在 Microsoft Entra External ID 中使用 Identity Protection 調查風險

適用於：具有灰色 X 符號的白色圓圈。員工租用戶具有白色核取記號的綠色圓圈。外部租用戶 (深入了解)

Microsoft Entra Identity Protection 為您的外部租用戶提供持續的風險偵測。其可讓組織探索、調查及補救身分識別型風險。 Identity Protection 隨附的風險報告可以用來調查外部租用戶中的身分識別風險。在本文中，您會了解如何調查和降低風險。

Identity Protection 報告

Identity Protection 提供兩份報告。「風險性使用者」報告可讓管理員在其中找出哪些使用者有風險，以及有關偵測的詳細資料。 風險偵測報告會提供每項風險偵測的相關資訊。此報告包含風險類型、同時觸發的其他風險、登入嘗試的位置等等。

每種報告啟動時，都會隨附報告頂端所示期間所有偵測的清單。橫跨報告頂端的篩選器可供篩選報告。管理員可以選擇下載資料，或使用 MS Graph API 和 Microsoft Graph PowerShell SDK 來持續匯出資料。

使用 Identity Protection 時，請考量下列幾點：

試用租用戶無法使用 Identity Protection。
Identity Protection 預設為開啟。
Identity Protection 同時適用於本機和社交身分識別，例如 Google 或 Facebook。由於外部識別提供者會管理社交帳戶認證，因此偵測會受到限制。
目前在 Microsoft Entra 外部租用戶中，有部分 Microsoft Entra ID Protection 風險偵測可以使用。 Microsoft Entra External ID 支援下列風險偵測：

風險偵測類型	描述
非慣用登入位置	根據使用者最近的登入，從非慣用的位置登入。
匿名 IP 位址	從匿名 IP 位址登入 (例如：Tor 瀏覽器、Anonymizer VPN)。
已連結惡意程式碼的 IP 位址	從已連結惡意程式碼的 IP 位址登入。
不熟悉的登入屬性	指定的使用者以最近少見的屬性登入。
系統管理員已確認使用者遭盜用	系統管理員已指出使用者遭盜用。
密碼噴灑	透過密碼噴灑攻擊來登入。
Microsoft Entra 威脅情報	Microsoft 的內部和外部威脅情報來源已確定了一種已知的攻擊模式。

透過風險性使用者報告提供的資訊，管理員可了解以下項目：

接著，系統管理員可以選擇對這些事件採取動作。系統管理員可以選擇：

管理員可以選擇在 Microsoft Entra 系統管理中心解除使用者的風險，或以程式設計方式透過 Microsoft Graph API 解除使用者風險來解除該風險。需要管理員權限才能解除使用者的風險。風險性使用者或代表使用者處理的系統管理員可以補救風險，例如透過密碼重設。

登入 Microsoft Entra 系統管理中心。
確定您使用的目錄包含 Microsoft Entra 外部租用戶：選取工具列中的 [設定] 圖示，並從 [目錄 + 訂用帳戶] 功能表尋找您的外部租用戶。如果這不是目前目錄，請選取 [切換]。
瀏覽至 [身分識別]>[保護]>[資訊安全中心]。
選取 [Identity Protection]。
在 [報告] 之下，選取 [風險性使用者]。

選取個別項目時，偵測下方即會展開詳細資料視窗。詳細資料檢視可讓系統管理員調查及執行每項偵測的動作。

風險偵測報告包含最多過去 90 天 (3 個月) 的可篩選資料。

系統管理員可以利用風險偵測報告所提供的資訊來尋找：

接著，系統管理員可以選擇返回使用者的風險或登入報告，依據收集到的資訊採取行動。