Microsoft Defender for Cloud Apps etkinlik ilkeleri oluşturma

Etkinlik ilkeleri, uygulama sağlayıcısının API'lerini kullanarak çok çeşitli otomatik işlemleri zorunlu kılmanıza olanak sağlar. Bu ilkeler, çeşitli kullanıcılar tarafından gerçekleştirilen belirli etkinlikleri izlemenize veya belirli bir etkinlik türünün beklenmedik şekilde yüksek hızlarını izlemenize olanak tanır.

Bir etkinlik algılama ilkesi ayarladıktan sonra, uyarılar oluşturulmaya başlar. Uyarılar yalnızca ilkeyi oluşturduktan sonra gerçekleşen etkinliklerde oluşturulur.

Not

• Günde 200.000'den fazla eşleşme veya 3 saatte 100.000 eşleşme tetikleyen ilkeler otomatik olarak devre dışı bırakılabilir. Ek filtreler ekleyerek ilkeleri iyileştirmeyi deneyebilir veya raporlama amacıyla ilkeler kullanıyorsanız, bunun yerine etkinlik filtrelerini sorgu olarak kaydetmeyi göz önünde bulundurun.
• Yeni ilkenin ayarlanmasından dağıtıma kadar 15 dakika sürebilir.

Etkinlik politikaları için özel uyarılar oluşturun

Etkinlik ilkeleri, özel uyarıların gönderilmesine veya kullanıcı etkinliği algılandığında gerçekleştirilen eylemlere izin verir. Örneğin, her seferinde bilmek istersiniz:

• Kullanıcı oturum açmayı dener ve bir dakikada 70 kez başarısız olur
• Kullanıcı 7.000 dosya indirir
• Kullanıcı tanınmayan bir ülkeden/bölgeden oturum açmış

Politikada tanımlanan faaliyetler tespit edildiğinde kendinize veya kullanıcıya gönderilecek etkinlik uyarılarını ayarlayabilirsiniz. Etkilenen kullanıcıyı araştırmayı bitirene kadar askıya alabilirsiniz.

Yeni bir etkinlik ilkesi oluşturmak için şu yordamı izleyin:

1. Microsoft Defender Portalı’nda, Cloud Apps altında İlkeler ->İlke yönetimi’ne gidin. Ardından Tehdit algılamaları sekmesini seçin.

2. İlke oluştur'u ve ardından Etkinlik ilkesi'ni seçin.

   

3. İlkenize bir ad ve açıklama verin; isterseniz bir şablona dayandırabilirsiniz. İlke şablonları hakkında daha fazla bilgi için bkz. İlkelerle bulut uygulamalarını denetleme.

4. Bu ilkeyi tetikleyen eylemleri veya diğer ölçümleri ayarlamak için Etkinlik filtreleri ile çalışın.

   Yalnızca belirtilen filtre alanının değeri olan sonuçları eklediğinizden emin olmak için, ayarlanmış testini kullanarak aynı alanı yeniden eklemenizi öneririz. Örneğin, Konuma göre filtreleme belirtilen ülke/bölge listesine eşit olmadığında, Konum için bir filtre de ayarlanır. Ayrıca , Sonuçları düzenle ve önizle'yi seçerek filtre sonuçlarının önizlemesini de görebilirsiniz. Örneğin:

   

   Bir filtre eşit değildir olarak ayarlandığında ve öznitelik olayda mevcut değilse, olay filtre dışı bırakılmaz. Örneğin, Cihaz etiketi Microsoft Entra hibrit katılmış değerine eşit değildir filtresi, cihaz Microsoft Entra'ya katılmış olsa bile Cihaz etiketi içermeyen olayları filtre dışı bırakmaz.

   Konuk kullanıcı söz konusu olduğunda, Gruptan Kullanıcı filtresinin hesabı etki alanı tarafından tanımadığı durumlar olabilir. Tüm konuk kullanıcıların dahil olduğundan emin olmak için, ilke gereksinimlerinizi karşılıyorsa grup olarak Dış kullanıcılar'ı kullanın.

5. İlke için filtre oluştur'un altında, ilke ihlalinin ne zaman tetikleneceğini seçin. Tek bir etkinlik filtrelerle eşleştiğinde veya yalnızca belirtilen sayıda Yinelenen etkinlik algılandığında tetiklemeyi seçin.

