• Obiekty z ulepszonym pokryciem: użytkownicy, aplikacje lub tożsamości agentów z krytycznymi lukami zasad zidentyfikowanymi przez agenta i są teraz objęte co najmniej jedną nową kontrolką w ciągu ostatnich 30 dni.
• Brak pokrycia obiektów: użytkownicy, aplikacje lub identyfikatory agentów są obecnie pozbawione ochrony przez jedną lub więcej krytycznych polityk.

Pulpit nawigacyjny zawiera linki do przechodzenia do szczegółów określonych metryk i opcji pobierania raportu jako pliku CSV.

Dzienniki inspekcji

Działanie skojarzone z agentami Security Copilot w firmie Microsoft Entra jest wyświetlane w dziennikach inspekcji firmy Microsoft i dziennikach inspekcji rozwiązania Security Copilot w usłudze Microsoft Purview. Każda usługa udostępnia różne informacje o działaniu agenta.

Dzienniki Microsoft Purview obejmują działania administracyjne na poziomie dzierżawy oraz interakcje użytkowników na platformie Security Copilot. Aby uzyskać więcej informacji, zobacz Access the Security Copilot audit logs (Uzyskiwanie dostępu do dzienników inspekcji narzędzia Security Copilot).

Dzienniki inspekcji firmy Microsoft Entra obejmują zmiany wprowadzone przez agenta w zasobach firmy Microsoft Entra, takie jak zasady dostępu warunkowego. Zasady utworzone lub zmodyfikowane przez agenta są oznaczane za pomocą agenta optymalizacji dostępu warunkowego w okienku Zasady dostępu warunkowego.

W dziennikach inspekcji pole Zainicjowane przez (aktor) zawiera nazwę użytkownika, który uruchomił agenta. Aby szybko wyświetlić działanie agenta, filtruj do usługi: dostęp warunkowy.