Apa itu risiko?

Deteksi risiko di Perlindungan Identitas Azure AD mencakup tindakan mencurigakan yang diidentifikasi terkait dengan akun pengguna di direktori. Deteksi risiko (baik pengguna maupun rincian masuk tertaut) berkontribusi pada skor risiko pengguna secara keseluruhan yang ditemukan dalam laporan Pengguna Berisiko.

Perlindungan Identitas memberi organisasi akses ke sumber daya yang kuat untuk melihat dan merespons tindakan mencurigakan ini dengan cepat.

Security overview showing risky users and sign-ins

Catatan

Perlindungan Identitas menghasilkan deteksi risiko hanya ketika kredensial yang benar digunakan. Jika kredensial yang salah digunakan pada masuk, itu tidak mewakili risiko kredensial disusupi.

Jenis risiko dan deteksi

Risiko dapat dideteksi pada tingkat Pengguna dan Masuk serta dua jenis deteksi atau perhitungan Real time dan Offline.

Deteksi real-time mungkin tidak muncul dalam pelaporan selama lima hingga 10 menit. Deteksi offline mungkin tidak muncul dalam pelaporan selama 48 jam.

Catatan

Sistem kami dapat mendeteksi bahwa peristiwa risiko yang berkontribusi pada skor risiko pengguna risiko adalah positif palsu atau risiko pengguna diperbaiki dengan penegakan kebijakan seperti menyelesaikan perubahan kata sandi aman atau prompt MFA. Oleh karena itu, sistem kami akan menghilangkan status risiko dan detail risiko "Rincian masuk yang dikonfirmasi AI aman" akan muncul dan tidak akan lagi berkontribusi pada risiko pengguna.

Deteksi tertaut pengguna

Aktivitas berisiko dapat dideteksi untuk pengguna yang tidak terkait dengan proses masuk berbahaya tertentu tetapi untuk pengguna itu sendiri.

Risiko ini dihitung secara offline menggunakan sumber inteligensi ancaman internal dan eksternal Microsoft, termasuk peneliti keamanan, profesional penegak hukum, tim keamanan di Microsoft, dan sumber tepercaya lainnya.

Deteksi risiko Deskripsi
Info masuk yang bocor Jenis deteksi risiko ini menunjukkan bahwa kredensial pengguna yang valid telah bocor. Ketika penjahat cyber menyusupi kata sandi yang valid dari pengguna yang sah, mereka sering berbagi kredensial tersebut. Berbagi ini biasanya dilakukan dengan memposting secara publik di web gelap, paste site, atau dengan memperdagangkan dan menjual kredensial di pasar gelap. Ketika layanan kredensial bocor, Microsoft memperoleh kredensial pengguna dari web gelap, paste site, atau sumber lain, mereka dicentang terhadap kredensial valid pengguna Azure AD saat ini untuk menemukan kecocokan yang valid. Untuk informasi selengkapnya tentang kredensial yang bocor, lihat Pertanyaan umum.
Inteligensi ancaman Azure Active Directory Jenis deteksi risiko ini menunjukkan aktivitas pengguna yang tidak biasa bagi pengguna tertentu atau konsisten dengan pola serangan yang diketahui berdasarkan sumber inteligensi ancaman internal dan eksternal Microsoft.

Risiko masuk

Risiko proses masuk menunjukkan ada kemungkinan bahwa permintaan autentikasi tertentu tidak diizinkan oleh pemilik identitas.

Risiko ini dihitung secara realtime atau dihitung offline menggunakan sumber inteligensi ancaman internal dan eksternal Microsoft, termasuk peneliti keamanan, profesional penegak hukum, tim keamanan di Microsoft, dan sumber tepercaya lainnya.