   • Yinelenen etkinlik'i seçerseniz Tek bir uygulamada ayarlayabilirsiniz. Bu ayar, yalnızca yinelenen etkinlikler aynı uygulamada gerçekleştiğinde bir ilke eşleşmesi tetikler. Örneğin, Box'tan 30 dakikada beş indirme bir ilke eşleşmesi tetikler.

6. Uyarılar bölümünde, aşağıdaki eylemlerden herhangi birini gerektiği gibi yapılandırın:

   • İlkenin önem derecesiyle eşleşen her olay için bir uyarı oluşturma
   • Uyarıyı e-posta olarak gönderme
   • İlke başına günlük uyarı sınırı. İdare eylemlerinin günlük uyarı sınırından etkilenmediğini unutmayın.
   • Power Automate'e uyarı gönderme

7. Eşleşme bulunduğunda gerçekleştirilecek Eylemleri yapılandırın.

Şu örneklere göz atın:

• Birden çok başarısız oturum açma işlemi

  İlkeyi, kısa bir süre içinde çok sayıda başarısız oturum açma işlemi gerçekleştiğinde uyarı alacak şekilde ayarlayabilirsiniz. Bu tür bir ilkeyi yapılandırmak için Yeni Etkinlik İlkesi sayfasında uygun etkinlik filtresini seçin.

  Etkinlik filtreleri alanının altında, uyarının tetiklendiği parametreleri yapılandırın.

  

• Yüksek indirme oranı

  İlkenizi, beklenmeyen veya alışılmadık düzeyde indirme etkinliği olduğunda uyarı alacak şekilde ayarlayabilirsiniz. Bu tür bir ilkeyi yapılandırmak için , Hız parametreleri'nin altında uyarıyı tetikleyen parametreleri seçin.

  

Etkinlik ilkesi referansı

Bu bölüm, faaliyet politikası türlerini, bileşenlerini ve her politika için yapılandırılabilecek alanları tanımlar.

Etkinlik ilkesi, kuruluşunuzun buluttaki etkinliklerini izlemenizi sağlayan API tabanlı bir ilkedir. İlke, cihaz türü ve konumu da dahil olmak üzere 20'den fazla dosya meta veri filtresini dikkate alır. İlke sonuçlarına bağlı olarak bildirimler oluşturulabilir ve kullanıcılar bulut uygulamasından askıya alınabilir. Her ilke aşağıdaki bölümlerden oluşur:

• Etkinlik filtreleri – Meta verileri temel alan ayrıntılı koşullar oluşturmanızı sağlar.

• Etkinlik eşleştirme parametreleri – Bir etkinliğin ilkeyle eşleşecek şekilde değerlendirilmek üzere kaç kez yinelenmek üzere bir eşik ayarlamanızı sağlar. İlkeyle eşleşmesi için gereken yinelenen etkinliklerin sayısını belirtin. Örneğin, bir kullanıcının 2 dakikalık bir zaman diliminde 10 başarısız oturum açma girişimi olduğunda uyarı vermek için bir ilke ayarlayın. Varsayılan olarak, Etkinlik eşleştirme parametreleri tüm etkinlik filtrelerini karşılayan her etkinlik için bir eşleşme oluşturur.

  • Yinelenen etkinliği kullanarak yinelenen etkinliklerin sayısını, etkinliklerin sayıldığı zaman çerçevesinin süresini ayarlayabilirsiniz. Tüm etkinliklerin aynı kullanıcı tarafından ve aynı bulut uygulamasında gerçekleştirilmesi gerektiğini de belirtebilirsiniz.

• Eylemler – İlke, ihlaller algılandığında otomatik olarak uygulanabilecek bir dizi idare eylemi sağlar.

Sonraki adımlar

İlgili poliçe türleri hakkında daha fazla bilgi edinmek için aşağıdaki makalede bilgi edinin:

Veri koruma ilkeleri

Herhangi bir sorunla karşılaşırsanız size yardımcı olmak için buradayız. Ürün sorununuzla ilgili yardım veya destek almak için lütfen bir destek bileti açın.