Dreigingsmeldingen
Uw reguliere scans geven u een momentopname van hoe uw tenant is geconfigureerd. Dreigingsmeldingen zijn anders: ze tonen u wat er op dit moment gebeurt. Ze halen de huidige identiteitsrisicosignalen uit uw Microsoft 365-tenant en presenteren ze op een plek, zodat u een gecompromitteerd account kunt herkennen en erop kunt reageren zonder Aether365 te verlaten.
Dreigingsmeldingen gebruiken uw AI Pilot-verbinding. Ze zijn alleen-lezen voor het bekijken en bieden daarnaast een manier om met een klik een risicovolle gebruiker in te dammen wanneer u snel moet reageren.
Vereist een AI Pilot Connection
Dreigingsmeldingen lezen live risicosignalen via de AI Pilot Connection. Als u er nog geen hebt ingesteld, zie AI Pilot voor hoe u deze verbindt. Uw alleen-lezen scanverbinding op zichzelf voedt de Dreigingsmeldingen niet.
Wat Dreigingsmeldingen tonen
De pagina Dreigingsmeldingen is ingedeeld in drie bronnen. Elke bron beantwoordt een andere vraag over het identiteitsrisico in uw tenant.
Risicovolle gebruikers
De mensen in uw tenant van wie Microsoft de accounts momenteel als risicovol beschouwt. Voor elke gebruiker ziet u wie het is, het huidige risiconiveau en waarom deze is gemarkeerd. Dit is de snelste manier om een mogelijk gecompromitteerd account te vinden en te beslissen of u het indamt.
Risicodetecties
De afzonderlijke risicosignalen achter die gebruikers: zaken als aanmeldingen vanaf onbekende locaties, anonieme IP-adressen, gelekte inloggegevens of onmogelijke-reispatronen. Waar een gebruikersniveau-weergave u vertelt "dit account ziet er risicovol uit", vertellen risicodetecties u wat die conclusie specifiek heeft veroorzaakt.
Vereist Microsoft Entra ID P2
Risicodetecties komen van Microsoft Entra ID Protection, dat een Microsoft Entra ID P2-licentie vereist. Als uw tenant er niet voor gelicentieerd is, toont deze bron een melding "Nog niet beschikbaar" in plaats van gegevens. Zie Licenties en de melding "Nog niet beschikbaar" hieronder.
Beveiligingswaarschuwingen
Hoger-niveau beveiligingswaarschuwingen die voor uw tenant zijn opgeworpen: verdachte activiteit die is gecorreleerd tot een waarschuwing die een nadere blik waard is. Deze geven u het bredere beveiligingsbeeld naast de identiteitsspecifieke signalen.
Vereist Microsoft Defender
Beveiligingswaarschuwingen komen van Microsoft Defender. Als uw tenant geen Microsoft Defender-abonnement heeft dat deze waarschuwingen produceert, toont deze bron een melding "Nog niet beschikbaar" in plaats van gegevens.
Dreigingsmeldingen zijn alleen-lezen voor het bekijken
Het bekijken van Dreigingsmeldingen verandert nooit iets in uw tenant. Het leest de huidige risicostaat en toont deze. De enige actie die wel een wijziging aanbrengt, is de breach-response die hieronder wordt beschreven, en deze wordt alleen uitgevoerd wanneer u die uitdrukkelijk activeert voor een specifieke gebruiker.
Breach-response: een risicovolle gebruiker met een klik indammen
Wanneer u een account vindt dat is gecompromitteerd of zich verdacht gedraagt, kunt u het rechtstreeks vanuit de lijst met risicovolle gebruikers indammen. Een gebruiker indammen doet twee dingen tegelijk:
- Trekt de actieve sessies van de gebruiker in, zodat een aangemelde aanvaller wordt gedwongen tot een nieuwe aanmelding.
- Schakelt het account uit, zodat geen enkele nieuwe aanmelding kan slagen totdat u het opnieuw inschakelt.
Samen sluit dit de toegang van een aanvaller snel af terwijl u onderzoek doet.
Een gebruiker indammen:
- Open Dreigingsmeldingen vanuit de zijbalk.
- Zoek in de lijst Risicovolle gebruikers het account dat u wilt indammen.
- Klik bij die gebruiker op Contain en bevestig.
- Aether365 trekt de sessies van de gebruiker in en schakelt het account uit via uw AI Pilot-verbinding.
Indammen is omkeerbaar
Een account uitschakelen verwijdert het niet. Zodra u onderzoek hebt gedaan en het account veilig is, kunt u het opnieuw inschakelen vanuit het Microsoft Entra-beheercentrum. Eerst indammen, daarna onderzoeken: het is veel eenvoudiger om een schoon account opnieuw in te schakelen dan te herstellen van een actieve inbraak.
Omdat breach-response naar uw tenant schrijft, is deze afhankelijk van de AI Pilot-schrijfverbinding. Als een tenant alleen een alleen-lezen scanverbinding heeft, kunnen de brongegevens nog steeds verschijnen, maar het indammen van een gebruiker is pas beschikbaar wanneer AI Pilot is verbonden.
Licenties en de melding "Nog niet beschikbaar"
Dreigingsmeldingen tonen precies die Microsoft-signalen die uw tenant gelicentieerd is om te produceren. Bronnen die afhankelijk zijn van een licentie die u niet hebt, tonen een duidelijke melding "Nog niet beschikbaar" in plaats van lege of misleidende gegevens:
| Bron | Vereist | Indien niet gelicentieerd |
|---|---|---|
| Risicovolle gebruikers | Identiteitsrisicosignalen | Getoond wanneer beschikbaar |
| Risicodetecties | Microsoft Entra ID P2 | Melding "Nog niet beschikbaar" |
| Beveiligingswaarschuwingen | Microsoft Defender | Melding "Nog niet beschikbaar" |
De melding is informatief, geen fout. Het betekent dat de bron klaar is om op te lichten zodra de tenant de juiste licentie krijgt, zonder extra instellingen aan uw kant. De bronnen waarvoor u gelicentieerd bent, blijven ongeacht normaal werken.
Gerelateerd
- AI Pilot - de schrijfverbinding die Dreigingsmeldingen en breach-response voedt
- Beleidsbeheer - de beveiligingsbeleidsregels van uw tenant beoordelen en verharden
- Een tenant verbinden - uw verbindingen instellen
- Beveiligingsmodel - alleen-lezen standaard en optionele schrijftoegang