Trusselsadvarsler
Dine almindelige scanninger giver dig et øjebliksbillede af, hvordan din tenant er konfigureret. Trusselsadvarsler er anderledes: de viser dig, hvad der sker lige nu. De henter de aktuelle identitetsrisikosignaler fra din Microsoft 365-tenant og præsenterer dem ét sted, så du kan opdage en kompromitteret konto og handle på den uden at forlade Aether365.
Trusselsadvarsler bruger din AI Pilot-forbindelse. De er skrivebeskyttede til visning og tilføjer en måde at inddæmme en risikobehæftet bruger med et enkelt klik, når du har brug for at reagere hurtigt.
Kræver en AI Pilot Connection
Trusselsadvarsler læser live-risikosignaler via AI Pilot Connection. Hvis du ikke har opsat en endnu, se AI Pilot for hvordan du forbinder den. Din skrivebeskyttede scanningsforbindelse alene driver ikke Trusselsadvarsler.
Hvad Trusselsadvarsler viser
Siden Trusselsadvarsler er inddelt i tre kilder. Hver besvarer et forskelligt spørgsmål om identitetsrisiko i din tenant.
Risikobehæftede brugere
De personer i din tenant, hvis konti Microsoft i øjeblikket betragter som i risiko. For hver bruger ser du, hvem det er, deres aktuelle risikoniveau, og hvorfor de er markeret. Dette er den hurtigste måde at finde en konto, der kan være kompromitteret, og afgøre, om du skal inddæmme den.
Risikodetektioner
De enkelte risikosignaler bag disse brugere: ting som logins fra ukendte placeringer, anonyme IP-adresser, lækkede legitimationsoplysninger eller umulige-rejse-mønstre. Hvor en visning på brugerniveau fortæller dig "denne konto ser risikobehæftet ud", fortæller risikodetektioner dig, hvad der specifikt udløste den konklusion.
Kræver Microsoft Entra ID P2
Risikodetektioner kommer fra Microsoft Entra ID Protection, som kræver en Microsoft Entra ID P2-licens. Hvis din tenant ikke er licenseret til det, viser denne kilde en bemærkning "Ikke tilgængelig endnu" i stedet for data. Se Licensering og bemærkningen "Ikke tilgængelig endnu" nedenfor.
Sikkerhedsadvarsler
Sikkerhedsadvarsler på højere niveau, der er rejst for din tenant: mistænkelig aktivitet, der er blevet korreleret til en advarsel, der er et nærmere kig værd. Disse giver dig det bredere sikkerhedsbillede ved siden af de identitetsspecifikke signaler.
Kræver Microsoft Defender
Sikkerhedsadvarsler kommer fra Microsoft Defender. Hvis din tenant ikke har en Microsoft Defender-plan, der producerer disse advarsler, viser denne kilde en bemærkning "Ikke tilgængelig endnu" i stedet for data.
Trusselsadvarsler er skrivebeskyttede til visning
At se Trusselsadvarsler ændrer aldrig noget i din tenant. Det læser den aktuelle risikotilstand og viser den. Den eneste handling, der faktisk foretager en ændring, er brudreaktionen beskrevet nedenfor, og den kører kun, når du udtrykkeligt udløser den på en bestemt bruger.
Brudreaktion: inddæm en risikobehæftet bruger med et enkelt klik
Når du finder en konto, der er kompromitteret eller opfører sig mistænkeligt, kan du inddæmme den direkte fra listen over risikobehæftede brugere. At inddæmme en bruger gør to ting på én gang:
- Tilbagekalder brugerens aktive sessioner, så enhver logget-ind angriber tvinges tilbage til et nyt login.
- Deaktiverer kontoen, så intet nyt login kan lykkes, før du genaktiverer den.
Tilsammen afskærer dette en angribers adgang hurtigt, mens du undersøger.
Sådan inddæmmer du en bruger:
- Åbn Trusselsadvarsler fra sidebjælken.
- Find kontoen, du vil inddæmme, på listen Risikobehæftede brugere.
- Klik på Contain ved den bruger og bekræft.
- Aether365 tilbagekalder brugerens sessioner og deaktiverer kontoen via din AI Pilot-forbindelse.
Inddæmning kan fortrydes
At deaktivere en konto sletter den ikke. Når du har undersøgt sagen, og kontoen er sikker, kan du genaktivere den fra Microsoft Entra-administrationscenteret. Inddæm først, undersøg bagefter: det er langt nemmere at genaktivere en ren konto end at komme sig efter et aktivt indbrud.
Fordi brudreaktion skriver til din tenant, er den afhængig af AI Pilot-skriveforbindelsen. Hvis en tenant kun har en skrivebeskyttet scanningsforbindelse, kan kildedataene stadig vises, men inddæmning af en bruger er ikke tilgængelig, før AI Pilot er forbundet.
Licensering og bemærkningen "Ikke tilgængelig endnu"
Trusselsadvarsler viser præcis de Microsoft-signaler, din tenant er licenseret til at producere. Kilder, der afhænger af en licens, du ikke har, viser en tydelig bemærkning "Ikke tilgængelig endnu" i stedet for tomme eller vildledende data:
| Kilde | Kræver | Hvis ikke licenseret |
|---|---|---|
| Risikobehæftede brugere | Identitetsrisikosignaler | Vist når tilgængelig |
| Risikodetektioner | Microsoft Entra ID P2 | Bemærkning "Ikke tilgængelig endnu" |
| Sikkerhedsadvarsler | Microsoft Defender | Bemærkning "Ikke tilgængelig endnu" |
Bemærkningen er informativ, ikke en fejl. Den betyder, at kilden er klar til at lyse op i det øjeblik, tenanten får den rigtige licens, uden ekstra opsætning fra din side. De kilder, du er licenseret til, fortsætter med at virke normalt uanset.
Relateret
- AI Pilot - skriveforbindelsen, der driver Trusselsadvarsler og brudreaktion
- Politikadministration - gennemgå og hærd din tenants sikkerhedspolitikker
- Forbind en tenant - opsætning af dine forbindelser
- Sikkerhedsmodel - skrivebeskyttet standard og valgfri skriveadgang