Deteksi risiko Jenis deteksi Deskripsi
Alamat IP anonim Real time Jenis deteksi risiko ini menunjukkan login dari alamat IP anonim (misalnya, browser Tor, atau VPN anonim). Alamat IP ini biasanya digunakan oleh pelaku yang ingin menyembunyikan telemetri masuk mereka (alamat IP, lokasi, perangkat, dan seterusnya) untuk tujuan yang berpotensi berbahaya.
Perjalanan atipikal Offline Jenis deteksi risiko ini mengidentifikasi dua rincian masuk yang berasal dari lokasi yang jauh secara geografis, yang setidaknya salah satu lokasi mungkin juga atipikal bagi pengguna, berdasarkan perilaku masa lalu. Di antara beberapa faktor lain, algoritme pembelajaran mesin ini memperhitungkan waktu antara dua ricnian masuk dan waktu yang diperlukan pengguna untuk melakukan perjalanan dari lokasi pertama ke lokasi kedua, menunjukkan bahwa pengguna yang berbeda menggunakan kredensial yang sama.

Algoritme ini mengabaikan "false positive" yang jelas berkontribusi pada kondisi perjalanan yang tidak mungkin, seperti VPN dan lokasi yang secara teratur digunakan oleh pengguna lain dalam organisasi. Sistem ini memiliki periode pembelajaran awal paling awal dari 14 hari atau 10 masuk, yang mempelajari perilaku masuk pengguna baru.
Token Anomali Offline Deteksi ini menunjukkan bahwa ada karakteristik abnormal dalam token seperti masa pakai token yang tidak biasa atau token yang dimainkan dari lokasi yang tidak dikenal. Deteksi ini mencakup Token Sesi dan Token Refresh.
Anomali Penerbit Token Offline Deteksi risiko ini menunjukkan bahwa penerbit token SAML untuk token SAML terkait berpotensi dikompromikan. Klaim yang termasuk dalam token tidak biasa atau cocok dengan pola penyerang yang dikenal.
Alamat IP tertaut malware Offline Jenis deteksi risiko ini menunjukkan rincian dari alamat IP yang terinfeksi malware yang diketahui aktif berkomunikasi dengan server bot. Deteksi ini ditentukan dengan mengkorelasikan alamat IP perangkat pengguna terhadap alamat IP yang bersentuhan dengan server bot saat server bot aktif.

Deteksi ini tidak digunakan lagi . Perlindungan Identitas tidak akan lagi membuat deteksi "Alamat IP tertaut malware" baru. Pelanggan yang saat ini memiliki deteksi "Alamat IP tertaut malware" di penyewa mereka masih dapat melihat, memulihkan, atau menutupnya hingga waktu retensi deteksi 90 hari tercapai.
Browser yang mencurigakan Offline Deteksi browser yang mencurigakan menunjukkan perilaku anomali berdasarkan aktivitas masuk yang mencurigakan di beberapa penyewa dari berbagai negara di browser yang sama.
Properti rincian masuk yang tidak dikenal Real time Jenis deteksi risiko ini mempertimbangkan riwayat masuk masa lalu (IP, Lintang/Bujur dan ASN) untuk mencari masuk anomali. Sistem menyimpan informasi tentang lokasi sebelumnya yang digunakan oleh pengguna, dan mempertimbangkan lokasi "familiar" ini. Deteksi risiko dipicu ketika masuk terjadi dari lokasi yang belum ada dalam daftar lokasi yang familiar. Pengguna yang baru dibuat akan berada dalam "mode pembelajaran" untuk sementara waktu di mana deteksi risiko properti masuk yang tidak dikenal akan dimatikan sementara algoritme kami mempelajari perilaku pengguna. Durasi mode pembelajaran bersifat dinamis dan bergantung pada berapa banyak waktu yang dibutuhkan algoritme untuk mengumpulkan informasi yang cukup tentang pola masuk pengguna. Durasi minimum adalah lima hari. Pengguna dapat kembali ke mode pembelajaran setelah tidak aktif dalam jangka waktu yang lama. Sistem ini juga mengabaikan masuk dari perangkat yang dikenal, dan lokasi yang secara geografis dekat dengan lokasi yang familiar.

Kami juga menjalankan deteksi ini untuk autentikasi dasar (atau protokol warisan). Karena protokol ini tidak memiliki properti modern seperti ID klien, ada telemetri terbatas untuk mengurangi false positive. Kami merekomendasikan pelanggan kami untuk pindah ke autentikasi modern.

