Vad är Microsoft Entra ID-skydd?

Microsoft Entra ID Protection hjälper organisationer att identifiera, undersöka och åtgärda identitetsbaserade risker. Dessa risker kan matas in i verktyg som villkorsstyrd åtkomst för att fatta åtkomstbeslut eller skickas till ett SIEM-verktyg (säkerhetsinformation och händelsehantering) för vidare undersökning och korrelation.

Identifiera risker

Microsoft lägger kontinuerligt till och uppdaterar identifieringar i vår katalog för att skydda organisationer. Dessa identifieringar kommer från våra lärdomar baserat på analys av biljoner signaler varje dag från Active Directory, Microsoft-konton och spel med Xbox. Det här breda utbudet av signaler hjälper ID Protection att identifiera riskfyllda beteenden som:

• Användning av anonym IP-adress
• Lösenordssprayattacker
• Läckta autentiseringsuppgifter
• med flera...

Under varje inloggning kör ID Protection alla identifieringar av inloggning i realtid, vilket genererar en risknivå för inloggningssessioner som anger hur sannolikt inloggningen är komprometterad. Baserat på den här risknivån tillämpas principer för att skydda användaren och organisationen.

En fullständig lista över risker och hur de identifieras finns i artikeln Vad är risk.

Undersök

Eventuella risker som identifieras på en identitet spåras med rapportering. ID Protection innehåller tre viktiga rapporter för administratörer för att undersöka risker och vidta åtgärder:

• Riskidentifieringar: Varje identifierad risk rapporteras som en riskidentifiering.
• Riskfyllda inloggningar: En riskfylld inloggning rapporteras när en eller flera riskidentifieringar rapporteras för den inloggningen.
• Riskfyllda användare: En riskfylld användare rapporteras när något av eller båda av följande är sanna:
  • Användaren har en eller flera riskfyllda inloggningar.
  • En eller flera riskidentifieringar rapporteras.

Mer information om hur du använder rapporterna finns i artikeln Så här: Undersöka risker.

Åtgärda risker

Varför är automatisering kritiskt i säkerheten?

I blogginlägget Cyber Signals: Försvara mot cyberhot med den senaste forskningen, insikterna och trenderna daterad 3 februari 2022, delade Microsoft en hotanalysrapport som inkluderar följande statistik:

Analyserade... 24 biljoner säkerhetssignaler i kombination med underrättelser vi spårar genom att övervaka mer än 40 nationalstatsgrupper och över 140 hotgrupper...

... Från januari 2021 till december 2021 har vi blockerat mer än 25,6 miljarder Microsoft Entra brute force-autentiseringsattacker...

Skalan av signaler och attacker kräver automatisering för att hänga med.

Automatisk åtgärdande

Riskbaserade principer för villkorsstyrd åtkomst kan aktiveras för att kräva åtkomstkontroller, till exempel tillhandahålla en stark autentiseringsmetod, utföra multifaktorautentisering eller utföra en säker lösenordsåterställning baserat på den identifierade risknivån. Om användaren har slutfört åtkomstkontrollen åtgärdas risken automatiskt.

Manuell åtgärdande

När användarreparation inte är aktiverat måste en administratör manuellt granska dem i rapporterna i portalen, via API:et eller i Microsoft 365 Defender. Administratörer kan utföra manuella åtgärder för att avfärda, bekräfta som säkra eller bekräfta som komprometterade risker.

Utnyttja data

Data från ID Protection kan exporteras till andra verktyg för arkivering, ytterligare undersökning och korrelation. Med Microsoft Graph-baserade API:er kan organisationer samla in dessa data för vidare bearbetning i ett verktyg som deras SIEM. Information om hur du kommer åt ID Protection-API:et finns i artikeln Kom igång med Microsoft Entra ID Protection och Microsoft Graph

Information om hur du integrerar ID Protection-information med Microsoft Sentinel finns i artikeln Anslut data från Microsoft Entra ID Protection.

Organisationer kan lagra data under längre perioder genom att ändra diagnostikinställningarna i Microsoft Entra-ID. De kan välja att skicka data till en Log Analytics-arbetsyta, arkivera data till ett lagringskonto, strömma data till Event Hubs eller skicka data till en annan lösning. Detaljerad information om hur du gör detta finns i artikeln Guide: Exportera riskdata.

Roller som krävs

ID Protection kräver att användare tilldelas en eller flera av följande roller.

Roll	Kan göra	Går inte
Säkerhetsadministratör	Fullständig åtkomst till ID Protection	Återställa lösenord för en användare
Säkerhetsoperator	Visa alla ID Protection-rapporter och översikt Stäng användarrisken, bekräfta säker inloggning, bekräfta kompromissen	Konfigurera eller ändra principer Återställa lösenord för en användare Konfigurera aviseringar
Säkerhetsläsare	Visa alla ID Protection-rapporter och översikt	Konfigurera eller ändra principer Återställa lösenord för en användare Konfigurera aviseringar Ge feedback om identifieringar
Global Reader	Skrivskyddad åtkomst till ID Protection
Användaradministratör	Återställa användarlösenord

För närvarande kan rollen Säkerhetsoperatör inte komma åt rapporten Riskfyllda inloggningar.

Administratörer för villkorsstyrd åtkomst kan skapa principer som räknar in användar- eller inloggningsrisker som ett villkor. Mer information finns i artikeln Villkorsstyrd åtkomst: Villkor.

Licenskrav

För att använda den här funktionen krävs Microsoft Entra ID P2-licenser. Hitta rätt licens för dina behov i Jämför allmänt tillgängliga funktioner i Microsoft Entra ID.

Förmåga	Detaljer	Kostnadsfritt Microsoft Entra-ID/Microsoft 365-applikationer	Microsoft Entra ID P1	Microsoft Entra ID P2
Riskprinciper	Principer för inloggning och användarrisk (via ID-skydd eller villkorsstyrd åtkomst)	Nej	Nej	Ja
Säkerhetsrapporter	Översikt	Nej	Nej	Ja
Säkerhetsrapporter	Riskfyllda användare	Begränsad information. Endast användare med medelhög och hög risk visas. Ingen informationslåda eller riskhistorik.	Begränsad information. Endast användare med medelhög och hög risk visas. Ingen informationslåda eller riskhistorik.	Fullständig åtkomst
Säkerhetsrapporter	Riskfyllda inloggningar	Begränsad information. Ingen riskinformation eller risknivå visas.	Begränsad information. Ingen riskinformation eller risknivå visas.	Fullständig åtkomst
Säkerhetsrapporter	Riskupptäckter	Nej	Begränsad information. Ingen informationslåda.	Fullständig åtkomst
Meddelanden	Aviseringar om användare i riskzonen upptäckta	Nej	Nej	Ja
Meddelanden	Veckosammandrag	Nej	Nej	Ja
Registreringspolicy för multifaktorautentisering		Nej	Nej	Ja

Mer information om dessa omfattande rapporter finns i artikeln How To: Investigate risk (Så här gör du: Undersöka risker).

Om du vill använda arbetsbelastningsidentitetsrisker, inklusive identiteter för riskfyllda arbetsbelastningar och arbetsbelastningsidentitetsdetektering i fliken Riskidentifieringar i administrationscentrets fönsterrutor, behöver du Premium-licens för arbetsbelastningsidentiteter. Mer information finns i artikeln Skydda arbetsbelastningsidentiteter.

Nästa steg

• Planera en implementering av Microsoft Entra ID Protection