Undersöka risker för molnappar och misstänkt aktivitet

När Microsoft Defender for Cloud Apps körs i din molnmiljö behöver du ett steg för att lära dig och undersöka. Lär dig hur du använder Microsoft Defender for Cloud Apps verktyg för att få en djupare förståelse för vad som händer i din molnmiljö. Baserat på din miljö och hur den används kan du identifiera kraven för att skydda din organisation från risker. Den här artikeln beskriver hur du gör en undersökning för att få en bättre förståelse för din molnmiljö.

Tagga appar som sanktionerade eller icke sanktionerade

Ett viktigt steg för att förstå ditt moln är att tagga appar som sanktionerade eller osanktionerade. När du har sanktionerat en app kan du filtrera efter appar som inte är sanktionerade och starta migreringen till sanktionerade appar i samma appkategori.

  • I Microsoft Defender-portalen går du under Cloud Apps till molnappskatalogen eller Molnidentifiering - >Identifierade appar.

  • I listan över appar, på raden där appen du vill tagga som sanktionerad visas, väljer du de tre punkterna i slutet av raden Skärmbild av trepunktsmenyikonen i slutet av en apprad som används för att tagga en app som sanktionerad. och välj Sanktionerad.

    Skärmbild av snabbmenyalternativet för att markera en molnapp som sanktionerad i Microsoft Defender for Cloud Apps.

Använda undersökningsverktygen

Använd följande steg för att undersöka aktivitet, filer, identiteter och anslutna appar i din molnmiljö.

  1. I Microsoft Defender-portalen går du till aktivitetsloggen och filtrerar efter en specifik app under Cloud Apps. Kontrollera följande:

    • Vem har åtkomst till din molnmiljö?

    • Från vilka IP-intervall?

    • Vad är administratörsaktiviteten?

    • Från vilka platser ansluter administratörer?

    • Ansluter inaktuella enheter till din molnmiljö?

    • Kommer misslyckade inloggningar från förväntade IP-adresser?

  2. I Microsoft Defender-portalen går du till Filer under Cloud Apps och kontrollerar följande:

    • Hur många filer delas offentligt så att vem som helst kan komma åt dem utan en länk?

    • Med vilka partner delar du filer (utgående delning)?

    • Har några filer ett känsligt namn?

    • Delas någon av filerna med någons personliga konto?

  3. I Microsoft Defender-portalen går du till Identiteter och kontrollerar följande:

    • Har några konton varit inaktiva i en viss tjänst under en längre tid? Du kanske kan återkalla licensen för den användaren till den tjänsten.

    • Vill du veta vilka användare som har en specifik roll?

    • Fick någon sparken, men de har fortfarande åtkomst till en app och kan använda den åtkomsten för att stjäla information?

    • Vill du återkalla en användares behörighet till en specifik app eller kräva att en specifik användare använder multifaktorautentisering?

    • Du kan gå in på användarens konto genom att välja de tre prickarna i slutet av raden för användarens konto och sedan välja en åtgärd. Vidta en åtgärd, till exempel Pausa användare eller Ta bort användarens samarbeten. Om användaren har importerats från Microsoft Entra-ID kan du också välja Microsoft Entra kontoinställningar för att få enkel åtkomst till avancerade användarhanteringsfunktioner. Exempel på hanteringsfunktioner är grupphantering, MFA, information om användarens inloggningar och möjligheten att blockera inloggning.

  4. I Microsoft Defender-portalen väljer du Inställningar och sedan Molnappar. Under Anslutna appar väljer du Appanslutningsprogram och sedan en app. Appens instrumentpanel öppnas och ger dig information och insikter. Du kan använda flikarna överst för att kontrollera:

    • Vilken typ av enheter använder användarna för att ansluta till appen?

    • Vilka typer av filer sparar de i molnet?

    • Vilken aktivitet sker i appen just nu?

    • Finns det några anslutna appar från tredje part till din miljö?

    • Är du bekant med de här apparna?

    • Är de auktoriserade för den åtkomstnivå som de tillåts?

    • Hur många användare har distribuerat dem? Hur vanliga är dessa appar i allmänhet?

    Skärmbild av instrumentpanelen för den anslutna appen i Microsoft Defender for Cloud Apps som visar insikter om enhet, fil och aktivitet.

  5. I Microsoft Defender-portalen går du till Cloud Discovery under Cloud Apps. Välj fliken Instrumentpanel och markera följande objekt:

    • Vilka molnappar används, i vilken utsträckning och av vilka användare?

    • I vilka syften används de?

    • Hur mycket data laddas upp till dessa molnappar?

    • I vilka kategorier har du sanktionerade molnappar, och ändå använder användarna alternativa lösningar?

    • Vill du ta bort alla molnappar i din organisation för de alternativa lösningarna?

    • Finns det molnappar som används men inte följer organisationens princip?

Exempelundersökning av riskfylld IP-adressåtkomst

Anta att du antar att du inte har någon åtkomst till din molnmiljö med riskfyllda IP-adresser. Låt oss till exempel säga Tor. Men du skapar en princip för risk-IP-adresser bara för att se till att:

  1. I Microsoft Defender-portalen, under Cloud Apps, går du till Policies ->Policy templates.

  2. Välj aktivitetsprincipen för typen .

  3. I slutet av raden Inloggning från en riskfylld IP-adress väljer du plustecknet (+) för att skapa en ny princip.

  4. Ändra principnamnet så att du kan identifiera det.

  5. Under Aktiviteter som matchar alla följande väljer du + att lägga till ett filter. Rulla ned till IP-tagg och välj sedan Tor.

    Skärmbild av en aktivitetsprincip som konfigurerats för att identifiera inloggningar från riskfyllda IP-adresser, till exempel Tor i Microsoft Defender for Cloud Apps.

Nu när du har den riskfyllda IP-principen på plats upptäcker du att du har en avisering om att principen överträddes.

  1. I Microsoft Defender-portalen går du till Incidenter & aviseringar –>Aviseringar och visar aviseringen om principöverträdelsen.

  2. Om du ser att varningen ser ut som ett verkligt policybrott vill du begränsa risken eller åtgärda policyöverträdelsen.

    För att begränsa risken kan du skicka användaren en notis och fråga om policybrottet var avsiktligt och om användaren var medveten om det.

    Du kan också gå djupare in i varningen och pausa användaren tills du bestämt vilka åtgärder som är lämpliga.

  3. Om händelsen tillåts och sannolikt inte återkommer kan du stänga aviseringen.

    Om händelsen tillåts och du förväntar dig att händelsen ska upprepas kan du uppdatera principen så att inloggningar från den godkända källan inte betraktas som överträdelser i framtiden.

Nästa steg

Om du stöter på problem är vi här för att hjälpa till. Om du vill ha hjälp eller support för ditt produktproblem öppnar du ett supportärende.

  • Last updated on