Properti masuk yang tidak dikenal dapat dideteksi pada masuk interaktif dan non-interaktif. Ketika deteksi ini terdeteksi pada sign-in non-interaktif, itu layak meningkatkan pengawasan karena risiko serangan replay token.
Admin mengonfirmasi bahwa pengguna disusupi Offline Deteksi ini menunjukkan admin telah memilih 'Konfirmasi pengguna disusupi' di UI pengguna Berisiko atau menggunakan API RiskyUsers. Untuk melihat admin mana yang telah mengonfirmasi pengguna ini disusupi, periksa riwayat risiko pengguna (melalui UI atau API).
Alamat IP berbahaya Offline Deteksi ini menunjukkan masuk dari alamat IP berbahaya. Alamat IP dianggap berbahaya berdasarkan tingkat kegagalan tinggi karena kredensial yang tidak valid yang diterima dari alamat IP atau sumber reputasi IP lainnya.
Aturan manipulasi kotak masuk mencurigakan Offline Deteksi ini ditemukan oleh Aplikasi Pertahanan Microsoft untuk Cloud. Deteksi ini profil lingkungan Anda dan memicu peringatan saat aturan mencurigakan yang menghapus atau memindahkan pesan atau folder diatur pada kotak masuk pengguna. Deteksi ini dapat mengindikasikan bahwa akun pengguna disusupi, bahwa pesan sengaja disembunyikan, dan bahwa kotak surat digunakan untuk mendistribusikan spam atau malware di organisasi Anda.
Pembobolan kata sandi Offline Serangan pebobolan kata sandi adalah ketika beberapa nama pengguna diserang menggunakan kata sandi umum dengan cara brute force untuk mendapatkan akses yang tidak sah. Deteksi risiko ini dipicu ketika serangan semprotan kata sandi telah dilakukan.
Perjalanan tidak memungkinkan Offline Deteksi ini ditemukan oleh Aplikasi Pertahanan Microsoft untuk Cloud. Deteksi ini mengidentifikasi dua aktivitas pengguna (sesi tunggal atau beberapa) yang berasal dari lokasi geografis yang jauh dalam periode waktu yang lebih pendek dari waktu yang dibutuhkan pengguna untuk melakukan perjalanan dari lokasi pertama ke selanjutnya, menunjukkan bahwa pengguna lain menggunakan kredensial yang sama.
Negara baru Offline Deteksi ini ditemukan oleh Aplikasi Pertahanan Microsoft untuk Cloud. Deteksi ini mempertimbangkan lokasi aktivitas sebelumnya untuk menentukan lokasi baru dan jarang. Mesin deteksi anomali menyimpan informasi tentang lokasi sebelumnya yang digunakan oleh pengguna dalam organisasi.
Aktivitas dari alamat IP anonim Offline Deteksi ini ditemukan oleh Aplikasi Pertahanan Microsoft untuk Cloud. Deteksi ini mengidentifikasi bahwa pengguna aktif dari alamat IP yang telah diidentifikasi sebagai alamat IP proksi anonim.
Penerusan kotak masuk yang mencurigakan Offline Deteksi ini ditemukan oleh Aplikasi Pertahanan Microsoft untuk Cloud. Deteksi ini mencari aturan penerusan email yang mencurigakan, misalnya, jika pengguna membuat aturan kotak masuk yang meneruskan salinan semua email ke alamat eksternal.
Inteligensi ancaman Azure Active Directory Offline Jenis deteksi risiko ini menunjukkan aktivitas masuk yang tidak biasa bagi pengguna tertentu atau konsisten dengan pola serangan yang diketahui berdasarkan sumber inteligensi ancaman internal dan eksternal Microsoft.

Deteksi risiko

Deteksi risiko Jenis deteksi Deskripsi
Risiko tambahan terdeteksi Real-time atau Offline Deteksi ini menunjukkan bahwa salah satu deteksi premium di atas terdeteksi. Karena deteksi premium hanya terlihat oleh pelanggan Azure AD Premium P2, mereka diberi judul "risiko tambahan terdeteksi" untuk pelanggan tanpa lisensi Azure AD Premium P2.

