Hotvarningar
Dina vanliga skanningar ger dig en ögonblicksbild av hur din tenant är konfigurerad. Hotvarningar är annorlunda: de visar dig vad som händer just nu. De hämtar de aktuella identitetsrisksignalerna från din Microsoft 365-tenant och presenterar dem på ett ställe, så att du kan upptäcka ett komprometterat konto och agera på det utan att lämna Aether365.
Hotvarningar använder din AI Pilot-anslutning. De är skrivskyddade för visning och lägger till ett sätt att isolera en riskfylld användare med ett klick när du behöver svara snabbt.
Kräver en AI Pilot Connection
Hotvarningar läser live-risksignaler via AI Pilot Connection. Om du inte har ställt in en än, se AI Pilot för hur du ansluter den. Din skrivskyddade skanningsanslutning ensam driver inte Hotvarningar.
Vad Hotvarningar visar
Sidan Hotvarningar är indelad i tre källor. Var och en besvarar en olika fråga om identitetsrisk i din tenant.
Riskfyllda användare
Personerna i din tenant vars konton Microsoft för närvarande betraktar som i riskzonen. För varje användare ser du vem det är, deras aktuella risknivå och varför de är flaggade. Detta är det snabbaste sättet att hitta ett konto som kan vara komprometterat och avgöra om du ska isolera det.
Riskdetektioner
De enskilda risksignalerna bakom dessa användare: saker som inloggningar från okända platser, anonyma IP-adresser, läckta inloggningsuppgifter eller omöjliga-resor-mönster. Där en vy på användarnivå säger dig "det här kontot ser riskfyllt ut", talar riskdetektioner om för dig vad som specifikt utlöste den slutsatsen.
Kräver Microsoft Entra ID P2
Riskdetektioner kommer från Microsoft Entra ID Protection, som kräver en Microsoft Entra ID P2-licens. Om din tenant inte är licensierad för det visar den här källan en notis "Inte tillgängligt ännu" istället för data. Se Licensiering och notisen "Inte tillgängligt ännu" nedan.
Säkerhetsvarningar
Säkerhetsvarningar på högre nivå som tagits fram för din tenant: misstänkt aktivitet som har korrelerats till en varning värd en närmare titt. Dessa ger dig den bredare säkerhetsbilden vid sidan av de identitetsspecifika signalerna.
Kräver Microsoft Defender
Säkerhetsvarningar kommer från Microsoft Defender. Om din tenant inte har en Microsoft Defender-plan som producerar dessa varningar visar den här källan en notis "Inte tillgängligt ännu" istället för data.
Hotvarningar är skrivskyddade för visning
Att visa Hotvarningar ändrar aldrig något i din tenant. Det läser det aktuella risktillståndet och visar det. Den enda åtgärd som faktiskt gör en ändring är intrångsresponsen som beskrivs nedan, och den körs endast när du uttryckligen utlöser den på en specifik användare.
Intrångsrespons: isolera en riskfylld användare med ett klick
När du hittar ett konto som är komprometterat eller beter sig misstänkt kan du isolera det direkt från listan över riskfyllda användare. Att isolera en användare gör två saker på en gång:
- Återkallar användarens aktiva sessioner, så att en inloggad angripare tvingas tillbaka till en ny inloggning.
- Inaktiverar kontot, så att ingen ny inloggning kan lyckas förrän du återaktiverar det.
Tillsammans skär detta av en angripares åtkomst snabbt medan du utreder.
Så här isolerar du en användare:
- Öppna Hotvarningar från sidofältet.
- Hitta kontot du vill isolera i listan Riskfyllda användare.
- Klicka på Contain vid den användaren och bekräfta.
- Aether365 återkallar användarens sessioner och inaktiverar kontot via din AI Pilot-anslutning.
Isolering går att ångra
Att inaktivera ett konto tar inte bort det. När du har utrett och kontot är säkert kan du återaktivera det från Microsoft Entra-administrationscentret. Isolera först, utred sedan: det är långt enklare att återaktivera ett rent konto än att återhämta sig från ett aktivt intrång.
Eftersom intrångsrespons skriver till din tenant förlitar den sig på AI Pilot-skrivanslutningen. Om en tenant bara har en skrivskyddad skanningsanslutning kan källdatan fortfarande visas, men att isolera en användare är inte tillgängligt förrän AI Pilot är ansluten.
Licensiering och notisen "Inte tillgängligt ännu"
Hotvarningar visar exakt de Microsoft-signaler som din tenant är licensierad att producera. Källor som beror på en licens du inte har visar en tydlig notis "Inte tillgängligt ännu" istället för tom eller vilseledande data:
| Källa | Kräver | Om inte licensierad |
|---|---|---|
| Riskfyllda användare | Identitetsrisksignaler | Visas när tillgängligt |
| Riskdetektioner | Microsoft Entra ID P2 | Notis "Inte tillgängligt ännu" |
| Säkerhetsvarningar | Microsoft Defender | Notis "Inte tillgängligt ännu" |
Notisen är informativ, inte ett fel. Den betyder att källan är redo att tändas i det ögonblick tenanten får rätt licens, utan extra inställningar från din sida. De källor du är licensierad för fortsätter att fungera som vanligt oavsett.
Relaterat
- AI Pilot - skrivanslutningen som driver Hotvarningar och intrångsrespons
- Policyhantering - granska och härda din tenants säkerhetspolicyer
- Anslut en tenant - ställa in dina anslutningar
- Säkerhetsmodell - skrivskyddad standard och valfri skrivåtkomst