从连接的应用中导入用户组
使用 API 连接器连接应用时,Microsoft Defender for Cloud Apps允许导入用户组,例如从 Microsoft 365 和 Microsoft Entra ID。 有两种类型的用户组:
自动组:默认情况下,自动组由 Microsoft Defender for Cloud Apps 创建。 例如,有一个名为 External 的自动用户组,该组合并了来自组织外部的所有应用中的所有用户,这些用户有权访问租户中的文件或用户活动。 Defender for Cloud Apps中存在以下自动组:
- 外部
- Dropbox 管理员
- Microsoft 365 管理员
- Google 工作区管理员
- Box 管理员
- 所有 Salesforce 标准和自定义配置文件,例如 Salesforce 系统管理员。 请参阅 此处的完整列表。
导入的组: 可以从连接的应用中导入任何组。 例如,可以从 Microsoft 365 (Active Directory) 和其他连接的应用中导入用户组。 这些组使你能够在组织中查找威胁,而不是通过查看整个组织或特定用户,而是通过查看特定组来查找威胁。
使用导入的用户组的典型方案包括:
- 调查人力资源人员查看的文档。
- 检查执行组中是否存在异常情况。
- 查找管理员组中是否有人在美国以外执行了活动。
在“Microsoft Defender XDR”中,选择“设置>”“云应用>系统>用户组 > + 导入用户组”。
在 “导入用户组 ”窗格中,选择要从中导入用户组的应用。 显示的应用取决于已部署的连接器。
选择要导入的组。 该列表包括应用中现有用户组的前 50 个组。 如果未看到组,请在列表上方的搜索字段中输入搜索文本。
若要向列表添加新组,请在应用本身中执行此操作,然后返回到 Microsoft Defender 门户,在列表中查看新组。
(可选) 选择在导入过程完成时通过电子邮件通知。
选择“导入”。
导入完成后,从“用户组”页中选择你的 组 ,查看所有组成员的列表。 选择任何组成员以进一步向下钻取更多详细信息,包括使用的应用和帐户活动的摘要。 在 活动日志 中进行调查和创建策略时,还可以选择导入的组作为筛选器。 对于导入的组,组成员会自动同步,就像 Active Directory Connect 一样。
备注
- 导入用户组的最大数量为 500。
- 只有活动用户才会作为导入组的一部分进行导入。 将忽略任何挂起、删除或禁用的用户。
- 在筛选器中提供导入的用户组之前,可能会有短暂的延迟。
- 只有导入用户组后执行的活动才会标记为已由用户组成员执行。
- 初始同步后,组通常每小时更新一次。 但是,由于各种因素,有时这可能需要几个小时。
有关使用用户组筛选器的详细信息,请参阅 活动。
如果你遇到任何问题,我们随时为你提供帮助。 若要获取有关产品问题的帮助或支持,请 开具支持票证。