Pertanyaan umum

Tingkat risiko

Perlindungan Identitas mengategorikan risiko ke dalam tiga tingkatan: rendah, sedang, dan tinggi. Saat mengonfigurasi kebijakan perlindungan Identitas kustom, Anda juga dapat mengonfigurasinya untuk memicu pada tingkat Tidak ada risiko. Tidak Ada Risiko berarti tidak ada indikasi aktif bahwa identitas pengguna telah disusupi.

Meskipun Microsoft tidak memberikan detail spesifik tentang bagaimana risiko dihitung, kami akan mengatakan bahwa setiap level membawa kepercayaan diri yang lebih tinggi bahwa pengguna atau masuk disusupi. Misalnya, sesuatu seperti satu instans properti masuk yang tidak dikenal untuk pengguna mungkin tidak mengancam seperti kredensial yang bocor untuk pengguna lain.

Sinkronisasi hash kata sandi

Deteksi risiko seperti kredensial yang bocor memerlukan adanya hash kata sandi agar deteksi terjadi. Untuk informasi selengkapnya tentang sinkronisasi hash kata sandi, lihat Menerapkan sinkronisasi hash kata sandi dengan sinkronisasi Azure AD Connect.

Mengapa ada deteksi risiko yang dihasilkan untuk akun pengguna yang dinonaktifkan?

Akun pengguna yang dinonaktifkan dapat diaktifkan kembali. Jika kredensial akun yang dinonaktifkan disusupi, dan akun diaktifkan kembali, pelaku kejahatan mungkin menggunakan kredensial ini untuk mendapatkan akses. Itu sebabnya, Perlindungan Identitas membuat deteksi risiko untuk aktivitas mencurigakan terhadap akun pengguna yang dinonaktifkan untuk memperingatkan pelanggan tentang potensi penyusupan akun. Jika akun tidak lagi digunakan dan tidak akan diaktifkan kembali, pelanggan harus mempertimbangkan untuk menghapusnya untuk mencegah penyusupan. Tidak ada deteksi risiko yang dibuat untuk akun yang dihapus.

Info masuk yang bocor

Di mana Microsoft menemukan kredensial yang bocor?

Microsoft menemukan kredensial yang bocor di berbagai tempat, termasuk:

  • Paste site publik seperti pastebin.com dan paste.ca tempat pelaku jahat biasanya memposting materi tersebut. Lokasi ini adalah pemberhentian pertama pelaku paling jahat dalam perburuan mereka untuk menemukan kredensial yang dicuri.
  • Lembaga penegak hukum.
  • Grup lain di Microsoft melakukan penelitian web gelap.

Mengapa saya tidak melihat kredensial bocor?

Kredensial yang bocor diproses kapan saja ketika Microsoft menemukan batch baru yang tersedia untuk umum. Karena sifatnya sensitif, maka kredensial yang bocor dihapus tak lama setelah diproses. Hanya mandat baru yang bocor yang ditemukan setelah Anda mengaktifkan sinkronisasi hash kata sandi (PHS) yang akan diproses terhadap tenant Anda. Verifikasi terhadap pasangan kredensial yang ditemukan sebelumnya tidak dilakukan.

Saya belum melihat adanya kebocoran peristiwa risiko kredensial untuk beberapa waktu?

Jika Anda belum melihat peristiwa risiko kredensial yang bocor, penyebabnya adalah:

  • Anda tidak mengaktifkan PHS untuk tenant Anda.
  • Microsoft belum menemukan pasangan kredensial yang bocor yang cocok dengan pengguna Anda.

Seberapa sering Microsoft memproses kredensial baru?

Kredensial diproses segera setelah ditemukan, biasanya dalam beberapa batch per hari.

Lokasi

Lokasi dalam deteksi risiko ditentukan oleh pencarian alamat IP.

Langkah berikutnya