Общие сведения о защите идентификации

• 01/05/2021
• Чтение занимает 5 мин
• • M
  • o

Защита идентификации — это средство, которое позволяет организациям выполнять три основных задачи:

• Автоматизация обнаружения и устранения рисков на основе удостоверений.
• Исследование рисков с помощью данных, которые содержатся на портале.
• Экспорт данных обнаружения рисков в сторонние служебные программы для дальнейшего анализа.

Защита идентификации использует сведения, полученные корпорацией Майкрософт в ходе выполнения обязанностей, в организациях с Azure AD, пространстве пользователей с учетными записями Майкрософт, а также в играх с Xbox, чтобы защитить пользователей. Чтобы обнаружить угрозы и защитить клиентов от таких угроз, корпорация Майкрософт анализирует 6,5 триллионов сигналов в день.

Сигналы, созданные Защитой идентификации и передаваемые в нее, могут быть далее переданы в такие инструменты, как Условный доступ для принятия решений о доступе, или обратно в средство управления информационной безопасностью и событиями безопасности (SIEM) для дальнейшего расследования на основе принудительных политик вашей организации.

Почему автоматизация так важна?

В своей записи блога в октябре 2018 года Алекс Вайнерт (Alex Weinert), который руководит командой безопасности и защиты идентификации корпорации Майкрософт, объясняет, почему автоматизация настолько важна при работе с объемом событий.

Ежедневно наши системы машинного обучения и эвристики предоставляют множество рисков в 18 миллиардов попыток входа на более чем 800 миллионов учетных записей, 300 миллионов из которых явно выполняются злоумышленниками (такими как: преступники, хакеры).

В прошлом году на Ignite я представил 3 известнейшие атаки на наши системы идентификации. Ниже приведены последние объемы этих атак

• Повтор бреши: 4.6 млрд атак, обнаруженных в мае 2018 года.
• Распыление пароля: 350 тысяч в апреле 2018 года
• Фишинг: Точное количество подсчитать сложно, но в марте 2018 года мы наблюдали 23 миллиона событий риска, многие из которых были связаны с фишингом.

Обнаружение и исправление рисков

Защита идентификации определяет риски по следующих классификациях:

Дополнительные сведения об этих рисках и их вычислении можно найти в статье Что такое риск.

Сигналы риска могут активировать действия по исправлению, например требовать от пользователей: выполнить многофакторную идентификацию Azure AD, сбросить пароль с помощью самостоятельного сброса пароля или выполнить блокирование, пока администратор не выполнит нужные действия.

Исследование риска

Администраторы могут просматривать обнаруженные данные и при необходимости предпринимать действия вручную. Существует три ключевых отчета, которые администраторы используют для расследований в Защите идентификации:

• Пользователи, выполняющие рискованные действия
• Вход, представляющий риск
• Обнаружение рисков

Дополнительные сведения можно найти в статье How To: Investigate risk (Сведения об изучении рисков).

Уровни риска

Защита идентификации разделяет риски на три уровня: низкий, средний и высокий.

Хотя корпорация Майкрософт не предоставляет конкретные сведения о том, как вычисляется риск, мы будем считать, что каждый уровень обуславливает большую уверенность в том, что пользователь или вход скомпрометированы. Например, один экземпляр незнакомых свойств входа пользователя может не нести такую же угрозу, как утечка учетных данных другого пользователя.

Экспорт данных о рисках

Данные из службы защиты идентификации можно экспортировать в другие средства для архивации, дальнейшего исследования и сопоставления. Интерфейсы API на основе Microsoft Graph позволяют организациям сохранять эти данные для дальнейшей обработки в таких средствах, как SIEM. Сведения о том, как получить доступ к API защиты идентификации, можно найти в статье Get started with Azure Active Directory Identity Protection and Microsoft Graph (Начало работы с защитой идентификации Azure Active Directory и Microsoft Graph)

Сведения об интеграции сведений защиты идентификации с помощью Azure Sentinel можно найти в статье Connect data from Azure AD Identity Protection (Подключение данных из Защиты идентификации Azure Active Directory).

Разрешения

Для доступа к защите идентификации пользователям необходимо иметь роль "Читатель сведений о безопасности", "Оператор безопасности", "Администратор безопасности", "Глобальный читатель" или "Глобальный администратор".

Сейчас роли "Оператор безопасности" не предоставляется доступ к отчету о входах, представляющих риск.

Администраторы условного доступа также могут создавать политики, учитывающие риск входа в систему в качестве условия. Дополнительные сведения см. в статье Условный доступ. Риск при входе

Требования лицензий

Для использования этой функции требуется лицензия Azure AD Premium P2. Чтобы найти подходящую лицензию, см. сравнение общедоступных функций выпусков "Бесплатный", "Приложения Office 365" и "Премиум".

Дополнительные сведения об этих отчетах см. в статье How To: Investigate risk (Сведения об изучении рисков).

Дальнейшие действия

• Общие сведения о безопасности

• Что такое риск

• Identity Protection policies (Политики защиты идентификации)