Fenyegetési riasztások
A rendszeres vizsgálataid egy adott időpontra vonatkozó képet adnak arról, hogyan van konfigurálva a bérlőd. A Fenyegetési riasztások más: megmutatja, mi történik éppen most. Lekéri a Microsoft 365 bérlőd aktuális identitáskockázati jelzéseit, és egy helyen jeleníti meg őket, így észreveheted a kompromittált fiókot, és reagálhatsz rá anélkül, hogy elhagynád az Aether365-öt.
A Fenyegetési riasztások az AI Pilot kapcsolatodat használja. A megtekintéshez csak olvasható, és egy egykattintásos módot ad arra, hogy elszigetelj egy kockázatos felhasználót, ha gyorsan kell reagálnod.
AI Pilot kapcsolatot igényel
A Fenyegetési riasztások az AI Pilot kapcsolaton keresztül olvassa be az élő kockázati jelzéseket. Ha még nem állítottál be ilyet, az AI Pilot oldalon megtudhatod, hogyan csatlakoztathatod. A csak olvasható vizsgálati kapcsolatod önmagában nem működteti a Fenyegetési riasztásokat.
Mit mutat a Fenyegetési riasztások
A Fenyegetési riasztások oldal három forrásra van szervezve. Mindegyik más-más kérdésre válaszol a bérlőd identitáskockázatával kapcsolatban.
Kockázatos felhasználók
A bérlődben azok az emberek, akiknek a fiókját a Microsoft jelenleg kockázatosnak tekinti. Minden felhasználónál látod, ki ő, mi a jelenlegi kockázati szintje, és miért van megjelölve. Ez a leggyorsabb módja annak, hogy megtaláld azt a fiókot, amely esetleg kompromittált, és eldöntsd, elszigeteld-e.
Kockázatészlelések
Az ezen felhasználók mögött álló egyedi kockázati jelzések: olyanok, mint az ismeretlen helyekről történő bejelentkezések, anonim IP-címek, kiszivárgott hitelesítő adatok vagy lehetetlen utazási minták. Míg a felhasználói szintű nézet azt mondja meg, hogy "ez a fiók kockázatosnak tűnik", a kockázatészlelések megmondják, mi váltotta ki konkrétan ezt a következtetést.
Microsoft Entra ID P2 szükséges
A kockázatészlelések a Microsoft Entra ID Protectionből származnak, amely Microsoft Entra ID P2 licencet igényel. Ha a bérlőd nem rendelkezik erre licenccel, ez a forrás adatok helyett egy "Még nem elérhető" megjegyzést mutat. Lásd: Licencelés és a "Még nem elérhető" megjegyzés lentebb.
Biztonsági riasztások
A bérlődhöz kapcsolódó magasabb szintű biztonsági riasztások: olyan gyanús tevékenység, amelyet egy alaposabb vizsgálatra érdemes riasztássá korreláltak. Ezek az identitásspecifikus jelzések mellett a tágabb biztonsági képet adják.
Microsoft Defender szükséges
A biztonsági riasztások a Microsoft Defenderből származnak. Ha a bérlőd nem rendelkezik olyan Microsoft Defender csomaggal, amely ezeket a riasztásokat előállítja, ez a forrás adatok helyett egy "Még nem elérhető" megjegyzést mutat.
A Fenyegetési riasztások a megtekintéshez csak olvasható
A Fenyegetési riasztások megtekintése soha nem változtat semmit a bérlődben. Beolvassa az aktuális kockázati állapotot, és megjeleníti azt. Az egyetlen művelet, amely változtatást idéz elő, az alább leírt incidensreagálás, és az csak akkor fut, ha kifejezetten elindítod egy adott felhasználón.
Incidensreagálás: kockázatos felhasználó elszigetelése egy kattintással
Amikor találsz egy kompromittált vagy gyanúsan viselkedő fiókot, közvetlenül a Kockázatos felhasználók listájáról elszigetelheted. Egy felhasználó elszigetelése egyszerre két dolgot tesz:
- Visszavonja a felhasználó aktív munkameneteit, így minden bejelentkezett támadó kénytelen újra bejelentkezni.
- Letiltja a fiókot, így egyetlen új bejelentkezés sem sikerülhet, amíg újra nem engedélyezed.
Ezek együtt gyorsan elvágják a támadó hozzáférését, amíg te kivizsgálod az esetet.
Egy felhasználó elszigeteléséhez:
- Nyisd meg a Fenyegetési riasztások menüpontot az oldalsávból.
- A Kockázatos felhasználók listájában keresd meg az elszigetelni kívánt fiókot.
- Kattints az Elszigetelés gombra annál a felhasználónál, és erősítsd meg.
- Az Aether365 az AI Pilot kapcsolatodon keresztül visszavonja a felhasználó munkameneteit, és letiltja a fiókot.
Az elszigetelés visszafordítható
Egy fiók letiltása nem törli azt. Miután kivizsgáltad az esetet, és a fiók biztonságos, újra engedélyezheted a Microsoft Entra felügyeleti központból. Először szigeteld el, utána vizsgáld ki: sokkal könnyebb újra engedélyezni egy tiszta fiókot, mint helyreállni egy aktív behatolásból.
Mivel az incidensreagálás a bérlődbe ír, az AI Pilot írási kapcsolatra támaszkodik. Ha egy bérlőnek csak csak olvasható vizsgálati kapcsolata van, a forrásadatok továbbra is megjelenhetnek, de egy felhasználó elszigetelése nem érhető el, amíg az AI Pilot nincs csatlakoztatva.
Licencelés és a "Még nem elérhető" megjegyzés
A Fenyegetési riasztások azokat a Microsoft jelzéseket jeleníti meg, amelyek előállítására a bérlőd licencelve van. Azok a források, amelyek olyan licenctől függnek, amellyel nem rendelkezel, üres vagy félrevezető adatok helyett egy egyértelmű "Még nem elérhető" megjegyzést mutatnak:
| Forrás | Mit igényel | Ha nincs licencelve |
|---|---|---|
| Kockázatos felhasználók | Identitáskockázati jelzések | Megjelenik, ha elérhető |
| Kockázatészlelések | Microsoft Entra ID P2 | "Még nem elérhető" megjegyzés |
| Biztonsági riasztások | Microsoft Defender | "Még nem elérhető" megjegyzés |
A megjegyzés tájékoztató jellegű, nem hiba. Azt jelenti, hogy a forrás készen áll arra, hogy aktiválódjon abban a pillanatban, amint a bérlő megszerzi a megfelelő licencet, anélkül, hogy a te oldaladon további beállításra lenne szükség. Azok a források, amelyekre licencelve vagy, ettől függetlenül a szokásos módon működnek tovább.
Kapcsolódó
- AI Pilot - az írási kapcsolat, amely a Fenyegetési riasztásokat és az incidensreagálást működteti
- Házirendkezelés - a bérlőd biztonsági házirendjeinek áttekintése és megerősítése
- Bérlő csatlakoztatása - a kapcsolataid beállítása
- Biztonsági modell - csak olvasható alapértelmezés és opcionális írási hozzáférés